OWASP Top 10 für KMU: praktische Checkliste für Websicherheit

Die OWASP Top 10 sind eine vielzitierte Liste der wichtigsten Kategorien von Sicherheitsrisiken für Webanwendungen, herausgegeben vom Open Worldwide Application Security Project. Große Unternehmen nutzen sie, um Programme für sichere Entwicklung zu gestalten, doch sie ist ebenso nützlich für kleine und mittlere Unternehmen, die ein Kundenportal, einen Onlineshop oder ein SaaS-Produkt betreiben. Dieser Leitfaden übersetzt die Kategorien in einfache Fragen, die ein KMU an die eigenen Anwendungen und Dienstleister richten kann.

Was es ist

Die Top 10 sind ein Dokument zur Sensibilisierung, das Teams hilft, sich auf die häufigsten Risiken von Webanwendungen zu konzentrieren. Jede Kategorie fasst verwandte Schwachstellen zusammen. Die aktuelle Ausgabe 2025, die die Liste von 2021 abgelöst hat, umfasst: fehlerhafte Zugriffskontrolle (die nun auch Server-Side Request Forgery einschließt); Sicherheitsfehlkonfiguration; Fehler in der Software-Lieferkette; kryptografische Fehler; Injection; unsicheres Design; Authentifizierungsfehler; Fehler bei der Integrität von Software oder Daten; Fehler bei Protokollierung und Alarmierung; sowie fehlerhafte Behandlung von Ausnahmesituationen. Viele Fragebögen und Verträge verweisen noch auf die Ausgabe 2021; klären Sie daher beim Festlegen von Anforderungen, welche Version ein Kunde oder Partner erwartet. Für ein KMU liegt der Wert weniger im Auswendiglernen der Liste als darin, sie als Checkliste von Fragen zu nutzen: Wer kann was sehen, wie werden Passwörter und Sessions gehandhabt, welche Komponenten sind veraltet und würde jemand einen laufenden Angriff bemerken?

Für wen es gedacht ist

Diese Checkliste richtet sich an:

KMU, die eine kundenorientierte Webanwendung, ein Portal oder einen Onlineshop betreiben
Gründer und Führungskräfte, die Entwicklung bei einer Agentur oder einem Freelancer beauftragen und fundierte Fragen stellen müssen
Kleine interne Teams ohne eigene Sicherheitsrolle
Unternehmen, die sich auf einen Sicherheitsfragebogen eines Kunden mit Bezug auf OWASP vorbereiten

Was es zu klären hilft

Die Arbeit mit den Kategorien hilft zu klären:

ob Nutzer nur die Daten sehen und ändern können, die ihre Rolle erlaubt
welche Bibliotheken, Plugins und Frameworks von Drittanbietern veraltet sind oder nicht mehr gepflegt werden
ob Konfiguration, Secrets und Fehlermeldungen mehr preisgeben als nötig
ob die Protokollierung es Ihnen ermöglichen würde, verdächtige Aktivitäten zu bemerken und zu untersuchen

Was ist enthalten

Zugriffskontrolle: testen, dass ein Nutzer die Datensätze eines anderen Kunden nicht einsehen oder bearbeiten kann, indem er eine ID in der URL oder Anfrage ändert, und einschränken, welche internen oder externen Adressen die Anwendung aufrufen kann
Kryptografie: durchgängig HTTPS und modernes TLS bestätigen und sicherstellen, dass Passwörter mit einem starken Hash-Algorithmus gespeichert werden
Injection: prüfen, dass Eingaben validiert und Datenbankabfragen parametrisiert werden
Design: dokumentieren, wie sich sensible Abläufe wie Passwortzurücksetzung, Zahlungen und Erstattungen verhalten sollen, einschließlich Missbrauchsfällen
Fehlkonfiguration: Standardkonten entfernen, Debug-Ausgaben deaktivieren und Security-Header prüfen
Lieferkette: ein Inventar von Bibliotheken, Plugins und Build-Tools führen, nach festgelegtem Zeitplan patchen und nicht gepflegte Komponenten entfernen
Authentifizierung: Multi-Faktor-Authentifizierung für Administratoren anbieten und wiederholte Anmeldeversuche begrenzen
Integrität: Build- und Deployment-Pipelines schützen und prüfen, dass Updates aus vertrauenswürdigen Quellen stammen
Protokollierung und Alarmierung: Anmeldungen, Berechtigungsänderungen und administrative Aktionen erfassen und sicherstellen, dass Alarme jemanden erreichen, der sie prüft
Ausnahmesituationen: sicherstellen, dass Fehler, Timeouts und unerwartete Eingaben sicher scheitern, ohne Stack-Traces offenzulegen oder Sicherheitsprüfungen zu überspringen

Was nicht enthalten ist

Eine Aussage, dass die Behandlung der Top 10 eine Anwendung sicher macht; sie ist ein nützlicher Ausgangspunkt für eine breitere Abdeckung
Zertifizierung oder formale Compliance-Freigabe
Schritt-für-Schritt-Techniken zur Ausnutzung
Abdeckung von Risiken außerhalb von Webanwendungen, etwa interner Netzwerke oder physischer Sicherheit

Wann man es wählt

Nutzen Sie die Checkliste, wenn Sie neue Funktionen planen, einen Entwicklungsdienstleister einbinden und vor einem Launch oder größeren Release. Wenn mehrere Antworten „wissen wir nicht“ lauten, ist das ein Signal, eine unabhängige Prüfung zu beauftragen, statt sich auf Annahmen zu verlassen. Wenn ein Kunde oder Partner Nachweise für an OWASP ausgerichtete Tests verlangt, ist ein dokumentiertes Anwendungssicherheits-Review oder ein Penetrationstest in der Regel überzeugender als eine Selbstbewertung.

Unser Ansatz

Beginnen Sie mit Zugriffskontrolle und Authentifizierung, denn dort treten in Geschäftsanwendungen häufig ernste Probleme auf. Bitten Sie Ihre Entwickler oder Ihren Dienstleister, Schritt für Schritt zu zeigen, wie jede Rolle auf dem Server durchgesetzt wird und nicht nur in der Oberfläche ausgeblendet ist. Erfassen Sie dann die Komponenten und vereinbaren Sie eine Update-Routine. Stellen Sie sicher, dass Secrets nicht in Code-Repositories gespeichert werden und dass Fehlerseiten keine Stack-Traces offenlegen. Für einen unabhängigen Blick untersucht unser Application Security Review vereinbarte Webanwendungen und APIs auf gängige Anwendungsrisiken, einschließlich der OWASP-Kategorien, und liefert nach Schweregrad gestufte Befunde mit Hinweisen zur Behebung. Betrifft Ihr Anliegen hauptsächlich eine CMS-basierte Website, kann eine Härtung der Website der angemessenere Schritt sein. Wofür Sie sich auch entscheiden: Verankern Sie die Checkliste in Ihrem Release-Prozess, sodass jede Änderung daran gemessen wird, statt Sicherheit als einmaliges Ereignis vor dem Launch zu behandeln.

Application Security Review

Zur Seite des Service Application Security Review