Ist mein Ollama offen im Netz? Eine Checkliste zum Absichern

Von MV2 von Munim, Inc. Einstellungen geprüft anhand der Ollama-FAQ am 12. Oktober 2026. Nur für Ihre eigenen Rechner. Diese Seite wurde mit KI aus dem englischen Original übersetzt; bei Abweichungen gilt das Original.

Warum das wichtig ist: Die API von Ollama hat keinen Login. Wer Port 11434 erreicht, kann Modelle auflisten, herunterladen, erstellen und löschen, Ihre GPU nutzen und jeden Endpunkt ansprechen, in dem die CVEs dieses Jahres stecken (siehe Ollama-CVEs, Englisch). Standardmäßig bindet Ollama an 127.0.0.1:11434, und das ist sicher. Offen wird es meist erst später: wenn OLLAMA_HOST=0.0.0.0 gesetzt wird (oder in der App die Einstellung „Expose Ollama to the network“ eingeschaltet wird), damit ein anderer Rechner oder ein Docker-Container zugreifen kann, oder wenn Docker den Port veröffentlicht.

1. Prüfen, worauf Ollama lauscht

127.0.0.1:11434 bedeutet, dass nur dieser Rechner zugreifen kann; dann ist dieser Schritt erledigt. 0.0.0.0:11434, *:11434, [::]:11434 oder ein Docker-Port wie 0.0.0.0:11434->11434/tcp bedeutet, dass auch andere Rechner zugreifen können. Zur Bestätigung führen Sie auf einem anderen eigenen Gerät curl http://<this machine's LAN IP>:11434/api/version aus (mit der LAN-IP dieses Rechners). Kommt eine Versionsnummer zurück, ist der Port in Ihrem Netz offen.

Das kostenlose Skript local-ai-checkup erledigt diese Prüfungen für Sie, zusammen mit den Prüfungen von Version, OLLAMA_ORIGINS und Docker-Ports weiter unten. Es liest nur und sendet nichts vom Rechner weg.

2. Wenn nur dieser Rechner Ollama braucht: an localhost binden

Entfernen Sie OLLAMA_HOST oder setzen Sie es auf 127.0.0.1:11434, und schalten Sie „Expose Ollama to the network“ in den Einstellungen der App aus, falls es an ist:

Haben Sie OLLAMA_HOST=0.0.0.0 nur gesetzt, damit ein Docker-Container zugreifen kann, gibt es Wege, die Ollama aus Ihrem Netz heraushalten: siehe Open WebUI oder n8n in Docker kann sich nicht mit Ollama verbinden. Haben Sie es gesetzt, damit ein Laptop oder Handy zugreifen kann, siehe Ollama von einem anderen Rechner oder vom Handy nutzen.

3. Wenn Sie Ollama in Docker betreiben

-p 11434:11434 veröffentlicht den Port auf allen Schnittstellen. Unter Linux schreibt Docker eigene Firewall-Regeln, deshalb blockieren ufw und firewalld ihn nicht. Nutzen Sie stattdessen eine dieser Varianten:

docker run -d --gpus=all -v ollama:/root/.ollama -p 127.0.0.1:11434:11434 --name ollama ollama/ollama

Läuft Open WebUI (oder n8n, Dify, Flowise) in derselben Compose-Datei, braucht Ollama überhaupt keinen veröffentlichten Port. Der andere Container erreicht es über den Dienstnamen:

services:
  ollama:
    image: ollama/ollama
    volumes: [ "ollama:/root/.ollama" ]
    # no "ports:" here - only containers on this network can reach it
  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    environment:
      - OLLAMA_BASE_URL=http://ollama:11434
    ports: [ "127.0.0.1:3000:8080" ]
    volumes: [ "open-webui:/app/backend/data" ]
volumes:
  ollama: {}
  open-webui: {}

(Der Kommentar in der Datei bedeutet: kein „ports:“ hier, nur Container in diesem Netz erreichen Ollama.) Erstellen Sie die Container nach der Änderung neu (docker compose up -d) und wiederholen Sie Schritt 1.

4. Wenn andere Rechner wirklich zugreifen müssen: einen Login davorsetzen

Binden Sie Ollama wie in Schritt 2 an 127.0.0.1 und machen Sie einen Reverse-Proxy mit Authentifizierung zum einzigen Zugang. Ein minimales Caddy-Beispiel (den Hash erzeugen Sie mit caddy hash-password):

ollama.home.example {
    basic_auth {
        alice <hash from caddy hash-password>
    }
    reverse_proxy 127.0.0.1:11434 {
        header_up Host localhost:11434
    }
}

Die Host-Zeile ist wichtig. Die Proxy-Beispiele der Ollama-FAQ schreiben den Host-Header auf localhost:11434 um, und Anfragen mit anderen Host-Werten können abgewiesen werden. Ein privates Netz wie Tailscale oder WireGuard ist eine weitere Möglichkeit: Nur Ihre eigenen Geräte erreichen den Port, und nichts wird ins Internet veröffentlicht. Ollama aus der Ferne nutzen zeigt einen SSH-Tunnel, Tailscale (einschließlich der Frage, warum tailscale serve vor Ollama 403 liefert) und eine Firewall-Regel nur fürs LAN.

Apps statt Menschen? Open WebUI, n8n und OpenAI-kompatible Clients senden einen API-Schlüssel als Authorization: Bearer, den Basic Auth ablehnt. Ollama-API-Schlüssel enthält Caddy- und nginx-Konfigurationen, die einen Schlüssel prüfen, und die passenden Einstellungen für jeden dieser Clients.

Tunnel: Die FAQ zeigt auch Befehle für ngrok und cloudflared. Für sich allein veröffentlichen sie Ihr Ollama ohne Login im ganzen Internet. Nutzen Sie sie nur mit eingeschalteter Zugriffskontrolle des Tunnel-Anbieters.

5. OLLAMA_ORIGINS eng halten

OLLAMA_ORIGINS legt fest, welche Webseiten Ihr Browser mit Ollama sprechen lässt. Standardmäßig sind nur lokale Origins erlaubt. Mit * kann jede Website, die Sie besuchen, Anfragen an Ihr lokales Ollama senden und die Antworten lesen. Tragen Sie nur die Origins ein, die Sie wirklich brauchen, etwa die ID einer einzelnen Browser-Erweiterung statt chrome-extension://*. Der Ein-Klick-Browser-Check (Englisch) zeigt, ob eine Website Ihr Ollama (oder LM Studio) gerade lesen kann.

6. Wenn Open WebUI davor läuft

7. Aktuell bleiben

Prüfen Sie Ihre Versionen mit dem kostenlosen CVE-Checker (Englisch). Er deckt auch vLLM, n8n, Dify, RAGFlow, AnythingLLM, Langflow, Flowise und LiteLLM ab, einschließlich Sicherheitshinweisen ohne CVE-Nummer. Der Atom-Feed listet jede Aktualisierung dieser Website.

Lieber prüfen lassen?

MV2 von Munim, Inc. bietet einen lokalen KI-Gesundheitscheck für 49 US-Dollar für einen Rechner an, oder einen Check für kleine Büros für 199 US-Dollar für bis zu 5 Rechner oder einen gemeinsam genutzten Ollama- oder Open-WebUI-Server. Sie erhalten einen schriftlichen Bericht darüber, was offen, riskant oder langsam ist und was Sie zuerst beheben sollten, mit genauen Befehlen für Ihr Betriebssystem und Modellvorschlägen, die zu Ihrer GPU passen. Der Bericht ist auf Englisch. Beispielbericht ansehen (Englisch). 49 $ zahlen oder 199 $ zahlen über Stripe, und senden Sie dann an munimversion2@gmail.com die Ausgabe von python3 local_ai_checkup.py --json, Ihr Betriebssystem und wofür Sie es nutzen. MV2 fragt nie nach Passwörtern, Schlüsseln oder Fernzugriff.