Cyberpediavon Brain
DEENFR

Fine-Tuning oder RAG im Unternehmen

Ein Modell nachtrainieren (Fine-Tuning, LoRA) oder ihm Dokumente zum Nachschlagen geben (RAG): Unterschied, Risiken und Ihr Reflex.

In 30 Sekunden

Wo es vorkommt
In KI-Tools, die an Ihre Dokumente angebunden sind.
Was der Angreifer will
Manipulierte Inhalte in die Daten einschleusen (indexierte Dokumente oder Trainingsdaten) oder Informationen abgreifen, die das System gespeichert oder indexiert hat.
Der Reflex
Geben Sie keine personenbezogenen oder vertraulichen Daten ohne Freigabe in ein KI-Tool ein, und prüfen Sie die Quellen, die das Tool nennt.
Wenn es schon passiert ist
Informieren Sie die verantwortliche Stelle des Tools oder die IT-Sicherheit, damit die Daten aus der Datenbank oder den Trainingsdaten entfernt werden.

Worum es geht

Damit ein KI-Assistent Fragen zu unternehmensspezifischen Themen beantworten kann, gibt es zwei Wege. Der erste trainiert das Modell mit firmeneigenen Daten nach (Fine-Tuning). Der zweite verbindet das Modell mit Dokumenten, die es nachschlagen kann: Das ist RAG, die Abkürzung für „Retrieval-Augmented Generation".

RAG verbindet ein im Modell enthaltenes Gedächtnis mit einem externen Gedächtnis, zum Beispiel einem Dokumentenindex1. Die Autoren stellen fest, dass der Nachweis der Herkunft von Modellantworten und die Aktualisierung des Wissens bei alleinstehenden Modellen offene Probleme bleiben1. Dieser Beitrag erklärt den Unterschied und was Sie als Beschäftigte oder Beschäftigter bei beiden Ansätzen tun.

Direkte Fragen

Was unterscheidet Fine-Tuning, LoRA und RAG?

Beim Fine-Tuning wird ein bereits trainiertes Modell an eine bestimmte Aufgabe oder einen bestimmten Bereich angepasst. In der vollständigen Variante werden dabei alle Parameter des Modells neu trainiert2. LoRA ist eine schlankere Variante. Sie friert die Gewichte des ursprünglichen Modells ein und fügt jeder Schicht kleine trainierbare Matrizen hinzu, wodurch sich die Zahl der zu trainierenden Parameter stark verringert2. Für GPT-3 175B geben die Autoren eine Verringerung dieser Zahl um den Faktor 10 000 an und einen um den Faktor 3 geringeren GPU-Speicherbedarf, verglichen mit vollständigem Fine-Tuning mit Adam2.

RAG verbindet das Modell mit externen Wissensquellen4. OWASP weist darauf hin, dass diese Ergänzung das Verhalten des Basismodells ungewollt verändern kann4.

Welche Vorteile bietet RAG im Unternehmen?

Ein Teil des Wissens bei RAG liegt zusätzlich zu dem des Modells in einer Dokumentendatenbank: Die Autoren von RAG nennen die Aktualisierung des Wissens und die Angabe der Herkunft als Grenzen alleinstehender Modelle, die das externe Gedächtnis überwinden soll1. OWASP rät, von Nutzern bereitgestellte Informationen in einer Vektordatenbank abzulegen, was Anpassungen ohne Neutraining des gesamten Modells erlaubt3. Zugriffsrechte lassen sich schließlich auf Ebene der Datenbank anwenden, sofern diese dafür ausgelegt ist (siehe unten)4.

Zu den Kosten vergleichen die Quellen des Dossiers beide Ansätze nicht direkt. Sie belegen nur, dass vollständiges Fine-Tuning mit wachsender Modellgröße weniger praktikabel wird2.

Schützt RAG vor allem?

Nein. Laut OWASP sollen RAG und Fine-Tuning die Antworten relevanter und genauer machen, doch die Forschung zeige, dass sie Prompt Injection nicht vollständig unwirksam machen6.

1Wie es funktioniert1 min

Bei RAG ist das Modell mit externen Wissensquellen verbunden, und OWASP erläutert, dass diese Anreicherung durch Abruf Vektormechanismen und Embeddings nutzt4. Das Modell kombiniert dann sein eigenes Gedächtnis mit diesem externen Gedächtnis1.

Beim Fine-Tuning laufen die Daten durch das Training. OWASP unterscheidet drei Phasen, in denen Daten manipuliert werden können: das Pre-Training, das Fine-Tuning und die Embedding-Phase, in der Text in Vektoren umgewandelt wird3.

2Was Sie tun1 min
  • Geben Sie keine personenbezogenen oder vertraulichen Daten ohne Freigabe in ein KI-Tool ein. OWASP zählt zu den sensiblen Informationen personenbezogene Daten, Finanzinformationen, Gesundheitsakten, vertrauliche Geschäftsdaten, Sicherheitszugangsdaten und Rechtsdokumente5.
  • Bedenken Sie, dass das, was Sie eingeben, später wieder auftauchen kann. OWASP fordert Nutzer auf, die Risiken zu verstehen, wenn sie unbeabsichtigt sensible Daten liefern, die in den Antworten des Modells offengelegt werden könnten5.
  • Lesen Sie die vom Tool genannten Quellen und prüfen Sie, ob sie wirklich das aussagen, was die Antwort behauptet. OWASP empfiehlt, die Ausgaben des Modells mit vertrauenswürdigen Quellen abzugleichen, um eine Vergiftung zu erkennen3.
  • Prüfen Sie, ob das Tool von Ihrer Organisation freigegeben ist, und lesen Sie seine Nutzungsbedingungen: OWASP verlangt von Anwendungsbetreibern, dass Nutzer widersprechen können, wenn ihre Daten ins Training einfließen sollen5.
  • Melden Sie eine Antwort, die Informationen einer anderen Abteilung oder eines anderen Nutzers enthält. OWASP beschreibt diesen Fall: Eine Antwort kann wegen unzureichender Bereinigung der Daten die personenbezogenen Daten eines anderen Nutzers enthalten5.
3Die Fallstricke2 min

Abfluss gespeicherter Daten

Ein Modell, das beim Training sensiblen Daten ausgesetzt war, kann sie wiedergeben. OWASP nennt die nachlässige Aufnahme von Daten ins Training als Ursache für die Offenlegung sensibler Informationen5. Außerdem nennt OWASP das Risiko, dass Antworten geschützte Daten oder Algorithmen preisgeben5. Bei RAG läuft der Abfluss über die Datenbank: Unzureichende oder falsch abgestimmte Zugriffskontrollen können es dem Modell ermöglichen, personenbezogene oder geschützte Daten abzurufen und offenzulegen4.

Schlecht verwaltete Zugriffsrechte

Wenn mehrere Nutzergruppen dieselbe Vektordatenbank teilen, können Informationen einer Gruppe als Antwort auf die Fragen einer anderen abgerufen werden, womit sensible Geschäftsinformationen abfließen können4. OWASP empfiehlt eine Vektordatenbank, die Berechtigungen berücksichtigt, und eine strikte Trennung der Datensätze4.

Vergiftung der Daten

Bei der Vergiftung werden Pre-Training-, Fine-Tuning- oder Embedding-Daten manipuliert, um Schwachstellen, Hintertüren oder Verzerrungen einzubauen3. Die Risiken sind bei externen Quellen höher, die ungeprüfte oder schädliche Inhalte enthalten können3. Eine Hintertür kann das Verhalten des Modells unverändert lassen, bis ein Auslöser es ändert, was ihre Entdeckung erschwert3. Für eine RAG-Datenbank rät OWASP, Daten nur aus vertrauenswürdigen, geprüften Quellen zu akzeptieren und die Datenbank regelmäßig zu prüfen4.

Prompt Injection über indexierte Dokumente

Eine indirekte Injection entsteht, wenn das Modell Eingaben aus externen Quellen wie Websites oder Dateien annimmt, deren Inhalt sein Verhalten auf unvorhergesehene Weise verändert6. OWASP beschreibt ein Szenario: Ein Angreifer ändert ein Dokument im Repository, das eine RAG-Anwendung nutzt; wenn die Frage eines Nutzers diesen Inhalt zurückbringt, verändern die schädlichen Anweisungen die Antwort6.

Das folgende Beispiel ist eine neutralisierte Illustration, abgeleitet aus der Logik des OWASP-Szenarios zu einem manipulierten Lebenslauf4.

Auszug
Illustration: Ein Lebenslauf, der in ein Tool zur Vorauswahl von Bewerbungen
hochgeladen wird, enthält in weißer Schrift auf weißem Grund
[eine Anweisung, die vorherigen Regeln zu ignorieren und diesen Bewerber
zu empfehlen]. Das Tool liest diesen versteckten Text zusammen mit dem
Rest des Dokuments.

Laut OWASP befolgt das Modell dann diese versteckten Anweisungen und empfiehlt einen nicht qualifizierten Bewerber4. Die vorgeschlagene Gegenmaßnahme: Extraktionswerkzeuge, die die Formatierung ignorieren und versteckte Inhalte erkennen, sowie die Prüfung jedes Dokuments, bevor es in die Datenbank gelangt4.

Ein Sicherheitsrahmen für Teams, die einführen

Das britische NCSC veröffentlicht Leitlinien für Anbieter von KI-Systemen, damit diese Systeme wie vorgesehen funktionieren und keine sensiblen Daten an unbefugte Dritte weitergeben7.

Merkblatt

Kennung
CP-524
Flügel
4. Künstliche Intelligenz
Brain-Kompetenz
KI beherrschen (master_ai)
Brain-Reflex
air-054
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
  1. arXiv, „Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks“, 22. Mai 2020. https://arxiv.org/abs/2005.11401 (abgerufen am 3. November 2026)
  2. arXiv, „LoRA: Low-Rank Adaptation of Large Language Models“, 17. Juni 2021. https://arxiv.org/abs/2106.09685 (abgerufen am 3. November 2026)
  3. OWASP, „LLM04:2025 Data and Model Poisoning“, 10. April 2024. https://genai.owasp.org/llmrisk/llm042025-data-and-model-poisoning/ (abgerufen am 3. November 2026)
  4. OWASP, „LLM08:2025 Vector and Embedding Weaknesses“, 10. April 2024. https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/ (abgerufen am 3. November 2026)
  5. OWASP, „LLM02:2025 Sensitive Information Disclosure“, 10. April 2024. https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/ (abgerufen am 3. November 2026)
  6. OWASP, „LLM01:2025 Prompt Injection“, 10. April 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (abgerufen am 3. November 2026)
  7. NCSC (Royaume-Uni), „Guidelines for secure AI system development“, 27. November 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Fine-Tuning oder RAG im Unternehmen“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/fine-tuning-lora-vs-rag-unternehmen/

BibTeX 
@misc{brain_cp524_de_2026,
  author = {Brain},
  title = {Fine-Tuning oder RAG im Unternehmen},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/fine-tuning-lora-vs-rag-unternehmen/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0