Glossar und Definitionen
Web-Security
Web-Security sammelt die Begriffe rund um die Sicherheit einer Website: womit angegriffen wird, wo die Lücken entstehen und was dagegen hilft. Bei den Angriffen stehen Phishing, Spear Phishing und Social Engineering für den Weg über den Menschen, Malware, Ransomware und Trojaner für den Weg über die Schadsoftware, SQL Injection, XSS und CSRF für den Weg über die Anwendung selbst. Was ein Angreifer ausnutzt, heißt Sicherheitslücke, das Werkzeug dazu Exploit, und die noch unbekannte Lücke Zero-Day-Lücke. Auf der anderen Seite stehen die Mittel: Web Application Firewall, Content Security Policy und Security Headers vor der Anwendung, Rate Limiting und CAPTCHA gegen automatisierte Anfragen, Patch-Management und Penetrationstest als Routine. Wer Zugänge absichert, findet die Begriffe bei Zwei-Faktor-Authentisierung, Passkeys, Passwortmanager und Passwort-Hashing. Die OWASP Top 10 fassen zusammen, was dabei am häufigsten schiefgeht.
Alle Artikel zum Thema Web-Security:
#
2FA
Die gebräuchliche Abkürzung für die Zwei-Faktor-Authentisierung bei der Anmeldung.
Siehe: Zwei-Faktor-Authentisierung (2FA)
#Web-Security
A
ACL
Die Abkürzung für eine Liste, die zu einem Objekt festhält, wer damit was tun darf.
Siehe: Access Control List
#Web-Security
Advanced Encryption Standard
Der ausgeschriebene Name des verbreitetsten symmetrischen Verschlüsselungsstandards.
Siehe: AES
#Web-Security
Argon2
Das Verfahren, das 2015 die Password Hashing Competition gewonnen hat.
Siehe: Passwort-Hashing
#Web-Security
Auth-Token
Die Kurzform für das Datenpaket, das eine abgeschlossene Anmeldung nachweist.
Siehe: Authentifizierungstoken
#Web-Security
Authentifizierung
Die Prüfung eines vorgelegten Nachweises durch das System.
Siehe: Authentication
#Web-Security
Autorisierung
Das deutsche Wort für die Entscheidung, was jemand tun darf.
Siehe: Authorization
#Web-Security
B
bcrypt
Das ältere Verfahren zum Speichern von Passwörtern, bis heute zulässig.
Siehe: Passwort-Hashing
#Web-Security
Blockkette
Das deutsche Wort für eine über Prüfwerte verkettete Liste von Datenblöcken.
Siehe: Blockchain
#Web-Security
Botnet
Die englische Schreibweise für einen Verbund gekaperter Geräte unter fremder Steuerung.
Siehe: Botnetz
#Web-Security
Browser-Cookie
Die umgangssprachliche Bezeichnung für einen Textwert, den eine Website im Browser ablegt.
Siehe: Cookie
#Frontend-Entwicklung (HTML, CSS, JavaScript) #Web-Security
C
Common Vulnerabilities and Exposures
Der ausgeschriebene Name des Verzeichnisses, das Sicherheitslücken nummeriert.
Siehe: CVE (Common Vulnerabilities and Exposures)
#Web-Security
Common Vulnerability Scoring System
Der ausgeschriebene Name der Bewertung, die Sicherheitslücken in eine Zahl fasst.
Siehe: CVSS (Common Vulnerability Scoring System)
#Web-Security
Computervirus
Das vollständige Wort für Schadsoftware, die sich an vorhandene Dateien hängt.
Siehe: Virus
#Web-Security
Computerwurm
Das vollständige Wort für Schadsoftware, die sich selbst über das Netz verbreitet.
Siehe: Wurm
#Web-Security
Cross-Origin Resource Sharing
Der ausgeschriebene Name für das Verfahren, mit dem ein Server fremde Zugriffe erlaubt.
Siehe: CORS
#Web-Security
Cross-Site Request Forgery
Der ausgeschriebene Name von CSRF, der untergeschobenen Anfrage im Namen eines Angemeldeten.
Siehe: CSRF (Cross-Site Request Forgery)
#Web-Security
Cross-Site Scripting
Der ausgeschriebene Name von XSS, dem Angriff mit fremdem Code im Browser der Besucher.
Siehe: XSS (Cross-Site Scripting)
#Web-Security
CSP
Die Abkürzung für Content Security Policy, das Regelwerk für den Browser.
Siehe: Content Security Policy (CSP)
#Web-Security
D
Dateiverschlüsselung
Das deutsche Wort für die Verschlüsselung einzelner Dateien.
Siehe: File-Level Encryption
#Web-Security
Datenleck
Das umgangssprachliche Wort für einen Abfluss personenbezogener Daten.
Siehe: Datenpanne
#Web-Security
Datenschutzverletzung
Der amtsnahe Ausdruck für einen Vorfall mit personenbezogenen Daten.
Siehe: Datenpanne
#Web-Security
DDoS
Die Abkürzung für Distributed Denial of Service, den verteilten Überlastungsangriff.
Siehe: DDoS-Angriff
#Web-Security
DDoS-Schutz
Das deutsche Wort für Maßnahmen gegen verteilte Überlastungsangriffe.
Siehe: DDoS Protection
#Web-Security
Digital Certificate
Engl. digital certificate = digitales Zertifikat.
Siehe: Digitales Zertifikat
#Web-Security
Distributed Denial of Service
Der ausgeschriebene Name des verteilten Überlastungsangriffs, kurz DDoS.
Siehe: DDoS-Angriff
#Web-Security
E
E2EE
Die Abkürzung für eine Übertragung, bei der nur Absender und Empfänger mitlesen können.
Siehe: Ende-zu-Ende-Verschlüsselung
#Web-Security
Encryption at Rest
Engl. encryption at rest = Verschlüsselung gespeicherter Daten.
Siehe: Verschlüsselung at rest
#Web-Security
Encryption in Transit
Engl. encryption in transit = Verschlüsselung während der Übertragung.
Siehe: Verschlüsselung in transit
#Web-Security
End-to-End-Encryption
Engl. end-to-end encryption = Ende-zu-Ende-Verschlüsselung.
Siehe: Ende-zu-Ende-Verschlüsselung
#Web-Security
Erpressungstrojaner
Der deutsche Name für Ransomware, die Daten verschlüsselt und Geld fordert.
Siehe: Ransomware
#Web-Security
F
Fakeshop
Die Schreibweise ohne Bindestrich für den vorgetäuschten Onlineshop.
Siehe: Fake-Shop
#Web-Security
FDE
Die Abkürzung für die Verschlüsselung eines ganzen Datenträgers.
Siehe: Full Disk Encryption
#Web-Security
Festplattenverschlüsselung
Das deutsche Wort für die Verschlüsselung eines ganzen Datenträgers.
Siehe: Full Disk Encryption
#Web-Security
G
Geheimer Schlüssel
Ein zweiter Name für den privaten Teil eines Schlüsselpaares.
Siehe: Private Key
#Web-Security
Gemischte Inhalte
Das deutsche Wort für eine verschlüsselte Seite, die Teile unverschlüsselt nachlädt.
Siehe: Mixed Content
#Web-Security
H
Hashfunktion
Die Schreibweise in einem Wort für das Verfahren, das einen Prüfwert fester Länge bildet.
Siehe: Hash-Funktion
#Web-Security
Hintertür
Das deutsche Wort für einen verborgenen Zugang, der die übliche Anmeldung umgeht.
Siehe: Backdoor
#Web-Security
HTTP Security Header
Eine andere Bezeichnung für die Security Headers einer Website.
Siehe: Security Headers
#Web-Security
HTTP-Cookie
Der technische Name für den kleinen Textwert, den eine Website im Browser ablegt.
Siehe: Cookie
#Frontend-Entwicklung (HTML, CSS, JavaScript) #Web-Security
I
IDS
Die Abkürzung für ein System, das Verkehr und Vorgänge auf Angriffe hin beobachtet.
Siehe: Intrusion Detection System
#Web-Security
Intrusion Prevention System
Die Bauart, die einen erkannten Angriff nicht nur meldet, sondern unterbricht.
Siehe: Intrusion Detection System
#Web-Security
IPS
Die Abkürzung für ein System, das erkannte Angriffe selbst unterbricht.
Siehe: Intrusion Detection System
#Web-Security
ISB
Die Abkürzung für die Person, die im Unternehmen für Informationssicherheit zuständig ist.
Siehe: Informationssicherheitsbeauftragter
#Web-Security
J
JSON Web Token
Der ausgeschriebene Name für ein signiertes Datenpaket, das eine Anmeldung transportiert.
Siehe: JWT
#Web-Security
K
Kryptografie
Die eingedeutschte Schreibweise für die Lehre von den Verfahren zum Verbergen und Beglaubigen von Daten.
Siehe: Kryptographie
#Web-Security
L
Lieferkettenangriff
Das deutsche Wort für einen Angriff über einen Lieferanten des eigentlichen Ziels.
Siehe: Supply-Chain-Angriff
#Web-Security
M
Mehr-Faktor-Authentisierung
Das deutsche Wort für eine Anmeldung mit Nachweisen aus mehreren Kategorien.
Siehe: Multi-Factor Authentication
#Web-Security
MFA
Die Abkürzung für eine Anmeldung mit Nachweisen aus mehreren Kategorien.
Siehe: Multi-Factor Authentication
#Web-Security
MITM
Die Kurzform für den Man-in-the-Middle-Angriff auf eine laufende Verbindung.
Siehe: Man-in-the-Middle-Angriff
#Web-Security
N
Nachkonstruktion
Das deutsche Wort für das Zerlegen eines Erzeugnisses, um seine Bauweise zu verstehen.
Siehe: Reverse Engineering
#Web-Security #Künstliche Intelligenz (KI)
Null-Wissen-Beweis
Das deutsche Wort für einen Beweis, der das Geheimnis selbst nicht preisgibt.
Siehe: Zero-Knowledge-Proof
#Web-Security
O
OAuth 2.0
Die heute übliche Fassung des Verfahrens für Zugriff im Namen eines Nutzers.
Siehe: OAuth
#Web-Security
Öffentlicher Schlüssel
Das deutsche Wort für den Teil eines Schlüsselpaares, der weitergegeben werden darf.
Siehe: Public Key
#Web-Security
OIDC
Die Abkürzung für die Erweiterung, die aus OAuth eine Anmeldung macht.
Siehe: OpenID Connect
#Web-Security
P
Passwort-Manager
Die Schreibweise mit Bindestrich für das Programm, das Zugangsdaten verwaltet.
Siehe: Passwortmanager
#Web-Security
Passwortrichtlinie
Das deutsche Wort für die Regeln eines Systems zu Länge, Aufbau und Wechsel von Passwörtern.
Siehe: Passwort Policy
#Web-Security
Passworttresor
Die verschlüsselte Ablage, in der ein Passwortmanager die Zugangsdaten hält.
Siehe: Passwortmanager
#Web-Security
Payment Card Industry Data Security Standard
Der ausgeschriebene Name des Sicherheitsstandards der Kreditkartenbranche.
Siehe: PCI DSS
#Web-Security
Penetration Test
Die englische Schreibweise für den beauftragten Test am eigenen System.
Siehe: Penetrationstest
#Web-Security
Pentest
Die Kurzform für Penetrationstest, den beauftragten Angriff auf das eigene System.
Siehe: Penetrationstest
#Web-Security
Pepper
Der geheime Zusatz, der beim Hashen eines Passworts außerhalb der Datenbank bleibt.
Siehe: Peppering
#Web-Security
PKI
Die Abkürzung für das Gefüge, das öffentliche Schlüssel überprüfbar macht.
Siehe: Public Key Infrastructure
#Web-Security
PoC-Exploit
Die Kurzform für den Nachweis, dass sich eine Sicherheitslücke ausnutzen lässt.
Siehe: Proof of Concept Exploit
#Web-Security
Pretty Good Privacy
Der ausgeschriebene Name des Verfahrens zum Verschlüsseln von E-Mails und Dateien.
Siehe: PGP
#Web-Security
Privater Schlüssel
Das deutsche Wort für den Teil eines Schlüsselpaares, der geheim bleiben muss.
Siehe: Private Key
#Web-Security
Privilege Escalation
Engl. privilege escalation = Rechteeskalation.
Siehe: Rechteeskalation
#Web-Security
Public-Key-Verschlüsselung
Der zweite Name für Verfahren mit einem Schlüsselpaar aus öffentlichem und privatem Teil.
Siehe: Asymmetrische Verschlüsselung
#Web-Security
Q
R
Ratenbegrenzung
Das deutsche Wort für Rate Limiting, die Begrenzung der Anfragen je Zeitraum.
Siehe: Rate Limiting
#Web-Security
reCAPTCHA
Der CAPTCHA-Dienst von Google, der Verhalten bewertet und Daten in die USA überträgt.
Siehe: CAPTCHA
#Web-Security
Regenbogentabelle
Das deutsche Wort für eine vorberechnete Tabelle zum Nachschlagen von Passwort-Hashes.
Siehe: Rainbow Table
#Web-Security
Rijndael
Der ursprüngliche Name des Verfahrens, das 2001 zum Standard AES wurde.
Siehe: AES
#Web-Security
Rückentwicklung
Ein zweites deutsches Wort für das Zurückschließen von einem Erzeugnis auf seinen Aufbau.
Siehe: Reverse Engineering
#Web-Security #Künstliche Intelligenz (KI)
S
Salt
Der Zufallswert je Passwort, der im Klartext neben dem Prüfwert gespeichert wird.
Siehe: Salting
#Web-Security
Sandbox
Die abgeschottete Umgebung, in der Code ohne Zugriff auf den Rest läuft.
Siehe: Sandboxing
#Web-Security
Schadprogramm
Ein einzelnes Programm, das Schaden anrichtet; die Gattung heißt Malware.
Siehe: Malware
#Web-Security
Schadsoftware
Das deutsche Wort für Malware, also für Software, die Schaden anrichtet oder ein Gerät fremd steuert.
Siehe: Malware
#Web-Security
Schwachstelle
Der deutsche Fachausdruck für eine Sicherheitslücke in Software oder Konfiguration.
Siehe: Sicherheitslücke
#Web-Security
Schwachstellenscan
Der werkzeuggestützte Durchlauf, der bekannte Muster sucht, ohne sie zu verketten.
Siehe: Penetrationstest
#Web-Security
Script Kiddie
Die englische Schreibweise für jemanden, der fertige Angriffswerkzeuge benutzt.
Siehe: Skriptkiddie
#Web-Security
Scriptkid
Die verkürzte Form von Script Kiddie, gebräuchlich in Stellenanzeigen und Foren.
Siehe: Skriptkiddie
#Web-Security
Secure Hash Algorithm
Der ausgeschriebene Name der bekanntesten Familie von Hash-Funktionen.
Siehe: SHA
#Web-Security
Security Information and Event Management
Der ausgeschriebene Name für ein System, das Meldungen sammelt und auswertet.
Siehe: SIEM
#Web-Security
SHA-256
Die verbreitetste Hash-Funktion der SHA-2-Familie, mit 256 Bit Ergebnis.
Siehe: SHA
#Web-Security
Sicherheitsrichtlinie
Das deutsche Wort für das verbindliche Regelwerk zum Umgang mit Informationen und Technik.
Siehe: Security Policy
#Web-Security
Sitzung
Das deutsche Wort für den Zusammenhang zwischen mehreren Aufrufen desselben Nutzers.
Siehe: Session
#Hosting & Webserver #Web-Security
SOP
Die Abkürzung für die Grundregel, nach der Skripte nur auf ihre eigene Herkunft zugreifen.
Siehe: Same-Origin-Policy
#Web-Security
SQLi
Die Kurzform von SQL Injection, dem Angriff über eingeschleuste Datenbankbefehle.
Siehe: SQL Injection
#Web-Security
SRI
Die Abkürzung für den Prüfwert, mit dem eine fremd geladene Datei kontrolliert wird.
Siehe: Subresource Integrity
#Web-Security
SSL-Warnung
Die geläufige Bezeichnung für die Meldung, dass einem Zertifikat nicht zu trauen ist.
Siehe: Zertifikatswarnung
#Web-Security
SSO
Die Abkürzung für Single Sign-On, die einmalige Anmeldung für mehrere Dienste.
Siehe: Single Sign-On (SSO)
#Web-Security
Supply-Chain-Attack
Engl. supply chain attack = Lieferkettenangriff.
Siehe: Supply-Chain-Angriff
#Web-Security
T
Transportverschlüsselung
Das deutsche Wort für die Verschlüsselung während der Übertragung.
Siehe: Verschlüsselung in transit
#Web-Security
Trojanisches Pferd
Das Vorbild aus der Sage und zugleich der ältere Name für den Trojaner.
Siehe: Trojaner
#Web-Security
U
UI-Redressing
Der Fachbegriff für einen Angriff, bei dem der Klick woanders landet als gedacht.
Siehe: Clickjacking
#Web-Security
V
Verschlüsselung im Ruhezustand
Das deutsche Wort für die Verschlüsselung gespeicherter Daten.
Siehe: Verschlüsselung at rest
#Web-Security
Verschlüsselungstrojaner
Der deutsche Name für Ransomware, benannt nach dem Verschlüsseln der Daten.
Siehe: Ransomware
#Web-Security
Virtual Private Network
Der ausgeschriebene Name für eine verschlüsselte Verbindung in ein anderes Netz.
Siehe: VPN
#Web-Security
Vulnerability
Das englische Wort für Sicherheitslücke, geläufig in Werkzeugen und Prüfberichten.
Siehe: Sicherheitslücke
#Web-Security
Vulnerability Scanner
Engl. vulnerability scanner = Schwachstellenscanner.
Siehe: Schwachstellenscanner
#Web-Security
W
WAF
Die Abkürzung für Web Application Firewall, den Filter vor der Anwendung.
Siehe: Web Application Firewall (WAF)
#Web-Security
Web Authentication
Der ausgeschriebene Name des Standards WebAuthn für die Anmeldung mit Schlüsselpaar.
Siehe: WebAuthn
#Web-Security
Websicherheit
Das deutsche Wort für die Sicherheit von Websites und Webanwendungen.
Siehe: Web-Security
#Web-Security
X
XSRF
Eine zweite, seltenere Schreibweise für den Angriff CSRF.
Siehe: CSRF (Cross-Site Request Forgery)
#Web-Security
Z
Zero Day
Die Kurzform für eine Lücke, für die es noch kein Update gibt.
Siehe: Zero-Day-Lücke
#Web-Security
Zero Trust
Die Kurzform für ein Modell, das keinem Zugriff allein wegen seines Standorts vertraut.
Siehe: Zero Trust Architecture
#Web-Security
Zero-Day-Exploit
Der Angriffscode für eine Lücke, für die es noch kein Update gibt.
Siehe: Zero-Day-Lücke
#Web-Security
Zertifizierungsstelle
Das deutsche Wort für die Stelle, die digitale Zertifikate ausstellt.
Siehe: Certificate Authority
#Web-Security
Zugriffskontrollliste
Das deutsche Wort für eine Liste, die zu einem Objekt die Berechtigten festhält.
Siehe: Access Control List
#Web-Security
Zwei-Faktor-Authentifizierung
Die im Alltag geläufigere Schreibweise für die Zwei-Faktor-Authentisierung bei der Anmeldung.
Siehe: Zwei-Faktor-Authentisierung (2FA)
#Web-Security