Ollama offen im Netz: Warum Port 11434 2026 zum Einfallstor wird

Kurzer Reality-Check: „Lokale KI“ klingt nach Datenschutz. In der Praxis hängt bei Zehntausenden VPS einfach Port 11434 im Internet – ohne Login. Dann ist Ollama kein privates Modell mehr, sondern ein öffentliches API. Genau das hat Bleeding Llama (CVE-2026-7482) im Mai 2026 brutal sichtbar gemacht.

Was passiert ist

Ollama ist 2026 der Standard, wenn Leute Llama, Mistral oder DeepSeek auf dem eigenen Server laufen lassen. Ein Daemon, eine REST-API, Docker-one-liner – fertig. Cyera Research hat darin eine kritische Lücke gefunden: In Versionen vor 0.17.1 kann ein präpariertes Modell beim Erstellen Speicher aus dem Ollama-Prozess mitlesen. CVSS 9.1, ohne Anmeldung.

Im Heap liegen dann nicht nur Gewichte, sondern das, was gerade im RAM war: System-Prompts, Chatverläufe, Umgebungsvariablen, API-Keys von n8n, OpenAI-Proxys oder Discord-Bots. Die offizielle Beschreibung (NVD) ist klar: Die Create- und Push-Endpunkte der Upstream-Distribution haben keine Authentifizierung.

Forscher sprachen von rund 300.000 Ollama-Instanzen, die aus dem Internet erreichbar waren. Ob die Zahl exakt stimmt, ist zweitrangig. Die Richtung stimmt: Wer OLLAMA_HOST=0.0.0.0 setzt, weil n8n, Open WebUI oder ein zweiter Container „drauf muss“, veröffentlicht oft unbeabsichtigt die ganze KI.

Der eigentliche Fehler ist nicht nur der Bug

Standardmäßig lauscht Ollama auf localhost. Das ist richtig. Dokumentiert und in Tutorials steht trotzdem überall: Bind an alle Interfaces, sonst erreicht Docker den Dienst nicht. Genau dieser Satz macht aus einem lokalen Modell einen offenen Endpunkt.

Selbst nach dem Patch bleibt ein offenes Ollama gefährlich. Ohne Login kann jeder eure CPU oder GPU zum Inferencen missbrauchen, Prompts in eure Modelle jagen und den Server in die Knie zwingen. Bleeding Llama hat nur gezeigt, dass dabei auch Secrets mitgehen können – nicht, dass Port 11434 vorher harmlos war.

• Kein Passwort in der Software – Schutz muss davor sitzen (Firewall, Reverse-Proxy, VPN).
• KI-Daten sind echte Daten – Verträge, Tickets, Spieler-Chats, Quellcode landen im Prompt.
• DSGVO gilt trotzdem – „läuft auf unserem VPS in Frankfurt“ hilft nicht, wenn die API weltweit offen ist.

Warum das Hosting 2026 trifft

Der typische Stack ist nicht mehr nur WordPress. Es ist n8n plus Ollama plus Open WebUI auf einem V- oder Root-Server – oft neben Discord-Bot oder Gameserver-Panel. Ein Port-Scan findet 11434 schneller als euer Monitoring den CPU-Spike.

Auf einem eigenen VPS begrenzt Isolation den Schaden wenigstens auf eure Maschine. Auf schlecht getrennten Umgebungen wäre Speicherleak plus offene KI ein Albtraum für Nachbarn. Genau deshalb zählen Kernel, KVM und Netzwerkregeln – nicht nur „welches Modell ist installiert“.

Standort Deutschland ändert an einem offenen Port nichts. Er ändert, ob ihr danach noch glaubwürdig sagen könnt: Die Prompts haben den Server nie verlassen. Offen im Netz haben sie das bereits – Richtung Angreifer.

Woran ihr eine gefährliche Instanz erkennt

Kein Tutorial, nur die Fragen, die 2026 zählen:

1. Ist 11434 von außen erreichbar – oder nur localhost / privates Netz?
2. Läuft Ollama älter als 0.17.1?
3. Stehen in derselben Umgebung Secrets (.env, Docker-Compose, Panel-Tokens)?
4. Nutzen Agenten (n8n, Cursor, Claude-Anbindung) denselben Host als „lokales“ Modell?

Wenn 1 zutrifft: so behandeln, als wären Keys und Chats bereits weg. Patch allein reicht dann nicht – Zugänge rotieren, Logs prüfen, Port zu.

Was „lokal“ 2026 noch bedeuten darf

Fazit

Ollama offen im Netz ist 2026 kein Nerd-Detail. Es ist die gleiche Klasse Fehler wie ein offenes Redis oder ein nacktes Docker-API – nur dass diesmal Kundendaten in Prompts stecken. Bleeding Llama war der Weckruf, Port 11434 ohne Auth war das eigentliche Problem.

Wer KI selbst hosten will, braucht dafür einen Server mit echten Ressourcen, aktuellem Stack und einer Leitung, die nicht jedem Scan antwortet. Bei NexoraHost heißt das V- oder Root-Server in Frankfurt, volle Kontrolle über Ports und Prozesse – nicht „Modell installieren und hoffen“.

V-Server bestellen →
Root-Server Linux · Root & VPS Übersicht