Leistungsfähige Systeme der künstlichen Intelligenz benötigen Daten. Je umfangreicher, vielfältiger und aussagekräftiger die verfügbaren Informationen sind, desto besser kann ein Modell statistische Zusammenhänge erkennen. In der Praxis befinden sich die relevanten Daten jedoch selten in einer einzigen Organisation. Banken kennen finanzielle Vorgänge, Versicherungen besitzen Risikodaten, Krankenhäuser verwalten klinische Informationen, Forschungseinrichtungen erheben Messwerte und Handelsplattformen dokumentieren Kaufentscheidungen. Erst die Verbindung solcher Merkmale kann ein vollständigeres Bild ergeben.

Eine zentrale Zusammenführung ist häufig nicht zulässig oder nicht erwünscht. Datenschutzrechtliche Vorgaben, Geschäftsgeheimnisse, Sicherheitsanforderungen und institutionelle Interessen verhindern, dass Organisationen ihre Rohdaten uneingeschränkt an eine gemeinsame Stelle übertragen. Selbst wenn eine rechtliche Grundlage vorhanden wäre, entstünde durch die zentrale Datensammlung ein attraktives Angriffsziel. Ein erfolgreicher Angriff könnte große Mengen sensibler Informationen offenlegen.

Vertical Federated Learning setzt an diesem Konflikt an. Mehrere Parteien trainieren gemeinsam ein Modell, ohne ihre vollständigen Rohdaten untereinander auszutauschen. Jede Partei behält ihre Merkmale in der eigenen technischen Umgebung. Übertragen werden nur die Informationen, die für die gemeinsame Berechnung erforderlich sind. Abhängig vom Verfahren können dies verschlüsselte Zwischenwerte, Gradienten, Modellparameter oder statistisch geschützte Repräsentationen sein.

Grundidee des Vertical Federated Learning

Beim Vertical Federated Learning verfügen die beteiligten Organisationen über unterschiedliche Merkmale derselben oder teilweise derselben Personen, Unternehmen, Geräte oder Ereignisse. Die Daten sind damit vertikal aufgeteilt. Würden alle Informationen in einer Tabelle stehen, besäße jede Partei einen anderen Teil der Spalten.

Eine Bank könnte beispielsweise Einkommen, Kontobewegungen und bestehende Kredite kennen. Ein Onlinehändler besitzt dagegen Informationen über Bestellhäufigkeit, Produktkategorien und Retouren. Eine Versicherung kennt Schadensverläufe und Vertragsdaten. Falls sich ein Teil der Kunden überschneidet, können die Parteien theoretisch ein gemeinsames Modell trainieren, ohne ihre jeweiligen Datensätze vollständig zusammenzuführen.

Das Ziel besteht nicht darin, den Datenaustausch vollständig zu vermeiden. Ein VFL-System benötigt Kommunikation. Entscheidend ist, welche Informationen übertragen werden, wie diese geschützt sind und welche Rückschlüsse daraus möglich bleiben. Die lokale Speicherung von Rohdaten allein garantiert noch keine Vertraulichkeit. Auch Gradienten, Aktivierungen oder Modellausgaben können sensible Informationen enthalten.

Einordnung in die Quantentechnologie

Vertical Federated Learning ist zunächst ein Verfahren des klassischen maschinellen Lernens. Es benötigt nicht automatisch einen Quantencomputer. Die Verbindung zur Quantentechnologie entsteht auf drei Ebenen.

Erstens können einzelne Modellbestandteile durch Verfahren des Quantum Machine Learning ergänzt werden. Eine Partei kann ausgewählte Merkmale in einen Quantenzustand kodieren und mit einem parametrisierten Quantenschaltkreis verarbeiten. Das Gesamtsystem bleibt dabei in der Regel hybrid: Datenvorbereitung, Kommunikation und Optimierung laufen überwiegend auf klassischen Computern, während bestimmte Berechnungsschritte auf einem Quantenprozessor ausgeführt werden.

Zweitens muss die kryptografische Sicherheit langfristig betrachtet werden. Leistungsfähige Quantencomputer könnten heute weitverbreitete Public-Key-Verfahren gefährden. VFL-Systeme, die besonders schützenswerte Daten verarbeiten, benötigen deshalb kryptografische Agilität und langfristig post-quanten-sichere Verfahren.

Drittens eröffnet die Entwicklung von Quantennetzwerken eine langfristige Perspektive für verteilte Quantenmodelle. Solche Systeme könnten quantenmechanische Zustände oder verschränkte Ressourcen zwischen Standorten nutzen. Gegenwärtig handelt es sich dabei jedoch überwiegend um Grundlagenforschung. Praktische VFL-Anwendungen arbeiten hauptsächlich mit klassischen Netzwerken und klassischer Datenverarbeitung.

Ziel dieser Abhandlung

Diese Abhandlung erklärt die technische Struktur von Vertical Federated Learning, beschreibt typische Trainingsabläufe und untersucht die notwendigen Sicherheitsmechanismen. Sie trennt belastbare Verfahren von experimentellen Quantenansätzen und bewertet, unter welchen Bedingungen ein quantenunterstütztes VFL-System sinnvoll sein könnte. Im Mittelpunkt stehen nicht theoretische Versprechen, sondern die tatsächlichen Anforderungen an Datenabgleich, Modelltraining, Kommunikation, Datenschutz und Governance.

Grundlagen des Federated Learning

Zentrales maschinelles Lernen

Beim zentralen maschinellen Lernen werden die Trainingsdaten an einer Stelle gesammelt. Dort erfolgen Datenbereinigung, Merkmalsauswahl, Training und Bewertung. Dieses Vorgehen ist technisch übersichtlich. Alle Merkmale sind direkt verfügbar, Berechnungen lassen sich effizient koordinieren und das Training kann mit etablierten Werkzeugen durchgeführt werden.

Die zentrale Architektur besitzt jedoch grundlegende Nachteile. Die übertragende Organisation verliert einen Teil der Kontrolle über ihre Daten. Unterschiedliche Datensätze müssen in ein gemeinsames Schema gebracht werden. Zugriffsrechte, Löschpflichten und Zweckbindungen werden komplexer. Zusätzlich entsteht ein zentraler Speicherort, dessen Kompromittierung weitreichende Folgen haben kann.

Ein zentrales Modell ist daher nicht automatisch die beste Lösung, selbst wenn es technisch einfacher wäre. Besonders in Medizin, Finanzwesen, Verwaltung, Verteidigung und industrieller Forschung kann die vollständige Datenübertragung ausgeschlossen sein.

Grundprinzip des Federated Learning

Federated Learning verlagert einen Teil des Trainings zu den Daten. Die Rohdaten bleiben bei den jeweiligen Teilnehmern. Lokale Systeme berechnen Modellinformationen und übermitteln nur festgelegte Ergebnisse an andere Parteien oder an eine koordinierende Instanz.

Das häufig bekannte horizontale Federated Learning verteilt das Training auf Teilnehmer mit ähnlichen Merkmalen, aber unterschiedlichen Datensätzen. Mehrere Krankenhäuser könnten beispielsweise dieselben Arten klinischer Variablen erfassen, aber jeweils andere Patienten behandeln. Jedes Krankenhaus trainiert lokal auf den eigenen Fällen. Anschließend werden Modellaktualisierungen zusammengeführt.

Ein einfaches Aggregationsprinzip kann als gewichteter Mittelwert dargestellt werden:

\(\theta_{t+1} = \sum_{k=1}^{K} \frac{n_k}{\sum_{j=1}^{K} n_j}\theta_t^{(k)}\)

Dabei bezeichnet \(\theta_t^{(k)}\) den lokal aktualisierten Parametersatz der Partei \(k\), während \(n_k\) die Zahl ihrer Trainingsbeispiele beschreibt. Dieses Prinzip eignet sich vor allem für horizontale Szenarien. Beim Vertical Federated Learning müssen dagegen unterschiedliche Merkmalsbeiträge innerhalb derselben Vorhersage zusammengeführt werden.

Hauptformen des Federated Learning

Horizontales Federated Learning

Horizontales Federated Learning liegt vor, wenn die Parteien ähnliche Merkmalsspalten besitzen, aber unterschiedliche Personen oder Objekte in ihren Zeilen führen. Die Daten werden damit horizontal nach Datensätzen aufgeteilt. Typische Beispiele sind Filialen, Kliniken oder mobile Endgeräte mit gleichartigen Datenstrukturen.

Vertical Federated Learning

Beim Vertical Federated Learning überschneiden sich die Identitäten, während die Parteien unterschiedliche Merkmale besitzen. Das gemeinsame Modell benötigt Beiträge mehrerer Organisationen, um eine Vorhersage zu erzeugen. Diese Struktur verlangt einen sicheren Identitätsabgleich und eine enge Koordination während jeder Trainingsrunde.

Federated Transfer Learning

Federated Transfer Learning wird relevant, wenn weder eine große Überschneidung der Identitäten noch eine weitgehend gleiche Merkmalsstruktur vorliegt. Transfer-Learning-Verfahren sollen dann Wissen zwischen unterschiedlichen Datenräumen übertragen. Das Verfahren ist flexibler, aber auch schwieriger zu bewerten und abzusichern.

Cross-Device und Cross-Silo

Cross-Device Federated Learning verbindet häufig sehr viele Endgeräte. Diese Geräte sind nur zeitweise erreichbar, besitzen begrenzte Rechenleistung und können sehr unterschiedliche Datenmengen enthalten. Smartphones sind das typische Beispiel.

Vertical Federated Learning ist dagegen meist ein Cross-Silo-Verfahren. Es verbindet eine begrenzte Zahl institutioneller Teilnehmer. Diese verfügen über stabile Server, kontrollierte Netzwerke und langfristige Kooperationsbeziehungen. Der technische Betrieb ist dadurch planbarer. Gleichzeitig sind die Anforderungen an Verträge, Verantwortlichkeiten und Schutz von Geschäftsgeheimnissen höher.

Datenstruktur und Teilnehmerrollen im VFL

Vertikale Datenpartitionierung

Ein vollständiger Datensatz kann als Matrix betrachtet werden, deren Zeilen einzelne Personen oder Objekte und deren Spalten verschiedene Merkmale darstellen. Beim VFL ist diese Matrix über mehrere Organisationen verteilt.

Für \(K\) Parteien kann der Merkmalsvektor eines Datensatzes als Zusammensetzung lokaler Teilvektoren beschrieben werden:

\(x_i = \left(x_i^{(1)}, x_i^{(2)}, \ldots, x_i^{(K)}\right)\)

Die Partei \(k\) besitzt nur \(x_i^{(k)}\). Keine einzelne Partei muss den vollständigen Merkmalsvektor kennen. Trotzdem soll das gemeinsame Modell eine Funktion berechnen, die von allen relevanten Teilvektoren abhängt:

\(\hat{y}_i = f\left(x_i^{(1)}, x_i^{(2)}, \ldots, x_i^{(K)}\right)\)

Die Herausforderung besteht darin, diese Funktion zu trainieren, ohne die lokalen Merkmale offenzulegen.

Die aktive Partei

In vielen VFL-Architekturen besitzt eine aktive Partei die Zielvariable. Sie weiß beispielsweise, ob ein Kredit zurückgezahlt wurde, ob ein medizinischer Befund positiv war oder ob eine Transaktion als betrügerisch eingestuft wurde.

Die aktive Partei berechnet häufig die Verlustfunktion und steuert den Trainingsprozess. Dadurch besitzt sie eine besondere Informationsposition. Sie kann lokale Beiträge anderer Parteien mit dem tatsächlichen Ergebnis vergleichen. Eine sichere Architektur muss berücksichtigen, welche Rückschlüsse daraus möglich sind.

Passive Parteien

Passive Parteien besitzen zusätzliche Merkmale, jedoch nicht zwingend die Zielvariable. Sie verarbeiten ihre lokalen Daten und erzeugen daraus Modellbeiträge oder latente Repräsentationen. Diese Informationen werden geschützt an die aktive Partei oder an ein gemeinsames Berechnungsprotokoll übergeben.

Passiv bedeutet nicht unbedeutend. Eine passive Partei kann Merkmale besitzen, die für die Modellqualität entscheidend sind. Ohne diese Daten wäre die Vorhersage möglicherweise deutlich schwächer. Gleichzeitig darf die Partei aus dem Trainingssignal keine unzulässigen Rückschlüsse auf Zielwerte oder Merkmale anderer Teilnehmer ziehen.

Koordinator und Aggregationsinstanz

Ein Koordinator kann Trainingsrunden auslösen, Schlüssel verwalten, Teilnehmer authentifizieren und Zwischenergebnisse zusammenführen. Er kann als eigenständige Instanz auftreten oder von einer beteiligten Organisation betrieben werden.

Die Sicherheitsbewertung hängt davon ab, ob der Koordinator als vertrauenswürdig gilt. Ein semi-ehrlicher Koordinator führt das Protokoll korrekt aus, versucht aber möglicherweise, aus empfangenen Daten zusätzliche Informationen zu gewinnen. Ein böswilliger Koordinator kann Nachrichten verändern, Teilnehmer gegeneinander ausspielen oder gezielt manipulierte Anfragen stellen.

Eine robuste Architektur sollte daher nicht allein auf organisatorischem Vertrauen beruhen. Kryptografische Kontrollen, Protokollierung, Zugriffstrennung und technische Begrenzungen sind notwendig.

Zwei-Parteien- und Mehrparteien-VFL

Ein VFL-System mit zwei Parteien ist vergleichsweise übersichtlich. Eine Organisation besitzt die Zielvariable, die andere ergänzende Merkmale. Bereits dieses Modell verlangt jedoch einen sicheren Identitätsabgleich, geschützte Zwischenberechnungen und Regeln für die spätere Inferenz.

Bei mehreren Parteien steigen Kommunikationsaufwand und Angriffsfläche. Jede zusätzliche Organisation kann neue Merkmale beitragen, erhöht aber zugleich die Zahl der Schlüssel, Schnittstellen und Vertrauensbeziehungen. Der praktische Nutzen weiterer Datenquellen muss deshalb gegen die zusätzliche Systemkomplexität abgewogen werden.

Identitätsabgleich und gemeinsame Datenbasis

Warum ein Identitätsabgleich erforderlich ist

Ein gemeinsames Modell kann nur dann Merkmale derselben Person zusammenführen, wenn die Parteien wissen, welche Datensätze zueinander gehören. Ein direktes Austauschen vollständiger Kunden-, Patienten- oder Gerätelisten wäre jedoch häufig unzulässig.

Der Identitätsabgleich muss deshalb zwei Ziele erfüllen. Er soll gemeinsame Einträge erkennen und gleichzeitig Informationen über nicht gemeinsame Einträge schützen. Die beteiligten Parteien sollen möglichst nur erfahren, welche Identitäten für das gemeinsame Training benötigt werden.

Private Set Intersection

Private Set Intersection bezeichnet kryptografische Verfahren zur Ermittlung der Schnittmenge zweier oder mehrerer Mengen. Jede Partei gibt ihre Identifikatoren in das Protokoll ein. Als Ergebnis erhalten die Beteiligten die gemeinsamen Elemente oder eine geschützte Zuordnung, ohne die übrigen Einträge vollständig offenzulegen.

Die abstrakte Schnittmenge zweier Identitätsmengen kann als

\(I_{\mathrm{gemeinsam}} = I_A \cap I_B\)

beschrieben werden. In einem sicheren Protokoll wird diese Operation nicht durch einen einfachen Austausch der Mengen umgesetzt, sondern durch Hashverfahren, verschlüsselte Auswertungen, Oblivious Pseudorandom Functions oder andere kryptografische Mechanismen.

Fehlerhafte und unvollständige Identitäten

Reale Identitätsdaten sind selten perfekt. Namen können unterschiedlich geschrieben sein, Adressen ändern sich, Kundennummern gelten nur innerhalb einer Organisation und einzelne Angaben können fehlen. Ein exakter kryptografischer Vergleich funktioniert jedoch nur, wenn identische Eingaben vorliegen.

Probabilistische Zuordnungen können Abweichungen tolerieren, erhöhen aber das Fehlerrisiko. Eine falsche Verknüpfung verbindet Merkmale verschiedener Personen. Das Modell lernt dann Zusammenhänge, die nicht existieren. Ein nicht erkannter Treffer reduziert dagegen die verfügbare Trainingsmenge.

Der Identitätsabgleich ist deshalb kein rein technischer Vorbereitungsschritt. Seine Qualität beeinflusst direkt die statistische Gültigkeit des gesamten Modells.

Datenschutzrisiken des Abgleichs

Auch ein geschützter Abgleich kann Metadaten offenlegen. Die Größe der Schnittmenge kann geschäftlich sensibel sein. Wiederholte Abfragen können zeigen, ob eine bestimmte Person Mitglied einer Datenbank ist. Kleine oder gezielt präparierte Mengen ermöglichen unter Umständen Rückschlüsse auf einzelne Identitäten.

Ein sicheres System begrenzt deshalb die Zahl und Struktur möglicher Abfragen. Es benötigt Authentifizierung, Protokollierung, definierte Zwecke und eine klare Löschstrategie für temporäre Zuordnungsinformationen.

Technischer Ablauf eines VFL-Trainings

Vorbereitung und Initialisierung

Vor dem Training müssen die Parteien das gemeinsame Lernziel festlegen. Dazu gehören die Zielvariable, die erlaubten Merkmale, die Modellklasse, die Bewertungsmetriken und das Sicherheitsmodell. Ebenso wichtig ist die Frage, welche Partei das Modell später verwenden darf und welche Teilnehmer während einer Vorhersage verfügbar sein müssen.

Anschließend werden Kommunikationskanäle, Schlüssel und Authentifizierungsverfahren eingerichtet. Die Parteien definieren, welche Nachrichten in welcher Reihenfolge ausgetauscht werden. Ein produktives VFL-System benötigt ein festgelegtes Protokoll. Spontane oder unkontrollierte Zusatzabfragen können die Sicherheitsannahmen unterlaufen.

Lokale Datenverarbeitung

Jede Partei bereinigt und transformiert ihre eigenen Merkmale. Dazu gehören Skalierung, Behandlung fehlender Werte, Kategorisierung und gegebenenfalls lokale Merkmalsreduktion. Die Verarbeitung muss zwischen Training und späterer Inferenz identisch bleiben.

Auch lokale Vorverarbeitung kann Informationen über die gemeinsame Population verändern. Werden beispielsweise nur Datensätze mit vollständigen Angaben berücksichtigt, kann dies bestimmte Gruppen systematisch ausschließen. Datenqualität und Fairness müssen deshalb bereits auf lokaler Ebene geprüft werden.

Beispiel einer verteilten logistischen Regression

Bei einer logistischen Regression wird zunächst ein linearer Wert berechnet:

\(z_i = \beta_0 + \sum_{j=1}^{d} \beta_j x_{ij}\)

Im VFL-Szenario ist dieser Ausdruck über mehrere Parteien verteilt:

\(z_i = \beta_0 + \sum_{k=1}^{K} \left(x_i^{(k)}\right)^T \beta^{(k)}\)

Jede Partei berechnet ihren lokalen Anteil:

\(z_i^{(k)} = \left(x_i^{(k)}\right)^T \beta^{(k)}\)

Die lokalen Beiträge werden anschließend geschützt addiert:

\(z_i = \beta_0 + \sum_{k=1}^{K} z_i^{(k)}\)

Aus dem gemeinsamen Wert wird die geschätzte Wahrscheinlichkeit bestimmt:

\(\hat{y}_i = \sigma(z_i) = \frac{1}{1 + e^{-z_i}}\)

Für eine binäre Klassifikation kann die Verlustfunktion lauten:

\(L = -\frac{1}{n}\sum_{i=1}^{n}\left(y_i\log(\hat{y}_i) + (1-y_i)\log(1-\hat{y}_i)\right)\)

Die aktive Partei kennt häufig \(y_i\) und berechnet daraus den Fehler. Die passive Partei soll dagegen nur den Gradientenanteil erhalten, den sie für die Aktualisierung ihrer lokalen Parameter benötigt.

Geschützte Gradientenberechnung

Für die lokale Parameteraktualisierung benötigt Partei \(k\) einen Gradienten:

\(\nabla_{\beta^{(k)}} L = \frac{\partial L}{\partial z_i}\frac{\partial z_i}{\partial \beta^{(k)}}\)

Da

\(\frac{\partial z_i}{\partial \beta^{(k)}} = x_i^{(k)}\)

gilt, enthält der Gradient Informationen über lokale Merkmale und globale Fehlerwerte. Eine ungeschützte Übertragung kann daher Rückschlüsse ermöglichen. Je nach Sicherheitsprotokoll werden Gradienten verschlüsselt, maskiert, in geheime Anteile zerlegt oder durch kontrolliertes Rauschen verändert.

Lokale Parameteraktualisierung

Nach Erhalt des geschützten Trainingssignals aktualisiert jede Partei ihre eigenen Modellparameter. Ein einfacher Schritt des Gradientenverfahrens lautet:

\(\beta_{t+1}^{(k)} = \beta_t^{(k)} - \eta \nabla_{\beta^{(k)}} L\)

Dabei ist \(\eta\) die Lernrate. Die Parteien wiederholen die Berechnung über viele Trainingsrunden, bis ein Abbruchkriterium erreicht ist. Dieses Kriterium kann auf einer maximalen Rundenzahl, einer stabilen Verlustfunktion oder einer ausreichenden Validierungsleistung beruhen.

Inferenz nach dem Training

Das trainierte Modell muss später Vorhersagen erzeugen. Bei vielen VFL-Architekturen werden dafür erneut Beiträge mehrerer Parteien benötigt. Eine Bank kann eine Kreditentscheidung dann nicht allein berechnen, wenn ein wichtiger Modellanteil bei einer anderen Organisation liegt.

Diese Abhängigkeit ist ein praktisches Risiko. Teilnehmer können ausfallen, ihre Zustimmung widerrufen oder die Kooperation beenden. Ein produktives System benötigt Regeln für Ausfälle, Versionierung und Ersatzmodelle. Es muss außerdem geklärt sein, welche Partei das Endergebnis sehen darf.

Synchronisation und Kommunikation

Synchrone Verfahren warten in jeder Runde auf alle erforderlichen Parteien. Dies vereinfacht die Berechnung, macht das System aber anfällig für langsame Teilnehmer. Asynchrone Verfahren können schneller reagieren, müssen jedoch mit veralteten Modellständen umgehen.

Kommunikationskompression, größere lokale Berechnungsblöcke und effiziente Kryptografie können den Datenaustausch reduzieren. Zu starke Kompression kann jedoch Modellqualität oder Sicherheit beeinträchtigen. Der Kommunikationsaufwand ist deshalb eine zentrale VFL-Metrik und darf nicht als nebensächlicher Systemparameter behandelt werden.

Geeignete Modelle und Lernverfahren

Lineare Modelle

Lineare und logistische Regressionen eignen sich gut zur Einführung in VFL. Ihre Berechnungen lassen sich klar in lokale Beiträge zerlegen. Additive homomorphe Verschlüsselung kann solche Beiträge vergleichsweise direkt schützen.

Lineare Modelle sind außerdem gut interpretierbar. Die Bedeutung einzelner Merkmale kann leichter untersucht werden als bei tiefen neuronalen Netzen. Allerdings bleiben auch hier Abhängigkeiten zwischen Merkmalen verschiedener Parteien eine Herausforderung. Ohne zusätzliche Interaktionsterme kann ein lineares Modell komplexe Zusammenhänge nur begrenzt abbilden.

Entscheidungsbäume und Gradient Boosting

Baumbasierte Modelle sind in strukturierten Unternehmensdaten häufig sehr leistungsfähig. Beim VFL müssen die Parteien gemeinsam entscheiden, welches Merkmal und welcher Schwellenwert einen Datenbestand am besten aufteilt.

Eine Partei darf dabei nicht zwingend erfahren, welche konkreten Werte bei einer anderen Organisation vorliegen. Sichere Histogramme, verschlüsselte Gradientenstatistiken und geschützte Vergleiche ermöglichen eine gemeinsame Auswahl von Aufteilungen.

Der technische Aufwand ist höher als bei einer zentralen Baumkonstruktion. Trotzdem sind VFL-Varianten von Gradient Boosting besonders für Kreditrisiko, Betrugserkennung und medizinische Klassifikation interessant, weil diese Aufgaben häufig tabellarische Daten mit heterogenen Merkmalen verwenden.

Neuronale Netze

Bei neuronalen VFL-Modellen betreibt jede Partei ein lokales Teilnetz. Das Teilnetz wandelt lokale Merkmale in eine Repräsentation um. Diese Repräsentationen werden an einem gemeinsamen Punkt kombiniert und durch weitere Schichten verarbeitet.

Für zwei Parteien kann die Struktur vereinfacht dargestellt werden:

\(h_A = f_A(x_A;\theta_A)\)

\(h_B = f_B(x_B;\theta_B)\)

\(\hat{y} = g(h_A,h_B;\theta_g)\)

Die Verlustfunktion wird anhand der Vorhersage berechnet. Anschließend werden Gradienten durch das gemeinsame Netz zu den lokalen Teilnetzen zurückgeführt.

Die ausgetauschten Repräsentationen \(h_A\) und \(h_B\) sind keine Rohdaten. Sie sind deshalb aber nicht automatisch anonym. Ein leistungsfähiger Angreifer kann versuchen, ursprüngliche Merkmale aus ihnen zu rekonstruieren.

Verbindung zu Split Learning

Split Learning teilt ein neuronales Netz an einer bestimmten Schicht. Ein Teilnehmer berechnet die vorderen Schichten und überträgt deren Aktivierungen an einen anderen Teilnehmer, der die restliche Verarbeitung übernimmt.

VFL und Split Learning überschneiden sich, sind aber nicht identisch. VFL beschreibt primär die vertikale Aufteilung der Merkmale. Split Learning beschreibt die Aufteilung eines Modells. In praktischen Systemen werden beide Ansätze kombiniert: Jede Organisation verarbeitet ihre eigenen Merkmale lokal, anschließend werden die erzeugten Repräsentationen in einem gemeinsamen Netz zusammengeführt.

Repräsentationslernen

Repräsentationslernen kann unterschiedliche Datenarten in einen gemeinsamen Raum übertragen. Strukturierte Finanzdaten, medizinische Bilder, Textinformationen und Sensordaten können dadurch gemeinsam verarbeitet werden.

Kontrastive Verfahren versuchen, Repräsentationen zusammengehöriger Datensätze näher zusammenzuführen und nicht zusammengehörige Beispiele zu trennen. Ein möglicher Verlust kann lauten:

\(L_{\mathrm{kontrastiv}} = -\log\frac{\exp(\mathrm{sim}(h_i^A,h_i^B)/\tau)}{\sum_j \exp(\mathrm{sim}(h_i^A,h_j^B)/\tau)}\)

Dabei bezeichnet \(\mathrm{sim}\) eine Ähnlichkeitsfunktion und \(\tau\) einen Temperaturparameter. Solche Verfahren können die gemeinsame Datenrepräsentation verbessern, erhöhen aber die Anforderungen an Datenschutz und korrekte Zuordnung.

Datenschutz und kryptografische Schutzmechanismen

Das Sicherheitsmodell

Jedes VFL-System benötigt eine klare Annahme darüber, wie sich Teilnehmer verhalten. Ein ehrlicher Teilnehmer folgt dem Protokoll und versucht nicht, zusätzliche Informationen zu gewinnen. Ein semi-ehrlicher Teilnehmer führt die vorgesehenen Schritte aus, analysiert aber alle verfügbaren Nachrichten. Ein böswilliger Teilnehmer kann Eingaben manipulieren, Nachrichten verändern oder das Protokoll gezielt missbrauchen.

Die Sicherheitsarchitektur muss außerdem Kollusion berücksichtigen. Zwei Parteien können ihre Informationen zusammenlegen, um Merkmale einer dritten Partei zu rekonstruieren. Ein Verfahren, das gegen einzelne Angreifer sicher ist, kann bei Zusammenarbeit mehrerer Teilnehmer versagen.

Homomorphe Verschlüsselung

Homomorphe Verschlüsselung ermöglicht Berechnungen auf verschlüsselten Werten. Das Ergebnis kann nach der Entschlüsselung dem Ergebnis einer entsprechenden Berechnung auf Klartext entsprechen.

Für eine additive homomorphe Verschlüsselung gilt abstrakt:

\(\mathrm{Dec}\left(\mathrm{Enc}(a) \oplus \mathrm{Enc}(b)\right) = a + b\)

Damit können lokale Modellbeiträge verschlüsselt addiert werden. Die aggregierende Stelle sieht nur Chiffretexte und kann den Klartext nicht unmittelbar lesen.

Teilweise homomorphe Verfahren unterstützen nur bestimmte Operationen. Vollständig homomorphe Verschlüsselung erlaubt grundsätzlich allgemeine Berechnungen, ist aber erheblich rechenintensiver. Für praktische VFL-Systeme werden deshalb meist Protokolle gewählt, die genau die benötigten Operationen möglichst effizient absichern.

Homomorphe Verschlüsselung schützt nicht automatisch vor jeder Manipulation. Ein Teilnehmer kann weiterhin falsche Eingaben verschlüsseln. Vertraulichkeit und Integrität müssen getrennt behandelt werden.

Secure Multi-Party Computation

Secure Multi-Party Computation ermöglicht mehreren Parteien eine gemeinsame Berechnung, ohne dass eine Partei alle Eingaben kennt. Ein wichtiges Verfahren ist Secret Sharing. Ein Wert \(s\) wird in mehrere Anteile zerlegt:

\(s = s_1 + s_2 + \cdots + s_m \pmod q\)

Ein einzelner Anteil verrät idealerweise nichts über \(s\). Erst eine festgelegte Kombination der Anteile ermöglicht die Rekonstruktion.

Weitere Techniken sind Garbled Circuits, sichere Vergleichsprotokolle und Oblivious Transfer. Sie können komplexere Operationen schützen, verursachen aber Kommunikations- und Rechenaufwand. Die Wahl des Protokolls hängt von Modelltyp, Teilnehmerzahl, Netzwerk und Bedrohungsmodell ab.

Differentielle Privatsphäre

Differentielle Privatsphäre begrenzt den Einfluss einzelner Datensätze auf ein veröffentlichtes Ergebnis. Ein Mechanismus \(M\) erfüllt eine differentielle Datenschutzbedingung, wenn für benachbarte Datensätze \(D\) und \(D'\) gilt:

\(P(M(D)\in S) \le e^{\epsilon}P(M(D')\in S) + \delta\)

Der Parameter \(\epsilon\) beschreibt die Stärke des Datenschutzes. Ein kleinerer Wert bedeutet im Allgemeinen einen stärkeren Schutz, verlangt jedoch mehr Rauschen oder stärkere Begrenzungen. Der Parameter \(\delta\) erlaubt eine kleine Wahrscheinlichkeit zusätzlicher Abweichungen.

In VFL-Systemen kann Rauschen auf Gradienten, Aktivierungen oder Modellergebnisse angewendet werden. Zu starkes Rauschen verschlechtert die Modellleistung. Zu schwaches Rauschen bietet nur begrenzten Schutz. Das Privacy Budget muss über alle Trainingsrunden hinweg betrachtet werden, da sich wiederholte Veröffentlichungen summieren.

Trusted Execution Environments

Trusted Execution Environments sind geschützte Ausführungsbereiche eines Prozessors. Daten und Berechnungen innerhalb dieser Umgebung sollen gegenüber dem übrigen System isoliert sein. Dadurch können sensible VFL-Operationen effizienter ausgeführt werden als mit vollständig kryptografischen Verfahren.

Der Ansatz verlagert jedoch Vertrauen auf Hardware und Hersteller. Implementierungsfehler, fehlerhafte Konfigurationen und Seitenkanalangriffe können den Schutz schwächen. Eine geschützte Hardwareumgebung ersetzt deshalb keine sichere Gesamtarchitektur.

Mehrschichtige Schutzarchitektur

Ein belastbares VFL-System kombiniert mehrere Verfahren. Transportverschlüsselung schützt Kommunikationswege. Authentifizierung stellt sicher, dass nur zugelassene Teilnehmer Nachrichten austauschen. Homomorphe Verschlüsselung oder Secure Multi-Party Computation schützt ausgewählte Berechnungen. Differentielle Privatsphäre begrenzt Rückschlüsse aus Ergebnissen. Protokollierung und Signaturen sichern Nachvollziehbarkeit und Integrität.

Keine einzelne Technik löst alle Probleme. Sicherheit entsteht durch die abgestimmte Verbindung technischer, organisatorischer und rechtlicher Maßnahmen.

Angriffe und Schwachstellen

Label-Inference-Angriffe

Eine passive Partei kann versuchen, die Zielvariable zu rekonstruieren. Gradienten verraten, in welche Richtung sich lokale Parameter verändern sollen. Bei einfachen Modellen oder kleinen Trainingsbatches kann dieses Signal eng mit dem tatsächlichen Label verbunden sein.

Besonders kritisch sind unausgeglichene Klassen und binäre Entscheidungen. Wenn ein Gradient bei positiven und negativen Beispielen systematisch unterschiedliche Muster besitzt, kann die passive Partei ein eigenes Angriffsmodell trainieren.

Feature-Inference-Angriffe

Die aktive Partei kann versuchen, Merkmale passiver Parteien aus deren Modellbeiträgen zu rekonstruieren. Wiederholte Beobachtungen, bekannte Modellparameter und zusätzliche Hintergrundinformationen erleichtern solche Angriffe.

Ein lokaler Repräsentationsvektor kann mehr Informationen enthalten, als für die gemeinsame Aufgabe notwendig sind. Besonders tiefe Netze können Identität, Gruppenmerkmale oder sensitive Eigenschaften unbeabsichtigt kodieren.

Model-Inversion

Model-Inversion-Angriffe suchen Eingaben, die bestimmte Modellausgaben erklären. Der Angreifer optimiert einen vermuteten Datensatz so lange, bis dessen Repräsentation oder Vorhersage den beobachteten Werten entspricht.

Ein vereinfachtes Rekonstruktionsproblem kann als

\(x^* = \arg\min_x ||f(x)-h_{\mathrm{beobachtet}}||_2^2\)

formuliert werden. Je informativer die ausgetauschte Repräsentation ist, desto genauer kann eine solche Rekonstruktion werden.

Membership-Inference

Membership-Inference beantwortet die Frage, ob ein bestimmter Datensatz am Training beteiligt war. Stark überangepasste Modelle reagieren häufig anders auf Trainingsdaten als auf unbekannte Beispiele. Diese Unterschiede können ausgenutzt werden.

In medizinischen oder finanziellen Anwendungen kann bereits die Information über die Teilnahme an einem Datensatz sensibel sein. Ein positiver Mitgliedschaftsnachweis kann auf eine Erkrankung, einen Vertrag oder ein bestimmtes Verhalten hindeuten.

Daten- und Modellvergiftung

Ein Teilnehmer kann lokale Daten oder Modellaktualisierungen manipulieren. Das Ziel kann eine allgemeine Verschlechterung des Modells oder eine gezielte Fehlentscheidung sein. Bei einem Backdoor-Angriff verhält sich das Modell im Normalfall unauffällig, reagiert aber bei einem bestimmten Muster absichtlich falsch.

VFL erschwert die Erkennung solcher Angriffe, weil keine Partei alle Merkmale sieht. Ein scheinbar ungewöhnlicher lokaler Beitrag kann auf legitimen Daten beruhen oder Teil eines Angriffs sein.

Schutzmaßnahmen

Gradient Clipping begrenzt die Größe einzelner Aktualisierungen:

\(g' = g \cdot \min\left(1,\frac{C}{||g||_2}\right)\)

Dabei ist \(C\) die zulässige Normgrenze. Clipping verhindert extreme Beiträge, reicht aber allein nicht gegen gezielte Manipulationen.

Weitere Maßnahmen sind Rauschen, robuste Aggregation, Anomalieerkennung, Begrenzung von Abfragen, zufällige Batches, sichere Protokollierung und regelmäßige Angriffstests. Vor dem produktiven Einsatz sollte ein VFL-System gezielt mit bekannten Inferenz- und Vergiftungsangriffen geprüft werden.

Schnittstelle zwischen VFL und Quantentechnologie

Notwendige begriffliche Trennung

Vertical Federated Learning, Quantum Machine Learning und Quantum Federated Learning sind unterschiedliche Konzepte. VFL beschreibt die Zusammenarbeit von Parteien mit vertikal verteilten Merkmalen. Quantum Machine Learning verwendet Quantenberechnungen für ausgewählte Lernaufgaben. Quantum Federated Learning verteilt das Training quantenbasierter Modelle auf mehrere Teilnehmer.

Quantum-Enhanced Vertical Federated Learning verbindet diese Bereiche. Ein solches System nutzt vertikal verteilte Daten und integriert mindestens eine quantenbasierte Modellkomponente. Das bedeutet nicht, dass Kommunikation, Datenbank, Identitätsabgleich und Optimierung vollständig quantenmechanisch ablaufen.

Hybride quantenklassische Architektur

Ein realistisches quantenunterstütztes VFL-System besteht aus klassischen und quantenmechanischen Komponenten. Die klassische Seite übernimmt Datenbereinigung, Zugriffssteuerung, Verschlüsselung, Kommunikation und einen großen Teil der Optimierung. Ein Quantenprozessor berechnet beispielsweise eine Merkmalsabbildung, einen Kernel oder eine parametrisierte Schaltung.

Eine lokale Partei kann einen klassischen Merkmalsvektor \(x\) in einen Quantenzustand überführen:

\(|\psi(x)\rangle = U_{\phi}(x)|0\rangle^{\otimes q}\)

Dabei bezeichnet \(U_{\phi}(x)\) eine datenabhängige Quantenschaltung und \(q\) die Zahl der Qubits. Anschließend wird eine parametrisierte Schaltung \(U(\theta)\) angewendet.

Ein Messergebnis kann als Erwartungswert beschrieben werden:

\(f_{\theta}(x) = \langle\psi(x)|U^{\dagger}(\theta)OU(\theta)|\psi(x)\rangle\)

Der Operator \(O\) legt fest, welche Observable gemessen wird. Das Ergebnis ist ein klassischer Zahlenwert und kann in ein VFL-Modell eingespeist werden.

Quantenbasierte Merkmalskodierung

Angle Encoding verwendet Merkmale als Rotationswinkel einzelner Qubits. Eine einfache Kodierung kann lauten:

\(|\psi(x)\rangle = \prod_{j=1}^{q} R_y(x_j)|0\rangle^{\otimes q}\)

Basis Encoding bildet binäre Daten auf Rechenbasiszustände ab. Amplitude Encoding speichert normalisierte Werte in den Amplituden eines Quantenzustands:

\(|\psi(x)\rangle = \sum_{j=0}^{2^q-1} x_j|j\rangle\)

Hierfür muss gelten:

\(\sum_{j=0}^{2^q-1}|x_j|^2 = 1\)

Amplitude Encoding wirkt speichereffizient, kann aber eine aufwendige Zustandsvorbereitung erfordern. Ein theoretischer Vorteil in der eigentlichen Quantenberechnung ist nicht ausreichend, wenn das Laden der Daten mehr Zeit benötigt als eine klassische Gesamtlösung.

Variational Quantum Circuits

Variational Quantum Circuits bestehen aus parametrisierbaren Gattern. Ein klassischer Optimierer verändert die Parameter anhand einer Verlustfunktion. Das Verfahren ist für heutige Quantenhardware geeignet, weil relativ kurze Schaltungen verwendet werden können.

Ein Gradient kann mit der Parameter-Shift-Regel geschätzt werden:

\(\frac{\partial f_{\theta}}{\partial \theta_j} = \frac{1}{2}\left(f_{\theta_j+\pi/2}-f_{\theta_j-\pi/2}\right)\)

Für jeden Parameter sind zusätzliche Schaltungsausführungen erforderlich. Bei vielen Parametern, Teilnehmern und Trainingsbeispielen steigt der Messaufwand stark an.

In einem VFL-System kann jede Partei einen eigenen Quantenschaltkreis betreiben. Die Messergebnisse werden anschließend klassisch zusammengeführt. Alternativ nutzt nur eine Partei einen Quantenprozessor, während die übrigen Teilnehmer klassische Teilmodelle verwenden.

Quantenkernel

Ein Quantenkernel misst die Ähnlichkeit zweier quantenkodierter Eingaben. Eine typische Form ist:

\(K(x,x') = |\langle\psi(x)|\psi(x')\rangle|^2\)

Die resultierende Kernelmatrix kann in klassischen Lernverfahren verwendet werden. Für VFL stellt sich die Frage, wie Merkmale mehrerer Parteien gemeinsam kodiert werden, ohne sie zentral zusammenzuführen.

Ein möglicher Ansatz besteht aus lokalen Kernelbeiträgen. Die Gesamtähnlichkeit wird aus geschützten Teilwerten zusammengesetzt. Ob daraus ein praktischer Vorteil entsteht, hängt von Kodierung, Hardware, Datenstruktur und Vergleichsmodell ab.

Vollständig quantenbasiertes Federated Learning

Ein vollständig quantenbasiertes föderiertes System würde nicht nur klassische Messwerte austauschen, sondern Quantenzustände, verschränkte Ressourcen oder verteilte Quantenschaltungen nutzen. Dafür wären stabile Quantenspeicher, verlustarme Kommunikationskanäle und eine leistungsfähige Netzwerkinfrastruktur erforderlich.

Das No-Cloning-Theorem verhindert das beliebige Kopieren unbekannter Quantenzustände. Es gilt:

\(U|\psi\rangle|0\rangle \neq |\psi\rangle|\psi\rangle\)

für einen universellen Kopiervorgang auf beliebigen unbekannten Zuständen. Diese Eigenschaft bietet sicherheitstechnische Möglichkeiten, erschwert aber gleichzeitig klassische Vorstellungen von Datensicherung, Replikation und Fehlertoleranz.

Für gegenwärtige Anwendungen ist ein hybrides Modell realistischer. Quantenprozessoren werden als spezialisierte Rechenkomponenten eingebunden, während das föderierte Gesamtsystem klassisch organisiert bleibt.

Quantenbasierte und quantensichere Kommunikation

Gefahr durch zukünftige Quantencomputer

Viele heutige Kommunikationssysteme verwenden RSA oder elliptische Kurven für Schlüsselaustausch und digitale Signaturen. Ein ausreichend leistungsfähiger, fehlerkorrigierter Quantencomputer könnte die zugrunde liegenden mathematischen Probleme mit dem Shor-Algorithmus effizient lösen.

VFL-Systeme verarbeiten häufig langfristig sensible Informationen. Ein Angreifer kann verschlüsselte Kommunikation heute speichern und später entschlüsseln. Dieses Vorgehen wird als Harvest Now, Decrypt Later bezeichnet. Deshalb ist nicht nur die aktuelle, sondern auch die zukünftige Schutzdauer relevant.

Post-Quanten-Kryptografie

Post-Quanten-Kryptografie verwendet klassische Algorithmen, die gegen bekannte Quantenangriffe widerstandsfähig sein sollen. Dazu gehören gitterbasierte Schlüsselvereinbarungen und Signaturen, hashbasierte Signaturen sowie weitere code- oder isogeniebasierte Ansätze.

Der praktische Vorteil liegt darin, dass diese Verfahren über klassische Netzwerke eingesetzt werden können. Es ist keine Quantenleitung erforderlich. VFL-Plattformen sollten kryptografische Komponenten modular gestalten, damit Algorithmen ausgetauscht werden können, ohne das gesamte Lernsystem neu zu entwickeln.

Quantum Key Distribution

Quantum Key Distribution nutzt quantenmechanische Zustände, um Schlüsselmaterial zwischen zwei Endpunkten aufzubauen. Ein Abhörversuch verändert unter geeigneten Bedingungen die übertragenen Zustände und kann statistisch erkannt werden.

QKD verschlüsselt nicht automatisch die Nutzdaten. Das Verfahren liefert Schlüssel, die anschließend in symmetrischen Verschlüsselungsverfahren eingesetzt werden. Außerdem bleibt ein authentifizierter klassischer Kanal erforderlich.

Reichweite, Kosten, Hardware und Netzwerkintegration begrenzen den Einsatz. Für wenige, dauerhaft verbundene Institutionen kann QKD langfristig interessant sein. Für breit verteilte VFL-Netzwerke ist Post-Quanten-Kryptografie meist leichter integrierbar.

Kryptografische Agilität

Ein sicheres VFL-System sollte nicht dauerhaft von einem einzelnen kryptografischen Verfahren abhängen. Schlüsselgrößen, Algorithmen und Protokolle müssen austauschbar sein. Übergangsphasen können hybride Verfahren verwenden, bei denen klassische und post-quanten-sichere Schlüsselvereinbarungen kombiniert werden.

Die Sicherheit der Kommunikation ist nur ein Teil des Problems. Selbst ein perfekt geschützter Kanal verhindert nicht, dass ein berechtigter Teilnehmer aus legitimen Modellnachrichten unerlaubte Informationen ableitet. Kommunikationssicherheit und Datenschutz des Lernprotokolls müssen deshalb gemeinsam geplant werden.

Technische Grenzen quantenunterstützter VFL-Systeme

Begrenzte Quantenhardware

Heutige Quantenprozessoren besitzen eine begrenzte Zahl zuverlässig nutzbarer Qubits. Gatter sind fehlerbehaftet, Zustände verlieren durch Dekohärenz ihre quantenmechanischen Eigenschaften und Messungen liefern statistische Ergebnisse.

Eine Schaltung muss mehrfach ausgeführt werden, um einen Erwartungswert zu schätzen. Für \(N\) Messungen sinkt der statistische Standardfehler typischerweise ungefähr mit

\(\frac{1}{\sqrt{N}}\)

Eine doppelt so genaue Schätzung kann daher ungefähr die vierfache Zahl an Messungen benötigen. Dieser Aufwand vervielfacht sich bei vielen Parametern und Trainingsrunden.

Datenladeproblem

VFL verarbeitet überwiegend klassische Unternehmens- oder Forschungsdaten. Diese Informationen müssen zunächst in Quantenzustände kodiert werden. Ohne effizienten Zugriff kann die Zustandsvorbereitung den möglichen Vorteil der Quantenberechnung aufheben.

Die Laufzeit darf daher nicht nur für den Quantenschaltkreis gemessen werden. Eine vollständige Bewertung umfasst Datenzugriff, Kodierung, Warteschlange, Schaltungsausführung, Messungen, Kommunikation und klassische Nachverarbeitung.

Barren Plateaus

Bei tiefen oder ungünstig aufgebauten parametrisierten Quantenschaltungen können Gradienten extrem klein werden. Dieses Phänomen wird als Barren Plateau bezeichnet.

Vereinfacht kann die Varianz eines Gradienten mit wachsender Qubit-Zahl exponentiell abnehmen:

\(\mathrm{Var}\left(\frac{\partial L}{\partial \theta_j}\right) \propto \frac{1}{2^q}\)

Ein Optimierer kann dann kaum noch eine zuverlässige Richtung erkennen. Lokale Kostenfunktionen, problemangepasste Schaltungen und gute Initialisierungen können das Problem reduzieren, lösen es aber nicht allgemein.

Rauschen und instabile Optimierung

Hardwarefehler und begrenzte Messzahlen erzeugen verrauschte Verlustwerte. In einem VFL-System kommen zusätzlich Kommunikationsverzögerungen, Verschlüsselungsfehler, Datenheterogenität und lokale Optimierungsunterschiede hinzu.

Das Training kann dadurch instabil werden. Eine scheinbare Verbesserung des quantenbasierten Modells kann innerhalb statistischer Schwankungen liegen. Mehrere Wiederholungen, Konfidenzintervalle und starke klassische Vergleichsmodelle sind notwendig.

Fehlender allgemeiner Quantenvorteil

Ein Quantenmodell ist nicht allein deshalb besser, weil es einen größeren mathematischen Zustandsraum verwendet. Entscheidend ist, ob es bei einer konkreten Aufgabe mit realistischen Ressourcen einen messbaren Vorteil erzielt.

Ein fairer Vergleich muss gleiche Trainingsdaten, vergleichbare Parameterbudgets und identische Bewertungsbedingungen verwenden. Außerdem müssen Datenkodierung und Messaufwand einbezogen werden. Ein isolierter Vergleich einzelner Schaltungslaufzeiten reicht nicht aus.

Bis ein praktischer Vorteil eindeutig gezeigt ist, sollte ein quantenunterstütztes VFL-System als experimentelle Ergänzung und nicht als automatischer Ersatz klassischer Verfahren betrachtet werden.

Anwendungsszenarien

Finanzwesen

Banken, Versicherungen, Zahlungsdienstleister und Handelsplattformen besitzen unterschiedliche Informationen über teilweise dieselben Kunden. Ein VFL-Modell kann Kreditrisiken, Betrugsmuster oder Zahlungsausfälle untersuchen, ohne vollständige Kundendaten auszutauschen.

Die aktive Partei könnte das tatsächliche Kreditergebnis besitzen, während passive Parteien zusätzliche Verhaltens- oder Vertragsmerkmale beitragen. Der Nutzen muss gegen Risiken wie Diskriminierung, Profilbildung und unklare Verantwortlichkeit abgewogen werden.

Quantenbasierte Modelle könnten experimentell komplexe Merkmalsinteraktionen untersuchen. Für den produktiven Einsatz sind jedoch Nachvollziehbarkeit, stabile Leistung und regulatorische Prüfbarkeit wichtiger als ein theoretisch größerer Zustandsraum.

Gesundheitswesen

Medizinische Daten sind über Krankenhäuser, Labore, Versicherungen, Forschungsregister und Bildgebungseinrichtungen verteilt. Eine gemeinsame Analyse könnte Diagnosen, Therapieentscheidungen oder Risikoprognosen verbessern.

Vertical Federated Learning ist besonders passend, wenn mehrere Institutionen unterschiedliche Informationen über dieselben Patienten besitzen. Der Identitätsabgleich muss dabei äußerst zuverlässig und datenschutzkonform sein.

Quantenunterstützte Teilmodelle werden vor allem für hochdimensionale Daten und komplexe Merkmalsräume untersucht. Der klinische Nutzen müsste durch reproduzierbare Studien nachgewiesen werden. Eine höhere technische Komplexität ist nur gerechtfertigt, wenn sie einen messbaren medizinischen Mehrwert bringt.

Industrie und Lieferketten

Hersteller, Zulieferer, Logistikunternehmen und Wartungsdienstleister besitzen unterschiedliche Teile eines Produktionsprozesses. Niemand möchte sämtliche Betriebsdaten oder Geschäftsgeheimnisse offenlegen.

Ein VFL-System kann Qualitätsdaten, Materialeigenschaften, Transportbedingungen und Maschinensensoren gemeinsam analysieren. Mögliche Ziele sind Fehlerprognosen, vorausschauende Wartung und optimierte Lieferketten.

Besonders wichtig ist hier der Schutz vor Industriespionage. Zwischenwerte dürfen keine Rückschlüsse auf Rezepturen, Produktionsmengen oder Auslastung ermöglichen.

Telekommunikation und Mobilität

Netzbetreiber, Gerätehersteller, Verkehrsdienste und Infrastrukturbetreiber besitzen unterschiedliche Daten über Netzauslastung, Bewegungsmuster und technische Zustände. VFL kann diese Informationen verbinden, ohne eine vollständige zentrale Bewegungs- oder Nutzungsdatenbank zu erzeugen.

Anwendungen umfassen Anomalieerkennung, Verkehrsprognosen und Netzoptimierung. Da Standort- und Kommunikationsdaten besonders sensibel sind, müssen Zweckbindung und Datenminimierung streng umgesetzt werden.

Wissenschaftliche Forschung

Forschungsprojekte erzeugen zunehmend multimodale Daten. Ein Labor besitzt Spektren, ein anderes Bilddaten, ein drittes theoretische Simulationen. VFL kann eine gemeinsame Analyse ermöglichen, während Datenhoheit und Embargoregeln erhalten bleiben.

In der Quantenforschung könnten Messdaten unterschiedlicher Plattformen gemeinsam ausgewertet werden. Dazu gehören supraleitende Schaltungen, Ionenfallen, Quantensensoren und Photoniksysteme. Der Nutzen liegt zunächst in der verteilten Datenkooperation, nicht zwingend in der Verwendung eines Quantenmodells.

Bewertung der Leistungsfähigkeit

Modellmetriken

Die Genauigkeit eines Klassifikationsmodells lautet:

\(\mathrm{Accuracy} = \frac{TP+TN}{TP+TN+FP+FN}\)

Bei unausgeglichenen Klassen ist sie allein wenig aussagekräftig. Präzision und Sensitivität werden berechnet als:

\(\mathrm{Precision} = \frac{TP}{TP+FP}\)

\(\mathrm{Recall} = \frac{TP}{TP+FN}\)

Der F1-Wert kombiniert beide Größen:

\(F_1 = 2\frac{\mathrm{Precision}\cdot\mathrm{Recall}}{\mathrm{Precision}+\mathrm{Recall}}\)

Zusätzlich sind Kalibrierung, Fehlerraten einzelner Gruppen und die Stabilität über verschiedene Datenzeiträume wichtig.

Systemmetriken

Ein VFL-System muss nicht nur genaue, sondern auch rechtzeitige Ergebnisse liefern. Relevante Größen sind Trainingsdauer, Latenz pro Vorhersage, Kommunikationsvolumen, Speicherbedarf, Ausfallrate und Energieverbrauch.

Die Gesamtlatenz kann vereinfacht als Summe mehrerer Komponenten beschrieben werden:

\(T_{\mathrm{gesamt}} = T_{\mathrm{vorbereitung}} + T_{\mathrm{krypto}} + T_{\mathrm{kommunikation}} + T_{\mathrm{modell}} + T_{\mathrm{nachbereitung}}\)

Bei einer Quantenkomponente kommen Zustandsvorbereitung, Warteschlangen und Messwiederholungen hinzu.

Datenschutzmetriken

Datenschutz darf nicht nur durch die Abwesenheit von Rohdatentransfers bewertet werden. Angriffserfolgsraten, rekonstruierbare Merkmale, Privacy Budgets und veröffentlichte Metadaten müssen gemessen werden.

Ein Modell kann eine hohe Genauigkeit besitzen und dennoch zu viele Informationen preisgeben. Die geeignete Lösung liegt daher auf einer Abwägungskurve zwischen Modellnutzen, Kosten und Datenschutz.

Bewertung quantenbasierter Komponenten

Für Quantenmodelle sind Qubit-Zahl, Schaltungstiefe, Gatterfehler, Messzahl und Fehlerminderung relevant. Zusätzlich muss ein gleichwertiges klassisches Modell als Referenz dienen.

Eine glaubwürdige Bewertung zeigt nicht nur das beste Ergebnis, sondern auch Streuung, Ressourcenverbrauch und Skalierung. Ein kleiner Demonstrationsdatensatz beweist noch keine Übertragbarkeit auf produktive VFL-Szenarien.

Rechtliche, organisatorische und ethische Anforderungen

Datenschutzrechtliche Verantwortung

Die lokale Speicherung der Daten hebt datenschutzrechtliche Pflichten nicht auf. Auch die Berechnung von Modellbeiträgen ist eine Verarbeitung personenbezogener Daten. Die Parteien benötigen eine Rechtsgrundlage, klar definierte Zwecke und Regeln für Betroffenenrechte.

Je nach Gestaltung können mehrere Organisationen gemeinsam über Zweck und Mittel entscheiden. Dann kann eine gemeinsame Verantwortlichkeit vorliegen. Verträge müssen festlegen, wer Auskunft erteilt, Löschungen umsetzt und Sicherheitsvorfälle meldet.

Eigentum und Nutzungsrechte

Vor Beginn des Trainings muss geklärt werden, wem das gemeinsame Modell gehört. Möglich sind gemeinsames Eigentum, lizenzierte Nutzungsrechte oder eine klare Zuordnung an eine Partei.

Auch lokale Teilmodelle können Geschäftsgeheimnisse darstellen. Eine Organisation könnte aus der Kooperation ausscheiden und verlangen, dass ihre Modellbeiträge nicht weiterverwendet werden. Solche Fälle müssen vertraglich und technisch vorbereitet sein.

Nachvollziehbarkeit und Audit

Ein produktives VFL-System benötigt Modellversionen, Trainingsprotokolle, Datenbeschreibungen und dokumentierte Sicherheitsparameter. Es muss nachvollziehbar sein, welche Parteien an welcher Version beteiligt waren.

Protokolle dürfen jedoch selbst keine unnötigen sensiblen Informationen enthalten. Auditierbarkeit und Datenminimierung müssen gemeinsam umgesetzt werden.

Fairness

Vertikal verteilte Daten können bestehende gesellschaftliche oder wirtschaftliche Verzerrungen verstärken. Eine Partei kann Merkmale besitzen, die indirekt geschützte Eigenschaften abbilden. Andere Teilnehmer sehen diese Zusammenhänge möglicherweise nicht.

Fairness muss deshalb sowohl lokal als auch global geprüft werden. Es reicht nicht, nur die Gesamtgenauigkeit zu betrachten. Fehlerraten und Auswirkungen auf relevante Gruppen müssen getrennt analysiert werden.

Verantwortung beim Einsatz von Quantentechnologie

Quantenbegriffe dürfen nicht als Ersatz für einen belastbaren Leistungsnachweis verwendet werden. Ein System ist nicht automatisch sicherer, genauer oder schneller, weil es einen Quantenschaltkreis enthält.

Experimentelle Komponenten müssen als solche gekennzeichnet werden. Behauptungen über Quantenvorteile benötigen reproduzierbare Benchmarks. Behauptungen über Sicherheit benötigen ein definiertes Bedrohungsmodell und überprüfbare Begründungen.

Offene Forschungsfragen und zukünftige Entwicklung

Skalierbare Mehrparteienprotokolle

Viele VFL-Verfahren funktionieren gut mit zwei oder wenigen Parteien. Bei einer größeren Teilnehmerzahl steigen Kommunikationskosten und kryptografischer Aufwand stark an. Forschung ist notwendig, um sichere Berechnungen mit vielen Merkmalseignern effizient umzusetzen.

Dynamische Teilnehmer

Reale Kooperationen verändern sich. Organisationen treten bei, verlassen das Netzwerk oder aktualisieren ihre Merkmalsstruktur. Ein VFL-System muss Modelle anpassen können, ohne bei jeder Änderung vollständig neu zu beginnen.

Auch Schlüsselrotation, Widerruf von Zugriffsrechten und Entfernung alter Modellbeiträge sind offene praktische Aufgaben.

Robustheit gegen Kollusion und Manipulation

Künftige Protokolle müssen nicht nur Vertraulichkeit, sondern auch Integrität gewährleisten. Sie sollen nachweisen können, dass lokale Berechnungen korrekt durchgeführt wurden, ohne die zugrunde liegenden Daten offenzulegen.

Zero-Knowledge-Proofs und verifizierbare Berechnungen können hierfür eine Rolle spielen. Ihr Aufwand ist jedoch erheblich und muss auf den konkreten Anwendungsfall abgestimmt werden.

Fortschritte im Quantum Machine Learning

Leistungsfähigere Quantenprozessoren, bessere Fehlerminderung und problemangepasste Schaltungen könnten quantenbasierte VFL-Komponenten verbessern. Entscheidend bleibt die Frage, welche konkreten Datenstrukturen einen Vorteil ermöglichen.

Ein zukünftiger Quantenvorteil wird voraussichtlich nicht für jede Lernaufgabe gelten. Wahrscheinlicher sind spezialisierte Vorteile bei bestimmten Kernelmethoden, Optimierungsproblemen oder originär quantenmechanischen Daten.

Standardisierung

VFL benötigt interoperable Schnittstellen, einheitliche Bedrohungsmodelle und vergleichbare Benchmarks. Ohne Standardisierung sind Ergebnisse unterschiedlicher Systeme schwer zu vergleichen.

Für quantenunterstütztes VFL sind zusätzliche Angaben erforderlich: Hardwaretyp, Qubit-Zahl, Fehlerraten, Schaltungsstruktur, Messbudget und vollständige End-to-End-Laufzeit.

Realistische langfristige Perspektive

Der wahrscheinlichste Entwicklungspfad besteht aus hybriden Systemen. Klassische VFL-Plattformen werden schrittweise um post-quanten-sichere Kommunikation und ausgewählte Quantenmodule ergänzt.

Vollständig verteilte Quantenlernnetze bleiben ein langfristiges Ziel. Bis dahin liegt der praktische Schwerpunkt auf sicheren Datenkooperationen, effizienten Protokollen und klar nachgewiesenen Vorteilen einzelner Komponenten.

Fazit

Vertical Federated Learning ermöglicht mehreren Organisationen, ein gemeinsames Modell auf vertikal verteilten Merkmalen zu trainieren. Die Parteien besitzen unterschiedliche Informationen über dieselben oder teilweise dieselben Personen, Geräte oder Ereignisse. Die Rohdaten verbleiben in den jeweiligen Systemen.

Der wesentliche Nutzen liegt in der organisationsübergreifenden Datenanalyse ohne vollständige zentrale Datensammlung. Das Verfahren kann Modelle verbessern, wenn wichtige Merkmale auf verschiedene Datenhalter verteilt sind. Es ist besonders für Finanzwesen, Medizin, Industrie, Telekommunikation und Forschung relevant.

Die lokale Speicherung der Daten ist jedoch kein vollständiger Datenschutzbeweis. Gradienten, Aktivierungen, Modellparameter und Vorhersagen können sensible Informationen offenlegen. Ein belastbares VFL-System benötigt deshalb einen sicheren Identitätsabgleich, homomorphe Verschlüsselung, Secure Multi-Party Computation, differentielle Privatsphäre oder andere geeignete Schutzmechanismen. Hinzu kommen Authentifizierung, Protokollierung und klare organisatorische Regeln.

Die Verbindung zur Quantentechnologie muss präzise eingeordnet werden. VFL ist ein klassisches Lernverfahren. Quantencomputer können einzelne Modellschritte ergänzen, etwa durch parametrisierte Quantenschaltungen oder Quantenkernel. Solche Ansätze sind überwiegend experimentell. Ein allgemeiner praktischer Quantenvorteil ist nicht automatisch gegeben.

Bereits heute relevant ist die Vorbereitung auf zukünftige Quantenangriffe. Post-Quanten-Kryptografie und kryptografische Agilität sollten bei langfristig betriebenen VFL-Systemen berücksichtigt werden. Quantum Key Distribution kann für ausgewählte institutionelle Verbindungen eine zusätzliche Möglichkeit darstellen, ersetzt aber keine vollständige Sicherheitsarchitektur.

Vertical Federated Learning ist damit weder eine einfache Datenschutzlösung noch ein rein theoretisches Konzept. Es ist eine anspruchsvolle Systemarchitektur, die maschinelles Lernen, Kryptografie, verteilte Systeme und Governance verbindet. Ihr Erfolg hängt nicht allein von der Modellgenauigkeit ab, sondern von der kontrollierten Zusammenarbeit aller Beteiligten. Quantenverfahren können diese Architektur langfristig erweitern. Sie müssen jedoch anhand tatsächlicher Leistung, realer Kosten und überprüfbarer Sicherheit bewertet werden.

Mit freundlichen Grüßen Jörg-Owe Schneppat

Anhang

Wissenschaftliche Zeitschriften und Artikel

Die folgenden wissenschaftlichen Veröffentlichungen bilden die fachliche Grundlage für die Untersuchung von Vertical Federated Learning. Sie decken die Begriffsbildung, vertikal partitionierte Daten, sichere Trainingsverfahren, Datenschutzangriffe, industrielle Implementierungen und die Verbindung mit Quantum Machine Learning ab. Primärarbeiten eignen sich für die Darstellung konkreter Algorithmen und Experimente, während Übersichtsarbeiten zur Einordnung des Forschungsstands und zur Identifikation offener Fragen dienen.

Grundlegende Primärliteratur zu Vertical Federated Learning

  • Qiang Yang, Yang Liu, Tianjian Chen und Yongxin Tong: Federated Machine Learning: Concept and Applications, ACM Transactions on Intelligent Systems and Technology, 2019.
    • Diese grundlegende Veröffentlichung führt eine systematische Einteilung in horizontales Federated Learning, Vertical Federated Learning und Federated Transfer Learning ein. Sie eignet sich besonders für die Definition der Datenpartitionierung, die Abgrenzung der Lernformen und die Erklärung typischer Kooperationsszenarien zwischen Organisationen.
  • Stephen Hardy, Wilko Henecka, Hamish Ivey-Law, Richard Nock, Giorgio Patrini, Guillaume Smith und Brian Thorne: Private Federated Learning on Vertically Partitioned Data via Entity Resolution and Additively Homomorphic Encryption, arXiv, 2017.
    • Die Arbeit gehört zur frühen Primärliteratur über maschinelles Lernen auf vertikal aufgeteilten Daten. Sie verbindet den geschützten Abgleich von Identitäten mit additiver homomorpher Verschlüsselung und ist deshalb besonders relevant für Abschnitte über Private Set Intersection, Entity Resolution und sichere logistische Regression.
  • Kewei Cheng, Tao Fan, Yilun Jin, Yang Liu, Tianjian Chen, Dimitrios Papadopoulos und Qiang Yang: SecureBoost: A Lossless Federated Learning Framework, IEEE Intelligent Systems, 2021.
    • SecureBoost ist eine zentrale Primärquelle für baumbasiertes Vertical Federated Learning. Die Arbeit zeigt, wie Gradient-Boosting-Entscheidungsbäume auf vertikal verteilten Merkmalen trainiert werden können und verbindet dabei geschützten Identitätsabgleich, verschlüsselte Statistiken und industrielle Kreditrisikoanwendungen.
  • Yang Liu, Yan Kang, Tianyuan Zou, Yanhong Pu, Yuanqin He, Xiaozhou Ye, Ye Ouyang, Ya-Qin Zhang und Qiang Yang: Vertical Federated Learning: Concepts, Advances, and Challenges, IEEE Transactions on Knowledge and Data Engineering, 2024.
    • Diese umfassende Übersichtsarbeit ordnet VFL-Architekturen, Lernprotokolle, Schutzmechanismen, Angriffe und industrielle Anwendungen in ein einheitliches System ein. Sie eignet sich als zentrale Sekundärquelle für die Strukturierung einer Abhandlung und für die Bewertung von Effektivität, Effizienz, Fairness und Datenschutz.
  • Afsana Khan, Marijn ten Thij und Anna Wilbik: Vertical Federated Learning: A Structured Literature Review, Knowledge and Information Systems, 2025.
    • Die strukturierte Literaturübersicht erfasst Methoden, Systemarchitekturen, Kommunikationsprobleme, Datenschutztechniken und Anwendungsfelder von VFL. Sie ist besonders nützlich, um den Forschungsstand methodisch nachvollziehbar zusammenzufassen und offene Forschungsfragen von bereits etablierten Ansätzen zu trennen.

Hintergrundliteratur zu Federated Learning

  • Peter Kairouz, H. Brendan McMahan et al.: Advances and Open Problems in Federated Learning, Foundations and Trends in Machine Learning, 2021.
    • Die umfangreiche Gemeinschaftsarbeit behandelt grundlegende Optimierungsprobleme, Datenschutzrisiken, Systemheterogenität, Fairness, Robustheit und offene Forschungsfragen des Federated Learning. Obwohl sie nicht ausschließlich VFL untersucht, bietet sie den notwendigen theoretischen und systemischen Hintergrund für die Einordnung vertikaler Verfahren.
  • Yang Liu, Tao Fan, Tianjian Chen, Qian Xu und Qiang Yang: FATE: An Industrial Grade Platform for Collaborative Learning With Data Protection, Journal of Machine Learning Research, 2021.
    • Die Veröffentlichung dokumentiert eine produktionsorientierte Plattform für föderiertes Lernen, die unter anderem vertikale logistische Regression, SecureBoost und sichere organisationsübergreifende Lernprozesse unterstützt. Sie kann verwendet werden, um die Differenz zwischen theoretischen Protokollen und industriell implementierbaren VFL-Systemen darzustellen.

Spezialisierte Arbeiten zu Datenschutz und Angriffen

  • Chong Fu, Xuhong Zhang, Shouling Ji, Jinyin Chen, Jingzheng Wu, Shanqing Guo, Jun Zhou, Alex X. Liu und Ting Wang: Label Inference Attacks Against Vertical Federated Learning, 31st USENIX Security Symposium, 2022.
    • Diese Primärarbeit zeigt, dass passive Parteien aus Gradienten, Modellstrukturen und Trainingssignalen vertrauliche Zielvariablen rekonstruieren können. Sie ist eine Schlüsselquelle für die Analyse von Label-Inference-Angriffen und widerlegt die vereinfachte Annahme, dass die lokale Speicherung der Rohdaten automatisch einen hinreichenden Datenschutz gewährleistet.
  • Chang Wang, Jian Liang, Mingkai Huang, Bing Bai, Kun Bai und Hao Li: Hybrid Differentially Private Federated Learning on Vertically Partitioned Data, arXiv, 2020.
    • Die Arbeit entwickelt einen hybriden Ansatz zur differentiellen Privatsphäre für generalisierte lineare Modelle auf vertikal partitionierten Daten. Sie eignet sich für die Untersuchung des Privacy-Utility-Trade-offs sowie für die Frage, wie Zwischenwerte und Modellparameter mit unterschiedlichen Datenschutzgarantien geschützt werden können.
  • Peng Ye, Zhifeng Jiang, Wei Wang, Bo Li und Baochun Li: Feature Reconstruction Attacks and Countermeasures of DNN Training in Vertical Federated Learning, arXiv, 2022.
    • Die Veröffentlichung untersucht, wie eine aktive Partei private Merkmale passiver Teilnehmer aus den ausgetauschten Repräsentationen eines neuronalen VFL-Modells rekonstruieren kann. Sie liefert Spezialliteratur für Abschnitte über Feature-Inference, Model Inversion und den Schutz latenter Darstellungen.
  • Xiaochen Li, Yuke Hu, Weiran Liu, Hanwen Feng, Li Peng, Yuan Hong, Kui Ren und Zhan Qin: OpBoost: A Vertical Federated Tree Boosting Framework Based on Order-Preserving Desensitization, Proceedings of the VLDB Endowment, 2022.
    • OpBoost untersucht datenschutzorientiertes Tree Boosting unter Verwendung ordnungserhaltender Desensibilisierung und lokaler differentieller Privatsphäre. Die Arbeit eignet sich für einen Vergleich mit SecureBoost und zeigt, wie sich Genauigkeit, Kommunikationsaufwand und Schutz vor Rückschlüssen gegenseitig beeinflussen.
  • Songze Li, Duanyi Yao und Jin Liu: FedVS: Straggler-Resilient and Privacy-Preserving Vertical Federated Learning for Split Models, Proceedings of the 40th International Conference on Machine Learning, 2023.
    • FedVS behandelt zwei praktische Probleme gleichzeitig: den Schutz lokaler Daten und Modelle sowie die Verzögerung durch langsame Teilnehmer. Die Arbeit ist für Abschnitte über Split-VFL, Secret Sharing, kolludierende Parteien, Systemheterogenität und fehlertolerante Trainingsprotokolle besonders relevant.

Spezialisierte Arbeiten zu Quantum Federated Learning und Quantum Machine Learning

  • Rocco Ballester, Jesus Cerquides und Luis Artiles: Quantum Federated Learning: A Comprehensive Literature Review of Foundations, Challenges, and Future Directions, Quantum Machine Intelligence, 2025.
    • Diese Übersichtsarbeit bietet eine systematische Taxonomie des Quantum Federated Learning und trennt unterschiedliche Datenarten, Netzwerkmodelle, quantenklassische Architekturen und Sicherheitsansätze. Für eine VFL-Abhandlung ist sie besonders wichtig, um experimentelle QFL-Ansätze sachlich einzuordnen und nicht mit klassischem Vertical Federated Learning gleichzusetzen.
  • Chao Ren, Rudai Yan, Huihui Zhu, Han Yu, Minrui Xu, Yuan Shen, Yan Xu, Ming Xiao, Zhao Yang Dong, Mikael Skoglund, Dusit Niyato und Leong Chuan Kwek: Toward Quantum Federated Learning, IEEE Transactions on Neural Networks and Learning Systems, 2025.
    • Die Arbeit analysiert die grundlegenden Bausteine quantenunterstützter föderierter Lernsysteme und behandelt Datenkodierung, Quantenschaltkreise, Kommunikation, Sicherheit und Systemarchitekturen. Sie kann als aktuelle Referenz für die Abgrenzung zwischen federiertem Training klassischer Modelle, Quantum Machine Learning und vollständig quantenbasierten Lernnetzen verwendet werden.
  • Rui Huang, Xiaoqing Tan und Qingshan Xu: Quantum Federated Learning With Decentralized Data, IEEE Journal of Selected Topics in Quantum Electronics, 2022.
    • Diese Primärarbeit untersucht das föderierte Training parametrisierter Quantenschaltkreise mit dezentral gespeicherten Daten. Sie eignet sich zur Erklärung einer hybriden Architektur, bei der lokale Quantenmodelle trainiert und ihre Parameter oder Gradienten über eine klassische Aggregationsinstanz zusammengeführt werden.
  • Mahdi Chehimi und Walid Saad: Quantum Federated Learning with Quantum Data, IEEE International Conference on Acoustics, Speech and Signal Processing, 2022.
  • Changhao Li, Niraj Kumar, Zhixin Song, Shouvanik Chakrabarti und Marco Pistoia: Privacy-Preserving Quantum Federated Learning via Gradient Hiding, Quantum Science and Technology, 2024.
    • Die Arbeit untersucht quantenkommunikationsgestützte Protokolle, mit denen Gradienteninformationen gegenüber einer Aggregationsinstanz verborgen werden sollen. Sie eignet sich als Spezialquelle für die Diskussion quantenmechanischer Sicherheitsmechanismen, sollte jedoch klar von klassischer Post-Quanten-Kryptografie und etablierten VFL-Protokollen getrennt behandelt werden.
  • Maria Schuld und Nathan Killoran: Quantum Machine Learning in Feature Hilbert Spaces, Physical Review Letters, 2019.
    • Diese grundlegende QML-Arbeit erklärt, wie klassische Daten mithilfe von Quantenschaltungen in einen quantenmechanischen Merkmalsraum eingebettet werden können. Sie ist besonders relevant für Abschnitte über Quantum Feature Maps, Quantenkernel und mögliche lokale Quantenkomponenten innerhalb eines hybriden VFL-Modells.
  • Marco Cerezo, Andrew Arrasmith, Ryan Babbush, Simon C. Benjamin, Suguru Endo, Keisuke Fujii, Jarrod R. McClean, Kosuke Mitarai, Xiao Yuan, Lukasz Cincio und Patrick J. Coles: Variational Quantum Algorithms, Nature Reviews Physics, 2021.
    • Die Übersichtsarbeit erläutert die Struktur hybrider variationaler Quantenalgorithmen, bei denen ein klassischer Optimierer parametrisierte Quantenschaltkreise trainiert. Sie ist als Hintergrundliteratur für Quantum-Enhanced VFL wichtig, weil sie sowohl das Potenzial als auch die Grenzen heutiger Verfahren hinsichtlich Trainierbarkeit, Messaufwand, Rauschen und Skalierung beschreibt.

Bücher und Monographien

Bücher und Monographien sind vor allem für die systematische Herleitung grundlegender Konzepte geeignet. Für Vertical Federated Learning sind Werke über verteiltes Lernen, sichere Mehrparteienberechnung und differentielle Privatsphäre erforderlich. Für die quantentechnologische Einordnung werden zusätzlich Standardwerke zur Quanteninformation, zu Quantenschaltkreisen und zum Quantum Machine Learning benötigt.

Federated Learning, Datenschutz und sichere Mehrparteienberechnung

  • Qiang Yang, Lixin Fan und Han Yu, Hrsg.: Federated Learning: Privacy and Incentive, Springer, 2020.
    • Der Sammelband vermittelt Grundlagen des Federated Learning und behandelt Datenschutzangriffe, Schutzverfahren, Anreizsysteme und industrielle Anwendungen. Mehrere Kapitel sind direkt für vertikale Szenarien relevant und können zur Vertiefung von Governance, Datenwert, Modellschutz und organisationsübergreifender Zusammenarbeit genutzt werden.
  • David Evans, Vladimir Kolesnikov und Mike Rosulek: A Pragmatic Introduction to Secure Multi-Party Computation, Now Publishers, 2018.
    • Die Monographie bietet eine systematische und zugleich anwendungsorientierte Einführung in Secure Multi-Party Computation. Sie erläutert Bedrohungsmodelle, Secret Sharing, Garbled Circuits und weitere Protokollklassen, die für geschützte gemeinsame Berechnungen in VFL-Systemen von zentraler Bedeutung sind.
  • Cynthia Dwork und Aaron Roth: The Algorithmic Foundations of Differential Privacy, Now Publishers, 2014.
    • Dieses Standardwerk entwickelt die mathematischen Grundlagen der differentiellen Privatsphäre und erklärt Mechanismen, Kompositionseigenschaften und Datenschutzbudgets. Es sollte für die präzise Definition differentieller Privatsphäre und für die Bewertung verrauschter Gradienten, Aktivierungen oder Modellergebnisse herangezogen werden.

Standardwerke zur Quanteninformation

  • Michael A. Nielsen und Isaac L. Chuang: Quantum Computation and Quantum Information, 10th Anniversary Edition, Cambridge University Press, 2010.
    • Das Werk gilt als grundlegendes Lehrbuch der Quanteninformation und behandelt Qubits, Quantengatter, Messungen, Quantenalgorithmen, Quantenkommunikation und Fehlerkorrektur. Es eignet sich zur Absicherung sämtlicher physikalischer und mathematischer Grundlagen, die bei der Beschreibung quantenbasierter VFL-Komponenten benötigt werden.
  • Mark M. Wilde: Quantum Information Theory, 2. Auflage, Cambridge University Press, 2017.
    • Wilde behandelt Quantenzustände, Quantenkanäle, Messungen, Entropien und Kommunikationsprotokolle mit hoher mathematischer Präzision. Das Buch ist besonders relevant, wenn in der Abhandlung quantenmechanische Kommunikationsmodelle, Informationsverluste oder Sicherheitsargumente auf Basis der Quanteninformationstheorie diskutiert werden.
  • Eleanor G. Rieffel und Wolfgang H. Polak: Quantum Computing: A Gentle Introduction, The MIT Press, 2014.
    • Das Buch bietet einen zugänglichen, aber fachlich belastbaren Einstieg in Quantenschaltungen, Algorithmen und Quanteninformation. Es eignet sich zur Klärung grundlegender Begriffe, wenn die Abhandlung Quantum-Enhanced VFL für Leserinnen und Leser aus Informatik oder maschinellem Lernen verständlich einordnen soll.

Quantenmaschinelles Lernen und hybride Modelle

  • Maria Schuld und Francesco Petruccione: Machine Learning with Quantum Computers, Springer, 2021.
    • Diese erweiterte Monographie behandelt Datenkodierung, Variationsschaltungen, Quantenkernel und überwachte sowie unüberwachte Lernverfahren. Sie ist die wichtigste Buchquelle für die technische Beschreibung lokaler Quantenmodelle und hybrider quantenklassischer Lernkomponenten in einem VFL-System.
  • Peter Wittek: Quantum Machine Learning: What Quantum Computing Means to Data Mining, Academic Press, 2014.
    • Wittek verbindet grundlegende Methoden des maschinellen Lernens mit Quantenalgorithmen und quantenmechanischen Rechenmodellen. Das Buch ist als historische und konzeptionelle Hintergrundquelle geeignet, sollte bei Aussagen über die Leistungsfähigkeit heutiger Hardware jedoch durch aktuelle Fachartikel ergänzt werden.

Online-Ressourcen und Datenbanken

Online-Ressourcen unterstützen die gezielte Recherche nach aktueller Primärliteratur, technischen Dokumentationen, standardisierten Sicherheitsverfahren und reproduzierbaren Implementierungen. Für eine wissenschaftliche Abhandlung sollten sie nicht pauschal als gleichwertige Quellen behandelt werden: Peer-reviewte Veröffentlichungen und Standards besitzen eine andere Belegkraft als Softwaredokumentationen, Tutorials oder noch nicht begutachtete Preprints.

Fachjournale und Verlage

  • IEEE Xplore: Fachbibliothek für Informatik, Elektrotechnik, Quantum Machine Learning und Federated Learning.
    • IEEE Xplore eignet sich für die Recherche nach begutachteten Artikeln und Konferenzbeiträgen zu VFL, QFL, Quantennetzwerken, Post-Quanten-Kryptografie und sicherer verteilter Datenverarbeitung. Für bibliografische Angaben sollten stets die jeweilige Artikelseite und der dort ausgewiesene DOI verwendet werden.
  • ACM Digital Library: Fachbibliothek für Informatik, Datenschutz und verteilte Lernsysteme.
    • Die ACM Digital Library enthält Grundlagenarbeiten zu Federated Learning, Privacy-Preserving Machine Learning, sicheren Protokollen und Datenbanksystemen. Sie ist besonders nützlich für die Suche nach Arbeiten aus den Bereichen maschinelles Lernen, Systemsicherheit und verteilte Datenverarbeitung.
  • SpringerLink: Fachportal für Informatik, Kryptografie, Quantum Machine Learning und Quanteninformation.
    • SpringerLink bietet Zugriff auf Zeitschriftenartikel, Monographien und Konferenzreihen. Für das Thema VFL ist das Portal insbesondere wegen seiner Literatur zu Datenschutz, verteiltem Lernen, Quantennetzwerken und quantenmaschinellen Lernverfahren relevant.
  • USENIX: Open-Access-Veröffentlichungen zu Systemsicherheit und Datenschutz.
    • USENIX stellt begutachtete Sicherheitsarbeiten häufig frei zugänglich bereit. Für VFL sind insbesondere Veröffentlichungen über Inferenzangriffe, Datenrekonstruktion, Modellvergiftung und sichere Mehrparteienberechnung von Bedeutung.
  • Proceedings of Machine Learning Research: Open-Access-Konferenzliteratur zum maschinellen Lernen.
    • PMLR veröffentlicht Beiträge führender Fachkonferenzen wie ICML und AISTATS. Die Plattform ist für aktuelle VFL-Algorithmen, Optimierungsverfahren, Kommunikationsreduktion und robuste verteilte Lernarchitekturen besonders wichtig.
  • arXiv: Preprint-Datenbank für Informatik, maschinelles Lernen und Quantenphysik.
    • arXiv ermöglicht einen schnellen Zugriff auf aktuelle Forschungsarbeiten und Vorabversionen späterer Journalartikel. Preprints sollten in einer wissenschaftlichen Abhandlung klar als nicht zwingend peer-reviewte Veröffentlichungen gekennzeichnet und nach Möglichkeit durch eine veröffentlichte Journal- oder Konferenzversion ergänzt werden.

Lern- und Forschungsplattformen

  • FATE: Open-Source-Plattform für industrielles Federated Learning.
    • FATE unterstützt unter anderem vertikale logistische Regression, SecureBoost, geschützten Identitätsabgleich und organisationsübergreifende Trainingsabläufe. Die Plattform eignet sich als technische Referenz für die Untersuchung praktisch implementierter VFL-Protokolle und ihrer Systemkomponenten.
  • SecretFlow: Framework für datenschutzorientierte verteilte Datenanalyse und Vertical Federated Learning.
    • Die Dokumentation enthält konkrete Implementierungen für vertikale neuronale Netze, SecureBoost und kryptografisch geschützte Berechnungen. Sie kann zur technischen Verifikation von Trainingsabläufen, Teilnehmerrollen und Modellarchitekturen verwendet werden.
  • TensorFlow Federated: Forschungsframework für Berechnungen auf dezentralen Daten.
    • TensorFlow Federated ist primär für allgemeine und häufig horizontale FL-Szenarien ausgelegt, bietet aber eine wichtige Referenz für föderierte Berechnungsmodelle, Aggregation und experimentelle Systemarchitekturen. Es eignet sich vor allem für Vergleiche zwischen unterschiedlichen Formen des Federated Learning.
  • NIST Post-Quantum Cryptography: Standardisierungs- und Migrationsressourcen für quantenresistente Kryptografie.
    • Die NIST-Ressourcen sind für die Bewertung langfristiger Kommunikationssicherheit von VFL-Systemen maßgeblich. Sie ermöglichen eine sachliche Darstellung standardisierter post-quanten-sicherer Schlüsselkapselungs- und Signaturverfahren und sollten gegenüber spekulativen Aussagen über Quantensicherheit bevorzugt werden.
  • OpenFHE: Open-Source-Bibliothek für homomorphe Verschlüsselung.
    • OpenFHE bietet Implementierungen etablierter Verfahren für Berechnungen auf verschlüsselten Daten. Die Plattform ist für experimentelle Untersuchungen relevant, bei denen VFL-Zwischenwerte, Modellbeiträge oder statistische Aggregationen homomorph verarbeitet werden sollen.
  • IBM Quantum Documentation and Learning: Dokumentation, Kurse und Zugriff auf Qiskit-basierte Quantenressourcen.
    • Die Plattform eignet sich zur praktischen Untersuchung von Quantenschaltkreisen, Messungen, Laufzeitumgebungen und hybriden Workflows. Für eine VFL-Abhandlung kann sie als technische Recherchehilfe für experimentelle Quantenkomponenten dienen, ersetzt jedoch keine begutachtete wissenschaftliche Quelle.
  • Qiskit Machine Learning: Softwarebibliothek für Quantenkernel und Quantum Neural Networks.
    • Qiskit Machine Learning stellt technische Bausteine für Quantenkernel, Variationsklassifikatoren und quantenbasierte neuronale Netze bereit. Die Dokumentation kann genutzt werden, um mögliche lokale Quantenmodelle innerhalb einer hybriden VFL-Architektur praktisch nachzuvollziehen.
  • PennyLane Demonstrations: Forschungsnahe Beispiele für Quantum Machine Learning.
    • Die Demonstrationen behandeln unter anderem Datenkodierung, Quantenkernel, Variationsschaltungen und automatische Differentiation. Sie sind als praktische Ergänzung geeignet, um hybride quantenklassische Modelle zu reproduzieren und den tatsächlichen Mess- und Optimierungsaufwand experimentell zu untersuchen.

Vorlesungsnotizen und Monographie-nahe Ressourcen

  • John Preskill: Lecture Notes for Quantum Computation and Quantum Information, California Institute of Technology.
    • Preskills Vorlesungsunterlagen bieten eine fundierte Darstellung von Quanteninformation, Quantenalgorithmen, Fehlerkorrektur und physikalischen Implementierungen. Sie eignen sich als frei zugängliche Hintergrundressource zur Überprüfung quantentechnischer Begriffe und theoretischer Zusammenhänge.
  • John Watrous: The Theory of Quantum Information, begleitende Online-Ressourcen, 2018.
    • Watrous stellt mathematisch präzise Materialien zu Quantenzuständen, Quantenkanälen, Messungen und Informationsmaßen bereit. Die Ressource ist besonders nützlich, wenn quantenmechanische Kommunikations- oder Datenschutzargumente formal sauber dargestellt werden sollen.
  • Dan Boneh und Victor Shoup: A Graduate Course in Applied Cryptography, fortlaufend aktualisierte Online-Monographie.
    • Das Werk bietet eine vertiefte Einführung in moderne Kryptografie, Sicherheitsdefinitionen, Verschlüsselung, Signaturen und Protokolle. Es eignet sich zur Absicherung der klassischen kryptografischen Grundlagen eines VFL-Systems sowie zur klaren Trennung zwischen Transportverschlüsselung, Berechnungsschutz und post-quanten-sicheren Verfahren.
Fracton Codes

Fracton Codes

...

Slepton

Slepton

...

Kane-Qubit

Kane-Qubit

...

Interface-Qubits

Interface-Qubits

...

Quantum Sensing for Biophysics and Bioengineering (QuBBE)

Quantum Sensing for Biophysics and Bioengineering (QuBBE)

...

Kathode

Kathode

...