Security-Glossar

Was ist die OWASP Top 10?

Die OWASP Top 10 ist eine regelmäßig aktualisierte, von der Community getragene Liste der kritischsten Sicherheitsrisiken für Webanwendungen, herausgegeben vom Open Worldwide Application Security Project. Sie ist der gemeinsame Bezugspunkt der Branche für Anwendungsrisiken, aber ein Dokument zur Sensibilisierung und keine Test-Checkliste.

Was sie ist (und was nicht)

Die Top 10 schärft das Bewusstsein für die Risikokategorien, die Webanwendungen am häufigsten und schwerwiegendsten betreffen, damit Teams und Stakeholder ein gemeinsames Vokabular teilen. Sie ist bewusst kein vollständiger Standard und kein Testplan: Für systematische Abdeckung nutzen Sie den OWASP Web Security Testing Guide (WSTG) für Testfälle und den OWASP Application Security Verification Standard (ASVS) für Anforderungen auf Control-Ebene. Die Top 10 rahmt das Risiko; WSTG und ASVS treiben die eigentlichen Tests.

Die aktuelle Ausgabe: 2025

Die aktuelle Version ist die OWASP Top 10 2025. Verweise auf 2021 sind veraltet. Die Kategorien 2025 lauten: A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A04 Cryptographic Failures, A05 Injection, A06 Insecure Design, A07 Authentication Failures, A08 Software or Data Integrity Failures, A09 Security Logging and Alerting Failures und A10 Mishandling of Exceptional Conditions.

Was sich 2025 geändert hat

Broken Access Control bleibt an der Spitze: Es ist durchgehend das häufigste schwerwiegende Web-Risiko, weshalb authentifizierte Tests über mehrere Rollen so wichtig sind. Zu den auffälligen Veränderungen gehören der Aufstieg von Security Misconfiguration auf A02, die neue Kategorie Software Supply Chain Failures (A03), die das ältere Thema „verwundbare Komponenten“ erweitert, und das neue A10 zum Umgang mit Ausnahmesituationen. Die Kategorien verändern sich mit den realen Daten und der Bedrohungslage.

Wie sie in einem Pentest verwendet wird

In einem Web-Assessment dient die Top 10 meist dazu, Befunde einzuordnen und zu kommunizieren: Jedes Problem wird einer Risikokategorie zugeordnet, die auch die Führungsebene kennt. Die Tiefe kommt aus den WSTG-Testfällen und der Verifizierung gegen ASVS. Daneben gibt es die OWASP API Security Top 10 (aktuelle Ausgabe 2023) für APIs und das OWASP-Projekt Mobile Application Security (MASVS/MASTG) für mobile Apps, weil diese Angriffsflächen eigene Risiken haben.

Häufig gestellte Fragen

Eine regelmäßig aktualisierte, von der Community getragene Liste der kritischsten Sicherheitsrisiken für Webanwendungen, herausgegeben von OWASP. Sie ist der gemeinsame Bezugspunkt der Branche für Anwendungsrisiken, aber bewusst ein Dokument zur Sensibilisierung, weder ein vollständiger Standard noch ein Testplan.

Aktuell ist die Ausgabe 2025, Verweise auf 2021 sind veraltet. Broken Access Control bleibt an der Spitze, Security Misconfiguration ist auf A02 gestiegen, und es gibt zwei neue Kategorien: A03 Software Supply Chain Failures und A10 Mishandling of Exceptional Conditions.

Nicht direkt. In einem Web-Assessment dient sie meist dazu, Befunde einzuordnen und zu kommunizieren, indem jedes Problem einer Risikokategorie zugeordnet wird. Die eigentliche Testtiefe kommt aus dem OWASP Web Security Testing Guide und der Verifizierung gegen ASVS. APIs und mobile Apps haben eigene Gegenstücke: die OWASP API Security Top 10 und MASVS/MASTG.

Sprechen Sie mit einem echten Praktiker.

Eine Frage, die diese Seiten nicht beantwortet haben? Sagen Sie uns, was Sie schützen möchten, und wir weisen Ihnen den Weg zum passenden Projekt. Die Erstberatung ist kostenlos.