OWASP Top 10 2025 Schulung

A01:2025 – Unzureichende Zugriffskontrolle
A02:2025 – Fehlerhafte Sicherheitskonfigurationen
A03:2025 – Probleme in der Software-Beschaffungskette
A04:2025 – Schwachstellen bei der Verschlüsselung
A05:2025 – Eingabeinjektionen
A06:2025 – Sicherheitsgefährdetes Design
A07:2025 – Fehler bei der Authentifizierung
A08:2025 – Gefahren für Software- und Datenintegrität
A09:2025 – Unzureichendes Logging sowie Alarmierung bei Sicherheitsvorfällen
A10:2025 – Fehlerhafte Handhabung unerwarteter Situationen

A01:2025 Unzureichende Zugriffskontrolle – Die Zugriffskontrolle stellt sicher, dass Nutzer nur die Funktionen ausführen dürfen, für die sie berechtigt sind. Mängel in diesem Bereich können zu unbefugtem Datenzugriff oder Manipulation führen.

A02:2025 Fehlerhafte Sicherheitskonfigurationen – Bei dieser Schwachstelle sind Systeme, Anwendungen oder Cloud-Dienste aus Sicht der IT-Sicherheit falsch konfiguriert, wodurch sie anfällig für Angriffe werden.

A03:2025 Probleme in der Software-Beschaffungskette – Dabei handelt es sich um Schwierigkeiten oder Manipulationen während der Erstellung, Verteilung und Aktualisierung von Software. Oft entstehen solche Probleme durch Sicherheitslücken oder absichtliche Änderungen an externer Codebasis.

A04:2025 Schwachstellen bei der Verschlüsselung – In der Regel sollte sämtlicher Datenverkehr in der Übertragung verschlüsselt sein (OSI-Schicht 4). Heutzutage erleichtern spezialisierte CPU-Funktionen die Verschlüsselung, und Tools wie Let’s Encrypt sowie Cloud-Anbieter unterstützen zusätzlich bei der Zertifikatsverwaltung. Dennoch ist es wichtig zu entscheiden, welche Daten bereits im Ruhezustand verschlüsselt sein müssen oder zusätzlich auf Anwendungsebene gesichert werden sollen – insbesondere sensible Informationen wie Passwörter, Kreditkartendaten, medizinische Aufzeichnungen sowie Geschäftsgeheimnisse. Dabei gilt es auch, die jeweiligen Datenschutzvorgaben zu berücksichtigen, etwa das EU-Datenschutzgesetz (DSGVO) oder den Sicherheitsstandard PCI DSS.

A05:2025 Eingabeinjektionen – Eine solche Schwachstelle ermöglicht es Angreifern, bösartigen Code oder Befehle in Eingabefelder einzuschleusen. Dadurch könnte das System diese Befehle ausführen – mit weitreichend negativen Konsequenzen.

A06:2025 Sicherheitsgefährdetes Design – Dieser Begriff beschreibt Defizite beim Entwurf von Systemen. Dabei handelt es sich nicht zwingend um die Ursache aller weiteren Schwachstellen, doch er unterscheidet sich vom Fehlverhalten bei der Umsetzung. Ein sicheres Design kann trotzdem zu Schwachstellen führen; ein unsicheres Design lässt sich hingegen auch durch fehlerfreie Implementierungen nicht mehr vollständig beheben, da die nötigen Sicherheitsmaßnahmen ursprünglich fehlten. Ein Hauptgrund für solche Fehler ist die Unterlassung einer Risikoanalyse hinsichtlich der erforderlichen Sicherheitsebene.

A07:2025 Fehler bei der Authentifizierung – Diese Schwachstelle tritt auf, wenn Angreifer ein System dazu verleiten können, ungültige oder fehlerhafte Anmeldedaten als gültig anzuerkennen.

A08:2025 Gefahren für Software- und Datenintegrität – Hierbei besteht die Gefahr, dass unzuverlässiger Code oder nicht vertrauenswürdige Daten fälschlicherweise als sicher und gültig akzeptiert werden. Beispielhaft sei genannt: Software nutzt Plugins, Bibliotheken oder Inhalte aus unsicheren Quellen wie CDNs. Auch eine ungeschützte CI/CD-Pipeline kann gefährliche Codeänderungen zulassen – insbesondere dann, wenn die Überprüfung von Signaturen ausbleibt.

A09:2025 Unzureichendes Logging sowie Alarmierung bei Sicherheitsvorfällen – Ohne ordnungsgemäßes Protokollieren und Monitoring bleiben Angriffe unentdeckt; fehlende Alarme verzögern zudem eine schnelle Reaktion auf Sicherheitsprobleme.

A10:2025 Fehlerhafte Handhabung unerwarteter Situationen – Wenn Programme nicht ausreichend darauf vorbereitet sind, ungewöhnliche Vorgänge zu erkennen oder angemessen zu reagieren, kann dies zu Abstürzen oder Sicherheitslücken führen. Typische Fehler: Nichtverhindern der Ausnahmesituation, fehlende Erkennung oder unsachgemäße Reaktion darauf.

Wir behandeln anschließend folgende praktische Aspekte:

Unzureichende Zugriffskontrolle
– Beispiele für fehlerhafte Zugriffsbeschränkungen
– Sichere Methoden und bewährte Verfahren zur Implementierung von Zugriffskontrollen

Fehlerhafte Sicherheitskonfigurationen
– Typische Beispiele aus der Praxis
– Vorbeugung mittels Konfigurationsmanagement und Automatisierungstools

Schwachstellen bei der Verschlüsselung
– Analyse von schwachen Algorithmen oder fehlerhafter Schlüsselverwaltung
– Wichtigkeit sicherer Protokolle (z. B. SSL/TLS) sowie moderner kryptographischer Methoden im Web-Sicherheitsbereich

Eingabeinjektionen
– Arten von Injektionen: SQL, NoSQL, OS- und LDAP-Injektionen
– Gegenmaßnahmen: vorbereitete Abfragen, parametrisierte Anweisungen sowie Eingabefilterung

Sicherheitsgefährdetes Design
– Fehlerquellen wie mangelnde Validierung von Eingaben
– Strategien für sicheres Architektur- und Designdenken

Fehler bei der Authentifizierung
– Häufige Schwachstellen in Authentifizierungsmechanismen
– Sichere Verfahren: Mehrfaktorauthentifizierung sowie saubere Sitzungsverwaltung

Gefahren für Software- und Datenintegrität
– Risiken durch nicht vertrauenswürdige Updates oder Manipulationen
– Zuverlässige Updatemechanismen und Methoden zur Datensicherheit

Unzureichendes Logging sowie Alarmierung bei Sicherheitsvorfällen
– Notwendigkeit, relevante Sicherheitsdaten zu protokollieren und verdächtige Vorgänge rechtzeitig zu erkennen
– Geeignete Werkzeuge und Praktiken für effektives Logging und Echtzeit-Monitoring