Ratgeber
OWASP Top 10 erklärt
Du hast „OWASP Top 10“ gehört und fragst dich, was das für deine Firmenwebsite heißt? Hier findest du die zehn Risiken in Alltagssprache. Dazu kommt, was eine Prüfung von außen davon sehen kann und was nicht.
Prüfung anfragenWas die OWASP Top 10 sind
Die OWASP Top 10 sind laut OWASP ein Aufklärungsdokument für Entwickler und für die Sicherheit von Webanwendungen. Sie bilden einen breiten Konsens über die kritischsten Sicherheitsrisiken ab. Es ist also keine Prüfliste, die du abhakst, und kein Gütesiegel.
Die aktuelle Fassung heißt OWASP Top 10:2025. Wenn jemand dir einen Bericht „nach OWASP“ anbietet, frage nach der Fassung und danach, was genau geprüft wurde.
Die zehn Kategorien der Fassung 2025
A01 Broken Access Control (kaputte Zugriffskontrolle). Jemand sieht oder ändert Dinge, die ihm nicht zustehen. Bei einer Firmenwebsite sind das etwa Kundendaten oder Admin-Bereiche, die zu offen sind. Eine Prüfung von außen sieht nur, was ohne Anmeldung erreichbar ist.
A02 Security Misconfiguration (Fehlkonfiguration). Der Server, das System oder die Website sind falsch oder zu offen eingestellt. Dazu gehören fehlende Sicherheits-Header. Einen Teil davon kann eine Prüfung von außen sehen. Innere Einstellungen sieht sie nicht.
A03 Software Supply Chain Failures (Fehler in der Software-Lieferkette). Ein Plugin, eine Bibliothek oder ein Dienst, den deine Website nutzt, ist veraltet oder wurde manipuliert. Sichtbare Versionen veralteter Bibliotheken kann eine Prüfung von außen erkennen. Die ganze Kette sieht sie nicht.
A04 Cryptographic Failures (Fehler bei der Verschlüsselung). Daten sind gar nicht oder zu schwach verschlüsselt, oder Schlüssel gelangen nach außen. Bei deiner Website betrifft das zum Beispiel HTTPS und das Zertifikat. Beides kann eine Prüfung von außen ansehen. Verschlüsselung im Inneren sieht sie nicht.
A05 Injection (Einschleusen von Befehlen). Eine Eingabe, etwa im Kontaktformular, wird vom System als Befehl gelesen. Prüfen lässt sich das laut OWASP mit einem Blick in den Programmcode und mit automatischen Tests. Eine passive Prüfung von außen testet es nicht.
A06 Insecure Design (unsicherer Entwurf). Schon beim Planen fehlt eine Schutzmaßnahme, die sich später schwer nachrüsten lässt. Ein Beispiel ist ein Bestell- oder Kontaktablauf ohne Schutz gegen massenhaften Missbrauch. Dafür muss jemand die Abläufe und den Entwurf gezielt prüfen. Ein Check von außen erkennt solche Fehler nicht.
A07 Authentication Failures (Fehler bei der Anmeldung). Zugänge sind schlecht geschützt, etwa durch schwache Passwörter oder fehlende zweite Faktoren. Ob dein Login diese Fehler hat, prüft eine passive Prüfung von außen nicht.
A08 Software or Data Integrity Failures (Fehler bei der Integrität von Software oder Daten). Code oder Daten werden übernommen, ohne ihre Echtheit zu prüfen, zum Beispiel Updates aus ungeprüften Quellen. Das lässt sich von außen nur in Ausnahmefällen erkennen.
A09 Security Logging and Alerting Failures (fehlende Protokolle und Alarme). Angriffe werden nicht aufgezeichnet, oder niemand bekommt einen Alarm. Dann bleibt ein Vorfall lange unbemerkt. Das lässt sich nur im Betrieb prüfen, nicht von außen.
A10 Mishandling of Exceptional Conditions (falscher Umgang mit Ausnahmen). Die Website geht unsicher mit Fehlern um. Sie zeigt Besuchern etwa technische Fehlermeldungen mit internen Details oder lässt bei einer Störung Schutzprüfungen aus. Dieses Thema ist neu in der Fassung 2025. Eine Prüfung von außen kann nur das sehen, was Besucher sehen.
Was ein Check von außen sieht und was nicht
Der Webriegel-Check ist eine passive Prüfung von außen. Wir prüfen ohne Angriffe und ohne Lasttests. Er ist kein Penetrationstest und ersetzt keine Prüfung des Quellcodes. Den Unterschied erklärt der Ratgeber zu Sicherheitscheck und Penetrationstest.
Von außen sichtbar sind vor allem Einstellungen und Hinweise. Dazu gehören HTTPS, Sicherheits-Header, sichtbare Software-Versionen und DNS-Einträge. Ob jemand Eingaben ausnutzen oder Zugänge übernehmen kann, zeigt dieser Check nicht. Ein unauffälliger Bericht belegt deshalb nicht, dass alle zehn Kategorien in Ordnung sind.
Sicherheitscheck oder Penetrationstest: der Unterschied
Zum Kurzcheck für deine Website
Quellen und Stand
Stand: 3. November 2026. Die Anleitung stützt sich auf diese Quellen.
So läuft dein Check ab
Du fragst mit der Adresse deiner Website an. Dann bestätigst du den Auftrag und zeigst, dass du die Prüfung beauftragen darfst. Wir prüfen von außen, ohne Angriffe und ohne Lasttests. Du bekommst einen Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.
Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Die Umsetzung kannst du nach dem Bericht gesondert anfragen.
Deine Website prüfen lassen
Der Website-Sicherheitscheck kostet einmalig 200 € zzgl. USt. Das Angebot gilt für Unternehmen. Wir prüfen nur mit deinem Auftrag. Mit der Anfrage beauftragst du noch nichts.
Häufige Fragen
Ist die OWASP Top 10 ein Gesetz oder ein Siegel?
Nein. Es ist ein Aufklärungsdokument von OWASP. Es nennt die kritischsten Risiken für Webanwendungen. Es gibt kein Zertifikat, das du dafür erwirbst.
Welche Fassung der OWASP Top 10 gilt aktuell?
Auf der OWASP-Seite ist die Fassung 2025 die aktuelle. Sie hat zehn Kategorien, von Broken Access Control bis Mishandling of Exceptional Conditions.
Prüft der Webriegel-Check die OWASP Top 10?
Nur zum Teil. Wir prüfen passiv von außen, etwa HTTPS, Header und sichtbare Versionen. Gezielte Angriffstests wie bei einem Penetrationstest gehören nicht dazu.
Weiterlesen
- IT-Sicherheitscheck für kleine Betriebe
IT-Sicherheitscheck für kleine Betriebe: Welche Bereiche dazugehören, was Webriegel von außen prüft und wie du die übrigen angehst. Mit Checkliste.
- Schwachstellenanalyse für Websites
Schwachstellenanalyse für Websites: Was sie ist, wie sich passiver Check, Schwachstellenscanner und Penetrationstest unterscheiden und was du selbst prüfst.
- Website-Sicherheitscheck oder Penetrationstest?
Penetrationstest: Kosten, Ablauf und Unterschied zum Website-Sicherheitscheck. Erfahre, wann der passive Check reicht und wann du aktive Tests brauchst.