Sicherheitsupdates für einen selbstgebauten KI-Stack: was dazugehört

Welche Schichten brauchen Sicherheitsupdates?

Schicht	Beispiele	Was zu beachten ist
Betriebssystem	Linux-Distribution	Updates der Distribution, Neustarts planen
Treiber für Grafikprozessoren	Treiber und Rechenbibliotheken des Herstellers	Versionen müssen zur Modell-Software passen
Container und Orchestrierung	Docker, Kubernetes	eigene Sicherheitshinweise, Abbilder neu bauen
Software für das Modell	vLLM, Ollama und ähnliche	häufige Versionen, Schnittstelle oft ohne eigene Anmeldung
Oberfläche	Open WebUI, LibreChat und ähnliche	schnelle Versionsfolge, Lücken im Browser der Personen
Datenbanken und Suche	PostgreSQL, Suchindex	Updates mit Datenmigration, vorher sichern
Bibliotheken	Python-Pakete und deren Abhängigkeiten	oft Hunderte, nur mit Werkzeugen überschaubar
Modelldateien	Modelle aus öffentlichen Ablagen	Herkunft prüfen, Formate ohne ausführbaren Code bevorzugen

Die Schichten hängen voneinander ab. Ein Update der Modell-Software kann einen neueren Treiber verlangen, ein neuer Treiber ein neues Betriebssystem. Deshalb gehört zu jedem Update ein Test des Zusammenspiels.

Wie oft gibt es kritische Lücken in KI-Software?

Häufiger, als man bei jungen Projekten erwarten würde. Drei Beispiele aus öffentlichen Quellen:

• Ollama: 2024 fand Wiz Research eine Lücke (CVE-2024-37032), über die Angreifer Dateien auf dem Server überschreiben und so Code ausführen konnten; behoben ab Version 0.1.34. Wiz wies darauf hin, dass die Schnittstelle von Ollama ab Werk keine Anmeldung kennt.
• vLLM: 2025 wurden mehrere Lücken veröffentlicht, darunter als kritisch eingestufte in Funktionen für den Betrieb über mehrere Server (etwa CVE-2025-32444) und eine, bei der Programmcode aus einer fremden Ablage geladen wurde, obwohl das ausgeschaltet war (CVE-2025-66448).
• Open WebUI: 2025 wurden mehrere Lücken geschlossen, über die eingeschleuster Code im Browser der Personen laufen konnte.

Wie viele Installationen ungeschützt erreichbar sind, zeigte Cisco Talos im September 2025: Eine Suche fand über 1.100 Ollama-Server, die ohne Anmeldung aus dem Internet erreichbar waren. Das ist kein Argument gegen diese Projekte, sie schließen Lücken meist zügig. Es zeigt, dass der Betreiber die Updates auch einspielen muss.

Wie sieht ein Ablauf für Sicherheitsupdates aus?

1. Bestand kennen: eine Liste aller Teile mit Version, am besten als Software-Stückliste (SBOM), automatisch erzeugt.
2. Hinweise verfolgen: Sicherheitshinweise der Projekte auf GitHub, der Distribution und des Grafikkarten-Herstellers abonnieren; Werkzeuge gleichen den Bestand mit bekannten Lücken (CVE) ab.
3. Bewerten: Ist die betroffene Funktion bei Ihnen aktiv und erreichbar? Wie schwer ist die Lücke?
4. Testen: Update in einer Testumgebung einspielen, Anmeldung, Antworten und Anbindungen prüfen.
5. Einspielen: im Wartungsfenster oder bei kritischen Lücken sofort, mit Sicherung vorher.
6. Zurücknehmen können: Schlägt ein Update fehl, muss der alte Stand wiederherstellbar sein.
7. Dokumentieren: was wann eingespielt wurde, für Revision und Prüfer.

Das BSI beschreibt Anforderungen an diesen Ablauf im IT-Grundschutz-Baustein OPS.1.1.3 Patch- und Änderungsmanagement. NIS2 zählt die Behandlung von Schwachstellen ausdrücklich zu den Pflichten betroffener Einrichtungen (Art. 21 Abs. 2 Buchst. e).

Was hilft zusätzlich zu Updates?

• Nichts offen ins Netz: Modell-Schnittstellen nur intern erreichbar, Zugang nur über die Oberfläche mit Anmeldung.
• Wenige Funktionen: Was nicht gebraucht wird, abschalten, etwa Betrieb über mehrere Server oder fremde Verbindungen in der Oberfläche.
• Feste Versionen: keine automatischen Updates aus dem Internet in der Produktion, sondern geprüfte, festgelegte Versionen.
• Zuständigkeit mit Vertretung: Patch-Management ist Daueraufgabe. Siehe Bus-Faktor.

Wie geht das mit basebox?

Updates und Sicherheits-Patches sind in der Lizenz enthalten. Jedes Release durchläuft Prüfungen der Abhängigkeiten auf bekannte Schwachstellen (CVE) und eine statische Code-Analyse; bei einer bekannten Schwachstelle schlägt das Release fehl. Zu jedem Release gibt es eine Software-Stückliste (SBOM) und Release Notes, Sie werden per E-Mail informiert. In der Cloud spielt basebox Updates ein, dringende Sicherheitsupdates auch außerhalb des Wartungsfensters. Auf dem Server installiert sich nichts automatisch: Ohne Betriebsauftrag spielen Sie Updates ein und prüfen dringende Sicherheitsupdates unverzüglich, ohne Internet als Offline-Paket über Ihre interne Ablage. Auf Wunsch betreiben wir Ihren Server aus der Ferne. Die Images sind noch nicht signiert, die Signierung ist in Vorbereitung; bis dahin weisen Image-Digests nach, dass sie unverändert sind.

Hinweis: Beispiele für Sicherheitslücken nach den genannten Quellen, Stand 11. Oktober 2026. Aktuelle Hinweise finden Sie auf den Seiten der Projekte.