Hackers nutzen OpenWebUI‑Server als Zombie‑Krypto‑Mining‑Armee

Am 18. März 2026 haben Sicherheitsforscher eine großangelegte Hackerkampagne aufgedeckt, die weltweit OpenWebUI‑Instanzen ins Visier nimmt. Die Angreifer nutzen Schwachstellen in öffentlich erreichbaren APIs, um Server heimlich als Krypto‑Mining‑Zombie‑Netzwerke zu missbrauchen. Die betroffenen Server liefern enorme Rechenleistung für die Angreifer, während die Betreiber hohe Kosten für Strom und Hardware tragen. Gleichzeitig erhöht sich das Risiko für Datenlecks, da einige Skripte auch Zugangsdaten auslesen. Für DevOps‑Teams und Unternehmen bedeutet das, dass ungesicherte KI‑Deployments zunehmend ein Sicherheitsrisiko darstellen. Die Bedrohung betrifft sowohl private als auch öffentliche Server, die für Forschungs- oder Entwicklungszwecke laufen. Besonders gefährdet sind kleine Teams ohne dedizierte Sicherheitsmaßnahmen. Über dieses Problem berichtet das Magazin Cybernews, unter Berufung auf den spanischen Tech‑Nachrichtendienst Cybernews.com. Betreiber müssen jetzt ihre Sicherheitsstrategien anpassen, um langfristigen Schaden zu vermeiden. Darüber berichtet die Redaktion von Renewz.de.

Was ist OpenWebUI und warum ist es wichtig für Entwickler

OpenWebUI ist eine Open‑Source-Weboberfläche, die den Zugriff auf lokale und Cloud-basierte KI-Modelle vereinfacht. Sie wird oft zusammen mit Tools wie Ollama eingesetzt, um LLMs über ein Dashboard zu steuern. Die Software hat eine breite Community auf GitHub, was ihre Popularität unter Entwicklern erklärt. Viele kleine Teams nutzen sie, um Modelle ohne Cloud-Abhängigkeit zu betreiben. Das erhöht jedoch die Angriffsfläche, da viele Server öffentlich zugänglich sind. Ohne starke Authentifizierung können Angreifer leicht auf APIs zugreifen. Betreiber unterschätzen häufig die Risiken, die aus offenen Endpoints entstehen. OpenWebUI selbst ist technisch stabil, aber die falsche Konfiguration macht es angreifbar. Für Entwickler ist es daher entscheidend, Sicherheitspraktiken von Anfang an umzusetzen.

Wie funktioniert der Angriff technisch

Die Angreifer nutzen eine Kombination aus öffentlich zugänglichen APIs, schwacher Authentifizierung und Malware-Skripten. Tausende OpenWebUI-Instanzen gaben technische Informationen frei, die für automatisierte Angriffe genutzt wurden. In über 98 Fällen fehlte jegliche Authentifizierung, wodurch Bots sofort Kontrolle erlangen konnten. Die Malware installiert einen Krypto-Miner und einen Infostealer, der sensible Daten sammelt. Über Discord-Webhooks melden die Angreifer jede erfolgreiche Infektion. Die Prozesse laufen oft unbemerkt, da Monitoring-Tools fehlen. Einmal installiert, kann die Malware monatelang unentdeckt bleiben. Die Angriffe sind hochgradig automatisiert und skalierbar. Für Betreiber bedeutet das ein hohes Risiko für Leistungseinbußen und Sicherheitsverstöße.

Ökonomische und rechtliche Folgen für Betreiber

Die Auswirkungen auf Betreiber sind erheblich und reichen von hohen Stromkosten bis zu rechtlicher Haftung. Mining-Prozesse treiben die CPU- und GPU-Auslastung massiv nach oben, wodurch Hardware schneller verschleißt. Betreiber berichten von kontinuierlicher Auslastung über 90 %, oft ohne dass sie den Ursprung bemerken. Rechtsrisiken entstehen durch unzureichende Sicherheitsmaßnahmen, insbesondere wenn personenbezogene Daten betroffen sind. Zudem kann die Serverinfrastruktur auf Blacklists landen und als Teil eines Botnets betrachtet werden. Die Reputation von Startups oder Hosting-Providern leidet erheblich. Unternehmen müssen daher schnell reagieren, um regulatorische Konsequenzen zu vermeiden. Monitoring und Sicherheitsmaßnahmen sind nicht nur optional, sondern gesetzlich relevant. Das Ignorieren der Gefahr kann erhebliche finanzielle Verluste nach sich ziehen.

So schützen Sie Ihre KI‑Server effizient

Eine sichere Konfiguration ist die wichtigste Schutzmaßnahme. Alle OpenWebUI-Instanzen sollten zwingend über starke Authentifizierung und Zwei-Faktor-Authentifizierung geschützt werden. Zugriff sollte nur über VPN oder interne Netzwerke erfolgen, öffentliche Endpoints sind zu vermeiden. Regelmäßige Softwareupdates schließen bekannte Sicherheitslücken und verringern das Risiko von Exploits. Monitoring-Systeme helfen, ungewöhnliche Ressourcenverbräuche frühzeitig zu erkennen. Unnötige Tools und Erweiterungen sollten deaktiviert werden, um Angriffsflächen zu minimieren. Host- und Netzwerk-Logs liefern zusätzliche Informationen bei verdächtigen Aktivitäten. Eine Kombination aus Firewall, Reverse-Proxy und Auth-Gateway erhöht die Sicherheit signifikant. Betreiber sollten eine Sicherheitsstrategie entwickeln, die Updates, Monitoring und Zugangskontrollen integriert.

Praktische Beispiele aus dem echten Leben

Ein Entwickler hostete OpenWebUI öffentlich, um Teamzugriffe zu ermöglichen, ohne Firewalls oder Authentifizierung. Nach wenigen Wochen zeigte die CPU-Auslastung kontinuierlich über 90 %, verursacht durch versteckte Mining-Prozesse. Erst durch manuelle Analyse entdeckte er die Malware und musste die Server neu aufsetzen. Ein anderes Startup isolierte OpenWebUI im Cloud-VPC und nutzte interne Zugriffe via Firewall, wodurch keine Infektion stattfand. Die Beispiele verdeutlichen, dass Sicherheit kein nachträglicher Schritt sein darf, sondern integraler Bestandteil der Deployment-Strategie sein muss. Frühzeitige Sicherheitsmaßnahmen verhindern kostspielige Ausfälle. Auch kleine Teams können mit einfachen Maßnahmen wie VPN-Zugang und Monitoring Schutz erreichen. Die Lehre: öffentliche Server ohne Absicherung sind ein hohes Risiko. Präventive Maßnahmen sparen langfristig Kosten und schützen Daten.

Tabelle: Klassische Sicherheitslücken und typische Auswirkungen

Praxis-Tipp: Betreiber sollten jede dieser Lücken priorisiert schließen, insbesondere die Authentifizierung und das Monitoring. Diese Tabelle dient als Checkliste für DevOps-Teams, um Sicherheitsrisiken auf OpenWebUI-Servern systematisch zu reduzieren.

1. Wie erkenne ich, ob mein OpenWebUI‑Server kompromittiert wurde?
Monitoring‑Tools, CPU‑Spitzen außerhalb der normalen Nutzung, unbekannte Prozesse und verdächtige Wallet‑Adressen im Netzwerkverkehr sind typische Indikatoren.

2. Kann Krypto‑Mining meine Hardware dauerhaft schädigen?
Langfristig ja — hohe Auslastung verkürzt die Lebensdauer von CPUs/GPUs und erhöht Stromkosten stark.

3. Reicht ein Passwortschutz aus?
Ein starkes Passwort ist ein Anfang, aber 2FA und VPN‑Zugang sind viel sicherer.

4. Muss ich OpenWebUI regelmäßig updaten?
Unbedingt — bekannte Schwachstellen werden aktiv von Angreifern ausgenutzt.

5. Kann ich OpenWebUI intern verwenden ohne Risiko?
Ja, wenn es hinter Firewall/VPN sitzt und keine öffentliche API hat.

6. Gibt es Tools zur automatischen Sicherheitsanalyse?
Ja — SIEM, Host‑Monitoring, File‑Integrity-Checks und Netzwerk‑IDS helfen.

7. Wie verhindere ich, dass Malware versteckt installiert wird?
Nutzen Sie strenge Zugangskontrollen, Whitelisting und deaktivieren Sie nicht benötigte Erweiterungen.

Bleiben Sie informiert! Lesen Sie auch: Warum steigt der Bitcoin Kurs im März 2026 auf neue Rekordwerte und welche Faktoren treiben den Markt