Was sind die OWASP Top 10?

OWASP Top 10: Definition und Hintergrund

OWASP ist eine internationale Non-Profit-Organisation, die frei zugängliche Leitfäden, Werkzeuge und Standards zur Anwendungssicherheit veröffentlicht. Ihr bekanntestes Projekt ist die Top-10-Liste, die alle paar Jahre auf Basis von Daten aus realen Anwendungen und einer Befragung von Fachleuten überarbeitet wird.

Die Liste ist ein Dokument zur Sensibilisierung: Sie zeigt, wo die größten Risiken liegen, ist aber kein vollständiger Prüfkatalog. Für systematische Prüfungen gibt es ergänzend den OWASP Application Security Verification Standard (ASVS). Hinzu kommen praxisnahe Spickzettel für Entwickler, die OWASP Cheat Sheets.

Typische Risiken aus der OWASP Top 10

Die Kategorien beschreiben Arten von Schwachstellen, keine einzelnen Fehler. Fehlerhafte Zugriffskontrolle steht dabei aktuell an erster Stelle – also Fälle, in denen Nutzer Daten oder Funktionen erreichen, für die sie keine Berechtigung haben.

Häufig entstehen solche Lücken nicht durch exotische Angriffe, sondern durch Alltagsfehler: eine vergessene Rechteprüfung, eine ungeprüfte Eingabe oder eine Bibliothek, die seit Jahren nicht aktualisiert wurde.

• Fehlerhafte Zugriffskontrolle, etwa fremde Kundendaten durch Ändern einer ID in der URL
• Injection, zum Beispiel SQL-Injection über ungeprüfte Formulareingaben
• Kryptografische Fehler wie unzureichend geschützte Passwörter
• Sicherheitsrelevante Fehlkonfigurationen, etwa offen erreichbare Admin-Oberflächen
• Veraltete oder unsichere Komponenten und Abhängigkeiten
• Schwache Authentifizierung und lückenhaftes Logging

Nutzen und Grenzen der Liste

Für Unternehmen ist die OWASP Top 10 ein praktischer Maßstab: Sie können von Dienstleistern verlangen, dass Anwendungen mit Blick auf diese Risiken entwickelt und geprüft werden. Auch Sicherheitsrichtlinien und Ausschreibungen verweisen häufig darauf.

Die Grenzen: Wer nur die zehn Kategorien abhakt, ist nicht automatisch sicher. Fehler in der Geschäftslogik, Schwachstellen in der Infrastruktur oder Social Engineering deckt die Liste nicht vollständig ab. Sie ist ein Startpunkt, kein Abschluss – ergänzt durch Bedrohungsanalysen, regelmäßige Updates und Tests.

Für die Praxis heißt das: Sicherheitsanforderungen gehören bereits ins Lastenheft. Wer Software beauftragt, sollte festlegen, nach welchen Standards entwickelt wird, wie Abhängigkeiten aktualisiert werden und wer Sicherheitsupdates nach dem Start übernimmt.

Praxis: OWASP Top 10 im Entwicklungsalltag

Sicherheit wirkt am besten, wenn sie von Anfang an mitgedacht wird. Dazu gehören Eingabeprüfung und parametrisierte Datenbankabfragen, ein sauberes Rechtekonzept, sichere Standardeinstellungen, automatische Prüfungen von Abhängigkeiten in der CI/CD-Pipeline sowie Code-Reviews. Sicherheitsupdates werden zeitnah eingespielt.

Ein Beispiel: Ein Kundenportal zeigt Rechnungen unter Adressen wie /rechnung/1042. Ändert ein Nutzer die Zahl, darf er niemals fremde Rechnungen sehen – der Server muss bei jeder Anfrage prüfen, ob die Rechnung zum angemeldeten Konto gehört. Nano Concepts berücksichtigt die OWASP-Risiken bei der Entwicklung von Web-Apps und APIs und prüft bestehende Anwendungen auf typische Schwachstellen.