剣 KENSAI
← Zurück zum Blog
Forschung 25 Min. Lesezeit

OWASP Top 10 2025: Der vollständige Leitfaden zu Sicherheitsrisiken bei Webanwendungen

Die OWASP Top 10 sind der bekannteste Standard für Sicherheitsrisiken bei Webanwendungen. Ob Entwickler, Security Engineer oder Führungskraft — dieser Leitfaden erklärt jede Kategorie anhand von Praxisbeispielen, Erkennungstechniken und Behebungsstrategien.

ℹ️ Was sind die OWASP Top 10?

Ein regelmäßig aktualisiertes Dokument zur Sensibilisierung, das die kritischsten Sicherheitsrisiken für Webanwendungen einstuft. Es basiert auf Datenanalysen von Hunderten Organisationen, Community-Umfragen und realen Daten zu Sicherheitsverletzungen. Es wird von PCI DSS, DORA, NIS2 und zahlreichen Branchenstandards referenziert.


A01 Fehlerhafte Zugriffskontrolle

Die häufigste Schwachstelle — in 94 % der getesteten Anwendungen gefunden.

⚠️ Praxisbeispiele

  • IDOR: Ändern von /api/users/123/profile in /api/users/124/profile
  • Rechteausweitung: Ein normaler Benutzer greift auf /admin/dashboard zu
  • Fehlende Zugriffskontrolle auf Funktionsebene: Die API prüft die Authentifizierung, aber nicht die Autorisierung
  • CORS-Fehlkonfiguration: Schädlichen Websites wird erlaubt, authentifizierte Anfragen zu stellen

✅ Behebung

  • Zugriffskontrollen serverseitig implementieren — niemals auf die Clientseite verlassen
  • Standardmäßig verweigern — Zugriffe müssen ausdrücklich gewährt werden
  • Geeignete RBAC- oder ABAC-Verfahren implementieren
  • Fehler bei der Zugriffskontrolle protokollieren und melden
  • API-Zugriffe begrenzen

A02 Kryptografische Fehler

Zuvor „Offenlegung sensibler Daten“ — umbenannt, um die eigentliche Ursache hervorzuheben.

⚠️ Häufige Fehler

  • Anmeldeseiten übertragen Zugangsdaten über unverschlüsseltes HTTP
  • Unterstützung von TLS 1.0/1.1 oder schwachen Cipher Suites
  • Passwörter werden mit MD5 oder SHA-1 statt mit bcrypt/Argon2 gespeichert
  • Fest codierte Verschlüsselungsschlüssel im Quellcode
  • Unverschlüsselte Datenbanksicherungen

✅ Behebung

HTTPS überall mit HSTS erzwingen. AES-256, bcrypt/Argon2 und SHA-256+ verwenden. Geheimnisse niemals fest codieren — Vault oder AWS Secrets Manager verwenden. Ruhende Daten verschlüsseln. TLS 1.0/1.1 deaktivieren.

A03 Injection

Die klassische Webschwachstelle — auch nach zwei Jahrzehnten noch unter den Top 3.

Arten von Injection

  • SQL-Injection: ' OR 1=1 -- und weitaus ausgefeiltere Angriffe
  • NoSQL-Injection: JSON-Manipulation von MongoDB/CouchDB
  • Befehlsinjektion: Einschleusen von Betriebssystembefehlen über Anwendungseingaben
  • XSS: Einschleusen von JavaScript — reflektiert, gespeichert oder DOM-basiert
  • Template-Injection (SSTI): Einschleusen von Code in serverseitige Template-Engines
  • Header-Injection: Manipulation von HTTP-Headern

✅ Prävention

Parametrisierte Abfragen für alle Datenbankinteraktionen. Eingabevalidierung mit Positivlisten. Kontextgerechte Ausgabecodierung. Content-Security-Policy-Header. Datenbankkonten nach dem Prinzip der geringsten Rechte. ORMs konsequent verwenden.

A04 Unsicheres Design

Neue Kategorie — Fehler auf Designebene, keine Implementierungsfehler.

⚠️ Beispiele

  • Ein Ablauf zum Zurücksetzen des Passworts erlaubt unbegrenzt viele Versuche (keine Ratenbegrenzung)
  • Clientseitige Durchsetzung von Geschäftsregeln (Preisvalidierung in JS)
  • Ein einzelner API-Schlüssel gewährt Lese- und Schreibzugriff auf alle Ressourcen

Behebung: Bedrohungsmodellierung (STRIDE, PASTA) in die Designphase integrieren. Sichere Designmuster verwenden. Missbrauchsszenarien parallel zu Anwendungsfällen definieren.

A05 Sicherheitsfehlkonfiguration

In 90 % der getesteten Anwendungen gefunden.

⚠️ Häufige Fehlkonfigurationen

  • Standardmäßige Administratorpasswörter für Datenbanken und Administrationsoberflächen
  • Aktivierte Verzeichnisauflistung, Debug-Endpunkte und ausführliche Fehlermeldungen
  • Fehlende Sicherheitsheader (CSP, X-Frame-Options, X-Content-Type-Options)
  • Öffentlich zugängliche S3-Buckets oder Azure-Blobs
  • Aktivierte, nicht benötigte HTTP-Methoden (PUT, DELETE, TRACE)

✅ Prävention

Wiederholbaren Härtungsprozess etablieren. Alle unnötigen Funktionen entfernen. Sämtliche Sicherheitsheader implementieren. Konfigurationsverwaltung mit IaC automatisieren. Regelmäßige Konfigurationsprüfungen durchführen. CSPM für die Cloud verwenden.

A06 Verwundbare und veraltete Komponenten

528
Durchschn. Komponenten/Anwendung
84%
Codebasen mit bekannten Schwachstellen
48%
Hochrisiko-Schwachstellen
252d
Durchschn. Behebungsdauer

⚠️ Bedeutende Beispiele

  • Log4Shell (CVE-2021-44228): Kritische RCE, die Millionen von Java-Anwendungen betrifft
  • Spring4Shell (CVE-2022-22965): RCE im Spring Framework
  • jQuery XSS: Viele Anwendungen verwenden weiterhin verwundbare jQuery-Versionen

Behebung: Komponentenbestand pflegen (SBOM). CVE-Datenbanken kontinuierlich überwachen. Nicht verwendete Abhängigkeiten entfernen. Aktualisierungen mit Dependabot/Renovate automatisieren.

A07 Fehler bei Identifizierung und Authentifizierung

⚠️ Häufige Fehler

  • Credential Stuffing: Automatisierte Angriffe mit gestohlenen Passwörtern
  • Schwache Passwortrichtlinien („password123“ wird zugelassen)
  • Session Fixation und fehlende Sitzungsinvalidierung
  • In URLs offengelegte Sitzungstoken
  • Fehlende MFA für kritische Funktionen

✅ Prävention

MFA implementieren. Starke Passwörter erzwingen und sie mit Datenbanken kompromittierter Zugangsdaten abgleichen. Ratenbegrenzung für Authentifizierungsendpunkte. Sichere Sitzungsverwaltung (zufällige IDs, HTTPOnly-/Secure-Flags). Sitzungen bei Abmeldung oder Passwortänderung invalidieren.

A08 Fehler bei der Software- und Datenintegrität

⚠️ Reale Angriffe

  • SolarWinds (2020): Schadcode in einem legitimen Softwareupdate — 18.000 Organisationen betroffen
  • Unsichere Deserialisierung: Beliebige Codeausführung über nicht vertrauenswürdige Daten
  • Kompromittierung der CI/CD-Pipeline: Vorfälle bei Codecov und ua-parser-js
  • Fehlende SRI: Laden von JS aus CDNs ohne Integritäts-Hashes

Behebung: Digitale Signaturen für sämtliche Software und Daten. Subresource Integrity (SRI) für externe Ressourcen. CI/CD durch Zugriffskontrollen und Signierung absichern. Unsichere Deserialisierung vermeiden — JSON verwenden.

A09 Fehler bei Sicherheitsprotokollierung und Überwachung

ℹ️ Die Kosten mangelnder Transparenz

Durchschnittliche Zeit bis zur Erkennung einer Sicherheitsverletzung: 204 Tage (IBM 2024). Ohne angemessene Protokollierung können Angreifer dauerhaften Zugriff etablieren, Daten exfiltrieren und ihre Position ausbauen — ohne dabei Alarme auszulösen.

Behebung: Alle Authentifizierungsereignisse, Fehler bei der Zugriffskontrolle und Fehler bei der Eingabevalidierung protokollieren. Kontext einbeziehen (Zeitstempel, Benutzer, IP, Aktion). Protokolle zentral in einem manipulationsgeschützten SIEM speichern. Automatisierte Alarmierung implementieren. Erkennungsfähigkeiten regelmäßig testen.

A10 Serverseitige Anfragenfälschung (SSRF)

Neue Kategorie — aufgrund der zunehmenden Verbreitung in Cloud-nativen Architekturen hinzugefügt.

⚠️ Warum SSRF gefährlich ist

  • Capital-One-Sicherheitsverletzung (2019): SSRF → AWS-Metadaten → mehr als 100 Mio. Kundendatensätze offengelegt
  • Diebstahl von Cloud-Metadaten: Zugriff auf http://169.254.169.254/, um IAM-Zugangsdaten zu erlangen
  • Zugriff auf interne Dienste: Erreichen von APIs, Datenbanken und Administrationsoberflächen hinter der Firewall

✅ Prävention

Alle von Benutzern bereitgestellten URLs serverseitig validieren. Positivlisten für zulässige Domains verwenden. Private IP-Bereiche blockieren (10.x, 172.16.x, 169.254.x, 127.x). Nicht benötigte URL-Schemata deaktivieren (file://, gopher://). IMDSv2 auf AWS verwenden. Dienste zum Abrufen von URLs segmentieren.


Wie KENSAI auf die OWASP Top 10 prüft

OWASP-KategorieKENSAI-Abdeckung
A01 Fehlerhafte ZugriffskontrolleIDOR-Tests, Umgehung der Autorisierung, CORS-Prüfungen
A02 Kryptografische FehlerTLS-Analyse, Header-Prüfungen, Überprüfung der Verschlüsselung
A03 InjectionSQL, XSS, Befehlsinjektion, SSTI, Header-Injection
A04 Unsicheres DesignRatenbegrenzung, vorhersagbare Ressourcen, Logiktests
A05 SicherheitsfehlkonfigurationHeader, Standardeinstellungen, Offenlegung von Informationen, HTTP-Methoden
A06 Verwundbare KomponentenTechnologie-Fingerprinting, Datenbank mit mehr als 332.000 CVE
A07 AuthentifizierungsfehlerStandardzugangsdaten, Sitzungstests, Cookie-Analyse
A08 IntegritätsfehlerSRI-Prüfungen, Deserialisierungstests
A09 ProtokollierungsfehlerAnalyse von Sicherheitsheadern, Überprüfung der Fehlerbehandlung
A10 SSRFInjektion interner Endpunkte, Tests von Cloud-Metadaten
332K+
Überwachte CVE
10/10
OWASP-Abdeckung
AI
Gestützte Genauigkeit
€990
Einstiegspreis/Monat

Testen Sie Ihre Anwendung auf die OWASP Top 10

Kostenloser Scan — unverbindlich und ohne Kreditkarte. AI-gestütztes DAST mit Compliance-konformer Berichterstattung.

Kostenlosen Scan starten →

Häufig gestellte Fragen

Welche OWASP-Schwachstelle tritt am häufigsten auf?

Fehlerhafte Zugriffskontrolle (A01) — in 94 % der getesteten Anwendungen gefunden. Sie rückte von Platz 5 auf Platz 1 vor und verdeutlicht das weitverbreitete Versagen bei der Durchsetzung von Autorisierung, insbesondere in APIs und SPAs.

Ist die Einhaltung der OWASP Top 10 verpflichtend?

Die OWASP Top 10 selbst sind freiwillig. Sie werden jedoch von PCI DSS (fordert die Berücksichtigung der OWASP Top 10), NIS2 (erwartet ein systematisches Schwachstellenmanagement), DORA (verweist auf branchenübliche Tests) und zahlreichen Anbieterbewertungen referenziert. In der Praxis sind sie damit faktisch verpflichtend.

Können automatisierte Tools alle OWASP Top 10 erkennen?

Automatisierte DAST-Tools erkennen die meisten Kategorien effektiv — insbesondere Injection (A03), kryptografische Fehler (A02), Fehlkonfigurationen (A05) und verwundbare Komponenten (A06). Einige Kategorien wie unsicheres Design (A04) und Protokollierungsfehler (A09) erfordern häufig eine manuelle Bewertung. Nutzen Sie automatisierte Scans für eine breite Abdeckung und manuelle Tests für die Tiefe.

Wie häufig werden die OWASP Top 10 aktualisiert?

Alle 3–4 Jahre. Wichtige Veröffentlichungen: 2013, 2017, 2021. Jede Aktualisierung spiegelt Veränderungen der Bedrohungslandschaft wider — mit der Aktualisierung von 2021 wurden unsicheres Design (A04) und SSRF (A10) eingeführt und andere Kategorien neu geordnet.

Sicherheit ist nicht optional.

🗡️ Das KENSAI-Team