Definition: OWASP Top 10 für LLM-Anwendungen
Die OWASP Top 10 für LLM-Anwendungen ist eine gemeinschaftlich gepflegte Rangliste der zehn kritischsten Sicherheitsrisiken bei Anwendungen mit Large Language Models, veröffentlicht vom OWASP GenAI Security Project, um Entwicklern, Sicherheitsteams und Auditoren zu helfen, Abwehrmaßnahmen zu priorisieren.
Kernmerkmale der OWASP Top 10 für LLM-Anwendungen
Hunderte Sicherheitsforscher, KI-Entwickler und Praktiker pflegen die Liste unter dem offenen, herstellerneutralen OWASP-Dach, und sie wird überarbeitet, sobald neue Angriffstechniken und reale Vorfälle bekannt werden.
- Bewertet zehn Kategorien von LLM01 bis LLM10, angeführt von Prompt Injection
- Wird regelmäßig überarbeitet, 2025 markiert die zweite große Ausgabe der Liste
- Kostenlos und herstellerneutral, im Gegensatz zu proprietären Sicherheitsframeworks
- Richtet sich gleichermaßen an Entwickler, AppSec-Teams und Compliance-Auditoren
OWASP Top 10 für LLM-Anwendungen vs. OWASP Top 10 für Webanwendungen
Die ursprüngliche OWASP Top 10 behandelt klassische Web-Risiken wie fehlerhafte Zugriffskontrollen und Injection auf HTTP- und Datenbankebene. Die LLM-spezifische Liste behandelt dagegen Risiken, die einzigartig dafür sind, wie Modelle natürlichsprachliche Anweisungen zusammen mit nicht vertrauenswürdigen Daten verarbeiten, etwa Prompt Injection, durch Halluzination verursachte Fehlinformationen und unbegrenzten Ressourcenverbrauch. Eine Webanwendung kann jede Prüfung der ursprünglichen Liste durch Firewalls und Eingabevalidierung bestehen und trotzdem einen Chatbot ausliefern, der über einen präparierten Prompt Kundendaten preisgibt, da diese Schwachstellenklasse vor LLMs kaum existierte. Die meisten Unternehmen, die generative KI einsetzen, benötigen heute beide Checklisten parallel, eine für die Anwendungshülle und eine für das Modellverhalten selbst.
Bedeutung der OWASP Top 10 für LLM-Anwendungen im Enterprise-KI-Umfeld
Während generative KI von Pilot-Chatbots zu KI-Agenten übergeht, die in Produktivsysteme schreiben, prognostiziert Gartner, dass bis 2028 rund 25 % der generativen KI-Anwendungen in Unternehmen mindestens fünf kleinere Sicherheitsvorfälle pro Jahr erleiden werden, gegenüber 9 % im Jahr 2025. Die OWASP-Liste gibt Sicherheits- und Compliance-Teams eine gemeinsame Sprache, um KI-Red-Teaming-Übungen und Lieferantenfragebögen zu strukturieren, statt bei jedem Projekt von vorn anzufangen.
Methoden und Verfahren für OWASP Top 10 für LLM-Anwendungen
Unternehmen setzen die Liste über drei sich ergänzende Praktiken operativ um.
Lückenbewertung je Kategorie
Sicherheitsteams gehen eine LLM-Anwendung Kategorie für Kategorie durch und prüfen Prompt-Verarbeitung, Ausgabe-Rendering und Tool-Berechtigungen gegen jedes der zehn Risiken vor dem Go-live.
- Kategorie-für-Kategorie-Review mit Referenz auf LLM01 bis LLM10 für die Audit-Nachvollziehbarkeit
- Priorisierung der Befunde nach Ausnutzbarkeit und Geschäftsauswirkung, nicht nach Listenreihenfolge
- Lücken fließen in ein Remediation-Backlog, das Engineering und nicht nur Security verantwortet
Automatisiertes Scannen und kontinuierliches Testen
Kommerzielle und Open-Source-Scanner erzeugen adversariale Payloads, die auf bestimmte OWASP-Kategorien abgebildet sind, und führen sie bei jedem Release gegen ein produktives Modell oder einen Agenten aus. Das schließt die Lücke zwischen einem jährlichen Audit und wöchentlichen Modell-Updates, und die Ergebnisse fließen meist in dieselbe Berichtspipeline wie strukturiertes Red-Teaming.
Sorgfaltsprüfung bei Lieferanten und Drittanbietern
Einkaufs- und Compliance-Teams zitieren in Sicherheitsfragebögen für Lieferanten zunehmend konkrete OWASP-LLM-Kategorien und verlangen von KI-Anbietern dokumentierte Kontrollen gegen Prompt Injection, Lieferkettenrisiken und Datenvergiftung vor Vertragsabschluss, ähnlich wie bereits ISO 27001-Zertifikate von anderen Softwarelieferanten verlangt werden.
Wichtige Kennzahlen für OWASP Top 10 für LLM-Anwendungen
Die Verfolgung eines Programms gegen die Liste erfordert Abdeckungs-, strategische und Qualitätskennzahlen.
Abdeckungs- und Testkennzahlen
- Kategorieabdeckung: 10/10 OWASP-Kategorien aktiv getestet
- Testtakt: vollständige adversariale Testsuite bei jedem Release
- Zeit bis zur Behebung: kritische Befunde innerhalb von zwei Wochen behoben
- Automatisierte Regressionsquote: über 95 % zwischen den Releases
Strategische Risikokennzahlen
Der IBM Cost of a Data Breach Report 2025 fand, dass 13 % der von einem Vorfall betroffenen Unternehmen einen Sicherheitsvorfall bei einem KI-Modell oder einer KI-Anwendung erlebten, wobei 97 % davon über keine geeigneten KI-Zugriffskontrollen verfügten, eine Lücke, die sich direkt auf unadressierte Kategorien wie übermäßige Agenten-Autonomie und Offenlegung sensibler Informationen zurückführen lässt.
Qualitäts- und Auditkennzahlen
Ausgereifte Programme verfolgen, welche Kategorien über mehrere Releases hinweg wiederkehrende Befunde erzeugen, und verknüpfen offene Punkte mit realen Vorfällen, wobei die Ergebnisse in die Dokumentation für ein KI-Audit einfließen, damit sich der Behebungsaufwand auf die wirkungsvollsten Lücken konzentriert statt auf die einfachsten Fixes.
Risikofaktoren und Kontrollen bei OWASP Top 10 für LLM-Anwendungen
Drei Kategoriegruppen verursachen den Großteil der realen Risikoexposition.
Prompt Injection (LLM01)
Prompt Injection bleibt über zwei aufeinanderfolgende Ausgaben der Liste hinweg die höchstplatzierte Kategorie, weil sie eine strukturelle Schwäche ausnutzt: Modelle verarbeiten Anweisungen und nicht vertrauenswürdige Daten über denselben Kanal.
- Direkte Injection über nutzereingegebenen Text
- Indirekte Injection versteckt in abgerufenen Dokumenten oder E-Mails
- Injection, die sich über Übergaben zwischen mehreren Agenten fortpflanzt
Übermäßige Agenten-Autonomie und Offenlegung sensibler Informationen (LLM06, LLM02)
Agenten mit breiten, dauerhaften Berechtigungen über CRM, ERP und E-Mail verstärken den Schaden eines einzelnen erfolgreichen Angriffs, da eine gekaperte Anweisung jeden Zugriff erbt, den der Agent bereits besitzt. Retrieval-gestützte Systeme ohne sauber abgegrenzten Index können vertrauliche Datensätze auch ganz ohne Angriff an Nutzer offenlegen, die sie nie sehen sollten.
Lieferketten- und Governance-Lücken (LLM03)
Modelle, Plugins und Fine-Tuning-Datensätze von Drittanbietern bringen ein Abhängigkeitsrisiko mit sich, das dem von Open-Source-Softwarekomponenten ähnelt. Ohne einen KI-Governance-Prozess und ein aktuelles Inventar aller genutzten Modelle und Plugins bleiben diese Abhängigkeiten unentdeckt, bis ein Vorfall eine Überprüfung erzwingt.
Praxisbeispiel
Ein 160-Mitarbeiter-Fachhändler für Spezialchemikalien in Bayern hat einen internen Chatbot gebaut, der technische Fragen anhand von Sicherheitsdatenblättern und Produktspezifikationen beantwortet. Vor dem Rollout bildete ein externer KI-Partner die Anwendung gegen alle zehn OWASP-Kategorien ab und fand zwei Lücken: Der Retrieval-Index gab Lieferantenpreise an jeden fragenden Mitarbeiter heraus, und eine präparierte Frage konnte das Modell dazu bringen, veraltete Sicherheitshinweise als aktuell zu zitieren. Beide Probleme wurden vor dem Einsatz in der Produktion behoben und erneut getestet.
- Kategorie-für-Kategorie-Testbericht als Compliance-Nachweis archiviert
- Retrieval-Index mit rollenbasierter Zugriffsbeschränkung neu aufgebaut
- Versionsdatierte Sicherheitshinweise mit explizitem “zuletzt geprüft”-Vermerk
- Vierteljährlicher Retest bei jedem Modell- oder Dokumentquellen-Update angesetzt
Aktuelle Entwicklungen und Auswirkungen
Sowohl die Liste selbst als auch ihre Nutzung in Unternehmen entwickeln sich weiter.
Das Update auf Version 2.0 (2025)
Das OWASP GenAI Security Project ergänzte in der Ausgabe 2025 drei Kategorien, um agentische und retrieval-lastige Architekturen abzubilden, die es bei der ersten Fassung der Liste kaum gab.
- System Prompt Leakage (LLM07)
- Vector and Embedding Weaknesses (LLM08)
- Unbounded Consumption (LLM10), erweitert aus dem früheren Eintrag Model Denial of Service
Angleichung an regulatorische Rahmenwerke
Die Liste taucht zunehmend neben den Resilienzanforderungen aus Artikel 15 der EU-KI-Verordnung und dem AI Risk Management Framework des NIST in Audit-Checklisten auf und gibt mittelständischen Unternehmen einen konkreten Referenzpunkt, wenn ein Regulator oder Kunde fragt, wie KI-spezifische Risiken getestet wurden.
Agentische KI verschiebt den Fokus der Liste
Während Agenten die Fähigkeit erhalten, Tools aufzurufen und autonom zu handeln, rücken Kategorien wie übermäßige Agenten-Autonomie und unbegrenzter Ressourcenverbrauch stärker in den Fokus als in früheren Ausgaben, und Implementierungen von KI-Leitplanken zitieren zunehmend konkrete OWASP-Kategorien direkt in ihrer Entwurfsdokumentation.
Fazit
Die OWASP Top 10 für LLM-Anwendungen macht aus einer schnelllebigen, unvertrauten Risikolandschaft einen festen Referenzpunkt, auf den sich Entwickler, Auditoren und Anbieter gleichermaßen berufen können. Ihre zehn Kategorien werden sich weiter verschieben, während agentische Architekturen neue Fehlerarten schaffen, doch die zugrunde liegende Disziplin, systematisch statt reaktiv zu testen, bleibt gleich. Unternehmen, die jeden LLM-gestützten Workflow vor dem Start gegen die Liste abbilden, finden die Lücken, die eine funktionierende Demo nie zeigt. Da Regulatoren und Kunden zunehmend Nachweise verlangen, verwandelt eine vorliegende Abbildung eine Compliance-Frage in eine Fünf-Minuten-Antwort.
Häufig gestellte Fragen
Wofür wird die OWASP Top 10 für LLM-Anwendungen verwendet?
Sie gibt Entwicklern, Sicherheitsteams und Auditoren eine gemeinsame, priorisierte Liste der kritischsten LLM-spezifischen Sicherheitsrisiken zum Testen und ersetzt ad hoc erstellte oder herstellerspezifische Risikolisten durch einen offenen, weithin anerkannten Standard.
Wie unterscheidet sie sich von der klassischen OWASP Top 10 für Webanwendungen?
Die klassische Liste deckt Infrastruktur- und Anwendungsebene-Risiken wie fehlerhafte Zugriffskontrollen ab. Die LLM-spezifische Liste deckt Risiken ab, die einzigartig dafür sind, wie Modelle Anweisungen zusammen mit nicht vertrauenswürdigen Daten verarbeiten, etwa Prompt Injection und unbegrenzten Ressourcenverbrauch, die eine Firewall oder Eingabevalidierung nie erkennen könnte.
Ist das für ein Unternehmen mit 50 bis 200 Mitarbeitenden relevant, oder betrifft es nur KI-Anbieter, die Modelle bauen?
Es gilt für jedes Unternehmen, das LLM-gestützte Chatbots oder Agenten einsetzt, nicht nur für Modellhersteller. Ein mittelständisches Unternehmen, das einen Chatbot an interne Dokumente anbindet, trägt dieselben Risikokategorien, insbesondere Offenlegung sensibler Informationen und Prompt Injection, wie ein Großkonzern, nur in kleinerem Maßstab.
Wie hängt die OWASP LLM Top 10 mit der EU-KI-Verordnung und der DSGVO zusammen?
Artikel 15 der EU-KI-Verordnung verlangt von Hochrisiko-KI-Systemen, Versuchen zu widerstehen, Schwachstellen auszunutzen, und die OWASP-Kategorien liefern einen konkreten Weg, diese Resilienz bei einer Konformitätsbewertung nachzuweisen. Unter der DSGVO kann ein erfolgreicher Angriff, der über Kategorien wie Offenlegung sensibler Informationen personenbezogene Daten preisgibt, zusätzlich Meldepflichten bei Datenschutzverletzungen auslösen.
Was kostet eine OWASP-gestützte Bewertung und wie lange dauert sie?
Eine abgegrenzte Bewertung für einen Chatbot oder Agenten dauert in der Regel ein bis drei Wochen und kostet einige tausend bis niedrige fünfstellige Euro-Beträge, je nachdem, ob manuell, automatisiert oder beides getestet wird, plus einen kleineren wiederkehrenden Aufwand für Retests nach jedem größeren Update.
Brauchen wir ein eigenes Sicherheitsteam dafür, oder kann ein KI-Partner das übernehmen?
Die meisten mittelständischen Unternehmen verlassen sich für die erste Abbildung und periodische Retests auf ihren Implementierungspartner oder einen externen Sicherheitsspezialisten. Superkind grenzt Tool-Zugriff und Freigabeprüfpunkte jedes KI-Mitarbeiters während des Rollouts auf die konkreten Systeme ein, mit denen er verbunden ist, was mehrere OWASP-Kategorien, insbesondere übermäßige Agenten-Autonomie, bereits durch das Design und nicht erst nachträglich einschränkt.
