Cross-Site-Scripting-Angriffe gelingen nach OWASP dort, wo eine Webanwendung Eingaben eines Nutzers in der von ihr erzeugten Ausgabe verwendet, ohne sie zu validieren oder zu kodieren. Weil der Browser das Skript f\u00fcr vertrauensw\u00fcrdig h\u00e4lt, kann es auf Cookies, Session-Tokens und weitere sensible Informationen zugreifen, die der Browser f\u00fcr diese Website speichert und verwendet. Besonders schwer wiegen Angriffe, bei denen das Session-Cookie des Nutzers offengelegt wird, weil ein Angreifer dann die Sitzung kapern und das Konto \u00fcbernehmen<\/strong> kann. Laut MITRE ist die h\u00e4ufigste mit Cross-Site Scripting ausgef\u00fchrte Attacke die Offenlegung privater, in Cookies gespeicherter Informationen wie Sitzungsinformationen.<\/p>\n
Enth\u00e4lt das Kundenportal eines Versicherers eine XSS-L\u00fccke, kann eingeschleuster Code im Browser eines angemeldeten Kunden Daten auf der Seite auslesen oder Aktionen mit dessen Berechtigungen ausl\u00f6sen. Der Eintrag CWE-79 beschreibt die Schwachstelle so, dass ein Produkt vom Nutzer steuerbare Eingaben nicht oder fehlerhaft neutralisiert<\/strong>, bevor sie in eine Ausgabe gelangen, die als Webseite an andere Nutzer ausgeliefert wird.<\/p>\n
Wie funktioniert Cross-Site Scripting?<\/h2>\n
Ein Angreifer nutzt eine Webanwendung, um b\u00f6sartigen Code, im Allgemeinen ein Skript auf der Browserseite, an einen anderen Endnutzer zu senden. Laut OWASP besteht der h\u00e4ufigste Weg darin, den sch\u00e4dlichen Inhalt als Parameter in eine URL<\/strong> einzubauen, die \u00f6ffentlich gepostet oder direkt per E-Mail an Opfer gesendet wird. Bei serverseitigem Reflected und Stored XSS unterscheiden sich die Abl\u00e4ufe darin, wie die Nutzlast beim Server ankommt; bei DOM-based XSS liegt die Quelle der Daten dagegen im DOM statt beim Server. Bei Reflected XSS veranlasst der Angreifer das Opfer, gef\u00e4hrliche Inhalte an eine verwundbare Webanwendung zu \u00fcbermitteln; die Anwendung spiegelt diese Inhalte an das Opfer zur\u00fcck, und der Webbrowser f\u00fchrt die Inhalte aus.<\/p>\n
Bei serverseitigem Stored XSS speichert die Anwendung gef\u00e4hrliche Daten in einer Datenbank, einem Nachrichtenforum, einem Besucherprotokoll oder einem anderen vertrauensw\u00fcrdigen Datenspeicher<\/strong>. Bei DOM-based XSS schleust eine clientseitige Anwendung den Schadcode in die Seite ein, indem die Anwendung das DOM manipuliert. Die HTTP-Antwort \u00e4ndert sich dabei nicht; der clientseitige Code in der Seite wird jedoch wegen der b\u00f6sartigen \u00c4nderungen in der DOM-Umgebung anders ausgef\u00fchrt.<\/p>\n
Cross-Site Scripting im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Reflected XSS<\/th>\n
Stored XSS<\/th>\n
DOM-based XSS<\/th>\n
CSRF<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Kennzeichen<\/td>\n
Die Eingabe wird sofort von der Webanwendung zur\u00fcckgegeben, etwa in einer Fehlermeldung oder einem Suchergebnis, ohne dauerhaft gespeichert zu werden<\/td>\n
Bei serverseitigen Varianten wird die Eingabe auf dem Zielserver gespeichert, etwa in einer Datenbank, einem Forum, einem Besucherprotokoll oder einem Kommentarfeld<\/td>\n
DOM-basiertes XSS entsteht, wenn clientseitiger Code nicht vertrauensw\u00fcrdige Daten so verarbeitet, dass sie im Browser als Code ausgef\u00fchrt werden k\u00f6nnen.<\/td>\n
Zwingt einen Endnutzer zu ungewollten Aktionen in einer Webanwendung, in der er gerade authentifiziert ist<\/td>\n<\/tr>\n
\n
Beziehung zu den anderen Typen<\/td>\n
Steht in der OWASP-Matrix auf derselben Achse wie Stored XSS; kann zugleich DOM-based sein<\/td>\n
Steht in der OWASP-Matrix auf derselben Achse wie Reflected XSS; kann zugleich DOM-based sein<\/td>\n
Teilmenge von Client XSS: Die Datenquelle liegt im DOM statt beim Server; kann zugleich Stored oder Reflected sein<\/td>\n
Eigener Angriff; das BSI f\u00fchrt die Verhinderung von Cross-Site-Request-Forgery als eigene Anforderung CON.10.A15 (S)<\/td>\n<\/tr>\n
\n
Erreicht die Nutzlast den Server?<\/td>\n
Bei Server XSS ja, als Teil der Anfrage; der Server gibt die Eingabe in seiner Antwort zur\u00fcck. Bei DOM-based Varianten muss die Eingabe den Server nicht erreichen, etwa wenn sie im Fragment hinter dem Zeichen # steht<\/td>\n
Bei Server XSS ja, die Eingabe liegt danach auf dem Server. Bei clientseitig gespeicherten Varianten muss die Eingabe den Server nicht erreichen.<\/td>\n
Bei einem URL-Parameter ja, als Teil der HTTP-Anfrage, sodass sich der Angriff serverseitig erkennen lie\u00dfe; der Teil nach dem Zeichen # wird vom Browser nicht an den Server gesendet<\/td>\n
Nicht Gegenstand der verwendeten Quellen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich Cross-Site Scripting?<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Ungepr\u00fcfte Eingaben in der Ausgabe<\/td>\n
Ausgabedaten k\u00f6nnen Schadcode enthalten, der auf dem Zielsystem interpretiert oder ausgef\u00fchrt wird; ein Beispiel ist JavaScript-Code, der in Formulardaten eingegeben wird.<\/td>\n<\/tr>\n
\n
Reine Informationsseiten<\/td>\n
Eine \u201eread-only\u201c- oder \u201ebrochureware\u201c-Seite ist nach OWASP nicht davor gefeit, von schwerwiegenden Reflected-XSS-Angriffen betroffen zu sein.<\/td>\n<\/tr>\n
\n
Einordnung in Risikolisten<\/td>\n
In der aktuellen Ausgabe der OWASP Top 10 geh\u00f6rt Cross-Site Scripting zur Kategorie A05 Injection; die Kategorie f\u00fchrt es im Vergleich zu SQL Injection als Schwachstelle mit hoher H\u00e4ufigkeit und geringer Auswirkung und mit mehr als 30.000 CVEs, SQL Injection dagegen mit geringer H\u00e4ufigkeit und hoher Auswirkung.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Der Baustein CON.10 des IT-Grundschutz-Kompendiums (Edition 2023) sieht vor, dass Ausgabedaten so kodiert werden m\u00fcssen, dass schadhafter Code auf dem Zielsystem nicht interpretiert oder ausgef\u00fchrt wird.<\/li>\n
Nach CON.10 sollten mindestens die HTTP-Header Content-Security-Policy, Strict-Transport-Security, Content-Type, X-Content-Type-Options sowie Cache-Control verwendet werden.<\/li>\n
Zur Eind\u00e4mmung von XSS-Angriffen auf das Session-Cookie des Nutzers sollte das Cookie mit dem Attribut HttpOnly gesetzt werden.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[425,439,393],"class_list":["post-34261","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-anwendungs-cloud-sicherheit","glossary_intl_topic-anwendungsschwachstellen-owasp-cwe-api","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Cross-Site Scripting: Angriffe, bei denen ein b\u00f6sartiges Skript \u00fcber eine Website im Browser eines anderen Nutzers l\u00e4uft.","nav_theme":"Anwendungs- & Cloud-Sicherheit","nav_subtheme":"Anwendungsschwachstellen (OWASP, CWE, API)","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"XSS"}],"lead_definition":"Cross-Site Scripting (XSS) bezeichnet Angriffe, bei denen Angreifer \u00fcber eine Webanwendung eingeschleusten Schadcode in Form b\u00f6sartiger Skripte in harmlosen, vertrauensw\u00fcrdigen Websites platzieren, sodass er im Browser eines anderen Endnutzers ausgef\u00fchrt wird.","at_a_glance":[{"bullet":"Typen: Reflected, Stored und DOM-based XSS wurden lange als drei getrennte Typen betrachtet, \u00fcberschneiden sich aber in Wirklichkeit."},{"bullet":"Einordnung: In der aktuellen Ausgabe der OWASP Top 10 geh\u00f6rt XSS zur Kategorie A05 Injection."},{"bullet":"Schutz: Ausgabedaten m\u00fcssen nach CON.10 kodiert werden; das Attribut HttpOnly am Session-Cookie d\u00e4mmt laut MITRE nur Angriffe auf dieses Cookie ein."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Angreifer speichert ein b\u00f6sartiges Skript in einem Kommentarfeld eines Forums; l\u00e4dt ein Besucher den Kommentar, kann das Skript dessen Session-Cookie auslesen und an den Angreifer senden."},{"example":"Ein Angreifer verschickt per E-Mail einen Link, dessen URL-Parameter ein Skript enth\u00e4lt; ruft ein Nutzer ihn auf und \u00fcbernimmt eine verwundbare Anwendung den Parameter in ihre Antwort, wird das Skript im Browser des Nutzers ausgef\u00fchrt."},{"example":"Enth\u00e4lt das Kundenportal eines Versicherers eine XSS-L\u00fccke, k\u00f6nnte eingeschleuster Code im Browser eines angemeldeten Kunden Daten auf der Seite auslesen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34253,34064],"pillar_link":null,"sources":[{"publisher":"","name":"Cross Site Scripting (XSS)","url":"https:\/\/owasp.org\/www-community\/attacks\/xss\/","doc_type":"","group":"used"},{"publisher":"","name":"Types of XSS","url":"https:\/\/owasp.org\/www-community\/Types_of_Cross-Site_Scripting","doc_type":"","group":"used"},{"publisher":"","name":"CWE-79: Improper Neutralization of Input During Web Page Generation","url":"https:\/\/cwe.mitre.org\/data\/definitions\/79.html","doc_type":"2026","group":"used"},{"publisher":"","name":"CON.10 Entwicklung von Webanwendungen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/03_CON_Konzepte_und_Vorgehensweisen\/CON_10_Entwicklung_von_Webanwendungen_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"A05 Injection - OWASP Top 10:2025","url":"https:\/\/owasp.org\/Top10\/2025\/A05_2025-Injection\/","doc_type":"","group":"used"},{"publisher":"","name":"DOM Based XSS","url":"https:\/\/owasp.org\/www-community\/attacks\/DOM_Based_XSS","doc_type":"","group":"used"},{"publisher":"","name":"Cross Site Request Forgery (CSRF)","url":"https:\/\/owasp.org\/www-community\/attacks\/csrf","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t