10, so viele konkrete Schwachstellen listet OWASP für grosse Sprachmodelle. Gleichzeitig nennt die Organisation Broken Access Control, Security Misconfiguration und die Software-Lieferkette als die drei häufigsten Probleme bei Webanwendungen. Die LLM-Top-10 entstand in einem mehrmonatigen Prozess mit rund 500 Fachleuten und reicht von Prompt-Injektionen bis zum Modell-Diebstahl; zu jedem Punkt gibt es konkrete Gegenmassnahmen. Für Sie bedeutet das: LLM-Sicherheit gehört jetzt zwingend in den Entwicklungszyklus, genau wie klassische Web-Security-Checks. Beginnen Sie mit risikobasierten Audits, strikten Zugriffskontrollen und einer Prüfung der Drittkomponenten.

Die kurze Antwort zuerst: Behandeln Sie LLM-Sicherheit nicht als Nice-to-have. OWASP hat erstmals eine Top-10-Liste speziell für grosse Sprachmodelle veröffentlicht, parallel zur überarbeiteten Top-10 für Webanwendungen. Beide Werke sind praxisorientiert und sollen Entwicklerinnen, IT-Verantwortliche und Privacy-Teams direkt unterstützen. Die LLM-Liste ist kein akademisches Papier, sie ist ein praktischer Leitfaden mit klaren Kategorien und Hinweisen, wie ein Betrieb die Risiken mindert.

Was in der neuen LLM-Top-10 steht

OWASP benennt zehn konkrete LLM-Schwachstellen, jede mit einer Abkürzung von LLM01 bis LLM10 und einer knappen Beschreibung der Gefahr. Die Punkte lauten:

LLM01 Prompt-Injektion: Manipulative Eingaben, die ein Modell dazu bringen, Sicherheitsregeln zu umgehen. Solche Techniken erlauben Angreifern, interne Daten abzufragen oder das Modell ausser Kraft zu setzen.

LLM02 Unsicheres Behandeln der Ausgabe: Modelle halluzinieren gelegentlich, das heisst sie liefern glaubhaft klingende, aber falsche Aussagen. Werden Ausgaben unkritisch verwendet, kann das zu Fehlinformationen oder falschen Entscheidungen führen.

LLM03 Vergiften von Trainingsdaten: Data Poisoning zielt darauf ab, die Logik eines Modells systematisch zu verfälschen. Manipulierte Trainingssets können langfristige, schwer korrigierbare Schäden erzeugen.

LLM04 Modell Denial of Service: Angriffe, die Modelle temporär oder dauerhaft unbrauchbar machen, zum Beispiel durch übermässige Anfragefluten oder gezielte Eingaben, die hohe Rechenlast erzeugen.

LLM05 Schwachstellen in der Software-Lieferkette: LLM-Betrieb stützt sich auf Bibliotheken, Tools und Pipelines. Kompromittierte Komponenten in dieser Kette öffnen Angriffsflächen.

LLM06 Offenlegen sensibler Informationen: Unkontrollierte Prompts oder Logs können vertrauliche Daten in Trainingssets oder Modelloutputs einbringen. Später können diese Daten wieder ausgegeben werden.

Mastheads

LLM07 Unsicheres Plugin-Design: Externe Plugins erweitern Modelle, bringen aber eigene Sicherheitsrisiken mit, etwa Zugriff auf Ressourcen, die nicht für das Modell bestimmt sind.

LLM08 Übermässige Berechtigungen: Wenn Modelle oder angeschlossene Dienste zu breite Rechte haben, reicht ein einziger Kompromiss, um grosse Datenmengen freizugeben.

LLM09 Übermässiges Vertrauen: Teams, die Modellantworten blind vertrauen, riskieren Fehlentscheidungen. Dieses Problem kombiniert sich gefährlich mit fehlerhafter Ausgabehandhabung.

LLM10 Modell-Diebstahl: Extraktion von Modellgewichten oder proprietärem Know-how kann den wirtschaftlichen Wert einer Lösung zerstören und Sicherheitsmassnahmen untergraben.

Zu jedem Punkt erklärt OWASP, worin die Gefahr besteht und welche Gegenmassnahmen möglich sind. Wichtig ist die Warnung: Treat the guidance as a framework, not as a simple Checkliste. Entwicklerinnen sollten die Empfehlungen in einen risikobasierten Prozess integrieren, statt sie nur abzuhaken.

Web-Top-10 2025 und die Arbeitsweise hinter den Listen

Die traditionelle OWASP-Top-10 für Webanwendungen ist ebenfalls überarbeitet worden. Als die drei häufigsten Probleme nennt sie Broken Access Control, Security Misconfiguration und die Software-Lieferkette. Broken Access Control deckt ein weites Feld ab, vom erratbaren ID-Design in URLs bis zu fehlenden Autorisierungsprüfungen, und verknüpft zahlreiche Common Weakness Enumerations. Security Misconfiguration umfasst nicht nur Server- und Betriebssystem-Härtung, sondern auch applikationsspezifische Einstellungen wie die Handhabung von Fehlermeldungen und Sicherheits-Headern. Die Bedeutung der Software-Lieferkette ist gestiegen, weil moderne Anwendungen stark von Drittbibliotheken, Build-Tools und CI/CD-Pipelines abhängen.

Die Arbeit an beiden Top-10-Listen folgte einem dokumentierten Prozess. OWASP sammelte Datensätze und Beiträge aus unterschiedlichen Quellen, darunter Sicherheitsanbieter, Bug-Bounty-Programme und Unternehmensdaten. Für die Top-10-Analyse wurden Beiträge aus dem Zeitraum 2021 bis 2024 berücksichtigt; die Einreichungsfrist lief bis zum 31. Juli 2025. In der Analyse unterscheidet OWASP verifizierte Beiträge, bei denen die Einreicher bekannt sind, von unbestätigten beziehungsweise anonymen Einsendungen. Technisch nutzte die Organisation Azure-Services, um die Daten zu sammeln, zu normalisieren und auszuwerten. Übersetzungs- und Community-Arbeiten sind Teil des Prozesses, und OWASP bittet um Freiwillige für Sprachversionen und stellt Kontaktadressen bereit.

Ein plausibler Einwand ist, dass manche Kategorien, etwa Broken Access Control, so breit gefasst sind, dass sie Audits und Reports schwer vergleichbar machen. Das ist die stärkste Gegenposition: Breite Kategorien können dazu führen, dass verschiedene Teams unterschiedliche Prioritäten ableiten. OWASP selbst reagiert darauf, indem die Organisation zur sorgsamen Einordnung der Daten rät und verifizierte von unbestätigten Beiträgen trennt. In der Praxis heisst das: Setzen Sie die Top-10 als Awareness-Instrument ein, aber operationalisieren Sie die Risiken mit konkreten, messbaren Kontrollen für Ihre Architektur und Ihren Betriebsmodus.

Für Sie als Sicherheitsverantwortliche oder Entwickler ist das Vorgehen klar. Erstens, führen Sie ein risikobasiertes Audit durch, das sowohl klassische Web-Risiken als auch LLM-spezifische Gefahren beachtet. Zweitens, priorisieren Sie Massnahmen, die mehrfach wirken: strikte Zugriffskontrollen, korrekte Konfiguration und die Prüfung von Drittkomponenten reduzieren sowohl Web- als auch LLM-Risiken. Drittens, verankern Sie Output-Checks und Monitoring, damit Halluzinationen, Datenlecks oder unerwartete Outputs früh erkannt werden.

OWASP positioniert die Top-10-Dokumente ausdrücklich als Einstieg: Sie helfen, Sicherheitskultur und einfache Gegenmassnahmen zu verbreiten. Gleichzeitig warnen Praktikerinnen davor, zu viel Vertrauen in Modellantworten zu setzen.

Die Verbindung zweier Punkte ist gefährlich: Übermässiges Vertrauen (LLM09) plus unsichere Ausgabehandhabung (LLM02) kann zu Fehlinformationen oder Datenlecks führen. Arbeit an Prozessen, an Testdaten und an Logging ist deshalb kein Nice-to-have, sondern eine Betriebspflicht.

Related Articles

Die Top-10-Analyse baut auf Beiträgen aus 2021 bis 2024 und entstand in einem mehrmonatigen Prozess, an dem rund 500 Fachleute mitwirkten; die Einreichungsfrist lief bis zum 31. Juli 2025. Nehmen Sie diese Zahlen als Entscheidungsanker: Integrieren Sie LLM-Sicherheit in Ihren Entwicklungszyklus. Beginnen Sie mit risikobasierten Audits, strikten Zugriffskontrollen, korrekter Konfiguration und einer sorgfältigen Prüfung der Software-Lieferkette.

Dieser Artikel wurde mit KI-Unterstützung erstellt.