LiteLLM-Supply-Chain-Angriff: 2.500 Firmen betroffen – was Praxen und Kliniken jetzt prüfen sollten
Ein im März kompromittiertes LiteLLM-Paket hat laut IT-Sicherheitsforschern über 2.500 Unternehmen betroffen – ein Anlass, auch in Praxen und Kliniken die Anbindung von KI-Diensten kritisch zu prüfen.
Mit KI-Unterstützung erstellt · redaktionell geprüft und verantwortet von Steven Breuer.
Wenn medizinische Software heute mit einem Sprachmodell kommuniziert – für die Dokumentation, für Codierungsvorschläge, für Anamnese-Assistenten –, läuft diese Anbindung selten direkt zum KI-Anbieter. Dazwischen sitzt meist eine Middleware, die Anfragen an verschiedene Modelle routet, Kosten verwaltet und Zugangsdaten bündelt. Eine der verbreitetsten Bibliotheken dafür ist LiteLLM. Genau hier setzte im März dieses Jahres ein Lieferkettenangriff an, dessen Ausmaß jetzt öffentlich wird – und der auch für Gesundheitseinrichtungen relevant ist, die KI-Werkzeuge einsetzen.
Was passiert ist
IT-Sicherheitsforscher von CloudSEK berichten, dass Angreifer kompromittierte Pakete in den Python Package Index (PyPI) eingeschleust hatten. Die manipulierten Versionen waren nur rund 40 Minuten online – wurden aber in dieser kurzen Zeit von automatisierten Build-Systemen zigtausendfach heruntergeladen. Nach Analyse von CloudSEK haben die Angreifer potenziell rund 434.000 automatisierte Entwickler-Pipelines bei mehr als 2.500 Unternehmen unterwandert. Zu den in der Auflistung genannten Firmen zählen unter anderem Airbus, AWS, Cisco, Salesforce, Samsung, Siemens, Volkswagen – und mit Hoffmann-La Roche auch ein großer Pharmakonzern (heise online).
Die eingeschleuste Schadsoftware, von Google „Sandclock" genannt, weitete auf kompromittierten Build-Systemen ihre Rechte bis zu Root-Zugriff aus und suchte gezielt nach sensiblen Daten. Besonders bemerkenswert für unseren Kontext: Auf KI-Build-Systemen suchte sie explizit nach LLM-API-Keys und Gateway-Konfigurationen. Entwendet wurden laut CloudSEK unter anderem Cloud-Zugangsschlüssel, Repository-Token, SSH-Keys, Kubernetes-Secrets und Umgebungsvariablen. Die Daten wurden verschlüsselt an Server mit einer Typosquatting-Domain gesendet – oder, falls das fehlschlug, in einem öffentlichen GitHub-Repository des jeweiligen Opfers abgelegt.
Warum das auch Ihre Praxis betrifft
Die genannten Firmen sind Großkonzerne – auf den ersten Blick scheint das Thema weit weg von der Hausarztpraxis oder der Klinikambulanz. Tatsächlich ist die Angriffsfläche aber breiter: Viele medizinische Softwareanbieter, die KI-Funktionen in Praxisverwaltungssysteme, Dokumentationsassistenten oder Diagnoseunterstützung integrieren, nutzen genau solche Middleware-Bibliotheken in ihrer eigenen Entwicklungsinfrastruktur. Wenn deren Build-Pipeline betroffen war, können darüber Zugangsdaten abgeflossen sein, die letztlich mit Systemen verknüpft sind, die Patientendaten verarbeiten oder KI-Anbieter-Konten der Praxis ansprechen.
Wichtig ist dabei die Einordnung: Die vorliegenden Daten zeigen laut CloudSEK, dass Angreifer potenziell Zugriff hatten – nicht, dass in jedem Fall tatsächlich Daten entwendet oder missbraucht wurden. Trotzdem bleibt die Lage ernst: Das FBI warnte im Juli, dass mit der Gruppe TeamPCP verbundene Akteure gestohlene Zugangsdaten wahrscheinlich noch lange nach dem eigentlichen Angriff verwenden. Entfernte Schadpakete allein reichen also nicht – solange Zugangsdaten nicht geändert wurden, bleiben sie nutzbar.
Konkrete Schritte für Praxen und Kliniken
- Vendoren befragen. Fragen Sie Ihren Anbieter für Praxissoftware, KI-Dokumentationsassistenten oder Diagnoseunterstützung aktiv, ob LiteLLM in dessen Entwicklungs- oder Build-Infrastruktur eingesetzt wird oder wurde und ob eine Betroffenheit geprüft wurde.
- Bestätigung der Rotation einfordern. Verlangen Sie eine schriftliche Aussage, dass betroffene Zugangsdaten – Cloud-Keys, API-Keys, Repository-Token – rotiert wurden.
- Auftragsverarbeitungsverträge prüfen. Klären Sie, ob Ihr Vertrag mit dem KI- oder Software-Anbieter eine Meldepflicht bei Sicherheitsvorfällen enthält, und fordern Sie diese im Zweifel ein.
- Eigene Systeme prüfen. Falls Ihre Praxis oder Klinik selbst ein LLM-Gateway wie LiteLLM betreibt – etwa zur Anbindung mehrerer KI-Modelle –, sollten Sie die eigenen Build-Pipelines und verwendeten Paketversionen kontrollieren.
- Ungewöhnliche Aktivität beobachten. Prüfen Sie Abrechnungen und Nutzungsprotokolle bei KI-Anbietern auf unerwartete Anfragen – ein typisches Indiz für missbräuchlich genutzte API-Keys.
Der Vorfall zeigt exemplarisch, wie eng die Sicherheit medizinischer KI-Anwendungen mittlerweile an die Software-Lieferkette der Hersteller gekoppelt ist. Für Praxen bedeutet das: Die Frage „Welche KI-Middleware nutzt mein Anbieter, und wie schnell reagiert er auf solche Vorfälle?" gehört inzwischen ebenso zur Sorgfaltspflicht wie die Prüfung von Zertifizierungen oder Datenschutzerklärungen.