Kritische Sicherheitslücken in vllm: Was IT-Verantwortliche jetzt wissen müssen

Veröffentlicht: 26. August 2026 | Quelle: BSI WID Advisory | Schweregrad: Mittel

Einleitung: Wenn KI-Infrastruktur zum Sicherheitsrisiko wird

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine aktualisierte Sicherheitswarnung zu mehreren Schwachstellen in vllm veröffentlicht. Die betroffene Software mag auf den ersten Blick wie ein Nischenprodukt wirken – doch weit gefehlt: vllm ist eine der meistgenutzten Open-Source-Inferenz-Engines für Large Language Models (LLMs) und kommt zunehmend in deutschen Unternehmensumgebungen zum Einsatz, überall dort, wo KI-Modelle wie Llama, Mistral oder ähnliche Systeme selbst gehostet betrieben werden.

Konkret warnt das BSI: Angreifer können die identifizierten Lücken ausnutzen, um sensible Informationen offenzulegen und Denial-of-Service-Angriffe (DoS) durchzuführen. Für Unternehmen, die vllm produktiv einsetzen – etwa in eigenen KI-Assistenten, automatisierten Dokumentenverarbeitungssystemen oder internen Chatbots – besteht akuter Handlungsbedarf.

Besonders brisant: Mit der fortschreitenden NIS2-Umsetzung in Deutschland (NIS2UmsuCG) sind immer mehr Unternehmen gesetzlich verpflichtet, solche Sicherheitsvorfälle nicht nur intern zu behandeln, sondern auch zu dokumentieren und unter Umständen dem BSI zu melden.

Technischer Hintergrund: Was ist vllm – und was steckt hinter den Schwachstellen?

Was ist vllm?

vllm (ausgesprochen: „vee-el-el-em") ist ein hochperformanter Inference-Server für KI-Sprachmodelle, der von der UC Berkeley entwickelt wurde und als Open-Source-Projekt aktiv gepflegt wird. Er ermöglicht es, große Sprachmodelle effizient und skalierbar auf eigener Hardware oder in privaten Cloud-Umgebungen zu betreiben.

In der Praxis bedeutet das: Unternehmen, die aus Datenschutz- oder Compliance-Gründen keine externen KI-APIs (wie OpenAI oder Anthropic) nutzen wollen, setzen oft auf vllm als Grundlage ihrer KI-Infrastruktur. Das macht die Software zu einem kritischen Bestandteil der IT-Architektur – und Sicherheitslücken darin zu einem ernsthaften Risiko.

Die Schwachstellen im Überblick

Das BSI-Advisory beschreibt mehrere Angriffsvektoren, die zusammengefasst zwei Hauptkategorien betreffen:

Ohne die vollständigen CVE-Details zu wiederholen: Typische Angriffsmuster in vergleichbaren Systemen umfassen manipulierte API-Anfragen, fehlerhafte Eingabevalidierung und Ressourcenerschöpfung durch speziell präparierte Eingabe-Token. IT-Teams sollten die vollständigen technischen Details im BSI WID-Advisory einsehen und mit den Versionsnummern ihrer eingesetzten vllm-Instanzen abgleichen.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Wer ist betroffen?

Seit Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) unterliegen in Deutschland deutlich mehr Unternehmen verschärften Sicherheitspflichten als zuvor. Betroffen sind insbesondere:

• Wesentliche Einrichtungen (z. B. Energie, Gesundheit, Transport, Finanzwesen)
• Wichtige Einrichtungen (z. B. Digitalanbieter, verarbeitendes Gewerbe, Forschungseinrichtungen)

Unternehmen, die vllm für produktive KI-Anwendungen in diesen Sektoren einsetzen, müssen die identifizierten Schwachstellen als potenzielle Sicherheitsereignisse einstufen.

Meldepflichten und Fristen

Gemäß § 32 NIS2UmsuCG (in Anlehnung an Artikel 23 der NIS2-Richtlinie) gilt für erhebliche Sicherheitsvorfälle:

• Innerhalb von 24 Stunden: Erstmeldung an das BSI (Frühwarnung)
• Innerhalb von 72 Stunden: Detaillierter Zwischenbericht
• Innerhalb von 1 Monat: Abschlussbericht mit Ursachenanalyse und ergriffenen Maßnahmen

Wichtig: Eine aktive Ausnutzung der vllm-Schwachstelle in Ihrer Umgebung, die zu Datenverlust oder Dienstausfall führt, kann die Meldeschwelle überschreiten. Klären Sie dies mit Ihrem CISO oder IT-Sicherheitsbeauftragten.

DSGVO-Überschneidung

Werden durch eine Information-Disclosure-Schwachstelle personenbezogene Daten kompromittiert – etwa Gesprächsprotokolle eines internen KI-Assistenten – greift zusätzlich die DSGVO-Meldepflicht gemäß Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsichtsbehörde (in den meisten Bundesländern innerhalb von 72 Stunden).

Praktische Schutzmaßnahmen: 7 konkrete Handlungsempfehlungen

1. Sofort-Update durchführen

Prüfen Sie umgehend, welche vllm-Version in Ihrer Umgebung betrieben wird. Das BSI-Advisory enthält Informationen zu den betroffenen Versionen. Spielen Sie verfügbare Patches oder aktualisierte Releases sofort ein – im Rahmen eines dokumentierten Notfall-Patch-Prozesses.

# Installierte vllm-Version prüfen
pip show vllm

# Auf aktuelle Version aktualisieren
pip install --upgrade vllm

2. Netzwerksegmentierung überprüfen

vllm-Instanzen sollten niemals direkt aus dem Internet erreichbar sein. Überprüfen Sie, ob:
- Der API-Endpunkt hinter einem Reverse Proxy mit Authentifizierung liegt
- Firewall-Regeln den Zugriff auf autorisierte interne Systeme beschränken
- Zero-Trust-Prinzipien für den Zugriff auf KI-Dienste umgesetzt sind

3. Monitoring und Anomalieerkennung aktivieren

Implementieren Sie Log-Monitoring für ungewöhnliche Anfragemuster, insbesondere:
- Überdurchschnittlich hohe Token-Eingaben
- Ungewöhnliche API-Aufruffrequenzen
- Fehlerhäufungen in den Server-Logs

Integrieren Sie vllm-Logs in Ihr SIEM-System (Security Information and Event Management).

4. Eingabevalidierung auf Applikationsebene

Falls Sie eigene Anwendungen auf Basis von vllm entwickelt haben: Implementieren Sie Input-Sanitization und Rate-Limiting auf Applikationsebene, um DoS-Angriffsvektoren zu reduzieren – unabhängig von Patches auf Infrastrukturebene.

5. Inventarisierung der KI-Assets

Viele Unternehmen haben den Überblick über eingesetzte KI-Komponenten noch nicht vollständig. Erstellen oder aktualisieren Sie ein AI/ML-Software-Inventar (als Teil Ihres allgemeinen Asset-Managements gemäß BSI IT-Grundschutz Baustein OPS.1.1.3). Nur wer weiß, was er betreibt, kann schnell reagieren.

6. Verantwortlichkeiten klären und Patch-Prozesse dokumentieren

Für NIS2-pflichtige Unternehmen gilt: Sicherheitsmaßnahmen müssen nachweisbar dokumentiert sein. Stellen Sie sicher, dass:
- Ein dedizierter Ansprechpartner für KI-Infrastruktur-Sicherheit benannt ist
- Patch-Prozesse schriftlich festgehalten und nachverfolgbar sind
- Risikoabwägungen bei verzögertem Patching dokumentiert werden

7. Lieferkettenrisiken prüfen (Supply Chain Security)

vllm ist ein Open-Source-Projekt mit externen Abhängigkeiten (Python-Pakete, CUDA-Bibliotheken). Prüfen Sie im Rahmen Ihres Third-Party-Risk-Managements, ob bekannte Schwachstellen auch in verwendeten Abhängigkeiten bestehen – Tools wie pip-audit oder SBOM-Generatoren (Software Bill of Materials) helfen dabei.

Fazit: KI-Sicherheit ist keine Kür, sondern Pflicht

Die BSI-Warnung zu vllm ist ein weiteres Beispiel für eine Entwicklung, die viele IT-Abteilungen unterschätzen: KI-Infrastruktur ist angreifbare Infrastruktur. Mit der zunehmenden Verbreitung selbst gehosteter Sprachmodelle in Unternehmen wächst auch die Angriffsfläche – und damit die Verantwortung von IT-Verantwortlichen und Geschäftsführern.

Die gute Nachricht: Der Schweregrad dieser Schwachstellen wird vom BSI als mittel eingestuft. Das gibt Ihnen Zeit für ein planvolles Vorgehen – allerdings keine Zeit für Untätigkeit. Wer NIS2-pflichtig ist, muss zudem belegen können, dass er auf Sicherheitswarnungen dieser Art systematisch und nachvollziehbar reagiert.

Call-to-Action: Behalten Sie den Überblick über Ihre Compliance-Pflichten

Die manuelle Verfolgung von BSI-Advisories, Patch-Ständen und Meldepflichten ist zeitaufwendig und fehleranfällig. NIS2-Compliance-Management-Software kann hier erheblich entlasten: Moderne Plattformen aggregieren Sicherheitswarnungen automatisch, ordnen sie Ihrem Asset-Inventar zu und unterstützen Sie bei der fristgerechten Dokumentation und Meldung von Sicherheitsvorfällen – ganz im Sinne der gesetzlichen Anforderungen aus NIS2UmsuCG und BSI IT-Grundschutz.

Prüfen Sie, ob Ihre aktuelle Toollandschaft für die gestiegenen Anforderungen gerüstet ist – bevor der nächste Vorfall das klarmacht.

Dieser Artikel basiert auf dem BSI WID-Advisory vom 26.08.2026. Für technische Details und spezifische CVE-Nummern verweisen wir auf die offizielle BSI-Advisories-Seite. Keine Haftung für Vollständigkeit oder Aktualität der Angaben.