OWASP Top 10 einfach erklärt: Die häufigsten Web-Schwachstellen

Was sind die OWASP Top 10?

Die OWASP Top 10 sind eine regelmäßig aktualisierte Liste der kritischsten Sicherheitsrisiken für Web-Anwendungen, herausgegeben vom Open Worldwide Application Security Project. Sie ist der De-facto-Standard, an dem sich Entwickler und Tester orientieren.

Die Kategorien — verständlich erklärt

A01 Broken Access Control

Nutzer können auf Daten oder Funktionen zugreifen, die ihnen nicht gehören — etwa indem sie eine ID in der URL ändern (IDOR). Eine der häufigsten und gefährlichsten Lücken.

A02 Kryptografische Fehler

Sensible Daten werden unverschlüsselt übertragen oder gespeichert, oder es kommen veraltete Verfahren zum Einsatz.

A03 Injection

Nicht geprüfte Eingaben landen in Datenbankabfragen oder Befehlen — SQL-Injection ist der Klassiker.

A04 Insecure Design

Die Schwachstelle liegt im Konzept, nicht im Code — fehlende Absicherung ganzer Abläufe.

A05 Security Misconfiguration

Standardpasswörter, offene Admin-Panels, zu ausführliche Fehlermeldungen, offengelegte Dateien.

A06 Vulnerable and Outdated Components

Veraltete Bibliotheken mit bekannten Lücken (CVEs).

A07 Identification and Authentication Failures

Schwache Logins, fehlender Brute-Force-Schutz, unsichere Sessions.

A08 Software and Data Integrity Failures

Manipulierbare Update- oder Deploy-Prozesse, unsichere Deserialisierung.

A09 Security Logging and Monitoring Failures

Angriffe werden nicht erkannt, weil nichts protokolliert oder überwacht wird.

A10 Server-Side Request Forgery (SSRF)

Der Server wird dazu gebracht, interne Systeme anzufragen, die von außen nicht erreichbar wären.

Wie Sie prüfen, ob Sie betroffen sind

Die meisten dieser Risiken lassen sich automatisiert testen. Mit dem [kostenlosen KI-Sicherheits-Check](/gratis-scan) prüfen Sie Ihre Website gegen die praktisch relevanten OWASP-Kategorien — und sehen konkret, wo Handlungsbedarf besteht.