Web-Sicherheits-Playbook

OWASP Top 10 zu Richtlinien zugeordnet

Ordnen Sie jeden Top-10-Punkt einer konkreten Richtlinie und messbaren Kontrollen zu (SLA für Behebung, CI-Pipelines, Scanner).

Design & Kontrollen

• Verwenden Sie starke Passwort-Hashes (Argon2id bevorzugt; bcrypt oder scrypt akzeptabel). Verwenden Sie pro Benutzer Salt und memory-hard Parameter, abgestimmt auf Latenz & Kosten.
• Bevorzugen Sie kurzlebige Access-Tokens + Refresh mit Rotation. Nutzen Sie das Muster der Refresh-Token-Rotation zur Erkennung von Diebstahl.
• Implementieren Sie MFA (TOTP + Push + FIDO2) für alle privilegierten Operationen und Admins.
• Durchsetzen von Account-Lockout/Backoff & Benachrichtigung bei verdächtigen Zurücksetzungen.

Code & Konfiguration

// Principle: check privileges at every entry point
async function authorize(user, resource, action){
  // minimal example: ABAC + explicit deny
  if(!user || user.disabled) throw new Error('unauthenticated');
  const policy = await getPolicyFor(resource);
  if(policy.deny.includes(user.role)) throw new Error('forbidden');
  if(!policy.allowedActions.includes(action)) throw new Error('forbidden');
  // log decision for auditing
  audit('authz', {user:user.id, resource, action});
  return true;
}

Checkliste

Eingabevalidierung & XSS

XSS-Prävention

1. Serverseitige Ausgabe-Kodierung für HTML-, JS-, URL- und CSS-Kontexte verwenden. Verwenden Sie Templates mit Auto-Encoding.
2. Implementieren Sie CSP mit strengen Direktiven und Nonces, wo möglich. Vermeiden Sie Inline-Skripte/-Styles.
3. Sanitizen Sie untrusted HTML nur mit einer sicheren Bibliothek und Allowlist.

Beispiel CSP-Header

Content-Security-Policy:
  default-src 'none';
  script-src 'self' 'nonce-';
  style-src 'self' 'nonce-';
  img-src 'self' data:;
  connect-src 'self' https://api.example.com;
  frame-ancestors 'none';
  base-uri 'self';
  block-all-mixed-content;

Checkliste

Sitzungen & Cookies

Cookie-Attribute

Set-Cookie: session=eyJ...; HttpOnly; Secure; SameSite=Strict; Path=/; Max-Age=3600

HttpOnly verhindert JS-Zugriff; Secure verlangt TLS; SameSite mindert CSRF (Lax/Strict je nach UX).

Best Practices für Sessions

• Kurzlebige Session-TTL für sensitive Apps. Verwenden Sie Refresh-Tokens für längere UX mit rotierender Refresh-Token-Strategie.
• Speichern Sie Session-State serverseitig oder verwenden Sie signierte/verschlüsselte Tokens mit Audience & Expiry.
• Invalidieren Sie Sessions bei Passwortänderung oder Logout; stellen Sie Admin-APIs zur Session-Revokation bereit.

Checkliste

Transport Layer & TLS

TLS-Konfigurations-Essentials

• TLS 1.3 bevorzugen wo möglich. Falls TLS 1.2 unterstützt werden muss, deaktivieren Sie schwache Chiffren; aktivieren Sie ECDHE für Forward Secrecy.
• HSTS-Header mit langem max-age und preload wenn bereit: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
• OCSP-Stapling aktivieren; Zertifikatabläufe überwachen und Automatisierung für Erneuerung (ACME) einrichten.

Beispiel Nginx-Snippet

# nginx TLS 1.3 strong config
ssl_protocols TLSv1.3 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_session_tickets off;
ssl_stapling on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Checkliste

Sicherheits-Header & CSP (vertieft)

Essenzielle Header

Referrer-Policy: no-referrer-when-downgrade
Permissions-Policy: camera=(), microphone=(), geolocation=()
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Expect-CT: max-age=86400, enforce

CSP schrittweise einführen

Checkliste

Speicherung & Datenschutz

Key-Management

• Nutzen Sie verwaltetes KMS mit starken IAM-Richtlinien und Least Privilege. Rotieren Sie Schlüssel quartalsweise oder gemäß Richtlinie.
• Speichern Sie niemals rohe Zugangsdaten oder Geheimnisse im Code oder Klartext. Verwenden Sie Secret-Manager & ephemere Credentials (IAM-Rollen).

Datenminimierung & Aufbewahrung

Checkliste

Abhängigkeiten & Lieferketten-Sicherheit

Praktische Schritte

• Automatisierte SBOM-Erzeugung und Dependency-Scanning (Snyk, OSS Index, etc.). Blockieren Sie kritische Vulnerabilities in CI/CD-Gates.
• Pinnen Sie Abhängigkeiten und bevorzugen Sie Lockfiles. Richten Sie Alerts für transitive Abhängigkeitsprobleme ein.
• Signieren Sie Artefakte (Container-Images, Pakete) und überprüfen Sie Signaturen in Produktions-Policies.

Checkliste

CI/CD & Testing

Pipeline-Kontrollen

• Scheitern Sie Builds bei hochkritischen Findings. Bieten Sie Auto-PR-Remediations für niedrige/mittlere Severity, wo sicher.
• Isolieren Sie Build-Umgebungen und rotieren Sie Servicetokens zwischen Stages. Verwenden Sie ephemere Runner, um Exponierung zu reduzieren.
• Automatisieren Sie Infrastruktur-Scanning (IaC-Checks) und erzwingen Sie sichere Baseline-Images.

Checkliste

Logging, Monitoring & Incident Response

Monitoring-Essentials

• Loggen Sie Auth-Entscheidungen, kritische Fehler und Policy-Verstöße. Telemetrie muss Request-IDs und Benutzerkontext für Traceability enthalten.
• Bauen Sie Alerts auf anomalische Muster (Credential Stuffing, plötzlicher Traffic zu Admin-Endpunkten, Anstiege bei 401/403).
• Führen Sie Tabletop-Übungen durch und automatisieren Sie IR-Schritte wo möglich: Container isolieren, Schlüssel rotieren, Sessions widerrufen.

Checkliste

Master-Checkliste (exportierbar)

Kurzes Quiz — Testen Sie Ihr Basiswissen

Wählen Sie die beste Antwort und senden Sie ab. Sofortiges Feedback.