Die OWASP Top 10 ist ein Referenzdokument zur Sensibilisierung von Entwicklern, das einen breiten Konsens über die kritischen Sicherheitsrisiken für Webanwendungen abbildet und diese Risiken in zehn Kategorien einordnet.
Auf einen Blick
Ausgabe: Aktuell gilt die Ausgabe 2025; dort steht Cryptographic Failures auf Platz 4 und Injection auf Platz 5.
OWASP bezeichnet die Liste als Awareness-Dokument und empfiehlt Unternehmen, sie zu übernehmen.
Abgrenzung: Für Anwendungen mit Sprachmodellen und für APIs gibt es eigene Listen, etwa mit LLM01:2025 Prompt Injection und API1:2023 Broken Object Level Authorization.
Was ist die OWASP Top 10?
Die aktuelle Ausgabe ist die OWASP Top 10:2025, die achte Auflage der Liste. Die Projektseite bezeichnet sie als Awareness-Dokument für Entwickler und für die Sicherheit von Webanwendungen. Nach derselben Seite ist die Nutzung der Liste vielleicht der wirksamste erste Schritt, die Kultur der Softwareentwicklung in einer Organisation zu einer Kultur zu verändern, die sichereren Code hervorbringt. Laut der Beschreibung der Kategorie A01 Broken Access Control setzt Zugriffskontrolle Regeln so durch, dass Nutzer nicht außerhalb ihrer vorgesehenen Berechtigungen handeln können; Fehler führen typischerweise zu unbefugter Offenlegung, Änderung oder Zerstörung von Daten oder zu Geschäftsfunktionen außerhalb der Grenzen des Nutzers.
Laut OWASP bündelt die OWASP Top 10 in der Ausgabe 2025 die zehn kritischsten Sicherheitsrisiken für Webanwendungen; ein Versicherer könnte sie als Ausgangspunkt für die Prüfung seines Kundenportals nutzen, etwa für Broken Access Control oder Software Supply Chain Failures. In der Ausgabe 2025 gibt es zwei neue Kategorien und eine Zusammenführung. Die Ausgabe 2021 ist die Vorgängerin der aktuellen Liste.
Wie entsteht die OWASP Top 10?
Die Liste bleibt datenbasiert, folgt den Daten aber nicht blind. Zwölf Kategorien wurden anhand beigesteuerter Daten eingestuft, und zwei durften durch Antworten aus der Community-Umfrage hochgestuft oder hervorgehoben werden. Für A01:2025 Broken Access Control etwa zeigen die beigesteuerten Daten, dass durchschnittlich 3,73 % der getesteten Anwendungen mindestens eine der 40 Common Weakness Enumerations (CWEs) aufwiesen, die dieser Kategorie zugeordnet sind.
Soweit möglich, richten sich die Kategorien nach der Grundursache eines Problems, weil das für Hinweise zur Erkennung und Behebung folgerichtiger ist.
OWASP Top 10 im Vergleich
| Kriterium | OWASP Top 10 | OWASP Top 10 for LLMs | OWASP API Security Top 10 |
|---|---|---|---|
| Gegenstand | Webanwendungen | Anwendungen mit generativer KI und Large Language Models | Schnittstellen (APIs) |
| Kennung einer Kategorie | A01:2025 Broken Access Control | LLM01:2025 Prompt Injection | API1:2023 Broken Object Level Authorization |
| Ausrichtung | Awareness-Dokument für Entwickler und die Sicherheit von Webanwendungen | Risiken, Schwachstellen und Gegenmaßnahmen für Entwicklung, Bereitstellung und Betrieb | Strategien und Lösungen, um die besonderen Schwachstellen und Sicherheitsrisiken von APIs zu verstehen und zu mindern |
Welche Risiken umfasst die OWASP Top 10:2025?
| Kategorie (Ausgabe 2025) | Was die Quelle festhält |
|---|---|
| A01:2025 Broken Access Control | Behält Platz 1 als schwerwiegendstes Risiko für die Anwendungssicherheit. |
| A02:2025 Security Misconfiguration | Steigt von Platz 5 in der Ausgabe 2021 auf Platz 2 in der Ausgabe 2025. |
| A03:2025 Software Supply Chain Failures | Erweitert A06:2021 Vulnerable and Outdated Components um Kompromittierungen im gesamten Ökosystem aus Softwareabhängigkeiten, Build-Systemen und Verteilungsinfrastruktur. |
| A04:2025 Cryptographic Failures | Fällt um zwei Plätze von Platz 2 auf Platz 4. |
| A05:2025 Injection | Fällt um zwei Plätze von Platz 3 auf Platz 5. |
| A06:2025 Insecure Design | Fällt um zwei Plätze von Platz 4 auf Platz 6. |
| A07:2025 Authentication Failures | Bleibt auf Platz 7; der Name wurde leicht angepasst, um die 36 CWEs der Kategorie genauer abzubilden. |
| A08:2025 Software or Data Integrity Failures | Bleibt auf Platz 8; der Name wurde klarstellend von „Software and Data Integrity Failures“ angepasst. |
| A09:2025 Security Logging and Alerting Failures | Behält Platz 9; der Name betont die Alarmierung, die nötig ist, damit relevante Protokollereignisse Maßnahmen auslösen. |
| A10:2025 Mishandling of Exceptional Conditions | Neue Kategorie der Ausgabe 2025 mit 24 CWEs; im Mittelpunkt stehen unsachgemäße Fehlerbehandlung, logische Fehler und „Failing Open“ in abnormalen Zuständen. |
Schutz im Ernstfall
Vorbeugen
- OWASP empfiehlt Unternehmen, die Liste zu übernehmen und ihre Webanwendungen so abzusichern, dass diese Risiken möglichst gering ausfallen; als Codier- oder Teststandard ist sie nach OWASP jedoch nur das Minimum und ein Ausgangspunkt.
- Der Baustein CON.10 des IT-Grundschutz-Kompendiums (Edition 2023) sieht vor, dass Entwickelnde sämtliche an eine Webanwendung übergebenen Daten als potenziell gefährlich behandeln und geeignet filtern müssen.
- Für einen unter DORA fallenden Versicherer verlangt die Delegierte Verordnung (EU) 2024/1774, dass im Rahmen des dort genannten Verfahrens Quellcodeprüfungen mit statischen und dynamischen Tests durchgeführt werden.
Beispiele aus der Praxis
- Ein Entwicklungsteam könnte die OWASP Top 10:2025 im Code-Review als Orientierung nutzen, um etwa Injection (A05) und Broken Access Control (A01) frühzeitig im Blick zu behalten.
- Ein Unternehmen nimmt die Liste in seine Sicherheitsrichtlinie auf, um die genannten Risiken bei intern entwickelten Webanwendungen zu berücksichtigen.
- Ein Versicherer könnte die Liste etwa als Ausgangspunkt für die Prüfung seines Kundenportals nutzen und dabei Broken Access Control sowie Software Supply Chain Failures prüfen.
