OWASP Top 10 for LLM 2026, MITRE ATLAS und KI-Verordnung: Checkliste
Wer Ihre KI absichert, sollte einige präzise Fragen beantworten können: welche KI-Systeme im Einsatz sind (Inventar und Schatten-KI), wie Prompts und Antworten kontrolliert werden, wie die an die Modelle gesendeten Daten geschützt sind, wie Agenten und Copiloten überwacht werden, welche Bewertung nach OWASP Top 10 for LLM und MITRE ATLAS erfolgt ist und welche Pflichten der KI-Verordnung für Sie gelten. Dieser Leitfaden ordnet die Referenzen und schließt mit einer Checkliste aus zehn Fragen.
Die zehn Einträge der OWASP Top 10 for LLM, Ausgabe 2026
Die Ausgabe 2026 der Top 10 for LLM Applications wurde am 3. August 2026 veröffentlicht. Maßgeblich ist das Dokument dieser Ausgabe, nicht die Übersichtsseite des Projekts, die noch bei der Version 2025 steht. Die zehn Einträge in Kürze:
- Prompt Injection. Feindliche Anweisungen, direkt oder in Inhalten versteckt, die das Modell liest, steuern das Verhalten der Anwendung.
- Sensitive Information Disclosure. Das Modell gibt vertrauliche Daten preis, die im Training, im Kontext oder in den angebundenen Werkzeugen vorhanden sind.
- Excessive Agency. Der Agent erhält Berechtigungen, Werkzeuge oder Autonomie über das Nötige hinaus.
- Supply Chain. Kompromittierte oder ungeprüfte Modelle, Datensätze, Plugins und Komponenten Dritter.
- Data and Model Poisoning. Manipulierte Daten oder Gewichte, die das Verhalten des Modells verändern.
- Unbounded Consumption. Unkontrollierte Ressourcennutzung: ausufernde Kosten, Denial of Service, Modellextraktion.
- Misinformation. Plausible, aber falsche Antworten, auf die das Unternehmen Entscheidungen stützt.
- Hidden Context Exposure. Systemanweisungen und verborgener Kontext, die sich extrahieren lassen.
- Vector and Embedding Weaknesses. Schwächen in Retrieval-Systemen: gemeinsame Indizes ohne Zugriffskontrolle, manipulierte Embeddings.
- Improper Output Handling. Modellausgaben, die von anderen Systemen ungeprüft weiterverwendet werden, mit Folgen im Nachgang.
Offizielle Reihenfolge und Nummerierung sollten Sie im OWASP-Dokument prüfen, bevor Sie sie in einer Bewertung zitieren. Deshalb tragen die Einträge hier keine Nummer.
Ein roter Faden verbindet sie alle: Die Anwendung behandelt Anweisungen und Daten im selben Kanal. Darum lautet unsere Linie, zu erkennen und einzudämmen, nicht, die Beseitigung zu versprechen. Das Betriebsbild finden Sie auf der Seite AI Security.
Top 10 for Agentic Applications 2026
2026 hat OWASP auch eine Top 10 für agentische Anwendungen veröffentlicht, mit Einträgen von ASI01 bis ASI10. Agenten bringen eigene Risiken mit: Identität, Berechtigungen, Werkzeugketten und Entscheidungen ohne Mensch dazwischen. Sie ist zusammen mit der Top 10 for LLM zu lesen, nicht an deren Stelle.
MITRE ATLAS
MITRE ATLAS ist eine Wissensbasis zu Taktiken und Techniken gegen KI-Systeme, im Geist von ATT&CK aufgebaut und auf beobachtete Fälle gestützt. Sie ist für zwei Zwecke nützlich: in einer Bewertung wie der Angreifer zu denken und Techniken beim Schreiben einer Detektion einen gemeinsamen Namen zu geben. Wo ein SOC bereits mit ATT&CK arbeitet, fügt sich ATLAS in dieselbe Arbeitsweise ein.
KI-Verordnung: der Zeitplan nach dem Digital Omnibus
Die Verordnung (EU) 2026/1744, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft, hat den Zeitplan der KI-Verordnung (Verordnung (EU) 2024/1689) neu gefasst. Die Termine, die Sie im Kopf behalten sollten:
| Pflicht | Datum |
|---|---|
| KI-Modelle mit allgemeinem Verwendungszweck (GPAI) | ab 2. August 2025, mit Sanktionen ab 2. August 2026 |
| Transparenz, Artikel 50 | ab 2. August 2026 |
| Neue Verbote nach Artikel 5 | ab 2. Dezember 2026 |
| Hochrisikosysteme nach Anhang III | ab 2. Dezember 2027 |
| Hochrisikosysteme nach Anhang I | ab 2. August 2028 |
Für die Sicherheit ist Artikel 15 die Referenz: Genauigkeit, Robustheit und Cybersicherheit von Hochrisikosystemen über den gesamten Lebenszyklus. Organisationen, die weder Hochrisikosysteme entwickeln noch integrieren, haben andere Pflichten, müssen aber dennoch wissen, welche Rolle sie innehaben, Anbieter oder Betreiber.
Der Finanzsektor
Im Kreditgeschäft ist die Kreditwürdigkeitsprüfung natürlicher Personen (Credit Scoring) eine Hochrisikonutzung nach Anhang III Nummer 5 Buchstabe b der KI-Verordnung selbst, ausgenommen Systeme zur Aufdeckung von Finanzbetrug. Die EBA-Mitteilung vom 21. November 2025 legt die Anforderungen der KI-Verordnung neben die für Banken bereits geltenden, stuft aber keine Systeme ein. Was Aufsichtsbehörden wie die BaFin zu KI bei Banken und Versicherern fragen, finden Sie unter Cybersicherheit für Banken und Finanzwesen.
Nationale Behörden
Jeder Mitgliedstaat benennt seine eigenen Behörden für die KI-Verordnung, bei Finanzunternehmen sind es in der Regel die bestehenden Aufsichten. Prüfen Sie die Benennung in dem Land, in dem Sie tätig sind: Maßgeblich ist der Text des nationalen Rechts, nicht eine Zusammenfassung. Für die Sicherheit von KI-Systemen und das Risiko der Indirect Prompt Injection ist in Deutschland das BSI eine Referenz.
ISO/IEC 42001 und das NIST AI RMF
Das sind freiwillige Referenzen für die Governance. ISO/IEC 42001 definiert ein Managementsystem für KI; das NIST AI RMF bietet eine strukturierte Methode, Risiken zu erfassen, zu messen und zu steuern. Keines von beiden ist eine Pflicht, keines ersetzt technische Kontrollen: Sie rahmen sie ein. Fortgale bescheinigt keine Konformität mit einem von beiden. Die technischen Nachweise des Dienstes können in den Prozess einfließen, der sie einführt.
Die Checkliste: was Sie von dem verlangen sollten, der Ihre KI absichert
Zehn Fragen an den Anbieter, intern oder extern, dem Sie die Sicherheit der KI-Systeme anvertrauen:
- Gibt es ein Inventar der eingesetzten KI-Systeme, einschließlich der von einzelnen Abteilungen eingeführten Anwendungen (Schatten-KI)?
- Wie werden Prompts und Antworten kontrolliert, und was geschieht, wenn feindliche Inhalte erkannt werden?
- Welche Berechtigungen haben Agenten und Copiloten, und wer hat sie freigegeben?
- Wie sind die an die Modelle gesendeten Daten und die Daten geschützt, die die Modelle zurückgeben können?
- Werden Identitäten von Agenten und OAuth-Token wie menschliche Identitäten überwacht? Siehe Identitätsschutz.
- Sind Berechtigungen und Datenklassifizierung in der Microsoft-365-Umgebung in Ordnung, in der Copilot arbeitet? Siehe Microsoft 365 Sicherheit.
- Wurden interne LLM-Anwendungen nach OWASP Top 10 for LLM und MITRE ATLAS bewertet?
- Wer überwacht die Alerts dieser Systeme, zu welchen Zeiten, und mit welchen Zeiten für Erkennung und Eindämmung?
- Welche Pflichten der KI-Verordnung gelten für Sie, in welcher Rolle, und wer im Unternehmen verantwortet sie?
- Was erhalten Sie: überprüfbare technische Nachweise oder ein Konformitätsversprechen?
Wie KI dagegen in die Arbeit von SOC und MDR einfließt, lesen Sie in KI in der Cyberabwehr.
Ein Rahmenwerk ist nützlich, wenn es zu einer Frage wird, die jemand beantworten kann. Stellen Sie diese zehn Fragen dem, der Ihre KI absichert: Die Antworten zeigen, wo Sie stehen.
Häufige Fragen.
Gilt die KI-Verordnung für Unternehmen, die Copilot nutzen?
Das hängt von Ihrer Rolle ab. Eine Organisation, die ein KI-System in eigener Verantwortung einsetzt, ist Betreiber (Deployer) und hat eigene Pflichten: zum Beispiel Transparenz bei den von Artikel 50 erfassten Nutzungen und, wenn das System hochriskant ist, die Pflichten aus Anhang III. Ein allgemeiner Assistent im Büro ist für sich genommen nicht hochriskant, doch es lohnt sich zu erfassen, was wozu genutzt wird, bevor man schließt, die Verordnung betreffe einen nicht.
Ist die OWASP Top 10 for LLM ein verbindlicher Standard?
Nein. Sie ist eine Branchenreferenz, keine Vorschrift: Kein Gesetz verlangt sie. Sie dient als gemeinsame Sprache für die Risiken von Anwendungen auf Basis von Sprachmodellen und als Gerüst für eine Bewertung. Verbindliche Pflichten ergeben sich aus dem Gesetz, zum Beispiel aus der KI-Verordnung.
Was ändert sich mit der Ausgabe 2026?
Die Ausgabe 2026 der Top 10 for LLM Applications, veröffentlicht am 3. August 2026, ersetzt die von 2025. Für eine Bewertung gilt die aktuelle Version; Liste und Reihenfolge der Einträge sollten Sie im offiziellen Dokument prüfen, da sie sich von Ausgabe zu Ausgabe ändern.
Sind MITRE ATLAS und OWASP Alternativen?
Nein, sie ergänzen sich. OWASP listet die Risikokategorien von LLM-Anwendungen; MITRE ATLAS beschreibt Taktiken und Techniken gegen KI-Systeme, nach dem Vorbild von ATT&CK. Das Erste hilft bei der Wahl dessen, was zu prüfen ist, das Zweite beim Nachdenken darüber, wie ein Angreifer vorgeht.
Zertifiziert Fortgale die Konformität mit der KI-Verordnung?
Nein. Fortgale liefert technische Nachweise zur Sicherheit von KI-Systemen, die im Portal dargestellt werden. Die Bewertung von Konformität und Angemessenheit bleibt bei Geschäftsleitung und Kontrollfunktionen.
Von der Theorie zum realen Einsatz.
Was Sie hier lesen, betreibt Fortgale täglich mit einem europäischen SOC 24·7·365: 287 Tools und Akteure profiliert, <30 Min. mittlere Eindämmung. Zum Service: AI Security.
Verwandte Ressourcen: KI in der Cyberabwehr · Microsoft 365 Sicherheit · Warum Identitätsschutz (ITDR)
Ein technisches Gespräch, kein Funnel.
Hinterlassen Sie Ihre Daten: ein Analyst ruft Sie innerhalb eines Werktags zurück. Europäisches SOC, gleiche Zeitzone, eigene Intelligence zu den in der EU aktiven Akteuren.