Die OWASP Top 10 sind die Liste der zehn wichtigsten Risikogruppen in Webanwendungen, herausgegeben vom Open Worldwide Application Security Project. Die aktuelle Ausgabe trägt die Jahreszahl 2025 und ist die achte seit 2003.
- OWASP Top 10
Die Liste der zehn wichtigsten Risikogruppen in Webanwendungen, herausgegeben vom OWASP.
Beispiel: „Die Abnahme prüft jede Position der OWASP Top 10 einzeln.“Auch: Das OWASP ist eine gemeinnützige Einrichtung, die Werkzeuge und Leitfäden für Anwendungssicherheit frei veröffentlicht.
Abgrenzung zu einer Prüfnorm: Die Liste beschreibt Risikogruppen und vergibt keine Zertifikate. Wer sie abarbeitet, hat kein Siegel, aber weniger Angriffsfläche.
Die zehn Kategorien der OWASP Top 10:2025
Kategorie 2025 | Worum es geht |
|---|---|
A01 Broken Access Control | Zugriff auf Daten und Funktionen, die für andere gedacht sind |
A02 Security Misconfiguration | Einstellungen, die offen lassen, was zu wäre |
A03 Software Supply Chain Failures | Risiken aus fremden Bausteinen und ihrem Weg ins Projekt |
A04 Cryptographic Failures | Fehlende oder falsch eingesetzte Verschlüsselung |
A05 Injection | Eingaben, die zu Befehlen werden, von SQL bis HTML |
A06 Insecure Design | Lücken, die schon im Entwurf stecken |
A07 Authentication Failures | Schwächen bei Anmeldung und Sitzungsverwaltung |
A08 Software or Data Integrity Failures | Vertrauen in Code und Daten ohne Prüfung |
A09 Security Logging & Alerting Failures | Vorfälle, die niemand sieht oder meldet |
A10 Mishandling of Exceptional Conditions | Fehlerfälle, die unvorhergesehen weiterlaufen |
Daraus folgt für die Praxis: Die beiden ersten Plätze gehen an Fehler in Rechten und Einstellungen, also an Arbeit, die kein Programmieren verlangt. Wer nur an Code denkt, sucht an der falschen Stelle.
Was in der Ausgabe 2025 neu ist
Zwei Kategorien und eine Zusammenlegung. Neu ist A03 für die Lieferkette, also für alles, was über fremde Bausteine und deren Weg ins Projekt hereinkommt, siehe Abhängigkeit. Ebenfalls neu ist A10 für den Umgang mit Fehlerfällen. Server-Side Request Forgery ist in A01 aufgegangen, und falsche Einstellungen sind von Platz fünf auf Platz zwei gestiegen.
Wie die OWASP Top 10 entstehen
Aus Daten und einer Umfrage. Grundlage sind Testergebnisse aus über 2,8 Millionen Anwendungen, beigesteuert von Firmen und anonymen Spendern, dazu Einträge aus der Schwachstellendatenbank für die Bewertung von Ausnutzbarkeit und Wirkung. Zwei der zehn Plätze kommen aus einer Umfrage in der Fachgemeinschaft, weil Daten immer nachlaufen.