Versatile AI Risk Assessment

KI-Bedrohungskatalog Angriffe auf Modell und Betrieb Produktion

Seitenkanal-Angriffe (Timing-Analyse)

Angreifer schließen aus beobachtbaren Nebeneffekten des Betriebs, etwa aus Antwortzeiten oder dem Zeittakt der Ausgabe, auf verborgene Informationen des Modells, seiner Prompts oder seines Zustands.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 6 Gegenmaßnahmen · 6 belegte Quellen

Beschreibung

Auch ohne direkten Zugriff verrät ein laufendes System Informationen über messbare Nebeneffekte, sogenannte Seitenkanäle. Angreifer messen zum Beispiel, wie lange eine Antwort dauert (Inferenz-Latenz), in welchem Zeittakt die Ausgabe Wort für Wort erscheint (Token-Streaming) oder ob eine Berechnung auffällig schnell aus einem Zwischenspeicher kommt (Cache-Treffer). Aus solchen Zeitmustern lassen sich Rückschlüsse auf die Bauart des Modells, auf Teile eines verborgenen System-Prompts (der internen Grundanweisung an das Modell) oder auf die vom System verarbeiteten Daten ziehen. Nötig ist nur die Beobachtung von außen sichtbarer Zeitsignale, kein Einbruch.

Mögliche Auswirkung

Über den Umweg der Zeitmessung können Modell- und Konfigurationsdetails, Teile vertraulicher System-Prompts oder Hinweise auf verarbeitete Daten abfließen, ohne dass ein klassischer Einbruch nötig ist. Die gewonnenen Erkenntnisse verstärken Auskundschaftung und Modell-Diebstahl. Weil die Zeitsignale zum normalen Betrieb gehören, sind solche Angriffe schwer vollständig zu verhindern.

Beispiel

Ein Dienst gibt seine Antworten Wort für Wort aus. Ein Angreifer misst die winzigen Verzögerungen zwischen den Wörtern und kann daraus ableiten, ob seine Testeingabe Teile des verborgenen System-Prompts getroffen hat, den der Betreiber eigentlich geheim halten wollte.

Empfohlene Gegenmaßnahmen (6)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

  • Möglichst konstante Inferenzzeiten

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.

  • Einspeisung von Timing-Rauschen

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.

  • Batch-Processing zur Verschleierung individueller Latenzen

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.

  • Rate-Limiting zur Vermeidung von Timing-Korrelationen

    Technisch
    Wirkung
    Präventiv, Schadensbegrenzend
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen; ergänzt durch verbindliche Abläufe.

  • Timing-Schutz auf Netzwerkebene (Padding, Delay)

    Technisch
    Wirkung
    Präventiv, Schadensbegrenzend
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.

  • Seitenkanal-bewusstes Systemdesign

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Sichere Formate, restriktive Voreinstellungen oder Schutzschichten reduzieren unsichere Ausführungspfade und Angriffsflächen.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 LLM02:2026NIST AI RMF MEASURE 2.7 · NISTAML.031MITRE ATLAS AML.T0040EU AI Act Article 55(1)(d) · Article 9(1), 9(2)(a), 9(2)(d)

Belegte Referenzen (6)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

  • Risikomanagementsystem einrichten und betreiben Art. 9 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028

    Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Systemische Risiken bewerten und mindern Art. 55 · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: Modell mit systemischem Risiko.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Weitere Einträge aus der Themengruppe Angriffe auf Modell und Betrieb.

Modell-Diebstahl Angreifer erzeugen aus einem fremden KI-Modell eine funktionsfähige Kopie, indem sie es massenhaft abfragen oder direkt in die … Adversariale Eingaben Angreifer verändern eine Eingabe minimal und für Menschen unauffällig, sodass das KI-Modell sie falsch einordnet. Denial-of-Service auf das Modell Angreifer überlasten das KI-Modell mit besonders aufwendigen Anfragen, bis der Dienst langsamer wird oder ausfällt.

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Bei 47 weiteren Anwendungsfällen hängt es vom Aufbau des Systems ab, etwa davon, ob es Rechenleistung mit anderen Kunden oder Anwendungen teilt oder Anfragen direkt über eine Schnittstelle annimmt. Diese Anwendungsfälle zeigen

Häufige Fragen

Worum geht es bei dieser Bedrohung?
Angreifer schließen aus beobachtbaren Nebeneffekten des Betriebs, etwa aus Antwortzeiten oder dem Zeittakt der Ausgabe, auf verborgene Informationen des Modells, seiner Prompts oder seines Zustands.
Welche Gegenmaßnahmen nennt der Katalog?
Der Katalog nennt 6 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Möglichst konstante Inferenzzeiten, Einspeisung von Timing-Rauschen und Batch-Processing zur Verschleierung individueller Latenzen. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?
Der Katalog ordnet diese Bedrohung Art. 9 und Art. 55 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Risikomanagementsystem einrichten und betreiben und Systemische Risiken bewerten und mindern. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„Seitenkanal-Angriffe (Timing-Analyse)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/seitenkanal-angriffe/

← Zurück zum vollständigen Katalog