Owasp Top 10 für KI-Anwendungen: Risiken mit Daten belegt

Was geschehen ist – die Kernmeldung

Die Non-Profit-Organisation OWASP hat ihre aktualisierte Rangliste der größten Sicherheitsrisiken für Anwendungen, die auf großen Sprachmodellen (LLMs) basieren, veröffentlicht. Während frühere Ausgaben der sogenannten „GenAI Top 10“ primär auf Expertenbefragungen, Brainstorming-Sitzungen und dem Konsens der Community beruhten, markiert die Ausgabe für das Jahr 2026 einen methodischen Wendepunkt. Erstmals wurden die subjektiven Einschätzungen der Fachwelt mit einer umfangreichen statistischen Analyse von realen Sicherheitsvorfällen abgeglichen. Die Organisation stützte sich dabei auf Daten aus über 7700 dokumentierten Vorfällen, die aus öffentlichen Datenbanken für Schwachstellen sowie speziellen Archiven für KI-Schadensfälle stammen. Von diesem Datenbestand waren mehr als 6600 Vorfälle so detailliert aufbereitet, dass sie den spezifischen Risikokategorien der OWASP-Liste zugeordnet werden konnten. Das Ziel dieser Neuerung ist es, die theoretischen Bedrohungsszenarien mit empirischen Belegen zu untermauern, um Unternehmen und Entwicklern eine realistischere Einschätzung der Gefahrenlage bei der Implementierung von KI-Systemen zu ermöglichen.

Die Einzelheiten der Sicherheitsbewertung

Bei der Erstellung der Liste für 2026 wurde ein gewichtetes Verfahren angewandt, um die verschiedenen Informationsquellen zu kombinieren. Die Abstimmung innerhalb der Community macht dabei weiterhin drei Viertel des Gesamtgewichts aus, während die Daten aus den KI-Schadensfällen das restliche Viertel beisteuern. Diese Gewichtung erlaubt es, einen Eintrag in der Rangliste um eine Stufe zu verschieben, falls die theoretische Einschätzung und die empirische Datenlage signifikant voneinander abweichen. Dennoch betont OWASP, dass die Datenbasis allein nicht ausreicht, um die Liste vollständig neu zu schreiben. Die Organisation bezeichnet die vorliegenden Daten als unvollkommen und spricht von einem „verrauschten“ Jahr, das lediglich als Korrektiv dient. Zu den markanten Veränderungen in der Rangfolge gehört der Aufstieg von „LLM03:2026 Excessive Agency“ von Platz sechs auf Platz drei. Dieser Anstieg wird als die folgenreichste Bewegung gewertet, da hier sowohl das Votum als auch die Vorfallsdaten übereinstimmen. Besonders im agentischen Betrieb, bei dem KI-Systeme eigenständig handeln, zeigen sich hier erhöhte Risiken.

Hintergrund zur Entstehung der Liste

Die OWASP Top 10 für LLM-Anwendungen haben sich als Standardwerkzeug für Entwickler etabliert, um die gravierendsten Software-Schwachstellen in KI-Umgebungen zu identifizieren und entsprechende Gegenmaßnahmen zu ergreifen. Die Entwicklung der diesjährigen Liste war geprägt von dem Wunsch, die bisher rein auf Konsens basierende Methodik zu objektivieren. In den Vorjahren war die Liste ein reines Spiegelbild der kollektiven Erfahrung von Experten. Mit der Integration von über 7700 Vorfällen aus öffentlichen Datenbanken wollte das Projektteam den Vorwurf entkräften, die Risikoeinschätzung sei zu abstrakt. Die Herausforderung bestand darin, dass die Datenlage aus den Vorfällen oft lückenhaft war, weshalb nur ein Teil der Vorfälle für die Klassifizierung genutzt werden konnte. Dennoch ermöglichte dieser Prozess, dass bekannte Risiken wie „System Prompt Leakage“ in „LLM08:2026 Hidden Context Exposure“ umbenannt wurden, um den Umfang der Bedrohung – der nun auch Entwickleranweisungen, Policy-Texte sowie Tool- und Funktionsschemas umfasst – präziser zu definieren. Die Liste dient somit als lebendes Dokument, das sich an die sich wandelnde Bedrohungslandschaft anpasst.

Die Beteiligten und ihre Rollen

Die zentrale Rolle bei der Erstellung der Liste nimmt die Non-Profit-Organisation OWASP ein, die als neutrale Instanz für Softwaresicherheit fungiert. Die Community, bestehend aus Sicherheitsexperten, Entwicklern und KI-Forschern, bildet das Rückgrat der Erstellung, da ihre Abstimmungen und ihr Praxis-Feedback weiterhin den größten Teil der Gewichtung ausmachen. Die Verantwortlichen bei OWASP fungieren dabei als Koordinatoren, die die verschiedenen Datenströme zusammenführen und die methodischen Entscheidungen treffen. Besonders hervorzuheben ist die Rolle der Klassifikatoren, die die über 6600 detaillierten Vorfälle den entsprechenden Risikokategorien zuordneten. Diese Arbeit ist entscheidend, da sie die Brücke zwischen rohen Daten und der interpretierbaren Liste schlägt. Die Nutzer der Liste – primär Softwareentwickler, Sicherheitsarchitekten und IT-Entscheider in Unternehmen – sind die Adressaten, die diese Informationen nutzen, um ihre KI-Anwendungen sicherer zu gestalten. Sie sind es auch, die durch ihre Rückmeldungen aus der Praxis die Grundlage für künftige Aktualisierungen legen.

Einordnung der Ergebnisse

Die Einordnung der Ergebnisse zeigt ein komplexes Bild, in dem Theorie und Praxis nicht immer deckungsgleich sind. Ein prominentes Beispiel ist „LLM01:2026 Prompt Injection“. Obwohl die Datenlage nahelegen würde, dass dieses Risiko aus den Top 10 herausfällt, bleibt es auf dem ersten Platz. Den Berichten zufolge ist dies darauf zurückzuführen, dass intensiv an der Abwehr gearbeitet wird, wodurch weniger Exploits in die öffentlichen Datenbanken gelangen. Dennoch bleibt die Angriffsfläche bestehen, da Sprachmodelle Anweisungen und Daten nicht sauber voneinander trennen können. Ein entgegengesetztes Beispiel ist „LLM07:2026 Misinformation“. Hier setzten die Abstimmenden das Risiko niedrig an, während die Datenlage ein hohes Risiko signalisiert. Das Ergebnis ist ein Kompromiss auf Platz sieben. Einzuordnen ist das so, dass die OWASP-Liste keine rein statistische Auswertung ist, sondern eine fachliche Bewertung, die durch Daten korrigiert wird. Die Diskrepanzen verdeutlichen, dass die Wahrnehmung von Gefahren oft hinter der tatsächlichen Schadenshäufigkeit zurückbleibt.

Offene Fragen zur Methodik

Der Quelltext lässt einige Fragen offen, die für Anwender von Bedeutung sein könnten. So bleibt unklar, welche spezifischen Kriterien die Klassifikatoren bei der Zuordnung der 6600 Vorfälle genau angewandt haben, um die teils unvollständigen Datensätze in die Kategorien zu pressen. Auch wird nicht im Detail erläutert, wie die „verrauschte“ Datenlage im Detail bereinigt wurde, um eine statistische Verzerrung zu vermeiden. Des Weiteren bleibt unbeantwortet, wie genau die Gewichtung zwischen der Community-Abstimmung und den Vorfallsdaten in Grenzfällen gehandhabt wird, wenn beide Quellen völlig gegensätzliche Ergebnisse liefern. Die Frage, ob die Daten aus den öffentlichen Datenbanken repräsentativ für die gesamte Branche sind, wird zwar durch den Hinweis auf die Unvollkommenheit der Daten adressiert, aber nicht weiter vertieft. Auch die genaue Zusammensetzung der Community, die über die Platzierungen abstimmt, bleibt im Dunkeln, was die Frage nach möglichen Interessenkonflikten oder einer einseitigen Fokussierung auf bestimmte KI-Technologien offen lässt.

Wie es weitergeht mit der KI-Sicherheit

Die Entwicklung der OWASP-Listen ist ein fortlaufender Prozess. Da die Grenze zwischen einer KI als bloßer Komponente einer Anwendung und einer KI als eigenständigem Akteur zunehmend verschwimmt, verweist OWASP explizit auf die Notwendigkeit, bei komplexen Systemen beide Listen – die „GenAI Top 10“ und die „OWASP Top 10 for Agentic AI Applications“ – parallel zu nutzen. Dies ist insbesondere für Unternehmen relevant, die ihre Modelle nicht nur als einfache Assistenzsysteme, sondern als Agenten mit Werkzeugen, Langzeitgedächtnis und direkten Auswirkungen auf reale Systeme einsetzen. Die aktuelle Veröffentlichung dient als Referenz für das Jahr 2026. Es ist zu erwarten, dass die Organisation auch künftig an der Verfeinerung ihrer Methodik arbeiten wird, um die Diskrepanzen zwischen der subjektiven Einschätzung der Community und den empirischen Vorfallsdaten weiter zu verringern. Entwickler sind dazu angehalten, die explizit benannten neuen Risiken wie cross-modale Injektionen oder manipulierte Fine-Tuning-Datensätze verstärkt in ihre Sicherheitskonzepte einzubeziehen.