Pexon Consulting | 9 Min. Lesezeit | 04.08.2026
TL;DR
Presidio, NeMo Guardrails und LLM Guard sind keine Konkurrenten, sondern drei verschiedene Schichten. Presidio maskiert PII, NeMo Guardrails steuert den Dialog, LLM Guard scannt Ein- und Ausgaben breit. Pexon (80 Mitarbeiter, Deutschland, DSGVO-konform) baut die passende Guardrail-Schicht als 6-Wochen-Pilot. Achtung: LLM Guard ist seit Juli 2026 archiviert.
Das Problem: „Guardrail“ ist drei verschiedene Dinge
Wer diese drei Tools nebeneinander stellt, vergleicht oft Äpfel mit Steckdosen. Presidio, NeMo Guardrails und LLM Guard tragen alle das Label „Guardrail“, lösen aber unterschiedliche Probleme. Das ist die häufigste Fehlentscheidung, die wir in Compliance-Projekten sehen: Ein Team zieht sich NeMo Guardrails, weil es von NVIDIA kommt, und wundert sich dann, dass es keine IBAN im Freitext findet.
Ein Guardrail kann drei Dinge meinen. Erstens: personenbezogene Daten vor dem Modell-Call unkenntlich machen (De-Identification). Zweitens: das Gespräch inhaltlich einzäunen, damit ein Support-Bot nicht über Politik redet (Dialog-Rails). Drittens: Ein- und Ausgaben gegen Angriffe und toxische Inhalte prüfen (Scanning). Presidio deckt das Erste ab, NeMo das Zweite, LLM Guard versuchte das Dritte breit.
Unsere klare Position: Sie brauchen selten nur eines davon. Ein DSGVO-konformer LLM-Stack in einer Versicherung kombiniert PII-Maskierung mit Prompt-Injection-Schutz und Topical-Rails. Die Frage ist nicht „welches Tool gewinnt“, sondern „welche Schicht übernimmt welchen Job“. Wo diese Schichten im Gesamtbild sitzen, zeigen wir in unserer LLM-Gateway- und Modell-Routing-Plattform, die den Guardrail-Layer zentral vor jeden Provider schaltet.
Microsoft Presidio: der PII-Spezialist
Presidio ist die erste Wahl, wenn es ausschließlich um personenbezogene Daten geht: erkennen, maskieren, anonymisieren, wieder de-anonymisieren. Version 2.2.362 (Stand 18. März 2026, MIT-Lizenz, über 9.000 GitHub-Sterne, 183 Contributor) kombiniert Named-Entity-Recognition, Regex-Muster und Prüfsummen. Es ist kein LLM-Wächter, sondern eine Redaction-Engine.
Der entscheidende Punkt für deutsche Projekte: Presidio hat im Juni 2026 einen dedizierten deutschen Erkennungs-Pack (DE_*) bekommen. Für Namen und Adressen ohne festes Muster nutzt es ein spaCy-NER-Modell wie de_core_news_lg, für IBAN, Steuer-ID und E-Mail feste Recognizer mit Prüfziffer. In unseren Projekten erreichen wir damit 96-99% Erkennung bei strukturierten PII und 88-93% bei Namen, den Rest fangen Custom-Recognizer für deutsche Spezifika ab.
from presidio_analyzer import AnalyzerEngine
from presidio_analyzer.nlp_engine import NlpEngineProvider
# Deutsches spaCy-Modell für Namen und Orte ohne festes Muster
provider = NlpEngineProvider(nlp_configuration={
"nlp_engine_name": "spacy",
"models": [{"lang_code": "de", "model_name": "de_core_news_lg"}],
})
analyzer = AnalyzerEngine(
nlp_engine=provider.create_engine(),
supported_languages=["de"],
)
text = "Anna Berger, IBAN DE89 3704 0044 0532 0130 00, meldet Schaden 4711."
for e in analyzer.analyze(text=text, language="de"):
print(e.entity_type, repr(text[e.start:e.end]), round(e.score, 2))
# PERSON 'Anna Berger' 0.85
# IBAN_CODE 'DE89 3704 0044 0532 0130 00' 1.0Wofür Presidio das falsche Werkzeug ist: Es prüft keine Prompt-Injection, es blockt keine toxischen Antworten, es versteht keinen Gesprächskontext. Wer damit einen Chatbot vor Jailbreaks schützen will, hat das Tool missverstanden. Presidio maskiert, mehr nicht, und genau das macht es exzellent. Wie eine PII-Maskierung im Zusammenspiel mit SSO und Audit-Logs zu einer prüfbaren Governance wird, haben wir am Beispiel Self-Hosted-LLMs mit SSO, Audit Logs und Compliance beschrieben.
LLM Guard: breiter Scanner-Baukasten, jetzt ohne Wartung
LLM Guard war der Allrounder: 15 Input-Scanner und 20 Output-Scanner in Version 0.3.16, von PromptInjection über Toxicity, Secrets und BanTopics bis Anonymize und Deanonymize. Die Anonymize-Scanner bauen intern auf Presidio auf, LLM Guard legt also eine Orchestrierungs-Schicht darüber und ergänzt Sicherheits-Scanner. Auf dem Papier die bequemste Antwort auf „ich will alles in einem Paket“.
Hier kommt die Wende, und sie ist wichtig: Protect AI hat das protectai/llm-guard-Repository am 9. Juli 2026 archiviert. Es ist read-only, der Hinweis im README ist eindeutig („no longer under active development or maintained“), auch die zugehörigen Hugging-Face-Modelle werden nicht mehr gepflegt. Bei rund 3.200 GitHub-Sternen (Stand August 2026) ein hartes Signal. Für ein Sicherheits-Tool ist „nicht mehr gewartet“ kein Schönheitsfehler, sondern ein K.-o.-Kriterium: Neue Angriffsmuster für Prompt-Injection tauchen im Wochentakt auf, ein eingefrorenes Detection-Modell veraltet still.
from llm_guard.input_scanners import PromptInjection, Anonymize
from llm_guard.vault import Vault
vault = Vault()
scanners = [PromptInjection(), Anonymize(vault)] # Anonymize nutzt Presidio intern
# Funktioniert weiterhin, bekommt aber keine Modell-Updates mehrUnsere klare Empfehlung: Für einen bestehenden Stack, der LLM Guard schon einsetzt und pinned, ist das kein Grund für Panik, aber für einen Migrationsplan. Für ein neues Projekt starten wir nicht mehr auf einem archivierten Repo. Stattdessen setzen wir die Scanner-Schicht aus gewarteten Bausteinen zusammen: Presidio für PII, ein aktuelles Prompt-Injection-Modell separat, und dedizierte Output-Filter. Das ist mehr Integrationsarbeit, aber jeder Baustein bleibt lebendig. Denselben Trust-Boundary-Gedanken vertiefen wir für Agenten in LLM-Agent-Sandboxing mit MCP und DSGVO.
NeMo Guardrails: programmierbare Dialog-Rails
NeMo Guardrails spielt in einer anderen Liga von Problem: nicht „welche Daten stehen im Text“, sondern „worüber darf der Bot überhaupt reden und in welcher Reihenfolge“. Version 0.20.0 (mit LangChain-1.x-Kompatibilität und einem umgezogenen Repo unter NVIDIA-NeMo/Guardrails, Python 3.12) definiert Rails deklarativ in der Sprache Colang. Damit legen Sie topische Grenzen, Jailbreak-Abwehr und Fact-Checking als Ablauf fest.
define user ask off topic
"Wie ist das Wetter?"
"Erzähl mir einen Witz"
define bot refuse off topic
"Ich beantworte nur Fragen zu unseren Versicherungsprodukten."
define flow
user ask off topic
bot refuse off topicDer Preis dieser Mächtigkeit ist Gewicht. Viele NeMo-Checks rufen selbst ein LLM auf, um Absicht oder Themenbezug zu bewerten. Das kostet Latenz und Token, und es macht die Rails nur so gut wie das prüfende Modell. Für eine reine PII-Maskierung ist NeMo massiv überdimensioniert: Sie würden ein Sprachmodell befragen, um eine IBAN zu finden, die eine Regex in Mikrosekunden erkennt.
Wo NeMo glänzt: dialogorientierte Assistenten mit klaren Erlaubnis-Grenzen, bei denen der Kontext über mehrere Turns hinweg zählt. Ein Kundenservice-Bot, der nur über Tarife spricht und bei sensiblen Themen sauber an einen Menschen übergibt, ist der Musterfall. Für einen einmaligen Batch-Redaction-Job ist es der falsche Griff.
Welcher Guardrail wofür: die Entscheidungsmatrix
Die kurze Antwort: Wählen Sie nach Aufgabe, nicht nach Marke. PII gehört zu Presidio, Dialog-Grenzen zu NeMo, breites Scanning aus gewarteten Einzelteilen statt aus dem archivierten LLM Guard. In den meisten regulierten Projekten kombinieren wir Presidio (PII) mit einem separaten Prompt-Injection-Scanner und, wo Dialogsteuerung nötig ist, NeMo obendrauf.
Die drei richtig zu verdrahten ist Integrationsarbeit, keine Tool-Auswahl. Presidio läuft vor dem Modell-Call, der Injection-Scanner davor oder parallel, NeMo umschließt den Dialog. Jede Schicht braucht ein eigenes Monitoring, sonst wissen Sie nach drei Monaten nicht, ob die Trefferrate abgesackt ist.
Kosten, Latenz und Betrieb
Der Betrieb ist der Teil, den Tool-Vergleiche gern verschweigen. Die Lizenzkosten sind bei allen drei null. Was kostet, ist das Hosting, die Latenz pro Anfrage und die Pflege der Modelle. Presidio ist mit 15-40 ms pro Anfrage am günstigsten, NeMo am teuersten, weil es fremde LLM-Calls auslöst.
Ein realistischer Enterprise-Stack kombiniert die Werkzeuge, deshalb addieren sich diese Zahlen nicht sauber, sondern schichten sich. In unseren Projekten liegt der dominante Kostenblock fast nie bei der Lizenz, sondern bei GPU und Betriebsstunden für die Detection. Wer bei sehr großen Volumen (über 5 Mio Anfragen pro Monat) spart, tut das über GPU-beschleunigte NER, nicht über ein billigeres Tool.
Häufig gestellte Fragen
Was kostet ein Guardrail-Setup mit Presidio, NeMo oder LLM Guard?
Die Tools selbst sind Open Source und kostenlos. Bezahlt wird Hosting und Betrieb: Presidio-Redaction liegt bei Mittelstands-Volumen typisch bei 200-400 EUR Cloud-Kosten pro Monat, ein NeMo-Rail-Setup wegen der LLM-Checks eher bei 400-900 EUR plus Token. Der größere Posten ist meist die einmalige Integration und das Monitoring.
Presidio vs NeMo Guardrails: was ist der Unterschied?
Presidio maskiert personenbezogene Daten (Namen, IBAN, E-Mail) vor dem Modell-Call und ist schnell und deterministisch. NeMo Guardrails steuert den Dialog: worüber der Bot reden darf und wann er ablehnt. Presidio arbeitet auf Text-Ebene, NeMo auf Gesprächs-Ebene. Für DSGVO-Maskierung nehmen Sie Presidio, für Themen-Grenzen NeMo.
Sollte ich 2026 noch mit LLM Guard neu starten?
Für ein neues Projekt raten wir davon ab. Protect AI hat das Repository am 9. Juli 2026 archiviert, es bekommt keine Updates mehr, auch die Detection-Modelle nicht. Bei einem Sicherheits-Tool ist das ein K.-o.-Kriterium. Ein bestehender, gepinnter Einsatz kann laufen, gehört aber auf die Migrations-Roadmap.
Kann ich die drei Tools kombinieren?
Ja, und in regulierten Projekten ist genau das der Normalfall. Presidio maskiert PII vor dem Call, ein separater Prompt-Injection-Scanner prüft die Eingabe, NeMo umschließt bei dialogorientierten Bots das Gespräch. Wichtig ist eine zentrale Reihenfolge und gemeinsames Monitoring, sonst hebeln sich die Schichten gegenseitig aus.
Erkennt Presidio deutsche PII zuverlässig?
Seit dem DE_*-Erkennungs-Pack vom Juni 2026 deutlich besser. Strukturierte Daten wie IBAN, E-Mail und Steuer-ID erreichen mit Prüfziffer nahezu 100% Erkennung, Namen über ein deutsches spaCy-Modell rund 88-93%. Für Restfälle wie interne Vertrags- oder Kundennummern ergänzen wir Custom-Recognizer mit passenden Mustern.
Nächster Schritt
Die Tool-Auswahl ist die einfache Hälfte. Die schwere ist, die richtige Schicht DSGVO-konform, überwacht und betriebsfest in Ihren Stack zu bringen.
Verwandte Themen
