---
term: "safetensors"
slug: "safetensors"
glossar_id: "G581"
variants: []
category: "quantisierung-und-modellformate"
marker: "Technik"
short: "Format zur Speicherung von Modellgewichten ohne ausführbaren Pickle-Ladeinhalt."
sources:
  - label: "Hugging Face: safetensors"
    url: "https://huggingface.co/docs/safetensors/index"
  - label: "Python-Dokumentation: pickle"
    url: "https://docs.python.org/3/library/pickle.html"
status: "entwurf"
updated: "2026-09-21"
---

safetensors ist ein Format für Modellgewichte, das aus einem Sicherheitsproblem heraus entstanden ist. Lange wurden Gewichte über einen Python-Mechanismus gespeichert, der beim Laden beliebigen Code ausführen kann. Die Dokumentation dieses Mechanismus warnt ausdrücklich davor, Daten aus nicht vertrauenswürdiger Quelle zu laden. [Python-Dokumentation](https://docs.python.org/3/library/pickle.html)

## Nur Daten, keine Anweisungen

Das Format speichert ausschließlich Zahlen und eine Kopfzeile mit Angaben zu Form und Datentyp. Es gibt keinen Mechanismus, der beim Laden Code ausführt, weshalb eine solche Datei aus fremder Quelle kein Ausführungsrisiko darstellt. [Hugging Face](https://huggingface.co/docs/safetensors/index)

Dazu kommt ein praktischer Vorteil: Die Struktur erlaubt es, einzelne Tensoren zu lesen, ohne die ganze Datei in den Speicher zu holen, und die Datei direkt in den Speicher einzublenden. Das beschleunigt das Laden großer Modelle erheblich.

## So kannst du dir das vorstellen

Eine Tabelle als reine Zahlendatei gegenüber einer Tabellendatei mit eingebauten Makros. Beide enthalten dieselben Zahlen, nur eine davon kann beim Öffnen etwas tun. Das Bild erklärt den Sicherheitsunterschied, es beschreibt keine konkrete Schwachstelle.

## Was es in der Praxis konkret bedeutet

Lade Modellgewichte grundsätzlich in diesem Format, wenn es angeboten wird. Bei Dateien mit den alten Endungen aus dem Python-Umfeld gilt dieselbe Vorsicht wie bei jedem ausführbaren Download: nur aus Quellen, denen du vertraust. In Unternehmen gehört diese Regel in die Richtlinie, denn ein Modell aus einer öffentlichen Sammlung ist Fremdcode, wenn es im alten Format kommt.

## Wo es verwechselt wird

Das Format sichert den Ladevorgang, nicht den Inhalt. Ein Modell mit absichtlich manipulierten Gewichten bleibt manipuliert, auch wenn die Datei sicher lädt. Und es ist kein Quantisierungsformat: Es speichert Zahlen in beliebiger Präzision.

## Verwandte Begriffe

**GGUF**, **Sharded Weights**, **Model Card**, **Provenance**, **Sleeper Agent**, **Open-Weight Model**.