Die OWASP Top 10 sind das bekannteste Referenzwerk für Webanwendungssicherheit. Doch zwischen dem Lesen der Liste und dem tatsächlichen Finden dieser Schwachstellen im eigenen Code liegt eine erhebliche Praxislücke. Dieser Artikel übersetzt die aktuellen OWASP Top 10 (2021) in konkrete Prüfansätze und zeigt, wie wir bei KernCode Security Labs GmbH jede Kategorie in Quellcode-Audits und Penetrationstests adressieren.
Die OWASP Top 10 werden oft als Checkliste missverstanden: „Wir haben XSS geprüft — Haken dran.“ In Wirklichkeit beschreiben sie Risikokategorien, die jeweils Dutzende konkreter Angriffsmuster umfassen. „Broken Access Control“ (A01) reicht von fehlenden Funktionsebenen-Prüfungen über IDOR bis hin zu CORS-Fehlkonfigurationen. „Cryptographic Failures“ (A02) umfasst alles von MD5-Hashes über fehlendes TLS bis hin zu unsicherem Schlüsselaustausch. Wer die Kategorien oberflächlich abhakt, übersieht die subtilen Varianten.
Die zehn Kategorien und ihre Praxisrelevanz
| OWASP-Kategorie | Typischer Befund in der Praxis | Prüfansatz |
|---|---|---|
| A01 — Broken Access Control | API-Endpunkt liefert fremde Kundendaten bei geänderter ID | Manuelle Tests mit verschiedenen Rollen und Mandanten |
| A02 — Cryptographic Failures | Passwörter mit SHA-256 ohne Salt gehasht | Code-Review der Kryptografie-Module |
| A03 — Injection | NoSQL-Injection in MongoDB-Query über JSON-Input | SAST + manuelle Eingabe-Fuzzing |
| A04 — Insecure Design | Passwort-Reset-Token ohne Ablauf, vorhersagbar | Architektur-Review, Bedrohungsmodellierung |
| A05 — Security Misconfiguration | Debug-Modus in Produktion, Stack-Traces im Response | Automatisierter Scan + manuelle Konfigurationsprüfung |
| A06 — Vulnerable Components | jQuery 2.x mit bekannter XSS-Schwachstelle | Dependency-Check, SBOM-Analyse |
| A07 — Auth. Failures | Kein Rate-Limiting auf Login, kein MFA | Brute-Force-Tests, Session-Analyse |
| A08 — Data Integrity Failures | Unsichere Deserialisierung von User-Input | Code-Review, gezielte Payloads |
| A09 — Logging Failures | Keine Logs bei fehlgeschlagenen Logins | Log-Analyse, SIEM-Integration prüfen |
| A10 — SSRF | Interner Service über URL-Parameter erreichbar | Manuelle Tests mit internen IP-Adressen |
In unseren Quellcode-Sicherheitsaudits prüfen wir jede dieser Kategorien systematisch gegen Ihren Code. Im Rahmen einer Schwachstellenanalyse bewerten wir zusätzlich die Infrastruktur- und Konfigurationsebene. Die OWASP Top 10 sind ein guter Startpunkt, aber kein Endpunkt — viele kritische Schwachstellen (Business Logic, Race Conditions, Supply Chain) fallen nicht sauber in eine der zehn Kategorien. Deshalb arbeiten wir methodisch über die Liste hinaus.
Dr. Tobias Vogel empfiehlt Entwicklungsteams, die OWASP Top 10 als Schulungsrahmen zu nutzen — nicht als Audit-Checkliste. Wer versteht, warum Broken Access Control die häufigste Schwachstellenkategorie ist, entwickelt besseren Code. Wer nur Haken setzt, verpasst die nächste Variante.
KernCode Security Labs GmbH
Ihr Ansprechpartner: Dr. Tobias Vogel
Mainzer Landstraße 41
60329 Frankfurt am Main
Telefon: +49 69 3487 2150
E-Mail: [email protected]