OWASP LLM Top 10 (2025): was sich für KI-Integrationen jetzt ändert
Die OWASP LLM Top 10 2025 bündeln zehn Risikoklassen für Anwendungen mit generativen Modellen. Sie ersetzen die Web Top 10 nicht — sie ergänzen sie. Für KMU mit KI-Features müssen diese Punkte vor dem ersten PR Teil des Threat Modelings werden.
Die häufigsten drei in realen Systemen: Prompt Injection (LLM01), Sensitive Information Disclosure (LLM02) und Improper Output Handling (LLM05). Nutzerinput, vertrauliche Daten und Modelloutput müssen jeweils als Risiko behandelt werden.
Produktteams unterschätzen oft Excessive Agency (LLM06), Vector and Embedding Weaknesses (LLM08) und System Prompt Leakage (LLM07). Genau diese Klassen entstehen schnell, wenn KI-Features Tool-Zugriff, RAG oder lange Systemprompts bekommen.
Die gemeinsame Abwehr basiert auf drei Prinzipien: jeden Input als potenziell feindlich behandeln, jeden LLM-Output ebenfalls prüfen und dem Modell nur so viel Agency geben wie nötig. Diese Prinzipien decken sieben der zehn Punkte ab. Dazu kommt: Im Dezember 2025 veröffentlichte OWASP die Top 10 für agentische Anwendungen (ASI01–ASI10) — Pflichtlektüre für alle, die Agenten produktiv einsetzen.
Threat Modeling für LLMs ist keine akademische Übung. Fünf der zehn Punkte tauchten 2025 bereits in öffentlichen Vorfällen auf.