Sofortantwort
OWASP einfach erklärt
Organisation für Web-Sicherheitsstandards und die berühmte Top 10 Liste.
- Kurz gesagt
- OWASP Top 10: Die kritischsten Web-Sicherheitsrisiken
- Typischer Einsatz
- Security Audits, Entwickler-Training, Sicherheit
- Wichtig zu wissen
- Industriestandard für sichere Entwicklung
OWASP im Überblick
OWASP definiert die wichtigsten Sicherheitsrisiken und wie man sie vermeidet.
OWASP Top 10 (2025):
| Rang | Risiko | Beispiel |
|---|---|---|
| 1 | Broken Access Control | User sieht Admin-Daten |
| 2 | Security Misconfiguration | Default-Passwörter |
| 3 | Software Supply Chain Failures | Kompromittierte Abhängigkeit im Build |
| 4 | Cryptographic Failures | Passwörter im Klartext |
| 5 | Injection | SQL Injection |
| 6 | Insecure Design | Fehlende Sicherheitsarchitektur |
| 7 | Authentication Failures | Schwache Passwörter erlaubt |
| 8 | Software or Data Integrity Failures | Unsichere CI/CD-Pipeline |
| 9 | Security Logging and Alerting Failures | Keine Audit Logs, keine Alarme |
| 10 | Mishandling of Exceptional Conditions | Fehlerfall führt in einen unsicheren Zustand |
Gegenüber der Fassung von 2021 ist „Software Supply Chain Failures” neu auf Platz 3 – die früheren „Vulnerable and Outdated Components” sind darin aufgegangen. SSRF steht nicht mehr eigenständig in der Liste.
Technisch betrachtet
Injection Prevention
# SCHLECHT: SQL Injection möglich
query = f"SELECT * FROM users WHERE id = {user_input}"
# GUT: Parameterized Query
cursor.execute("SELECT * FROM users WHERE id = ?", (user_input,))Access Control
# SCHLECHT: Nur Client-Side Check
if user.role == "admin":
show_admin_panel()
# GUT: Server-Side Enforcement
@require_role("admin")
def admin_endpoint():
return admin_data()