Kaum ein Dokument taucht in Sicherheitsgesprächen über Webanwendungen so häufig auf wie die OWASP Top 10: Ausschreibungen verlangen Schutz dagegen, Prüfer testen entlang der Liste, Hersteller werben mit Abdeckung.
Hinter der Liste steht eine Organisation, deren Angebot weit darüber hinausreicht.
Was ist OWASP?
OWASP steht für Open Worldwide Application Security Project — eine gemeinnützige Organisation, die seit 2001 Wissen, Standards und Werkzeuge für sichere Software entwickelt. Sämtliche Materialien sind frei verfügbar und herstellerneutral; getragen wird die Arbeit von einer weltweiten Community aus Sicherheitsfachleuten und lokalen Chaptern.
Meist fällt der Name im Zusammenhang mit einem der Projekte. Die wichtigsten:
- OWASP Top 10: Die regelmäßig aktualisierte Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen — von Broken Access Control über Injection bis zu Fehlern in Protokollierung und Überwachung. Gedacht als Bewusstseins-Dokument, in der Praxis oft als Mindestmaßstab behandelt.
- OWASP API Security Top 10: Das Gegenstück für Programmierschnittstellen mit eigenen Risikoklassen wie fehlerhafter Objekt-Autorisierung — relevant, weil APIs inzwischen einen großen Teil des Anwendungsverkehrs ausmachen.
- ASVS (Application Security Verification Standard): Ein detaillierter Anforderungskatalog, gegen den sich Anwendungen in mehreren Stufen prüfen lassen. Wo die Top 10 sensibilisieren, liefert der ASVS die Checkliste für Entwicklung und Audit.
- Werkzeuge und Leitfäden: Vom frei verfügbaren Schwachstellenscanner über Cheat Sheets für Entwickler bis zum Reifegradmodell SAMM für ganze Organisationen.
Arbeitsweise
Die Inhalte entstehen offen und datengetrieben. Für die Top 10 wertet die Community Schwachstellendaten aus einer großen Zahl realer Anwendungen aus und ergänzt sie um Branchenumfragen. Jedes Projekt wird öffentlich gepflegt, Änderungen sind nachvollziehbar, und jeder kann beitragen. Diese Offenheit hat die Materialien zum gemeinsamen Vokabular der Branche gemacht: Spricht ein Prüfbericht von einer Injection-Schwachstelle, wissen alle Beteiligten, welche Risikoklasse gemeint ist.
Warum OWASP wichtig ist
- Gemeinsame Sprache: Entwicklungsteams, Prüfer, Einkauf und Management reden über dieselben Risikoklassen statt über vage Sicherheitsversprechen.
- Praxisnaher Einstieg: Die Top 10 machen ein unübersichtliches Feld greifbar und helfen, Budgets auf die häufigsten Fehlerklassen zu lenken.
- Prüfbarer Maßstab: Mit dem ASVS lässt sich Anwendungssicherheit in konkreten, testbaren Anforderungen ausdrücken — vom Login bis zur Fehlerbehandlung.
- Vertrags- und Compliance-Anker: Viele Ausschreibungen, Rahmenwerke und Prüfkataloge verweisen auf OWASP-Material; wer es kennt, versteht die Anforderungen schneller.
- Kostenlos und neutral: Die Inhalte stehen jedem Unternehmen offen, unabhängig von Größe und eingesetzten Produkten.
Typische Anwendungsfälle
- Entwicklung: Ein Team richtet Code-Reviews und Testfälle an den Top 10 und den Cheat Sheets aus und prüft Releases gegen ein ASVS-Level.
- Beschaffung: Eine Ausschreibung verlangt von Software-Lieferanten Aussagen zur Abdeckung der OWASP Top 10 und zum Umgang mit Abhängigkeiten.
- Prüfung: Penetrationstests und Audits strukturieren ihre Ergebnisse entlang der OWASP-Risikoklassen, damit Funde vergleichbar und priorisierbar sind.
- Schutzbetrieb: Eine Web Application Firewall läuft mit Regelwerken, die sich an den OWASP-Risikoklassen orientieren, etwa gegen Injection oder Cross-Site-Scripting.
Abgrenzung: OWASP Top 10 und CVE
Beide Begriffe fallen oft im selben Satz, meinen aber Verschiedenes. Die OWASP Top 10 beschreiben Risikoklassen — wiederkehrende Fehlerarten wie kaputte Zugriffskontrolle oder unsichere Konfiguration. Eine CVE bezeichnet dagegen eine konkrete, katalogisierte Schwachstelle in einem bestimmten Produkt samt Versionsangabe. Vereinfacht: Die Top 10 benennen Fehlerarten, die in eigener Software zu vermeiden sind; CVEs benennen bekannte Lücken, die in eingekaufter Software zu patchen sind. Ein vollständiges Sicherheitsprogramm braucht beides — plus Eindämmung für den Fall, dass trotzdem etwas durchkommt.
OWASP in der Schutzpraxis
In der Praxis fließen die OWASP-Risikoklassen direkt in den Schutzbetrieb ein: Web Application Firewalls, DDoS-Schutz sowie Bot- und API-Management werden mit entsprechend ausgerichteten Regelwerken betrieben, häufig durch Managed-Service-Provider — etwa als gemanagte Application Security. Ergänzend begrenzt Mikrosegmentierung den Schaden, falls eine Anwendungsschwachstelle doch ausgenutzt wird: Der kompromittierte Dienst bleibt eingedämmt, statt zum Sprungbrett ins übrige Netz zu werden.
Häufige Fragen
Wofür steht OWASP?
OWASP ist das Open Worldwide Application Security Project. Die gemeinnützige Organisation entwickelt seit 2001 frei verfügbare, herstellerneutrale Standards, Leitfäden und Werkzeuge für Anwendungssicherheit. Getragen wird sie von einer weltweiten Community; das bekannteste Projekt ist die Risikoliste OWASP Top 10.
Was enthalten die OWASP Top 10?
Die OWASP Top 10 sind die regelmäßig aktualisierte Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen, darunter kaputte Zugriffskontrollen, Injection und unsichere Konfiguration. Sie basieren auf ausgewerteten Schwachstellendaten realer Anwendungen und dienen als Bewusstseins- und Priorisierungshilfe.
Sind die Top 10 ein Standard oder Zertifikat?
Nein. Die Top 10 sind ein Awareness-Dokument ohne formale Zertifizierung. Wer prüfbare Anforderungen braucht, greift zum OWASP ASVS, der Anwendungssicherheit in testbare Kriterien und Stufen übersetzt. Viele Ausschreibungen verweisen dennoch auf die Top 10 als Mindestmaßstab.
Was leistet eine WAF gegen OWASP-Risiken?
Eine Web Application Firewall filtert Angriffsmuster wie Injection oder Cross-Site-Scripting aus dem Datenverkehr, bevor sie die Anwendung erreichen. Sie ersetzt keine sichere Entwicklung, senkt das Risiko aber messbar und schützt auch Anwendungen, die sich nicht kurzfristig patchen lassen.
Genügt die Abdeckung der OWASP Top 10?
Die Top 10 sind ein guter Anfang, aber kein vollständiges Programm. Dazu gehören außerdem ein Schwachstellenmanagement für eingekaufte Software, sichere Konfiguration, Monitoring und Eindämmung im Netz — etwa per Mikrosegmentierung, damit ein einzelner Anwendungsfehler kein unternehmensweiter Vorfall wird.