LiteLLM-Supply-Chain: 153GB Credentials von 2.500 Unternehmen geleakt
Was passiert
Ein massiver Supply-Chain-Angriff auf das Python-Paket LiteLLM hat zur Exfiltration von 153GB gestohlener Anmeldeinformationen geführt. Wie Help Net Security meldet, wurden Credentials und sensible Daten aus tausenden Unternehmensdomänen kompromittiert, darunter Fortune-500-Unternehmen wie AWS, Samsung, Cisco und Salesforce. Die gestohlene Datenmenge umfasst API-Schlüssel, Datenbankpasswörter, Cloud-Zugangsdaten und weitere authentifizierungskritische Informationen.
LiteLLM ist ein weit verbreitetes Open-Source-Framework für die Verwaltung von LLM-API-Aufrufen. Es ermöglicht Entwicklern, einfach zwischen verschiedenen Sprachmodellen von OpenAI, Anthropic, Google und anderen Anbietern zu wechseln. Der Angriff zielte darauf ab, kompromittierte Versionen des Pakets in öffentliche Repositories einzuschleusen, sodass Entwickler diese unwissentlich herunterluden. Laut Ars Technica wurden insgesamt 2.500 Nutzer des Pakets betroffen. Die exfiltrierten Credentials werden aktuell in öffentlichen Repositories veröffentlicht und sind potenziell allen Hackern zugänglich.
Das Ausmaß des Lecks zeigt, wie gezielt Angreifer auf populäre KI-Infrastruktur-Pakete abzielen: LiteLLM wird in der KI-Community intensiv genutzt, weil es die Integration mehrerer Modelle vereinfacht. Eine Kompromittierung an diesem zentralen Punkt multipliziert die Auswirkungen exponentiell. Zum Zeitpunkt des Leaks lagen keine offiziellen Patches oder Aktualisierungsempfehlungen vor; die betroffenen Organisationen müssen ihre Credentials aktiv identifizieren und rotieren.
Warum für DACH relevant
Der LiteLLM-Angriff trifft den deutschsprachigen Raum mit besonderer Härte. Erstens nutzen deutsche und österreichische Tech-Unternehmen, Mittelständler und Finanzinstitute intensiv Python-basierte KI-Infrastruktur. LiteLLM ist ein Standard-Tool für RAG-Systeme, Chatbot-Backend und unternehmensweite LLM-Integration – besonders in regulierten Branchen wie Versicherung, Banking und Industrie 4.0. Viele dieser Organisationen sind vermutlich unter den 2.500 betroffenen Nutzern.
Zweitens greifen hier mehrere Compliance-Schichten gleichzeitig: Die DSGVO verpflichtet betroffene Organisationen zur unverzüglichen Benachrichtigung der Aufsichtsbehörden und potenziell betroffener Personen, sobald Credentials mit Personenbezug (etwa Kundendatenbank-Zugang) kompromittiert sind. Der EU-AI-Act verschärft zusätzlich die Anforderungen an KI-Lieferketten: Organisationen, die Frontier-Modelle über KI-Infrastruktur-Tools wie LiteLLM bereitstellen, müssen nachweisen, dass ihre Zulieferer angemessene Sicherheitsstandards erfüllen. Ein Supply-Chain-Angriff dieser Größenordnung wird von Regulatoren als Beleg für unzureichende Vendor-Due-Diligence interpretiert.
Drittens zeigt der Angriff ein Governance-Loch: Viele deutsche Mittelständler und Konzerne halten keine aktuellen Inventare ihrer Python-Dependencies. Sie können nicht schnell bestimmen, welche Services tatsächlich LiteLLM nutzen oder ob diese direkt oder transitiv (via andere Pakete) eingebunden sind. Das macht Incident Response deutlich schwächer als in Ländern mit etablierter Software-Composition-Analysis (SCA). Das BSI und die zuständigen Landesdatenschutzbeauftragten werden voraussichtlich Empfehlungen zur zwingenden Depot-Audit-Praxis ausgeben.
Was du jetzt tun/wissen solltest
Die kritische Aktion ist sofortige Supply-Chain-Transparenz: Organisationen müssen innerhalb von 48 Stunden ein vollständiges Inventory ihrer Python-Dependencies erstellen – nicht nur für Produktionscode, sondern auch für alle Data-Science-, Analytics- und RAG-Umgebungen. Tools wie Snyk, Dependabot oder Software Composition Analysis im CI/CD zeigen, welche LiteLLM-Versionen im Einsatz sind und ob sie kompromittiert wurden. Viele betroffene Organisationen werden feststellen, dass sie drei oder vier Versionsschichten tiefer (als transitive Abhängigkeit) LiteLLM nutzen, ohne das zu wissen – das ist das kritische Szenario.
Zweiter Step ist Credential-Rotation für alle Systeme, die potenziell durch kompromittierte Umgebungen offengelegt wurden. Das bedeutet nicht nur API-Keys bei OpenAI/Anthropic/Google, sondern auch AWS-Secrets, Datenbank-Passwörter, OAuth-Tokens und Cloud-Storage-Zugang – überall dort, wo der kompromittierte Code Lese- oder Schreibzugriff hatte. Für regulierte Branchen (Fintech, Healthcare, Kritische Infrastruktur) ist dies als Sicherheitsvorfalls nach DSGVO und NIS2 zu dokumentieren und zu melden.
Die strukturelle Lektion ist: Pentesting und Red-Teaming von Lieferketten wird zur Kernaufgabe. Der Angriff zeigt, dass traditionelle Code-Review und Vulnerability-Scanning nicht ausreichen – Attack-Surface auf Paket-Level (Typosquatting, Versionssprünge, abhängigkeitsketten-Hijacking) muss aktiv überwacht werden. Das ist auch eine Keyfactor für die Einführung von Attestation und Signed Packages im Python-Ökosystem.
Quellen
- Help Net Security: 153GB of stolen credentials surface after LiteLLM supply chain attack
- Golem Wirtschaft: Nach Supply-Chain-Angriff – Riesiges Datenleck betrifft unzählige große Konzerne
- Ars Technica: Terabytes of credentials leaked in massive supply-chain attack
Cross-Links: