Die OWASP Top 10 sind die regelmäßig aktualisierte Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen und gelten als Mindestmaßstab für sichere Entwicklung und Penetrationstests.
Die OWASP Top 10 sind das bekannteste Dokument des Open Worldwide Application Security Project, einer gemeinnützigen Organisation für Anwendungssicherheit. Die Liste fasst auf Basis von Schwachstellendaten aus Hunderttausenden getesteter Anwendungen und einer Branchenumfrage die zehn Risikokategorien zusammen, die Webanwendungen am häufigsten und am schwersten treffen. Sie erscheint alle drei bis vier Jahre neu; die Ausgaben 2017, 2021 und 2025 haben jeweils spürbare Verschiebungen gezeigt.
Die Top 10 sind kein Standard im formalen Sinn und keine vollständige Prüfliste. Sie sind ein Bewusstseinsdokument: Wer die zehn Kategorien in Entwicklung, Betrieb und Test berücksichtigt, hat die häufigsten Fehler im Blick. Für vollständige Prüfungen verweist OWASP auf den Application Security Verification Standard (ASVS) und den Web Security Testing Guide.
Die Kategorien im Überblick
Die Ausgabe 2021 nennt folgende Risiken, die auch in der Ausgabe 2025 weitgehend fortbestehen:
- Broken Access Control: Nutzer erreichen Funktionen oder Daten, für die sie keine Berechtigung haben – seit 2021 auf Platz eins.
- Cryptographic Failures: fehlende oder fehlerhafte Verschlüsselung sensibler Daten.
- Injection: unkontrollierte Eingaben erreichen Interpreter, etwa SQL Injection oder Cross-Site Scripting.
- Insecure Design: Sicherheitsmängel im Architekturentwurf, die sich durch Implementierung nicht beheben lassen.
- Security Misconfiguration: Standardpasswörter, offene Cloud-Speicher, ausführliche Fehlermeldungen.
- Vulnerable and Outdated Components: Bibliotheken und Frameworks mit bekannten Schwachstellen.
- Identification and Authentication Failures: schwache Anmeldung, fehlende MFA, unsichere Sitzungsverwaltung.
- Software and Data Integrity Failures: ungeprüfte Updates, unsichere CI/CD-Pipelines, Deserialisierung.
- Security Logging and Monitoring Failures: Angriffe werden nicht protokolliert oder nicht bemerkt.
- Server-Side Request Forgery: der Server wird dazu gebracht, Anfragen an interne Ziele zu stellen.
Die Ausgabe 2025 rückt Lieferkettenrisiken stärker in den Vordergrund und fasst die Komponentenrisiken unter dem Begriff Software Supply Chain Failures breiter.
Bedeutung für Unternehmen
Die OWASP Top 10 sind der gemeinsame Nenner, auf den sich Entwickler, Einkauf, Auditoren und Tester verständigen können. Viele Ausschreibungen fordern „Prüfung nach OWASP Top 10“, PCI DSS verweist auf sie, und Entwicklungsrichtlinien nutzen sie als Grundgerüst. Ihre Grenze liegt in der Verkürzung: Eine Anwendung, die „Top-10-frei“ ist, kann dennoch gravierende Logikfehler enthalten, etwa Preismanipulation im Bestellprozess oder fehlende Mandantentrennung.
Für Red Teams sind Webanwendungen vor allem Einstiegspunkte. Eine verwundbare Komponente auf einem exponierten Portal liefert den Initial Access, von dem aus das eigentliche Ziel im internen Netz angegangen wird. Laut Verizon DBIR 2026 war die Ausnutzung von Schwachstellen bei 31 Prozent der Breaches der Erstzugriff.
Praxis-Hinweise
- Verankern Sie die Top 10 in Entwicklungsrichtlinien und Code-Reviews, aber messen Sie Sicherheit am ASVS, nicht an der Kurzliste.
- Lassen Sie geschäftskritische Anwendungen manuell testen. Automatisierte Scanner finden Injection und veraltete Komponenten, aber keine Berechtigungs- und Logikfehler.
- Beziehen Sie APIs ein; OWASP pflegt dafür eine eigene Top-10-Liste.
- Testen Sie nach jedem größeren Release neu und verfolgen Sie Findings bis zum Retest.