Was sind Guardrails?
Stell dir vor, dein Website-Chatbot sagt einem Kunden einen Rabatt zu, den es nie gab. Wer zahlt? Du. Genau dafür gibt es Guardrails, auf Deutsch KI-Leitplanken.
Guardrails sind Prüfschichten, die um ein Sprachmodell herum sitzen. Sie schauen sich an, was reinkommt und was rausgeht — und greifen ein, wenn etwas gegen deine Regeln verstößt. Das Modell selbst ändern sie nicht. Sie sind eher der Türsteher als das Gehirn.
Typisch sind drei Stellen, an denen geprüft wird:
- Eingabe: Versucht jemand, die KI auszutricksen? Stehen Kundendaten in der Anfrage, die das Modell nicht sehen soll?
- Ausgabe: Ist die Antwort beleidigend, gefährlich, erfunden oder schlicht außerhalb deines Themas?
- Werkzeuge: Will ein KI-Agent gerade eine Mail verschicken oder etwas löschen, das er nicht darf?
Das OpenAI Agents SDK kennt genau diese drei Arten: Input-, Output- und Tool-Guardrails. Schlägt eine Prüfung an, löst sie einen „Tripwire“ aus, also einen Stolperdraht, und der Lauf bricht ab. NVIDIA NeMo Guardrails unterscheidet sogar fünf Stellen, inklusive der Prüfung von nachgeladenen Dokumenten.
Guardrails, System-Prompt, Red Teaming
Die Begriffe rund um KI-Sicherheit werden gern durcheinandergeworfen. So hängen sie zusammen:
Begriff
Was es ist
System-Prompt
Anweisung im Modell, weiche Leitplanke
Guardrails
Prüfschicht außerhalb des Modells
Prompt Injection
Angriff: eingeschleuste Anweisungen
Jailbreak
Angriff: Regeln aushebeln
Red Teaming
Test: die eigene KI gezielt angreifen
Prompt Injection und Jailbreak sind die Angriffe, Guardrails die Abwehr, Red Teaming der Härtetest für die Abwehr. In der OWASP-Liste der zehn größten Risiken für LLM-Anwendungen (Ausgabe 2025) steht Prompt Injection auf Platz 1.
Was Guardrails bringen und kosten
Leitplanken sind kein Luxus für Konzerne. Bei den großen Cloud-Anbietern kosten sie Centbeträge — sie kosten aber auch Rechenzeit und gelegentlich eine falsche Ablehnung.
Beispiel A · Kosten
KMU-Chatbot mit Amazon Bedrock Guardrails
20.000
Texteinheiten / Monat
0,15 $
je 1.000 Einheiten Inhaltsfilter
Inhaltsfilter = 20 × 0,15 $ = 3 $ im Monat
Beispielrechnung: 10.000 Gespräche mit je 2.000 Zeichen Eingabe, eine Einheit = bis zu 1.000 Zeichen. Ein Filter für Personendaten kommt mit 0,10 $ je 1.000 Einheiten dazu.
Beispiel B · Wirkung
Anthropics Constitutional Classifiers im Test
86 %
Jailbreaks erfolgreich ohne Filter
4,4 %
mit Filter
Preis dafür: +23,7 % Rechenaufwand
Automatisierte Auswertung mit künstlich erzeugten Angriffen (Februar 2025), kein Echtbetrieb. Harmlose Anfragen wurden um 0,38 Prozentpunkte häufiger abgelehnt.
Was die Zahlen zeigen: Guardrails drücken die Trefferquote von Angriffen drastisch — auf null bringen sie sie nicht. OWASP schreibt ausdrücklich, es sei unklar, ob es gegen Prompt Injection überhaupt narrensichere Methoden gibt. Amazon wirbt damit, dass Bedrock Guardrails bis zu 88 % schädlicher Inhalte blockieren. Das ist eine Herstellerangabe ohne veröffentlichte Methodik.
Häufige Fehler
Fehler 1 · Nur auf den System-Prompt setzen
„Antworte nur zu unseren Produkten“ im Prompt ist gut gemeint. Ein geschickter Nutzer redet das Modell trotzdem um. Anthropic und OWASP raten zu mehreren Schichten, die sich gegenseitig absichern.
Fehler 2 · Glauben, der Filter prüft auch Fakten
Ein Inhaltsfilter erkennt Beleidigungen und Angriffe. Ob eine Antwort stimmt, prüft er nicht — Microsoft schreibt das für seine Prompt Shields ausdrücklich. Gegen Halluzinationen brauchst du eigene Leitplanken, etwa einen Abgleich mit deinen Quelldokumenten (Grounding-Check).
Fehler 3 · Annehmen, die Filter seien schon an
Bei neueren Gemini-Modellen in Google Vertex AI stehen die Sicherheitsfilter standardmäßig auf „aus“. In Microsoft Foundry ist die Prüfung von Dokumenten auf versteckte Angriffe ab Werk ebenfalls aus. Wer nichts einstellt, fährt ohne Leitplanke.
Fehler 4 · Alles auf maximal stellen
Zu scharfe Filter blockieren harmlose Fragen und nerven deine Kunden. Microsoft empfiehlt bei zu vielen Fehlalarmen, eine Regel erst nur markieren statt blockieren zu lassen und dann nachzuschärfen.
So baust du Guardrails ein
Du musst dafür kein Sicherheitslabor betreiben. Für einen Chatbot oder einen KI-Agenten im Marketing reicht meist diese Reihenfolge:
- Thema eingrenzen: Lege fest, worüber die KI reden darf — und lass alles andere freundlich abweisen.
- Vorab-Check: Ein kleines, schnelles Modell prüft jede Anfrage, bevor das große Modell sie sieht. Das ist das Muster, das Anthropic empfiehlt.
- Personendaten maskieren: E-Mail-Adressen, Telefonnummern und IBANs automatisch schwärzen, bevor sie im Log landen.
- Kritische Aktionen freigeben: Erstattungen, Angebote oder Löschungen nie ohne menschliche Bestätigung.
- Auf Deutsch testen: Die Modelle hinter Microsofts Prompt Shields sind vor allem auf Englisch trainiert. Prüf deine Filter in der Sprache deiner Kunden.
Fertige Bausteine gibt es reichlich: Amazon Bedrock Guardrails, Azure AI Content Safety, die Sicherheitsfilter in Google Vertex AI, die Guardrails im OpenAI Agents SDK und als Open Source NVIDIA NeMo Guardrails oder Metas Llama Guard. In n8n baust du dasselbe Prinzip mit einem vorgeschalteten Prüf-Schritt.
Häufige Fragen
Was kosten Guardrails?
Bei Amazon Bedrock kosten Inhaltsfilter und verbotene Themen je 0,15 US-Dollar pro 1.000 Texteinheiten, der Filter für Personendaten 0,10 US-Dollar; eine Einheit fasst bis zu 1.000 Zeichen. Azure AI Content Safety enthält im Gratis-Kontingent 5.000 Textdatensätze pro Monat. Für einen kleinen Chatbot sind das wenige Dollar im Monat.
Verhindern Guardrails Halluzinationen?
Nur, wenn du die passende Leitplanke einsetzt. Normale Inhaltsfilter prüfen Ton und Gefährlichkeit, nicht die Wahrheit. Gegen erfundene Fakten helfen Prüfungen, die die Antwort mit deinen Quelldokumenten abgleichen — Bedrock nennt das Grounding-Check.
Was ist der Unterschied zwischen Guardrails und System-Prompt?
Der System-Prompt steht im Modell und ist eine Anweisung, die sich mit Tricks aushebeln lässt. Guardrails sitzen außerhalb und prüfen Ein- und Ausgaben mit eigenen Regeln oder einem zweiten Modell. Der Prompt sagt, was die KI tun soll, die Guardrail kontrolliert, ob sie es tut.
Machen Guardrails die KI langsamer?
Ein bisschen, ja. Jede Prüfung kostet Rechenzeit. Das OpenAI Agents SDK lässt dich wählen: Die Prüfung läuft parallel zum Modell und ist damit schneller, oder sie läuft vorher und blockiert — dann startet das teure Modell bei einem Angriff gar nicht erst.
Brauche ich Guardrails für einen einfachen Website-Chatbot?
Ja. Sobald ein Bot im Namen deines Unternehmens antwortet, haftest du im Zweifel für seine Aussagen. Mindestens eine Themenbegrenzung, ein Ausgabefilter und die Regel „keine Zusagen zu Preisen oder Erstattungen ohne Mensch“ gehören dazu.
