Die meisten Webangriffe sind keine Hightech-Operationen. Sie nutzen bekannte, altbekannte Schwachstellen.
Die OWASP Top 10 sind eine Liste der gefaehrlichsten Webapplikations-Schwachstellen, nicht die exotischsten, sondern die haeufigsten. Wer diese zehn Punkte kennt und aktiv dagegen arbeitet, eliminiert den Grossteil des realistischen Risikopotenzials.
Die wichtigsten Punkte fuer Webprojekte
Broken Access Control bedeutet, dass Nutzer auf Daten zugreifen koennen, die ihnen nicht gehoeren, meist weil Autorisierung nur im Frontend geprueft wird. Cryptographic Failures zeigen sich in Klartext-Passwoertern, HTTP statt HTTPS oder veralteter Verschluesselung, keine Theorie-Szenarien, sondern reale Fehler. Injection, ob SQL oder XSS, ist 25 Jahre alt und steht immer noch in den Top drei, Parameterized Queries, Input Validation und Output Encoding sind die Gegenmittel. Security Misconfiguration zeigt sich in ungeaenderten Default-Zugangsdaten, Fehlerseiten mit Stack Traces oder aktivem Debug-Modus in Produktion. Und Identification-and-Authentication-Failures bedeuten fehlende Brute-Force-Protection, kein MFA und zu lange gueltige Session-Tokens.
Praktische Massnahmen, die sofort helfen
HTTP-Security-Header setzen, Dependencies regelmaessig aktualisieren, Error-Pages ohne sensible Informationen und Admin-Bereiche durch IP-Whitelisting oder MFA schuetzen.
Automatisierte Scans als Einstieg
OWASP ZAP und die Community Edition von Burp Suite sind kostenlos, Mozilla Observatory eignet sich fuer eine schnelle HTTP-Header-Pruefung. Kein Ersatz fuer manuelles Testing, aber eine gute erste Einschaetzung.
Checkliste: HTTPS erzwungen, Security Headers konfiguriert, SQL Injection und XSS geprueft, Authentication mit Rate Limiting, Error Pages ohne sensible Informationen, Dependency Scan in CI/CD integriert.
Ein Beispiel aus der Praxis
Bei einem automatisierten Security-Scan einer bestehenden Website fiel auf, dass eine seit Jahren ungenutzte Admin-Unterseite noch mit den Werkseinstellungen erreichbar war, inklusive Standard-Zugangsdaten. Niemand im aktuellen Team wusste noch von ihrer Existenz, sie stammte aus einer frueheren Projektphase. Ein einziger automatisierter Scan deckte das auf, das manuelle Durchklicken der Seite haette es vermutlich nie gefunden. Genau solche vergessenen Altlasten sind der Grund, warum regelmaessige, automatisierte Scans auch bei stabil laufenden Websites sinnvoll bleiben.
Security-Check fuer eure Web-Applikation? markom.digital macht strukturierte Security-Reviews und hilft, kritische Schwachstellen vor dem Launch zu finden.
