LiteLLM Supply-Chain-Angriff: 2500 Unternehmen, 153 GB gestohlene Daten
Was passiert
Im März 2026 wurde das Python-Paket LiteLLM — eine weit verbreitete Abstraktionsschicht für die Verbindung zu Large Language Models — kompromittiert. Jetzt liegen konkrete Daten zu diesem Angriff vor: Wie Heise Security meldet, haben IT-Forscher Zugriff auf abgeflossene Daten von tausenden betroffenen Firmen erhalten. Die Dimension ist erheblich: Laut Help Net Security umfasst das gestohlene Archiv insgesamt 153 Gigabyte und enthält Anmeldeinformationen sowie weitere sensitive Daten, die mit Tausenden von Unternehmensdomänen verknüpft sind.
Die Breite des Angriffs reicht bis in die Unternehmensleitung hinein. Unter den betroffenen Organisationen finden sich Großkonzerne wie AWS, Samsung, Cisco und Salesforce — Namen, die für Sicherheitsinfrastruktur stehen. Golem berichtet, dass Hacker über die kompromittierten LiteLLM-Pakete an Anmeldeinformationen von fast 2.500 teils sehr bekannten Organisationen gelangten. Die Gesamtzahl der betroffenen Unternehmen deutet darauf hin, dass der Angriff nicht gezielt, sondern breit gestreut war: LiteLLM wird von Entwicklerteams in aller Welt als Middleware eingebunden, um mehrere KI-APIs unter einer einheitlichen Schnittstelle anzusprechen.
Das technische Vorgehen folgt klassischem Supply-Chain-Angriff-Playbook. Der Malware-Code wurde in ein legitimes, weit verbreitetes Open-Source-Paket eingeschleust. Jede Installation, die das betroffene Paket-Update herunterlädt, wurde potenziell infiziert. Entwickler, die LiteLLM in ihre Produktionsumgebungen integriert hatten, wurden zu unwissenden Vektoren für die Exfiltration von API-Keys, Datenbank-Zugangsdaten und anderen Authentifizierungsmitteln. Die Tatsache, dass erst jetzt, fünf Monate später, das volle Ausmaß des Datenlecks öffentlich wird, wirft Fragen zu Zeitspannen bei Incident Response und Disclosure-Koordination auf.
Warum für DACH relevant
Der LiteLLM-Angriff betrifft den deutschsprachigen Raum direkt und auf mehreren Ebenen. Erstens: LiteLLM ist kein exotisches Nischentool. In der deutschen und österreichischen Startup- und Mittelstandsszene, insbesondere bei Unternehmen, die KI-Integrationsprojekte vorantreiben, ist es verbreitet. Finanzdienstleister, Maschinenbau-Softwareunternehmen und Consulting-Häuser nutzen solche Abstraktionsschichten zur Kostenoptimierung bei Multi-Model-Setups. Wer LiteLLM zwischen März und August 2026 produktiv eingesetzt hat, ist potenziell betroffen.
Zweitens: Das Datenleck berührt DSGVO-Pflichten unmittelbar. Die 153 GB gestohlenen Daten enthalten mit hoher Wahrscheinlichkeit auch Anmeldeinformationen für Systeme, die personenbezogene Daten verarbeiten. Eine Datenschutzfolgenabschätzung ist notwendig; die betroffenen Unternehmen müssen die Auswirkungen auf Kundenservices bewerten. Wer Kundendaten über KI-Pipelines verarbeitet, die durch LiteLLM geleitet werden, muss prüfen, ob ein Datenschutz-Verstoß vorliegt und ob eine Meldung an Behörden wie die Datenschutzkonferenz erforderlich ist.
Drittens: Dieser Angriff zeigt ein Governance-Problem im DACH-Raum. Viele mittelständische Unternehmen haben keine ausreichende Visibility über ihre Software-Supply-Chain. Sie wissen nicht exakt, welche Pakete in welchen Versionen in welchen Umgebungen laufen. Eine Abfrage wie "Verwenden wir LiteLLM?" führt oft zu Schulterzuckern. Der Incident macht deutlich: Ohne Software Composition Analysis (SCA) und regelmäßige Abhängigkeits-Audits weiß man nicht, wann man betroffen ist — und kann daher auch nicht schnell reagieren.
Was du jetzt tun solltest
Die zentrale Erkenntnis: Supply-Chain-Sicherheit bei KI-Infrastruktur ist nicht optional, sie ist Bestandteil des Pentesting-Ansatzes. Das Risiko liegt nicht primär in der KI-API selbst, sondern in den Vermittlungsschichten und deren Abhängigkeiten. Das heißt konkret: Unternehmen im DACH-Raum sollten ab sofort ihre KI-Integration unter das Lens von KI-Pentesting stellen. Das bedeutet nicht nur, das ML-Modell selbst zu testen, sondern die gesamte Lieferkette von der Paket-Verwaltung bis zur Laufzeit-Isolation zu validieren. Ein Penetrationstester sollte gezielt nach unsichtbaren Abhängigkeiten suchen — jenen Python-Paketen, Node-Modulen oder Go-Importen, die ohne explizite Dokumentation in den Produktionsstacks mitgehen.
Als zweiter Schritt: Wer in den vergangenen Monaten API-Keys oder Datenbank-Passwörter über Systeme geleitet hat, die LiteLLM nutzen, sollte diese Credentials umgehend rotieren. Das ist kein Vorschlag, sondern eine Notwendigkeit. Der Datenbestand ist öffentlich; Threat-Akteure können bereits daran arbeiten, die Keys zu testalken und zum Zugriff auf Produktionssysteme zu missbrauchen. Das verlinkte Piece zu KI-generierten Sicherheits-Patches zeigt, dass automatisierte Antworten oft fehlschlagen — hier ist manuelle Priorisierung erforderlich.