prompt injections.de
News · Einordnung

OWASP LLM Top 10: Warum Prompt Injection auf Platz 1 bleibt

· Gökhan Köse

Prompt Injection führt die OWASP-Liste der zehn wichtigsten Risiken für LLM-Anwendungen als LLM01:2025 weiterhin an. OWASP definiert das Risiko als Fall, in dem Eingaben das Verhalten oder die Ausgabe eines Modells in unbeabsichtigter Weise verändern, und hält im selben Dokument fest, dass unklar ist, ob es fehlersichere Methoden zur Verhinderung gibt.1 Der Platz ist damit keine Momentaufnahme einer Bedrohungslage, sondern die Folge einer Eigenschaft, die sich seit der Erstveröffentlichung der Liste nicht geändert hat.

Die drei Gründe für Platz 1

Kein Zugang nötig. Die indirekte Variante braucht weder ein Konto noch eine Interaktion mit der Anwendung. Es genügt, einen Inhalt zu kontrollieren, den das System später abruft — eine Webseite, ein Dokument, eine E-Mail. OWASP unterscheidet genau hier: direkte Injection über die Nutzereingabe, indirekte über externe Quellen wie Webseiten oder Dateien.1 → Direkte Prompt Injection · Indirekte Prompt Injection

Die Angriffsfläche wächst mit jeder Integration. Jede RAG-Anbindung, jedes Werkzeug, jeder Agent mit Dateizugriff öffnet einen weiteren Kanal, über den Fremdtext in dasselbe Kontextfenster gelangt wie die Systemanweisung. OWASP listet als mögliche Folgen unter anderem die Offenlegung sensibler Informationen, unautorisierten Zugriff auf Funktionen, die Ausführung beliebiger Befehle in angebundenen Systemen und die Manipulation von Entscheidungsprozessen.1 → RAG-Systeme und Wissensdatenbanken · Werkzeuge, Function Calling und MCP

Die Ausnutzung ist belegt, nicht hypothetisch. Palo Alto Networks Unit 42 dokumentierte am 3. März 2026 web-basierte indirekte Prompt Injection in freier Wildbahn: zwölf Fallstudien, 22 Techniken zum Bau der Nutzlast und eine Verteilung der Verschleierung, die von schlicht unsichtbarem Text (37,8 Prozent) über getarnte HTML-Attribute (19,8 Prozent) bis zur Unterdrückung per CSS (16,9 Prozent) reicht. In 85,2 Prozent der Fälle war die Anweisung zusätzlich sozialtechnisch gerahmt, etwa als angebliches Sicherheitsupdate.2

Was OWASP als Gegenmaßnahmen nennt

Die Liste führt sieben Maßnahmen: Modellverhalten über den System-Prompt einschränken, erwartete Ausgabeformate definieren und prüfen, Ein- und Ausgaben filtern, Rechte nach dem Prinzip der geringsten Privilegien vergeben, menschliche Freigabe für risikoreiche Aktionen verlangen, externe Inhalte kennzeichnen und trennen sowie adversariale Tests durchführen.1 Auffällig ist, was fehlt: eine Maßnahme, die das Problem beseitigt. Alle sieben begrenzen Wahrscheinlichkeit oder Schaden. → Schutzmaßnahmen im Überblick · Least Privilege · Penetrationstest für LLM-Anwendungen

Der Blick auf agentische Systeme

OWASP verfolgt die Entwicklung inzwischen in einer eigenen Arbeitslinie zu agentischer KI. Ein Bericht des Projekts zur Lage der agentischen KI-Sicherheit ordnet Prompt Injection sechs von zehn Kategorien der Top-10-Liste für agentische Anwendungen zu — das Risiko verteilt sich also über die Liste, statt sich auf einen Punkt zu beschränken. Von 53 verfolgten agentischen Projekten sind 28 Coding-Agenten; die meisten Sicherheitsmeldungen entfielen auf die Repositories von n8n, Claude Code, AutoGPT, Dify und Roo-Code.3

Diese Verschiebung ist der eigentliche Befund des Jahres: Die Risikoklasse bleibt dieselbe, ihr Wirkungsbereich verschiebt sich vom Chatbot zum handelnden System. → LLM01: Prompt Injection · LLM06: Excessive Agency

Einordnung

Für Betreiber ist der Listenplatz vor allem eine Priorisierungshilfe. Er sagt nicht, dass Prompt Injection den größten Einzelschaden verursacht, sondern dass sie in fast jeder LLM-Anwendung anwendbar ist, keine besonderen Voraussetzungen braucht und sich nicht abschließend beheben lässt. Wer danach plant, investiert zuerst in Rechtebegrenzung, Freigaben und Protokollierung — und erst danach in Formulierungen im System-Prompt.

Quellen

  1. OWASP GenAI Security Project: LLM01:2025 Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ ↩
  2. Unit 42, Palo Alto Networks: Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild, 03.03.2026. https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/ ↩
  3. Help Net Security: Prompt injection still drives most agentic AI security failures in production, 11.06.2026 — zum OWASP-Bericht State of Agentic AI Security and Governance (Version 2.01). https://www.helpnetsecurity.com/2026/06/11/owasp-prompt-injection-ai-security-failures/ ↩

Im Zusammenhang