Der Katalog des OWASP GenAI Security Project benennt die kritischsten Schwachstellenklassen in LLM-Applikationen — von Prompt Injection (LLM01:2025) über Sensitive Information Disclosure (LLM02) und Supply Chain (LLM03) bis Excessive Agency (LLM06). Sechs der zehn Risiken betreffen direkt die Datensicherheit. Entwicklungs- und AppSec-Teams nutzen die Liste als Prüf- und Anforderungsperspektive beim Bauen und Testen von LLM-Systemen.
AI-Security-Frameworks im Überblick
OWASP, MITRE ATLAS und NIST AI RMF betrachten KI-Sicherheit aus drei unterschiedlichen Perspektiven. Ein Überblick, wofür welches Framework steht — und wie sie im Zusammenspiel ein tragfähiges Schutzkonzept ergeben.
3Frameworks decken zusammen den gesamten KI-Lifecycle ab
6der zehn Top-10-Risiken betreffen direkt die Datensicherheit
4Kernfunktionen im NIST AI RMF: GOVERN, MAP, MEASURE, MANAGE
4Schritte zum praktischen Einstieg: Assess, Test, Govern, Protect
Klassische Sicherheitsansätze greifen bei LLM-basierten Systemen nur eingeschränkt: Prompts, Kontextdaten, Datenpipelines und agentische Logiken werden zu eigenständigen Risikopunkten, und nicht-deterministisches Modellverhalten entzieht sich statischer Analyse und Signaturen. Drei Frameworks haben sich als Bezugsrahmen etabliert — jeweils mit eigener Perspektive: Das OWASP GenAI Security Project liefert mit der Top 10 für LLM-Anwendungen die Prüf- und Anforderungsperspektive für Entwicklungs- und Security-Teams, MITRE ATLAS katalogisiert Taktiken und Techniken realer Angreifer, und das NIST AI RMF strukturiert das übergreifende Risikomanagement. Zusammen decken sie den gesamten KI-Lifecycle ab — vom sicheren Bauen über das adversariale Testen bis zur Governance. Relevanz erhält dieses Zusammenspiel auch regulatorisch: EU AI Act, NIS2, DORA und DSGVO fordern nachweisbare Sicherheitsmaßnahmen für KI-Systeme.
Das Wichtigste im Überblick
Sechs Themenblöcke — zum Aufklappen antippen.
Drei Frameworks, drei Perspektiven
Wofür welches Framework steht — Tab antippen.
- Der Katalog des OWASP GenAI Security Project benennt die kritischsten Schwachstellenklassen in LLM-Applikationen.
- Sechs der zehn Risiken betreffen direkt die Datensicherheit.
- Entwicklungs- und AppSec-Teams nutzen die Liste als Prüf- und Anforderungsperspektive beim Bauen und Testen von LLM-Systemen.
Prompt Injection (LLM01:2025)Sensitive Information Disclosure (LLM02)Supply Chain (LLM03)Excessive Agency (LLM06)
- Katalogisiert reale Angriffstaktiken und -techniken gegen KI-Systeme — analog zur ATT&CK-Matrix.
- Nimmt konsequent die Perspektive des Angreifers ein.
- Bildet damit die Grundlage für Red- und Purple-Teaming gegen KI-Systeme.
ReconnaissanceResource DevelopmentExfiltrationAML.T0051ATT&CK
- Strukturiert das Risikomanagement über den gesamten KI-Lifecycle entlang der vier Kernfunktionen.
- Adressiert Trustworthiness und Governance und richtet sich an CISOs und Risk Management.
- Ein Rahmen, in dem technische Befunde in Policies, Prozesse und Verantwortlichkeiten überführt werden.
GOVERNMAPMEASUREMANAGETrustworthiness
Vertiefung · Neue Norm
ISO/IEC 27090: der ISO-Standard zu Sicherheitsbedrohungen gegen KI-Systeme
Seit dem 14. Oktober 2026 gibt es mit ISO/IEC 27090 erstmals einen International Standard des SC 27, der sich ausschließlich der Sicherheit von KI-Systemen widmet. Er ergänzt die hier beschriebenen Frameworks um eine normierte Bedrohungssprache: neun Kompromittierungstypen, Zero-Trust-Prinzipien für KI, Lieferketten-, Threat-Modelling- und Red-Teaming-Praktiken sowie Wechselwirkungen zwischen Gegenmaßnahmen.
Einordnung zu NIST, ATLAS und OWASP
Die Norm zitiert MITRE ATLAS und den OWASP-Threat-Modeling-Prozess, nicht aber NIST AI RMF, NIST AI 100-2 oder die OWASP LLM Top 10. Der Deep Dive zeigt die Schnittmengen — als VamiSec-Zuordnung, denn ein offizielles Mapping gibt es nicht.
Lebenszyklus statt Checkliste
Angriffe werden danach geordnet, ob sie in Entwicklung und Training oder in Inferenz und Betrieb wirken; Anhang A ordnet sie Lebenszyklusphasen und Assets zu. Daraus entsteht ein Prüfraster, das sich direkt im ISMS verankern lässt.
Was 27090 zu Agenten sagt — und was nicht
Agentische Systeme kommen nur in den Zero-Trust-Beispielen vor (jede Agentenaktion einzeln autorisieren, Zugriff nur für die Dauer der Aufgabe). Für Tool-Zugriff, MCP und Multi-Agent-Systeme bleiben OWASP Agentic Top 10 und Agent Control Standard die Referenz.
Gap-Check und Whitepaper
Selbstbewertung in sieben Handlungsfeldern mit Fahrplan und Nachweisliste sowie das CISO-Whitepaper „ISO/IEC 27090 für CISOs“ mit Mapping-Tabellen, 30 Prüffragen und 12-Monats-Fahrplan.
Zum Deep Dive ISO/IEC 27090
Stand 22.10.2026: ISO/IEC 27090:2026 veröffentlicht (Stage 60.60); ISO/IEC 27091 (Privacy) liegt noch als FDIS vor.
Standards & Quellen
Die Inhalte dieser Seite basieren auf den folgenden öffentlich verfügbaren Leitfäden und Studien.
OWASP LLM/GenAI Security Solutions Reference Guide Q2/Q3'25
Herstellerneutrale Zuordnung von Open-Source- und kommerziellen Security-Lösungen zu den Top-10-Risiken entlang der LLMOps-Lifecycle-Phasen von Scoping/Planning bis Govern.
LLM and Gen AI Security Solution Landscape Guide — Cheat Sheet Series Q1 2025
Kompaktübersicht der LLM-/GenAI-Security-Lösungslandschaft inklusive des LLM and Gen AI App SecOps Framework.
AI Security Solutions Landscape for Agentic AI (Q3 2025)
Ordnet DevOps- und SecOps-Aufgaben sowie Lösungen den Phasen des agentischen KI-Lifecycles von Scope & Plan bis Govern zu; quartalsweise aktualisiert.
Passende Leistungen
Vom Framework zur Umsetzung
VamiSec unterstützt Sie mit KI- und LLM-Pentests entlang OWASP Top 10 und MITRE ATLAS sowie mit Beratung zum Aufbau Ihrer AI-Governance nach NIST AI RMF. Vereinbaren Sie ein unverbindliches Erstgespräch.