OWASP Top 10 (2025): Die zehn größten Risiken für Webanwendungen

Was sind die OWASP Top 10?

Webanwendungen sind ein häufiges Einfallstor für Angriffe. Die OWASP Top 10 zeigen, wo die größten Risiken liegen. Sie richten sich an Entwickler, Architekten, Sicherheitsteams und Einkäufer von Software.

Die Liste ist kein vollständiger Prüfkatalog. Sie hilft, Prioritäten zu setzen. Wer die zehn Kategorien im Griff hat, hat die häufigsten und folgenreichsten Fehler abgedeckt.

Wie entsteht die Liste?

Für die Ausgabe 2025 hat OWASP Daten zu mehr als 2,8 Millionen Anwendungen ausgewertet. Untersucht wurden 589 Schwachstellentypen aus dem CWE-Katalog, einer Liste typischer Softwarefehler. 248 davon sind den zehn Kategorien zugeordnet.

Acht Kategorien ergeben sich aus diesen Daten. Zwei weitere kommen aus einer Umfrage unter Fachleuten. So fließen auch neue Risiken ein, die in Testdaten noch selten auftauchen.

Die OWASP Top 10:2025 im Überblick

1. A01 – Broken Access Control: Nutzer können Daten sehen oder ändern, für die sie keine Rechte haben. Seit 2025 gehört auch Server-Side Request Forgery (SSRF) dazu. Schutz: jede Anfrage serverseitig prüfen, standardmäßig verweigern, Rechte nach dem Least-Privilege-Prinzip vergeben.
2. A02 – Security Misconfiguration: Systeme, Anwendungen oder Cloud-Dienste sind unsicher eingerichtet, etwa mit Standardpasswörtern oder offenen Verwaltungszugängen. Schutz: gehärtete Vorlagen, unnötige Funktionen abschalten, Konfiguration automatisch prüfen.
3. A03 – Software Supply Chain Failures: Angreifer kompromittieren Bibliotheken, Werkzeuge oder Build-Prozesse, aus denen Ihre Software entsteht. Die Kategorie ist neu und erweitert das frühere Thema veralteter Komponenten. Mehr dazu unter Supply-Chain-Angriff. Schutz: Inventar aller Abhängigkeiten, Updates zeitnah einspielen, Herkunft von Paketen prüfen.
4. A04 – Cryptographic Failures: Daten sind bei Übertragung oder Speicherung nicht oder schwach verschlüsselt. Schutz: aktuelle Verfahren, TLS für alle Verbindungen, saubere Schlüsselverwaltung. Grundlagen unter Verschlüsselung.
5. A05 – Injection: Ungeprüfte Eingaben werden als Befehl ausgeführt. Beispiele sind SQL-Injection und Cross-Site Scripting (XSS). Schutz: parametrisierte Abfragen, Eingaben prüfen, Ausgaben passend kodieren.
6. A06 – Insecure Design: Der Fehler steckt im Entwurf, nicht im Code. Schutz: Bedrohungen schon in der Planung durchspielen (Threat Modeling) und bewährte Sicherheitsmuster nutzen.
7. A07 – Authentication Failures: Angreifer können sich als andere Nutzer ausgeben, zum Beispiel durch Credential Stuffing. Schutz: Multi-Faktor-Authentifizierung, Schutz vor automatisierten Login-Versuchen, sichere Sitzungsverwaltung.
8. A08 – Software or Data Integrity Failures: Code oder Daten werden ohne Prüfung als vertrauenswürdig behandelt, etwa bei Updates, in CI/CD-Pipelines oder beim Deserialisieren. Schutz: Signaturen prüfen, Build-Pipelines absichern.
9. A09 – Security Logging and Alerting Failures: Angriffe werden nicht erkannt, weil Protokolle fehlen oder niemand alarmiert wird. Neu betont OWASP die Alarmierung. Schutz: sicherheitsrelevante Ereignisse zentral erfassen und Alarme mit klaren Zuständigkeiten verknüpfen. Mehr unter Security Logging und Monitoring.
10. A10 – Mishandling of Exceptional Conditions: Die Anwendung reagiert falsch auf Fehler und Ausnahmen. Ein Beispiel ist „failing open“: Bei einem Fehler wird der Zugriff erlaubt statt verweigert. Die Kategorie ist neu. Schutz: Fehler gezielt abfangen, im Zweifel sicher abbrechen, Fehlerpfade testen.

Was hat sich gegenüber 2021 geändert?

OWASP nennt zwei neue Kategorien und eine Zusammenlegung:

• Neu: A03 Software Supply Chain Failures und A10 Mishandling of Exceptional Conditions.
• Zusammengelegt: SSRF war 2021 eine eigene Kategorie (A10). Seit 2025 gehört es zu A01 Broken Access Control.
• Umbenannt: Aus „Identification and Authentication Failures“ wurde „Authentication Failures“. Aus „Security Logging and Monitoring Failures“ wurde „Security Logging and Alerting Failures“.
• Neue Reihenfolge: Security Misconfiguration steigt von Platz 5 auf Platz 2. Cryptographic Failures fällt von 2 auf 4, Injection von 3 auf 5 und Insecure Design von 4 auf 6.

So setzen Sie die OWASP Top 10 um

• Früh anfangen: Sicherheitsanforderungen gehören in die Planung, nicht erst in den Test. Mehr dazu unter Secure Coding.
• Automatisch prüfen: Code-Analyse und Abhängigkeits-Scans laufen bei jedem Build mit. Siehe DevSecOps.
• Schulen: Entwickler sollten die zehn Kategorien und typische Beispiele kennen.
• Regelmäßig testen: Ein Penetrationstest prüft, ob die Maßnahmen in der laufenden Anwendung wirken.
• Zügig patchen: Bekannte Lücken in Komponenten schnell schließen. Siehe Patch-Management.

OWASP Top 10 und Penetrationstests

Viele Auftraggeber verlangen, dass ein Pentest die OWASP Top 10 abdeckt. Das ist ein guter Mindeststandard. Achten Sie darauf, dass der Test auch Logik und Berechtigungen prüft, nicht nur automatische Scans. Gerade A01 und A06 findet man vor allem durch manuelle Prüfung.

Im Penetrationstest von SecTepe prüfen wir Webanwendungen von Hand nach dem OWASP Web Security Testing Guide (WSTG). Die OWASP Top 10 gehören dabei zum Prüfumfang, ebenso Abläufe, Anmeldung und Sitzungen.

Fazit

Die OWASP Top 10:2025 zeigen, wo Webanwendungen am häufigsten verwundbar sind. Neu im Fokus stehen die Software-Lieferkette und der Umgang mit Fehlern. Wer die zehn Kategorien in Planung, Entwicklung und Test verankert, senkt das Risiko deutlich.