OWASP Top 10 für LLM-Anwendungen

Die OWASP Top 10 for LLM Applications entstanden 2023 als eigenständiges OWASP-Projekt und werden heute vom OWASP GenAI Security Project weitergeführt, an dem laut Projektangaben über 600 Fachleute aus mehr als 18 Ländern mitwirken. Die aktuelle Fassung ist die Version 2025; sie löste die Vorgängerversion 1.1 (2023) ab und benennt die Risiken einheitlich als LLM01:2025 bis LLM10:2025. Es handelt sich um ein Awareness- und Priorisierungsdokument, nicht um einen zertifizierbaren Standard: Die Liste ordnet die aus Sicht der Community kritischsten Risikoklassen, ersetzt aber weder ein Bedrohungsmodell noch ein Kontroll-Framework wie das NIST AI RMF. Ihr Geltungsbereich sind Anwendungen, die ein LLM einbetten – vom einfachen Chat-Interface über RAG-Systeme bis zum Copilot mit Werkzeuganbindung.

LLM01 Prompt Injection bezeichnet die Manipulation des Modellverhaltens über Eingaben – direkt durch Nutzer oder indirekt über verarbeitete Inhalte wie Dokumente, Webseiten und E-Mails; da sie sich nach heutigem Stand nicht vollständig verhindern lässt, sind begrenzte Berechtigungen, Ein- und Ausgabefilter sowie menschliche Freigaben für kritische Aktionen die zentrale Verteidigung. LLM02 Sensitive Information Disclosure beschreibt die Preisgabe sensibler Informationen in Modellausgaben, etwa personenbezogener Daten, Geschäftsgeheimnisse oder Zugangsdaten; dagegen helfen Datenminimierung und -bereinigung in Training und Kontext, strikte Zugriffskontrollen und eine Filterung der Ausgaben. LLM03 Supply Chain umfasst Risiken aus vortrainierten Modellen, Trainingsdatensätzen, Feintuning-Adaptern und Plattformen Dritter; typische Gegenmaßnahmen sind Herkunfts- und Integritätsprüfungen, eine Inventarisierung aller Modell- und Datenartefakte und der Bezug ausschließlich aus vertrauenswürdigen Quellen.

LLM04 Data and Model Poisoning meint die gezielte Manipulation von Trainings-, Feintuning- oder Embedding-Daten, um Hintertüren oder Verzerrungen einzuschleusen; Gegenmaßnahmen sind die Validierung der Datenherkunft, Anomalieerkennung und systematische Evaluierung samt Red-Teaming vor der Produktivsetzung. LLM05 Improper Output Handling entsteht, wenn Modellausgaben ungeprüft weiterverarbeitet werden und nachgelagert Cross-Site-Scripting, SQL-Injection oder Codeausführung auslösen; die Kernregel lautet, Ausgaben wie nicht vertrauenswürdige Nutzereingaben zu behandeln – mit Validierung, kontextgerechtem Encoding und parametrisierten Aufrufen. LLM06 Excessive Agency beschreibt LLM-Komponenten, denen zu viele Funktionen, zu weitreichende Berechtigungen oder zu viel Autonomie eingeräumt wurden; dagegen wirken minimale Tool-Sets, Least-Privilege-Berechtigungen pro Werkzeug und verpflichtende Freigabeschritte vor folgenreichen Aktionen.

LLM07 System Prompt Leakage adressiert die Offenlegung von System-Prompts – kritisch, wenn diese Zugangsdaten oder Sicherheitslogik enthalten; deshalb gehören Geheimnisse nie in den Prompt, und Sicherheitskontrollen müssen außerhalb des Modells durchgesetzt werden. LLM08 Vector and Embedding Weaknesses betrifft RAG-Pipelines und Vektordatenbanken, etwa unautorisierten Zugriff auf Embeddings, eingeschleuste Inhalte oder die Vermischung von Kontexten mehrerer Mandanten; Gegenmaßnahmen sind feingranulare Zugriffskontrollen auf Dokumentebene, saubere Mandantentrennung und die Validierung der Wissensquellen. LLM09 Misinformation bezeichnet fachlich falsche, aber plausibel klingende Ausgaben, denen Nutzer aufgrund des autoritativen Tons vertrauen; dagegen helfen RAG mit kuratierten Quellen, Quellenangaben in den Antworten und menschliche Prüfung in kritischen Prozessen. LLM10 Unbounded Consumption schließlich umfasst unkontrollierten Ressourcenverbrauch bis hin zu Denial of Service, Kostenexplosion und Modell-Extraktion; begrenzt wird er durch Rate Limits, Kontingente, Eingabegrößen-Limits und laufende Kostenüberwachung.

Am 9. Dezember 2025 hat das OWASP GenAI Security Project ergänzend die OWASP Top 10 for Agentic Applications (Version 2026) veröffentlicht – zehn Risiken von ASI01 „Agent Goal Hijack“ bis ASI10 „Rogue Agents“ für autonome Agentensysteme; beide Listen stammen aus demselben Projekt und sind komplementär angelegt. Die Faustregel für die Auswahl: Die LLM-Liste greift bei Anwendungen, die ein Modell einbetten und dessen Ein- und Ausgaben verarbeiten. Sobald das System darüber hinaus eigenständig plant, Werkzeuge aufruft, Zustände dauerhaft speichert oder mit anderen Agenten kommuniziert, kommen die agentischen Risikoklassen hinzu – die LLM-Liste bleibt dabei für die Modell- und Prompt-Ebene gültig, denn viele ASI-Risiken haben Prompt Injection (LLM01) als Wurzel. Eine ausführliche Darstellung der ASI-Liste finden Sie auf unserer Wissensseite zur OWASP Top 10 für Agentic Applications.

In der Prüfpraxis dient die Liste vor allem als gemeinsames Raster für Scoping und Berichtswesen: Auftraggeber und Prüfer legen fest, welche der zehn Risikoklassen im Zielsystem relevant sind, und ordnen Findings nachvollziehbar LLM01–LLM10 zu. Welche Risiken sich aktiv testen lassen, hängt von der Architektur ab – Prompt Injection, Output-Handling, System Prompt Leakage und Unbounded Consumption sind am laufenden System direkt prüfbar, während Supply-Chain- und Poisoning-Risiken eher Architektur- und Prozess-Reviews erfordern als reine Angriffssimulation. Ein RAG-System braucht zusätzlich Tests auf LLM08, eine Anwendung mit Tool-Anbindung einen Schwerpunkt auf LLM06; bei echten Agentensystemen sollte das Scoping um die ASI-Taxonomie erweitert werden. Ein LLM-Pentest ersetzt dabei keinen klassischen Web- oder API-Test, sondern ergänzt ihn um die modellspezifische Angriffsfläche.