Warum blockiert der Browser die Verbindung zur lokalen KI?

Das Problem

Ihre lokale KI läuft, und wenn Ihre IT sie direkt anspricht, antwortet sie. Doch aus der Webanwendung im Browser, zum Beispiel einer internen Seite mit Chatfenster, kommt nichts an. Die Seite zeigt einen Fehler oder bleibt leer.

Wenn jemand die Entwicklerwerkzeuge des Browsers öffnet, steht dort etwas wie «blocked by CORS policy». Das wirkt wie eine Störung der KI. Tatsächlich arbeitet der Browser korrekt: Er hält sich an eine Sicherheitsregel, die verhindern soll, dass beliebige Webseiten auf Dienste in Ihrem Netz zugreifen.

Die Folge ist lästig: Das Projekt steht, obwohl «eigentlich alles läuft». Mit etwas Verständnis finden Sie und Ihre IT schnell die richtige Lösung, und Sie vermeiden die gefährlichste Abkürzung.

So lösen Sie es mit KI – Schritt für Schritt

1. Notieren Sie die genaue Fehlermeldung. Bitten Sie die IT, die Meldung aus der Browser-Konsole (Taste F12, Reiter «Konsole») zu kopieren. Die Meldung nennt die Adresse der Webseite und die Adresse der KI.

1. Klären Sie, wer wen aufruft. Spricht der Browser direkt die KI an (dann greift die Regel), oder ruft der Server der Webanwendung die KI auf (dann nicht)?

1. Prüfen Sie Adresse und Verschlüsselung. Eine Webseite mit https darf in der Regel keine unverschlüsselte http-Adresse aufrufen. Das ist ein anderer Fehler, der ähnlich aussieht. Siehe HTTPS für den KI-Dienst.

1. Wählen Sie die Lösung. Variante A: Die KI erlaubt die Herkunftsadresse der Webseite ausdrücklich. Variante B: Die Webanwendung ruft die KI über ihren eigenen Server auf. Variante B ist meist sicherer.

1. Bei Variante A: Erlaubte Herkunft eintragen. Die IT setzt bei Ollama die Umgebungsvariable OLLAMA_ORIGINS auf die Adresse Ihrer Webanwendung, zum Beispiel https://intranet.beispiel.ch. Welche Schreibweise gilt, steht in der Dokumentation von Ollama (FAQ).

1. Dienst neu starten. Die Einstellung wirkt erst nach einem Neustart von Ollama. Wie das unter Windows, Mac oder Linux geht, unterscheidet sich.

1. Testen Sie erneut im Browser. Laden Sie die Seite neu und prüfen Sie, ob die Fehlermeldung verschwunden ist.

1. Schützen Sie den Zugang. Eine geöffnete KI-Schnittstelle sollte nicht ohne Anmeldung im Netz hängen. Siehe KI-Schnittstelle absichern.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie Ihre Meldung an die IT vor oder lassen sich die Meldung erklären. Entfernen Sie vorher interne Adressen, wenn Sie einen öffentlichen KI-Dienst verwenden.

Du bist eine geduldige IT-Beraterin. Erkläre mir in einfachem Deutsch, was diese Browser-Fehlermeldung bedeutet, und nenne die möglichen Ursachen und Lösungen. Gib keine Anweisungen, die Sicherheitsregeln ganz abschalten.

Fehlermeldung: [Meldung aus der Browser-Konsole, ohne interne Adressen oder mit Platzhaltern wie https://[Adresse-Webseite]]
Webanwendung läuft unter: [z. B. https://[Adresse-Webseite]]
KI-Dienst läuft unter: [z. B. http://[Server]:11434]
Werkzeug: [z. B. Ollama]

Erkläre:
1. Was der Browser hier verhindert und warum.
2. Zwei Lösungswege mit Vor- und Nachteilen, einmal «Herkunft erlauben», einmal «über den Server der Webanwendung aufrufen».
3. Was meine IT prüfen sollte, geordnet nach Aufwand.
4. Welche Sicherheitsrisiken bei einer zu offenen Einstellung bestehen.

Ersetzen Sie die Angaben in den Klammern. Die Antwort ersetzt keine Prüfung durch Ihre IT, hilft aber, die richtigen Fragen zu stellen.

Worauf Sie achten müssen

• Nicht «für alle» erlauben: Die Einstellung mit Stern (Wildcard) erlaubt jede Herkunft. Sie ist nur für kurze Tests im geschützten Rahmen vertretbar, nie im Betrieb.
• Nur gewünschte Adressen: Tragen Sie genau die Adressen ein, die Zugriff brauchen, und prüfen Sie die Schreibweise mit Protokoll (https) und gegebenenfalls Port.
• Ohne Anmeldung offen: Eine lokale KI-Schnittstelle hat standardmässig keine Anmeldung. Wer sie im Netz erreichbar macht, muss den Zugang separat schützen.
• Ähnliche Fehler: Eine abgelehnte Verbindung, ein belegter Port oder ein nicht gestarteter Dienst sehen für Laien ähnlich aus. Siehe Verbindung abgelehnt.
• Schlüssel im Browser: Wenn der Browser die KI direkt ruft, stehen Zugangsdaten im Browser sichtbar. Ein Server dazwischen vermeidet das.
• Angaben prüfen: Einstellungsnamen und Vorgehen können sich mit neuen Versionen ändern. Prüfen Sie die aktuelle Dokumentation.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Gemeindeverband im Kanton Bern baut eine interne Seite, auf der Mitarbeitende Texte mit einer lokalen KI zusammenfassen. Die Seite liegt auf dem Intranet-Server, die KI läuft auf einem separaten Rechner.

Vorher: Der Browser meldet CORS-Fehler, und der Entwickler schlägt vor, einfach alles zu erlauben. Nachher: Die IT-Verantwortliche trägt zunächst nur die Intranet-Adresse als erlaubte Herkunft ein und stellt fest, dass die Seite danach funktioniert. Beim Ausbau entscheidet sie, dass künftig der Intranet-Server die Anfragen an die KI weiterleitet. So bleibt die KI aus den Browsern der Mitarbeitenden unsichtbar, und ein Zugriffsschutz ist einfacher einzurichten.

So hilft Ihnen Alpasana

Wenn Ihr Team eine interne Webanwendung mit KI-Anbindung braucht, aber die technische Umsetzung nicht selbst leisten kann, kann die ready4future ICT helfen. Laut Leistungsbeschreibung setzen begleitete Informatiklernende interne Web-Tools, Schnittstellen, KI-Workflows und Assistenten um; eine Vier-Augen-Prüfung und ein Senior-Review sind Teil des Ablaufs, und es wird mit Testdaten oder anonymisierten Daten gearbeitet.

Häufige Fragen

Liegt der Fehler an Ollama?

In der Regel nicht. Der Browser blockiert die Antwort, weil die Herkunft der Webseite nicht erlaubt ist. Die KI selbst arbeitet normal, wie ein direkter Test durch die IT zeigt.

Warum funktioniert es auf meinem eigenen PC, aber nicht auf dem Intranet-Server?

Adressen, die zum eigenen Rechner gehören (localhost), sind bei Ollama in der Regel bereits erlaubt. Sobald die Webseite von einer anderen Adresse kommt, muss sie ausdrücklich zugelassen werden. Prüfen Sie die Angaben in der Dokumentation.

Kann ich den Browserschutz einfach abschalten?

Das sollten Sie nicht tun. Browser-Erweiterungen oder Startoptionen, die den Schutz ausschalten, gefährden alle weiteren besuchten Seiten. Wählen Sie eine der beiden beschriebenen Lösungen.

Betrifft das auch Cloud-KI-Dienste?

Cloud-Dienste haben ihre eigenen Regeln, und viele Anbieter verlangen, dass Zugangsschlüssel nicht im Browser liegen. Auch dort ist der Aufruf über einen eigenen Server üblich.