OWASP Top 10 2025 Schulung

A01:2025 - Gebrochene Zugriffskontrolle
A02:2025 - Sicherheitskonfigurationsfehler
A03:2025 - Fehler in der Software-Zufuhrkette
A04:2025 - Kryptografische Fehler
A05:2025 - Injektionsangriffe
A06:2025 - Unsicheres Design
A07:2025 - Authentifizierungsfehler
A08:2025 - Fehler bei der Integrität von Software oder Daten
A09:2025 - Fehler bei der Sicherheitsprotokollierung und -alarmierung
A10:2025 - Umgang mit Ausnahmebedingungen

A01:2025 Gebrochene Zugriffskontrolle - Die Zugriffskontrolle erzwingt Richtlinien, sodass Benutzer nicht außerhalb ihrer beabsichtigten Berechtigungen handeln können. Fehler führen typischerweise zur unbefugten Offenlegung, Änderung oder Zerstörung aller Daten oder zur Ausführung von Geschäftsfunktionen außerhalb der Grenzen des Benutzers.

A02:2025 Sicherheitskonfigurationsfehler - Ein Sicherheitskonfigurationsfehler liegt vor, wenn ein System, eine Anwendung oder ein Cloud-Dienst aus Sicherheitsperspektive falsch eingerichtet ist und dadurch Schwachstellen entstehen.

A03:2025 Fehler in der Software-Zufuhrkette - Fehler in der Software-Zufuhrkette sind Zusammenbrüche oder andere Kompromittierungen in den Prozessen der Erstellung, Verteilung oder Aktualisierung von Software. Sie werden oft durch Schwachstellen oder bösartige Änderungen in Drittanbieter-Code, -Tools oder anderen Abhängigkeiten verursacht, auf die das System angewiesen ist.

A04:2025 Kryptografische Fehler - Grundsätzlich sollte alle Daten im Transport auf der Transportebene (OSI-Schicht 4) verschlüsselt werden. Frühere Hürden wie CPU-Leistung und das Management privater Schlüssel/Zertifikate werden heute durch CPUs mit Anweisungen zur Beschleunigung der Verschlüsselung (z. B. AES-Unterstützung) und durch das vereinfachte Management privater Schlüssel und Zertifikate durch Dienste wie LetsEncrypt.org behandelt, wobei große Cloud-Anbieter noch stärker integrierte Zertifikatsmanagementdienste für ihre jeweiligen Plattformen bereitstellen. Neben der Absicherung der Transportebene ist es wichtig zu bestimmen, welche Daten auch bei der Speicherung verschlüsselt werden müssen und welche Daten zusätzliche Verschlüsselung im Transport erfordern (auf der Anwendungsebene, OSI-Schicht 7). Beispielsweise benötigen Passwörter, Kreditkartendaten, Gesundheitsakten, personenbezogene Informationen und Geschäftsgeheimnisse zusätzlichen Schutz, insbesondere wenn diese Daten unter Datenschutzgesetze wie die EU-Allgemeine Datenschutzverordnung (GDPR) oder Vorschriften wie den PCI-Datensicherheitsstandard (PCI DSS) fallen.

A05:2025 Injektionsangriffe - Eine Injektionsschwachstelle ist ein Systemfehler, der es einem Angreifer ermöglicht, schädlichen Code oder Befehle (wie SQL- oder Shell-Code) in die Eingabefelder eines Programms einzufügen, um das System dazu zu verleiten, diesen Code oder diese Befehle so auszuführen, als wären sie Teil des Systems. Dies kann zu wirklich verheerenden Folgen führen.

A06:2025 Unsicheres Design - Unsicheres Design ist eine breite Kategorie, die verschiedene Schwachstellen darstellt, ausgedrückt als „fehlendes oder wirkungsloses Kontroll-Design“. Unsicheres Design ist nicht die Ursache aller anderen Top-Ten-Risikokategorien. Beachten Sie, dass es einen Unterschied zwischen unsicherem Design und unsicherer Implementierung gibt. Wir unterscheiden zwischen Designfehlern und Implementierungsdefekten, da sie unterschiedliche Ursachen haben, zu unterschiedlichen Zeitpunkten im Entwicklungsprozess auftreten und unterschiedliche Behebungen erfordern. Ein sicheres Design kann immer noch Implementierungsdefekte aufweisen, die zu ausnutzbaren Schwachstellen führen. Ein unsicheres Design kann nicht durch eine perfekte Implementierung behoben werden, da die erforderlichen Sicherheitskontrollen nie zum Schutz vor bestimmten Angriffen erstellt wurden. Ein Faktor, der zu unsicherem Design beiträgt, ist das Fehlen eines geschäftsspezifischen Risikoprofils der zu entwickelnden Software oder des Systems und damit die Unfähigkeit, das erforderliche Level des Sicherheitsdesigns zu bestimmen.

A07:2025 Authentifizierungsfehler - Diese Schwachstelle ist vorhanden, wenn ein Angreifer in der Lage ist, ein System dazu zu bringen, einen ungültigen oder falschen Benutzer als legitim zu erkennen.

A08:2025 Fehler bei der Integrität von Software oder Daten - Fehler bei der Integrität von Software und Daten beziehen sich auf Code und Infrastruktur, die nicht davor schützen, dass ungültiger oder unzuverlässiger Code oder Daten als vertrauenswürdig und gültig behandelt werden. Ein Beispiel hierfür ist, wenn eine Anwendung auf Plugins, Bibliotheken oder Module aus unzuverlässigen Quellen, Repositories und Content Delivery Networks (CDNs) angewiesen ist. Eine unsichere CI/CD-Pipeline ohne die Verwendung und Bereitstellung von Software-Integritätsprüfungen kann das Potenzial für unbefugten Zugriff, unsicheren oder schädlichen Code oder Systemkompromittierung einführen. Ein weiteres Beispiel hierfür ist eine CI/CD-Pipeline, die Code oder Artefakte aus unzuverlässigen Stellen abruft und/oder diese vor der Verwendung (durch Prüfung der Signatur oder einem ähnlichen Mechanismus) nicht verifiziert. 

A09:2025 Fehler bei der Sicherheitsprotokollierung und -alarmierung  - Ohne Protokollierung und Überwachung können Angriffe und Verstöße nicht erkannt werden, und ohne Alarmierung ist es sehr schwierig, bei einem Sicherheitsvorfall schnell und wirksam zu reagieren. Unzureichende Protokollierung, kontinuierliche Überwachung, Erkennung und Alarmierung zur Einleitung aktiver Reaktionen treten zu jeder Zeit auf

A10:2025 Umgang mit Ausnahmebedingungen - Der Umgang mit Ausnahmebedingungen in Software tritt auf, wenn Programme nicht in der Lage sind, ungewöhnliche und unberechenbare Situationen zu verhindern, zu erkennen und darauf zu reagieren, was zu Abstürzen, unerwartetem Verhalten und manchmal zu Schwachstellen führt. Dies kann eines oder mehrere der folgenden drei Versäumnisse umfassen: Die Anwendung verhindert nicht, dass eine ungewöhnliche Situation auftritt, sie erkennt die Situation nicht, während sie stattfindet, und/oder sie reagiert danach schlecht oder gar nicht auf die Situation.

Wir werden die praktischen Aspekte besprechen und vorstellen:

Gebrochene Zugriffskontrolle
- Praktische Beispiele für gebrochene Zugriffskontrollen
- Sichere Zugriffskontrollen und bewährte Praktiken

Sicherheitskonfigurationsfehler
- Beispiele aus der realen Welt von Fehlkonfigurationen
- Maßnahmen zur Vermeidung von Fehlkonfigurationen, einschließlich Konfigurationsmanagement und Automatisierungstools

Kryptografische Fehler
- Detaillierte Analyse von kryptografischen Fehlern wie schwache Verschlüsselungsalgorithmen oder unsachgemäße Schlüsselverwaltung
- Bedeutung starker kryptografischer Mechanismen, sicherer Protokolle (SSL/TLS) und Beispiele für moderne Kryptografie in der Websicherheit

Injektionsangriffe
- Detaillierte Aufschlüsselung von SQL-, NoSQL-, OS- und LDAP-Injektionen
- Minderungstechniken durch Verwendung von vorbereiteten Anweisungen, parametrisierten Abfragen und dem Ändern von Eingaben

Unsicheres Design
- Wir werden Designfehler erkunden, die zu Schwachstellen führen können, wie unsachgemäße Validierung von Eingaben
- Wir werden Strategien für sichere Architektur und sichere Designprinzipien studieren

Authentifizierungsfehler
- Häufige Authentifizierungsprobleme
- Sichere Authentifizierungsstrategien, wie Mehrfaktor-Authentifizierung und ordnungsgemäße Sitzungshandhabung

Fehler bei der Integrität von Software und Daten
- Fokus auf Probleme wie unzuverlässige Softwareupdates und Datenmanipulation
- Sichere Update-Mechanismen und Integritätsprüfungen für Daten

Fehler bei der Sicherheitsprotokollierung und -überwachung
- Bedeutung der Protokollierung sicherheitsrelevanter Informationen und der Überwachung verdächtiger Aktivitäten
- Tools und Praktiken für ordnungsgemäße Protokollierung und Echtzeitüberwachung, um Verstöße frühzeitig zu erkennen