Web-Sicherheits-Checkliste: Umfassender Sicherheitsleitfaden

OWASP Top 10

1. Broken Access Control: Fehlende Autorisierungskontrollen. Nutzer können auf Ressourcen zugreifen, für die sie nicht autorisiert sind.

2. Cryptographic Failures: Sensible Daten nicht verschlüsselt oder schwache Verschlüsselung verwendet.

3. Injection: SQL, NoSQL, OS, LDAP Injection. Wenn Benutzereingabe direkt in Abfrage eingefügt wird.

4. Insecure Design: Design mit Sicherheitslücken. Kein Threat Modeling durchgeführt.

5. Security Misconfiguration: Standard-Einstellungen, offener Debug-Modus, fehlende Sicherheits-Header.

6. Vulnerable Components: Drittanbieter-Bibliotheken mit Sicherheitslücken. Veraltete Abhängigkeiten.

7. Authentication Failures: Schwache Passwort-Policy, Session-Management-Fehler, kein Brute-Force-Schutz.

8. Software and Data Integrity Failures: CI/CD Pipeline-Sicherheit, Dependency Integrity, unsichere Deserialisierung.

9. Security Logging Failures: Unzureichendes Logging, kein Monitoring, kein Incident Response Plan.

10. SSRF (Server-Side Request Forgery): Server macht Anfrage an URL, die vom Angreifer kontrolliert wird.

Sicherheits-Header

CSP bietet zusätzlichen Schutz; unsafe-inline kann ihn schwächen. Nonces oder Hashes für benötigte Skripte verwenden.

Strict-Transport-Security (HSTS): Sagt Browser, nur über HTTPS zu verbinden. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options: nosniff Wert deaktiviert MIME Type Sniffing.

X-Frame-Options: DENY oder SAMEORIGIN. Verhindert, dass Seite in iframe angezeigt wird (Clickjacking).

Referrer-Policy: strict-origin-when-cross-origin. Kontrolliert Referrer-Informationen.

Permissions-Policy: Kontrolliert Browser-Features wie Kamera, Mikrofon, Geolocation.

Authentication und Authorization

Passwort-Policy: Minimum 8 Zeichen, Groß-/Kleinbuchstaben, Ziffer, Sonderzeichen. Passwort-Hashing (bcrypt, Argon2).

Multi-Faktor-Authentifizierung (MFA): Obligatorische 2FA oder MFA. TOTP (Google Authenticator), SMS, Hardware Key (YubiKey).

Session-Management: Secure, HttpOnly, SameSite Cookies. Session Timeout, Concurrent Session Limit.

JWT: Kurzlebiger Access Token (15 Min) + langlebiger Refresh Token (7 Tage). Token Rotation.

OAuth 2.0 / OpenID Connect: Drittanbieter-Authentifizierung. Login mit Google, GitHub, Apple.

RBAC: Role-Based Access Control. Nutzerrollen und Berechtigungen. Least Privilege Principle.

Input Validation und Sanitization

Server-seitige Validierung: Alle Eingaben serverseitig validieren. Client-seitige Validierung ist nicht ausreichend.

SQL Injection Prävention: Parameterized Queries / Prepared Statements verwenden. ORMs (Prisma, SQLAlchemy) bieten automatischen Schutz.

XSS Prävention: Output Encoding. React/Vue automatisches Escaping. textContent statt innerHTML.

CSRF Prävention: CSRF Token. SameSite Cookie Attribute. Double Submit Cookie Pattern.

Datei-Upload-Sicherheit: Dateityp und -größe kontrollieren. Keine Ausführungsberechtigung im Upload-Verzeichnis. Virus-Scanning.

Sicherheitsüberwachung und Reaktion

Logging: Alle Authentication-, Authorization- und Fehlerereignisse loggen. Zentrales Logging (ELK, Loki).

Monitoring: Anomalieerkennung. Failed Login Attempts, ungewöhnliche Traffic-Muster, Error Rate Spikes.

Incident Response Plan: Planen, wie auf Sicherheitsvorfälle reagiert wird. Runbooks, Escalation Paths.

Vulnerability Scanning: Regelmäßige Sicherheitsscans. OWASP ZAP, Burp Suite, Snyk.

Penetration Testing: Professioneller Penetration Test mindestens einmal pro Jahr. Befundbericht und Abhilfeplan.

Sicherheits-Checkliste

✓ HTTPS auf allen Seiten aktiv

✓ Sicherheits-Header (CSP, HSTS, X-Content-Type-Options, X-Frame-Options) konfiguriert

✓ Input Validation auf allen Endpoints implementiert

✓ SQL Injection Schutz (Parameterized Queries)

✓ XSS Schutz (Output Encoding, CSP)

✓ CSRF Schutz (Token, SameSite Cookies)

✓ Authentication (MFA, starke Passwort-Policy)

✓ Authorization (RBAC, Least Privilege)

✓ Dependency Security (npm audit, Snyk)

✓ Logging und Monitoring aktiv

✓ Backup und Disaster Recovery Plan

✓ Incident Response Plan

• MDN: Content Security Policy