Glossar · Sicherheit
OWASP Top 10
Auch genannt: OWASP Top Ten, OWASP Top 10 Liste, OWASP-Top-10
Definition
Die Awareness-Liste von OWASP mit den zehn kritischsten Risikokategorien für Webanwendungen, weit verbreitet zur Planung von Sicherheitstests und Code-Reviews.
Die OWASP Top 10 sind ein Dokument des Open Worldwide Application Security Project, das die kritischsten Kategorien von Sicherheitsrisiken für Webanwendungen auf Basis von Schwachstellendaten und Beiträgen der Community einstuft. Es ist ein Awareness-Dokument und kein vollständiger Standard: Es sagt Ihnen, wo Sie zuerst hinschauen sollten, während ein Rahmenwerk wie der OWASP Application Security Verification Standard (ASVS) detaillierte, prüfbare Anforderungen liefert.
Die Liste von 2021
| ID | Kategorie | Was ein Tester zum Beispiel prüft |
|---|---|---|
| A01 | Broken Access Control | Kann Nutzer A die Daten von Nutzer B lesen oder ändern? Kann ein normaler Nutzer Admin-Endpunkte aufrufen? |
| A02 | Cryptographic Failures | Sensible Daten über unverschlüsseltes HTTP, schwaches Passwort-Hashing, Secrets in Antworten |
| A03 | Injection | SQL-, Command- und NoSQL-Injection; Cross-Site Scripting ist hier eingeordnet |
| A04 | Insecure Design | Fehlende Grenzen in der Geschäftslogik, etwa unbegrenzt wiederverwendbare Gutscheine |
| A05 | Security Misconfiguration | Standard-Zugangsdaten, ausführliche Stacktraces, offener Cloud-Speicher, fehlende Header |
| A06 | Vulnerable and Outdated Components | Abhängigkeiten mit bekannten CVEs |
| A07 | Identification and Authentication Failures | Schwaches Session-Handling, kein Brute-Force-Schutz, fehlerhaftes Zurücksetzen des Passworts |
| A08 | Software and Data Integrity Failures | Unsignierte Updates, unsichere Deserialisierung, nicht vertrauenswürdige CI/CD-Eingaben |
| A09 | Security Logging and Monitoring Failures | Fehlgeschlagene Logins und verweigerte Zugriffe werden weder geloggt noch gemeldet |
| A10 | Server-Side Request Forgery (SSRF) | Ein URL-Parameter, der den Server interne Adressen abrufen lässt |
OWASP aktualisiert die Liste alle paar Jahre. Prüfen Sie auf owasp.org die aktuelle Ausgabe, bevor Sie Kategorienummern in einem Bericht zitieren, denn Rangfolge und Gruppierung ändern sich zwischen den Versionen.
Wie Tester sie nutzen
- Scoping. Ordnen Sie jeder Kategorie konkrete Prüfungen für Ihre Anwendung zu und entscheiden Sie dann, welche Sie automatisieren, welche Sie manuell abdecken und welche in einen spezialisierten Penetrationstest gehören.
- Automatisierung, wo sie passt. Zugriffskontrollprüfungen (zwei Nutzer, IDs vertauschen,
403oder404erwarten) und Dependency-Scans laufen gut in der CI. Dynamische Scanner wie OWASP ZAP können gegen Staging laufen.
Häufige Fehler
Die Liste als Checkliste zu behandeln, die nach dem Abhaken „sicher“ bedeutet, und sie mit den separaten Top-10-Listen von OWASP für APIs und LLM-Anwendungen zu verwechseln, die eigene Kategorien haben.
Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine schriftliche Testgenehmigung haben.