OWASP

OWASP ist eine gemeinnützige Organisation, die sich mit der Sicherheit von Software beschäftigt. Der Name steht für « Open Worldwide Application Security Project ». Die Organisation verkauft keine Produkte. Sie sammelt Wissen darüber, wie Angreifer in Programme eindringen, und stellt dieses Wissen kostenlos ins Netz. Mitmachen kann grundsätzlich jeder, der etwas beitragen will: Fachleute aus Firmen, Forscherinnen, Freiwillige. Am bekanntesten ist eine Liste namens OWASP Top 10. Darin stehen die zehn Fehlerarten, die in Programmen im Internet am häufigsten und gefährlichsten auftreten.

Warum eine Liste von zehn Fehlern die halbe Branche prägt

Sicherheitslücken sind kein Zufall. Dieselben Fehler tauchen seit Jahrzehnten immer wieder auf, in immer neuen Programmen. OWASP macht daraus eine überschaubare Rangliste. Statt tausend möglicher Probleme muss ein Entwicklerteam erst einmal zehn Punkte abarbeiten. Das senkt die Hürde enorm.

Weil die Liste kostenlos und herstellerunabhängig ist, hat sie sich als gemeinsame Sprache durchgesetzt. Auftraggeber schreiben in Verträge, dass eine Software gegen die OWASP Top 10 geprüft sein muss. Prüfstellen und Behörden verweisen darauf. Auch Zahlungsdienstleister verlangen entsprechende Nachweise von Onlineshops.

Für Anlegerinnen und Anleger ist das relevant, weil Sicherheitsvorfälle Geld kosten. Ein Datenleck kann Kundendaten von Millionen Menschen betreffen. Danach folgen Bußgelder, Klagen und ein Kursrutsch. Firmen, die OWASP-Standards nachweislich einhalten, gelten deshalb bei Versicherern und Prüfern als geringeres Risiko.

Von der Schwachstellensammlung zum Prüfwerkzeug

Die Top 10 entstehen nicht aus dem Bauch heraus. OWASP wertet Daten aus Hunderttausenden realer Anwendungen aus. Dazu kommt eine Umfrage unter Fachleuten, welche Gefahren sie gerade aufkommen sehen. Aus beidem entsteht alle paar Jahre eine neue Fassung der Liste. Ein Beispiel für einen typischen Eintrag ist die sogenannte Injection: Ein Angreifer tippt in ein Suchfeld nicht einen Suchbegriff, sondern einen Befehl, den die dahinterliegende Datenbank ausführt.

Neben der Liste gibt es konkrete Werkzeuge. Der ZAP-Scanner etwa ruft eine Webseite automatisch mit tausenden absichtlich seltsamen Eingaben auf. Reagiert die Seite falsch, meldet er einen Verdacht. Solche Tests laufen bei vielen Firmen automatisch bei jeder Codeänderung mit.

Ein häufiger Irrtum: OWASP ist kein Gesetz und keine Zertifizierungsstelle. Niemand wird von OWASP geprüft oder bestraft. Es ist eine Empfehlung, die so verbreitet ist, dass sie sich wie ein Standard anfühlt. Und die Top 10 sind bewusst unvollständig. Wer nur sie abhakt, hat eine Grundsicherung, aber keine sichere Software.

OWASP in KI-Produkten und in den Nachrichten

Seit 2023 gibt es eine eigene Liste für Anwendungen mit Sprachmodellen, also mit Programmen wie ChatGPT. Ganz oben steht dort die Prompt Injection. Dabei versteckt jemand eine Anweisung in einem Text, den die KI später liest, etwa auf einer Webseite oder in einer E-Mail. Die KI hält diese versteckte Anweisung für einen Auftrag des Nutzers und befolgt sie. So lassen sich Daten abgreifen oder Sicherheitsregeln umgehen.

In Meldungen über Hackerangriffe fällt der Name oft indirekt. Wenn von einer « SQL-Injection » oder « fehlerhafter Zugriffskontrolle » die Rede ist, stammt die Bezeichnung meist aus dem OWASP-Vokabular. Auch Stellenanzeigen für Entwicklerinnen nennen die Top 10 regelmäßig als erwartetes Grundwissen.

Wer selbst programmiert, kann die Unterlagen frei herunterladen. Sie enthalten für jede Lücke eine Erklärung, ein Beispiel und einen Vorschlag zur Behebung. Das macht OWASP zu einem der wenigen Fachthemen, bei denen man ohne Kosten und ohne Anmeldung auf dem Stand der Branche mitlesen kann.