prompt injections.de
Fachportal für LLM-Sicherheit

Prompt Injections verstehen und abwehren

Das deutschsprachige Fachportal für Prompt Injection und LLM-Sicherheit: 51 dokumentierte Angriffstechniken, reale Vorfälle und geprüfte Abwehrmuster — herstellerneutral und auf dem Stand der Forschung.

Grundlagen lesen → Zur Schutz-Checkliste

Das Portal im Überblick

Jeder Bereich ist datengetrieben aufgebaut: Jede Sachaussage ist an eine verlinkte Primärquelle gebunden — OWASP, BSI, NIST, Forschungsarbeiten und Hersteller-Advisories.

  • 51dokumentierte Techniken
  • 32Werkzeuge zur Abwehr
  • 82Glossar-Begriffe
  • 7dokumentierte Vorfälle
  • Grundlagen

    Was ist Prompt Injection?

    Definition, Ursache im Kontextfenster, Abgrenzung zum Jailbreak, belegte Fälle und Schutzprinzipien.

  • 6 Seiten

    Arten der Prompt Injection

    Direkt, indirekt, gespeichert und multimodal — die Grundformen mit ihren Unterschieden in Angriffsweg und Abwehr.

  • 51 Einträge

    Techniken

    51 dokumentierte Verfahren mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.

  • 7 Vektoren

    Angriffsvektoren

    Wo Injektionen in Systeme gelangen: RAG, E-Mail, Agenten, Werkzeuge, Web, Bild und Dokumente.

  • 14 Maßnahmen

    Schutz

    Von der Eingabeprüfung bis zur Architektur — welche Maßnahmen wirken, welche nur Wahrscheinlichkeiten verschieben.

  • 32 Werkzeuge

    Werkzeug-Verzeichnis

    32 Guardrails, Scanner, Schutzmodelle und Benchmarks — redaktionell, ungesponsert, mit Quelle.

  • 16 Modelle

    Modelle und Schwachstellen

    Dokumentierte Befunde zu 16 Modellfamilien — mit Stand der Angaben und Quelle.

  • 10 Risiken

    OWASP LLM Top 10

    Die zehn Risiken für LLM-Anwendungen in der Fassung 2025, deutsch erklärt und mit Techniken verknüpft.

  • 82 Begriffe

    Glossar

    82 Begriffe aus Prompt Injection und LLM-Sicherheit, je zwei Sätze und belegt.

  • 7 Fälle

    Dokumentierte Vorfälle

    Belegte Fälle mit Zeitpunkt, betroffenem System, Wirkung und Behebungsstand — sachlich, ohne Alarmismus.

Verteidigung in Schichten

Keine Silberkugel — aber ein belastbares Sicherheitsnetz.

Einzelne Filter sind umgehbar. Erst die Kombination unabhängiger Schichten senkt das Risiko messbar. Die Balken zeigen die beispielhafte Abdeckung unserer Referenz-Architektur; die Maßnahmen dahinter stehen im Bereich Schutz.

Eingabe-Filter
92%
Prompt-Härtung
87%
Output-Validierung
81%
Rechte-Trennung
74%
Monitoring
68%
Kombiniert
99%

Beispielhafte Deckungswerte der Referenz-Architektur — keine Messwerte einzelner Produkte. Was jede Schicht leistet und wo ihre Grenzen liegen, erklärt die Checkliste vor dem Produktivgang.

Systemanweisung und Fremdtext im selben Kontextfenster Im Kontextfenster einer Anwendung liegen zwei Textblöcke übereinander: oben die Systemanweisung, die der Betreiber setzt, unten Fremdtext aus einer Webseite, einer E-Mail oder einem Dokument. Zwischen beiden verläuft keine technische Grenze. Das Sprachmodell liest sie als eine einzige Zeichenfolge — deshalb kann Fremdtext zur Anweisung werden. Kontextfenster der Anwendung Systemanweisung vom Betreiber gesetzt keine technische Grenze Fremdtext aus Webseite, E-Mail oder Dokument Sprachmodell liest beides als eine Zeichenfolge
Warum Schichten nötig sind: Steueranweisungen und verarbeitete Inhalte teilen sich ein Kontextfenster — jede Schicht geht davon aus, dass die vorherige versagt.

Häufig gesucht

Die meistgefragten Einstiege — direkt in die Tiefe statt über eine Übersichtsseite.

  • Indirekte Injektion

    Indirekte Prompt Injection

    Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.

    Risiko hoch
  • Indirekte Injektion

    Gespeicherte Prompt Injection

    Die Anweisung wird dauerhaft in einem Datenspeicher abgelegt — Vektordatenbank, Wissensbasis, Profilfeld — und wirkt bei jedem künftigen Abruf erneut, auch auf andere Nutzer.

    Risiko hoch
  • Angriff auf Agenten

    Zero-Click-Injektion

    Angriffsklasse, die ganz ohne Zutun des Opfers auskommt: Das Zustellen eines Inhalts in ein vom Assistenten durchsuchtes System genügt, um Injektion und Datenabfluss auszulösen.

    Risiko hoch
  • Angriff auf Agenten

    Tool-Poisoning (MCP)

    Die Beschreibung eines Werkzeugs — etwa eines MCP-Servers — enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Tools, noch bevor er das Werkzeug überhaupt aufruft.

    Risiko hoch
  • Datenvergiftung

    RAG-Vergiftung

    Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre Anweisungen ausspielen.

    Risiko hoch
  • Direkte Injektion

    Anweisungen-ignorieren-Angriff

    Der klassische Einstieg in die Prompt Injection: Der Angreifer schreibt in die Nutzereingabe eine Anweisung, die dem Modell befiehlt, seine bisherigen Vorgaben zu verwerfen und stattdessen der neuen Anweisung zu folgen.

    Risiko hoch

Wie dieses Portal arbeitet

Techniken werden erklärt, damit Betreiber ihre Systeme schützen können. Es gibt hier keine einsatzfertigen Angriffsanleitungen gegen konkrete Live-Systeme und keine bezahlten Einträge im Werkzeug-Verzeichnis. Was das im Einzelnen bedeutet, steht in den redaktionellen Grundsätzen; alle verwendeten Quellen sind im Quellenverzeichnis zusammengeführt.

Der Bestand wird laufend erweitert. Neue Beiträge erscheinen unter News, belegte Zwischenfälle unter Vorfälle.