OWASP Top 10
Die OWASP Top 10 sind eine regelmäßig aktualisierte Liste der zehn häufigsten und gefährlichsten Sicherheitslücken in Webanwendungen. Sie gilt weltweit als Grundlagenkatalog dafür, was Entwickler und Prüfer beim Absichern von Software zuerst kontrollieren sollten.
Jede Website und jede App, die Daten über das Internet austauscht, kann Fehler enthalten, die Angreifer ausnutzen. Solche Fehler heißen Sicherheitslücken. Die OWASP Top 10 sind eine Liste, die die zehn wichtigsten Arten solcher Lücken zusammenfasst. Erstellt wird sie von der OWASP, einer gemeinnützigen Organisation, in der Fachleute für Software-Sicherheit ihr Wissen frei zugänglich sammeln. Die Liste erscheint nicht jedes Jahr neu, sondern etwa alle drei bis vier Jahre, zuletzt 2021 und in einer überarbeiteten Fassung 2025. Sie ist kein Gesetz und keine technische Norm, sondern eine Empfehlung, die sich in der Praxis als Standard durchgesetzt hat.
Warum eine Liste mit zehn Punkten so viel Gewicht hat
Sicherheit ist ein Thema ohne natürliches Ende. Man kann immer noch mehr prüfen, absichern und überwachen. Genau das ist das Problem: Wer nicht weiß, wo er anfangen soll, fängt oft gar nicht an. Die OWASP Top 10 lösen das, indem sie eine klare Reihenfolge vorgeben. Wer die zehn Punkte abarbeitet, hat die Fehler beseitigt, die in der Realität am häufigsten zu Schäden führen.
Dazu kommt ein wirtschaftlicher Aspekt. Viele Unternehmen verlangen von ihren Software-Zulieferern, dass diese die OWASP Top 10 berücksichtigen. In Ausschreibungen, Verträgen und Prüfberichten taucht die Liste deshalb ständig auf. Auch Zertifizierungen und Sicherheitsaudits stützen sich häufig darauf. Ein Entwicklerteam, das die Liste ignoriert, hat es schwerer, Kunden zu gewinnen.
Ein häufiger Irrtum: Die Top 10 sind keine vollständige Prüfliste. Sie decken die häufigsten Risiken ab, nicht alle. Wer nur diese zehn Punkte abhakt und danach aufhört, hat eine solide Basis, aber keine sichere Anwendung. OWASP selbst betont das ausdrücklich und veröffentlicht daneben deutlich umfangreichere Prüfstandards.
Wie die zehn Plätze zustande kommen
Die Liste wird nicht in einer Expertenrunde ausgehandelt, sondern zu großen Teilen aus Daten errechnet. OWASP sammelt Auswertungen von Sicherheitsfirmen, die Anwendungen im Auftrag ihrer Kunden auf Schwachstellen testen. Dabei kommen Datensätze zu Hunderttausenden Anwendungen zusammen. Für jede Fehlerart wird gemessen, in wie vielen Anwendungen sie auftrat und wie schwer die Folgen typischerweise ausfielen. Aus dieser Kombination entsteht die Rangfolge.
Zwei Plätze werden allerdings bewusst nicht rein rechnerisch vergeben. Sie stammen aus einer Umfrage unter Fachleuten. Der Grund ist einfach: Automatische Tests finden nur, wonach sie suchen. Neue Angriffsarten tauchen in den Daten erst mit Verzögerung auf. Die Umfrage soll verhindern, dass die Liste der Realität hinterherhinkt.
Die Einträge selbst sind meist keine einzelnen Bugs, sondern Kategorien. Ein Beispiel ist « Broken Access Control », also fehlerhafte Zugriffskontrolle. Gemeint ist, dass ein Nutzer Daten sehen oder ändern kann, für die er keine Berechtigung hat. Etwa wenn man in der Adresszeile eine Rechnungsnummer ändert und plötzlich die Rechnung eines fremden Kunden angezeigt bekommt. Diese Kategorie steht seit Jahren ganz oben.
Von der Prüfsoftware bis zu KI-Anwendungen
Im Berufsalltag von Entwicklern ist die Liste oft in Werkzeuge eingebaut. Programme, die Quellcode automatisch nach Fehlern durchsuchen, ordnen ihre Funde direkt einer OWASP-Kategorie zu. Auch Berichte von beauftragten Angriffstests, sogenannten Penetrationstests, sind meist nach diesen Kategorien gegliedert. In Stellenanzeigen für Sicherheitsjobs gehört die Liste zu den Standardanforderungen.
In Nachrichten begegnet der Begriff meist nach größeren Datenpannen. Wenn Kundendaten abfließen, lässt sich die Ursache fast immer einer der zehn Kategorien zuordnen. Sicherheitsforscher formulieren das dann oft als Vorwurf: Der Fehler sei seit Jahren bekannt und stehe schließlich in den OWASP Top 10.
Für den KI-Bereich gibt es inzwischen eine eigene Variante, die OWASP Top 10 für große Sprachmodelle. Sie behandelt Risiken, die es bei klassischen Webseiten so nicht gab. Ganz oben steht dort « Prompt Injection »: Ein Angreifer versteckt in einem Text oder auf einer Website versteckte Anweisungen, die das KI-System dann befolgt. Auch vergiftete Trainingsdaten und die ungeprüfte Weiterverwendung von KI-Antworten sind dort aufgeführt.