Scannen, was am wichtigsten ist: OWASP Top 10 2025

Sebastian BrandesSenior Principal Product Manager | F5

Die OWASP Top 10 gelten seit Langem als Goldstandard für das Verständnis der kritischsten Sicherheitsrisiken für Webanwendungen. Als OWASP die Ausgabe 2025 veröffentlichte, wurden Sicherheitsteams weltweit darauf aufmerksam. Heute freuen wir uns, bekannt geben zu können, dass F5 Distributed Cloud Web App Scanning nun umfassende Unterstützung für die OWASP Top 10 2025 bietet und Unternehmen dabei hilft, die wichtigsten Schwachstellen zu identifizieren und zu beheben.

Was ist neu in den OWASP Top 10 2025?

Für die Aktualisierung der OWASP Top 10 im Jahr 2025 wurden Daten von über 2,8 Millionen Anwendungen analysiert, die von führenden Anbietern im Bereich der Sicherheit von Webanwendungen bereitgestellt wurden. Dabei wurden den zehn Kategorien 248 Common Weakness Enumerations (CWEs) zugeordnet – eine deutliche Erweiterung gegenüber früheren Ausgaben.

Mit dem Update 2025 werden zwei völlig neue Kategorien eingeführt und andere zusammengeführt, um der sich wandelnden Bedrohungslandschaft Rechnung zu tragen. OWASP hat sich bemüht, wo immer möglich die Ursachen statt der Symptome in den Mittelpunkt zu stellen, damit Entwicklungsteams die Empfehlungen besser in die Praxis umsetzen können.

Nachfolgend finden Sie die vollständige OWASP Top 10 2025:

• A01:2025 – Fehlerhafte Zugriffskontrolle behält seine Position auf Platz 1 als schwerwiegendstes Sicherheitsrisiko für Anwendungen. Im Durchschnitt wiesen 3,73 % der getesteten Anwendungen mindestens eine der 40 CWEs in dieser Kategorie auf. Insbesondere wurde Server-Side Request Forgery (SSRF), 2021 noch eine eigenständige Kategorie auf Platz 10, nun hier zusammengeführt.
• A02:2025 – Sicherheitsfehlkonfiguration stieg von Platz 5 im Jahr 2021 auf Platz 2. Fehlkonfigurationen treten immer häufiger auf, da die moderne Softwareentwicklung zunehmend auf konfigurationsgesteuertes Verhalten setzt. Laut OWASP wiesen 3,00 % der getesteten Anwendungen Schwachstellen in dieser Kategorie auf.
• A03:2025 – Fehler in der Software-Lieferkette ist eine neue Kategorie, die die bisherige Risikogruppe „Anfällige und veraltete Komponenten“ erweitert. Sie umfasst Kompromittierungen im gesamten Ökosystem aus Softwareabhängigkeiten, Build-Systemen und Distributionsinfrastruktur. Obwohl sie in den Testdaten am seltensten auftritt, weist sie im Durchschnitt die höchsten Werte für Ausnutzbarkeit und Auswirkungen auf.
• A04:2025 – Kryptografische Fehler fiel von Platz 2 auf Platz 4 zurück. Trotz der veränderten Platzierung weisen noch immer 3,80 % der Anwendungen kryptografische Schwachstellen auf, die zur Offenlegung sensibler Daten oder zur Kompromittierung von Systemen führen können.
• A05:2025 – Injection fiel von Platz 3 auf Platz 5 zurück, gehört jedoch weiterhin zu den am häufigsten getesteten Kategorien mit der größten Anzahl zugehöriger CVEs. Diese Kategorie umfasst alles von Cross-Site-Scripting bis hin zu SQL-Injection.
• A06:2025 – Unsicheres Design fiel von Platz 4 auf Platz 6 zurück. Diese 2021 eingeführte Kategorie hat sich deutlich verbessert, da die Branche zunehmend auf Bedrohungsmodellierung und sichere Designpraktiken setzt.
• A07:2025 – Authentifizierungsfehler behält seine Position bei, wobei die Bezeichnung geringfügig von „Identifizierungs- und Authentifizierungsfehler“ geändert wurde. Die zunehmende Verbreitung standardisierter Authentifizierungs-Frameworks scheint die Zahl der Vorfälle zu verringern.
• A08:2025 – Fehler bei der Software- oder Datenintegrität bleibt auf Platz 8 und konzentriert sich auf Fehler bei der Aufrechterhaltung von Vertrauensgrenzen und der Überprüfung der Integrität von Software, Code und Datenartefakten.
• A09:2025 – Fehler bei Sicherheitsprotokollierung und Alarmierung behält seine Position bei, wobei die Bezeichnung geändert wurde, um die Bedeutung der Alarmierung hervorzuheben. Wie OWASP feststellt, ist eine hervorragende Protokollierung ohne Alarmierung für die Erkennung von Sicherheitsvorfällen nur von geringem Nutzen.
• A10:2025 – Unsachgemäßer Umgang mit Ausnahmebedingungen ist eine neue Kategorie mit 24 CWEs, die sich auf unsachgemäße Fehlerbehandlung, Logikfehler, Fail-Open-Verhalten und andere Szenarien konzentrieren, die durch außergewöhnliche Bedingungen entstehen.

Wie F5 Distributed Cloud Web App Scanning die OWASP Top 10 2025 abdeckt

Distributed Cloud Web App Scanning deckt alle 10 Kategorien ab und ordnet dem neuen Framework 50 Testklassen zu.

Für die Kernkategorien, darunter fehlerhafte Zugriffskontrolle, Sicherheitsfehlkonfigurationen, kryptografische Fehler, Injection, unsicheres Design, Authentifizierungsfehler sowie Fehler bei der Software- oder Datenintegrität, bietet unser Scanner umfassende Erkennungsfunktionen.

Diese Kategorien profitieren von ausgereiften Testsuiten, die über Jahre hinweg bei realen Scans optimiert wurden. Zudem haben wir neue Tests hinzugefügt, um der Weiterentwicklung des Umfangs der einzelnen Kategorien in der neuesten Ausgabe Rechnung zu tragen. So umfasst „Broken Access Control“ nun beispielsweise auch „Server-Side Request Forgery“ (SSRF), das zuvor eine eigenständige Kategorie war. „Security Misconfiguration“ wurde erweitert, um der zunehmenden Komplexität konfigurationsgesteuerter Umgebungen gerecht zu werden.

Einige neue und erweiterte Kategorien in den neuen OWASP Top 10, wie etwa Fehler in der Software-Lieferkette (A03:2025), gingen über unsere bisherige Erkennung anfälliger Abhängigkeiten hinaus. Daher haben wir Tests für ungepatchte Systeme und falsch konfigurierte Komponenten hinzugefügt, die Angreifer häufig bei Angriffen auf die Lieferkette ausnutzen.

Fehler bei Protokollierung und Alarmierung (A09:2025) ist eine umbenannte Kategorie, die nun neben der Protokollierung auch die Alarmierung stärker in den Fokus rückt. Unsere neuen Tests helfen dabei, Lücken bei der Überwachung sicherheitsrelevanter Ereignisse zu erkennen, die die Erkennung von Vorfällen verzögern könnten.

Für die neue Kategorie „Unsachgemäßer Umgang mit Ausnahmebedingungen“ (A10:2025) haben wir Tests eingeführt, die prüfen, ob Fehlermeldungen sensible Daten preisgeben, benutzerdefinierte Fehlerseiten fehlen oder unerwartete Parameter unsachgemäß verarbeitet werden – alles häufige Ursachen dafür, dass Anwendungen Angreifern unbeabsichtigt Informationen offenlegen.

Warum dies für Ihr Sicherheitsprogramm wichtig ist

Compliance-Frameworks, Standards für Penetrationstests und Sicherheitsbewertungen beziehen sich häufig auf die OWASP Top 10. Mit unserem aktualisierten Scanner können Unternehmen die aktuellen Standards leichter einhalten. Sicherheitsberichte ordnen die Ergebnisse nun den Kategorien von 2025 zu. Dadurch lassen sich Risiken einfacher gegenüber Stakeholdern kommunizieren und die Einhaltung von Frameworks nachweisen, die auf OWASP verweisen.

Unternehmen können zudem die Behebung von Risiken effektiver priorisieren. Die OWASP Top 10 spiegeln reale Angriffsmuster wider, die aus Tests von Millionen von Anwendungen abgeleitet wurden. Indem Teams ihre Maßnahmen zur Behebung auf diese Kategorien konzentrieren, gehen sie gezielt die Schwachstellen an, die am wahrscheinlichsten ausgenutzt werden.

Ebenso wichtig ist es, dass Unternehmen neu auftretende Risiken proaktiv angehen, bevor Kriminelle aktiv werden. Neue Kategorien wie Fehler in der Software-Lieferkette zeigen Angriffsvektoren auf, die in den vergangenen Jahren erheblich an Bedeutung gewonnen haben. Trotz begrenzter Testdaten weisen Schwachstellen in der Lieferkette die höchsten Werte für Ausnutzbarkeit und Auswirkungen auf. Unser Scanner hilft dabei, diese Risiken aufzudecken, bevor Angreifer sie ausnutzen.

Erste Schritte

Bestehende Kunden von Distributed Cloud Web App Scanning profitieren in ihren Scanergebnissen automatisch von den aktualisierten Zuordnungen zu den OWASP Top 10 2025. Es sind keine Konfigurationsänderungen erforderlich – führen Sie Ihre Scans einfach wie gewohnt aus und prüfen Sie die nach dem neuen Framework kategorisierten Ergebnisse.

Für Organisationen mit On-Premises-Bereitstellungen stehen aktualisierte Docker-Images zur Verfügung, die die vollständige Testsuite für die OWASP Top 10 2025 enthalten.

Wenn Distributed Cloud Web App Scanning für Sie neu ist, bietet sich jetzt eine hervorragende Gelegenheit, zu prüfen, wie dynamische Anwendungssicherheitstests Ihre Sicherheitslage verbessern können. Unser Scanner kombiniert eine umfassende Erkennung von Schwachstellen mit der Einfachheit einer vollständig verwalteten SaaS-Plattform und unterstützt Sicherheitsteams dabei, ihre Anwendungen ohne den Betriebsaufwand herkömmlicher Tools für dynamische Anwendungssicherheitstests (Dynamic Application Security Testing, DAST) zu schützen.

Weitere Informationen zu F5 Distributed Cloud Web App Scanning und den zugehörigen Funktionen für die OWASP Top 10 2025 finden Sie auf unserer Produktseite. Alternativ können Sie unser Team kontaktieren, um einen Demotermin zu vereinbaren.

Über den Autor

Sebastian BrandesSenior Principal Product Manager | F5

Weitere Blogbeiträge von Sebastian Brandes