OWASP Top 10

Kurz: Die OWASP Top 10 sind eine regelmäßig aktualisierte Liste der zehn häufigsten und gefährlichsten Sicherheitsrisiken in Webanwendungen. Sie ist der Standard-Einstieg in sichere Entwicklung.

Genauer: OWASP (Open Worldwide Application Security Project) wertet reale Schwachstellen-Daten aus. Die Liste dient als Prüfliste für Entwicklung, Tests und Audits. Dahinter stecken wiederkehrende Fehlermuster.

Im Detail

• Broken Access Control: Nutzer sehen oder ändern fremde Daten (z. B. ID in der URL ändern, IDOR).
• Cryptographic Failures: Fehlende oder schwache Verschlüsselung, Klartext-Passwörter.
• Injection: SQL-, Befehls-, Template-Injection, XSS. Gegenmittel: parametrisierte Abfragen, Ausgabe-Kodierung.
• Insecure Design: Fehlende Sicherheitsüberlegungen schon im Entwurf.
• Security Misconfiguration: Standardpasswörter, offene Cloud-Buckets, Debug-Modus.
• Vulnerable Components: Veraltete Bibliotheken, Lieferkette.
• Authentication Failures: Schwache Passwörter, fehlende MFA, Session-Fehler.
• Integrity/Logging Failures: Unsichere Updates, fehlende Protokolle und Alarme.
• SSRF: Server lädt vom Angreifer vorgegebene interne Adressen.
• Praxis: Eingaben nie vertrauen, minimal Rechte, Abhängigkeiten aktuell halten, Tests und Code-Review.

Siehe auch: Threat Modeling mit STRIDE, Software-Lieferkette und SBOM