OWASP Top 10:2025: Die neuen Web-Risiken im Überblick

Was sich in der OWASP Top 10:2025 geändert hat

Die OWASP Top 10 ist keine Rangliste einzelner Schwachstellen, sondern eine Gruppierung verwandter Schwächen zu zehn Risiko-Kategorien. Für die Ausgabe 2025 hat die OWASP Foundation eine der bislang größten Datenbasen ausgewertet: rund 175.000 CVE-Einträge flossen in die Analyse ein, und jede der zehn Kategorien ist auf konkrete Schwachstellenklassen abgebildet - insgesamt 248 CWEs (OWASP Foundation). Diese CWE-Referenzen stammen aus der Common Weakness Enumeration von MITRE, einem Katalog, der inzwischen über 940 dokumentierte Schwachstellenklassen umfasst (MITRE Common Weakness Enumeration). Bekannte Einträge wie CWE-79 für Cross-Site-Scripting oder CWE-89 für SQL-Injection zeigen, wie die abstrakten OWASP-Kategorien mit konkreten, benennbaren Fehlern verknüpft sind (MITRE Common Weakness Enumeration).

Die Veränderungen gegenüber der Ausgabe 2021 sind deutlich. Broken Access Control bleibt an der Spitze und übernimmt jetzt zusätzlich das Thema Server-Side Request Forgery. Security Misconfiguration springt von Platz fünf auf Platz zwei - Fehlkonfigurationen sind in den Daten dieses Zyklus spürbar präsenter geworden (OWASP Foundation). Dahinter stehen zwei brandneue Kategorien, während etablierte Themen wie Cryptographic Failures (von Platz zwei auf vier) und Injection (von Platz drei auf fünf) in der Rangfolge nach hinten rücken. Die folgende Übersicht ordnet die zehn Kategorien und ihre Bewegung ein.

Dass eine Kategorie in der Rangfolge fällt, bedeutet nicht, dass ihr Risiko sinkt - es verschiebt sich nur die relative Gewichtung in den Daten. Injection etwa umfasst weiterhin Klassiker wie SQL-Injection und Cross-Site-Scripting, das in der Ausgabe 2021 in diese Kategorie eingegliedert wurde. Zwei Umbenennungen präzisieren den Fokus: Aus "Identification and Authentication Failures" wird schlicht Authentication Failures, und "Security Logging and Monitoring Failures" heißt jetzt Security Logging and Alerting Failures - der Akzent verschiebt sich vom bloßen Aufzeichnen zum tatsächlichen Alarmieren (OWASP Foundation). Für den Alltag von Website-Betreibern sind vor allem drei Bewegungen relevant, die dieser Leitfaden im Folgenden vertieft: die neue Lieferketten-Kategorie, der Aufstieg der Fehlkonfiguration und die neue Kategorie rund um die Fehlerbehandlung.

A03 Software Supply Chain Failures: das neue Kernrisiko

Die auffälligste Neuerung ist A03 Software Supply Chain Failures. Die Kategorie ist nicht völlig aus dem Nichts entstanden: Sie geht auf das Thema "Using Components with Known Vulnerabilities" zurück, das bereits 2013 in der Liste auftauchte und 2021 als "Vulnerable and Outdated Components" geführt wurde. In der Ausgabe 2025 ist der Blick jedoch deutlich weiter gefasst und umschließt nun alle Arten von Lieferketten-Fehlern - nicht nur bekannte Lücken in Bibliotheken, sondern auch kompromittierte Build-Prozesse, manipulierte Abhängigkeiten und untergeschobene Updates (OWASP Foundation). Bemerkenswert ist die Datenlage: A03 weist mit einer durchschnittlichen Auftretensrate von 5,72 Prozent die höchste Verbreitung der gesamten Liste auf, obwohl nur eine Handvoll CVE-Einträge den zugehörigen CWEs zugeordnet sind (OWASP Foundation). Diese Lücke ist der eigentliche Punkt: Lieferketten-Angriffe passieren bereits in der Praxis, während klassische Schwachstellen-Scanner oft noch keine Signaturen dafür haben.

Für Websites hat die Lieferkette ein sehr konkretes Gesicht: eingebundene Dritt-Skripte. Zahlungs-Widgets, Consent-Banner, Chat-Tools oder Analyse-Snippets laden fremden Code direkt in den Browser des Besuchers - und ein heimlich verändertes Skript ist das klassische Magecart-Muster, bei dem Angreifer Kartendaten abgreifen. Wer seine eingebundenen Skripte kennt und ihren Fingerabdruck überwacht, erkennt solche Manipulationen früh; wie das gelingt, beschreibt der Beitrag zur Überwachung von Subresource Integrity. Die inhaltliche Grundlage - ein aktuelles Inventar aller eingesetzten Komponenten - liefert eine Software-Stückliste, wie sie der Leitfaden zur SBOM nach dem Cyber Resilience Act im Detail erklärt. A03 macht dieses Inventar von der Kür zur Pflicht.

A02 Security Misconfiguration: von Platz fünf auf Platz zwei

Der zweite große Aufsteiger ist A02 Security Misconfiguration. Die Kategorie ist von Platz fünf auf Platz zwei geklettert und betraf in den Daten dieses Zyklus rund 3,00 Prozent der getesteten Anwendungen über ihre 16 zugeordneten CWEs hinweg (OWASP Foundation). Fehlkonfiguration ist tückisch, weil sie selten am Code liegt, sondern an Standardeinstellungen, vergessenen Schaltern und uneinheitlicher Auslieferung: ein fehlender Sicherheits-Header, eine zu offene Berechtigung, ein aktiviertes Debug-Verzeichnis, eine Standard-Fehlerseite, die zu viel verrät. Genau weil diese Fehler an der Konfigurationsoberfläche sitzen, sind sie besonders gut von außen sichtbar - und damit kontinuierlich prüfbar.

A10 Mishandling of Exceptional Conditions: wenn Fehlerbehandlung zur Lücke wird

Die zweite neue Kategorie, A10 Mishandling of Exceptional Conditions, adressiert einen oft unterschätzten Bereich: den Umgang mit Fehlern und Ausnahmesituationen. Sie bündelt mehr als zwei Dutzend Schwachstellenklassen rund um unsaubere Fehlerbehandlung (OWASP Foundation). Das Problem ist selten der Normalfall, sondern der Grenzfall: Was passiert, wenn eine Eingabe unerwartet ausfällt, ein Dienst nicht antwortet oder eine Bedingung eintritt, mit der niemand gerechnet hat? Wird dann sicher abgebrochen - oder öffnet sich unbemerkt eine Tür?

• Fehlerseiten, die zu viel verraten - ein Stacktrace oder ein Datenbank-Fehler auf einer 500er-Seite gibt Angreifern Hinweise auf die interne Struktur
• "Fail open" statt "fail closed" - wenn eine Prüfung bei einem Fehler durchwinkt statt zu blockieren, wird die Ausnahme selbst zur Schwachstelle
• Unvollständige Wiederherstellung - ein halb abgebrochener Vorgang hinterlässt Daten in einem inkonsistenten Zustand
• Uneinheitliche Ausnahmebehandlung - dieselbe Fehlerklasse führt an verschiedenen Stellen zu unterschiedlichem Verhalten und damit zu schwer vorhersagbaren Reaktionen

Sicherheit entscheidet sich oft nicht im Normalbetrieb, sondern im Ausnahmefall. Eine Anwendung, die im Fehlerfall sauber und vorhersagbar reagiert, verschließt genau die Türen, die eine unbedachte Fehlerbehandlung offen lässt.

— Sinngemäß nach OWASP Top 10:2025, A10 Mishandling of Exceptional Conditions

Für Website-Betreiber ist A10 von außen teilweise sichtbar: Wie verhält sich eine Seite unter einer ungültigen Anfrage? Zeigt die 404- oder 500-Seite technische Interna? Gibt eine Fehlermeldung Server-Versionen, Pfade oder Framework-Details preis? Diese Beobachtungen sind kein Ersatz für eine saubere Fehlerbehandlung im Code, aber sie sind ein wertvolles Frühwarnsignal - und sie lassen sich von außen wiederholt prüfen.

A01 Broken Access Control und der Umzug von SSRF

Broken Access Control verteidigt Platz eins der Liste: Im Schnitt wiesen 3,73 Prozent der getesteten Anwendungen mindestens eine der 40 zugeordneten Schwachstellenklassen auf (OWASP Foundation). Zugriffskontrolle bedeutet, dass jeder Nutzer nur das sehen und tun darf, wozu er berechtigt ist - und Verstöße reichen von manipulierbaren URLs über fehlende Serverprüfungen bis zu Rechteausweitung. Die Kategorie bleibt an der Spitze, weil sie so viele Facetten hat und weil ein einziger Fehler weitreichende Folgen haben kann.

Die inhaltlich spannendste Verschiebung ist der Umzug von Server-Side Request Forgery in diese Kategorie. In der Ausgabe 2021 war SSRF eine eigene Position (A10:2021); 2025 wird sie als Sonderfall der Zugriffskontrolle verstanden (OWASP Foundation). Die Logik: Bei SSRF wird ein Server dazu gebracht, Anfragen zu stellen, die er nicht stellen dürfte - etwa an interne Dienste oder Metadaten-Endpunkte. Im Kern ist das ein Kontrollproblem. Verwandt ist eine häufige Website-Fehlkonfiguration: zu freizügige CORS-Regeln, die fremden Ursprungsseiten mehr Zugriff geben als nötig. Wie sich solche Regeln prüfen und überwachen lassen, zeigt der Beitrag zur CORS-Konfiguration und ihren Fehlern.

Von OWASP-Kategorien zu überwachbaren Signalen

Eine Risiko-Liste ist wertvoll, aber sie ist zunächst abstrakt. Der praktische Schritt besteht darin, die Kategorien in beobachtbare Signale zu übersetzen - also in Merkmale, die sich am tatsächlich ausgelieferten Zustand einer Website von außen wiederholt prüfen lassen. Nicht jede OWASP-Kategorie ist von außen sichtbar; Insecure Design etwa ist eine Frage der Architektur und lässt sich nicht per Header-Check beurteilen. Doch gerade die drei großen Bewegungen der Ausgabe 2025 - Fehlkonfiguration, Lieferkette und Fehlerbehandlung - hinterlassen Spuren, die man messen kann.

Der Wert dieser Übersetzung liegt in der Wiederholbarkeit. Eine Sicherheits-Prüfung, die einmal im Jahr durch einen externen Dienstleister läuft, sieht den Zustand an genau einem Tag. Die drei Aufsteiger der OWASP Top 10:2025 haben aber gemeinsam, dass sie driften: Header verschwinden nach einem Deploy, ein neues Dritt-Skript rutscht ins Consent-Banner, eine Fehlerseite ändert nach einem Framework-Update ihr Verhalten. Genau deshalb ist die kontinuierliche Beobachtung der passende Antwortmodus - nicht als Ersatz für sichere Entwicklung, sondern als deren fortlaufende Kontrolle.

Kontinuierlich statt einmalig prüfen

Genau an dieser Stelle setzt der Security-Scan von XICTRAQ an. Er prüft die von außen sichtbaren Sicherheitsmerkmale einer Website in regelmäßigen Abständen und deckt damit vor allem die misconfiguration- und lieferkettennahen Kategorien der OWASP Top 10:2025 ab - jene Bereiche also, die sich am tatsächlich ausgelieferten Zustand messen lassen. Aus der abstrakten Liste wird so ein wiederkehrender Arbeitsablauf mit klaren Signalen.

Der Scan steht nicht für sich, sondern ergänzt die übrige Angriffsflächen-Beobachtung zu einem Bild des tatsächlich ausgelieferten Zustands - nicht nur der Absicht. Wer wissen möchte, welche Ausbaustufe zu den eigenen Anforderungen passt, findet die Details in der Preisübersicht. Wichtig bleibt die Einordnung: Ein Scan von außen ersetzt keine sichere Entwicklung und keine Rechts- oder Sicherheitsberatung. Er verkürzt aber die Zeit, in der eine Fehlkonfiguration oder ein verändertes Dritt-Skript unbemerkt bleibt - und das ist im Alltag oft der entscheidende Unterschied.

Die OWASP Top 10:2025 jetzt in die Praxis bringen

Die OWASP Top 10:2025 ist kein akademisches Dokument, sondern eine Landkarte der Risiken, an denen sich Angreifer heute tatsächlich orientieren. Für Website-Betreiber lohnt sich ein pragmatischer Dreischritt: die eigene Website gegen die Liste spiegeln, die von außen sichtbaren Kategorien in messbare Signale übersetzen und diese Signale dann laufend beobachten statt einmalig. Besonders die drei Bewegungen der neuen Ausgabe - der Aufstieg der Fehlkonfiguration, die neue Lieferketten-Kategorie und die neue Kategorie zur Fehlerbehandlung - lassen sich so vom Konzept in den Betrieb überführen.

Die OWASP-Themen greifen dabei in benachbarte Pflichten über. Wer im Umgang mit Kartendaten steht, findet in der clientseitigen Absicherung nach dem Payment-Standard einen engen Bezug zu A03 und A06, wie der Beitrag zur PCI-DSS-4.0.1-Client-Side-Security zeigt. Und wer Markenvertrauen und E-Mail-Sicherheit zusammendenkt, findet im Beitrag zur BIMI- und VMC-Authentifizierung für Marken-Logos einen weiteren Baustein einer glaubwürdigen Sicherheitsposition. Eine Live-Demo zeigt, wie die kontinuierliche Sicherheits-Beobachtung im Alltag aussieht; der Einstieg gelingt über die kostenlose Registrierung.

Häufig gestellte Fragen zur OWASP Top 10:2025