CSRF (Cross-Site Request Forgery)

Kurz: Bei CSRF bringt ein Angreifer den Browser eines angemeldeten Nutzers dazu, ungewollt eine Aktion auf einer anderen Seite auszuführen, zum Beispiel eine Überweisung.

Genauer: Der Browser sendet Cookies automatisch mit jeder Anfrage an die Zieladresse mit. Eine präparierte Seite kann so ein verstecktes Formular an die Bank-Webseite schicken, und die Bank hält die Anfrage für echt.

Im Detail

• SameSite-Cookies: SameSite=Lax oder Strict verhindern, dass Cookies bei Fremd-Anfragen mitgeschickt werden.
• CSRF-Token: Ein geheimer Wert im Formular, den nur die echte Seite kennt.
• Origin prüfen: Der Server vergleicht Origin oder Referer mit der eigenen Adresse.
• Nur POST für Änderungen: Zustandsändernde Aktionen nie per GET.
• Frameworks: Next.js Server Actions prüfen die Herkunft zusätzlich.

Siehe auch: Cookies, OWASP Top 10