Das Wichtigste
- Fehler in der Zugriffskontrolle sind das häufigste und folgenreichste Problem.
- Secrets, Konfiguration und Abhängigkeiten brauchen so viel Sorgfalt wie Code.
- Sicherheitsereignisse protokollieren, damit Vorfälle untersucht werden können.
- Sicherheit vor dem Launch und nach größeren Änderungen prüfen.
Die meisten Sicherheitsvorfälle in Unternehmenssoftware entstehen durch gewöhnliche Lücken, nicht durch exotische Angriffe. Eine praktische Checkliste für Teams, die Web- und Mobile-Systeme bauen und betreiben.
Zuerst die Zugriffskontrolle
Fehlerhafte Zugriffskontrolle – Nutzer erreichen Daten oder Aktionen, die ihnen nicht zustehen – ist die häufigste schwerwiegende Schwachstelle in Geschäftsanwendungen. Prüfen Sie Berechtigungen bei jeder Anfrage auf dem Server, grenzen Sie Daten nach Organisation und Rolle ab und testen Sie die Negativfälle: was ein Nutzer nicht tun können darf.
Authentifizierung und Sitzungen
Wo möglich, binden Sie Single Sign-on ein, damit Konten zentral verwaltet und beim Ausscheiden entfernt werden.
- Mehrfaktor-Authentifizierung anbieten und für Administratoren verlangen.
- Passwörter mit einem modernen Hash-Verfahren speichern.
- Sitzungen ablaufen lassen und Tokens bei Abmeldung und Passwortänderung widerrufen.
- Login- und Zurücksetzen-Endpunkte mit Ratenbegrenzung schützen.
Eingabeverarbeitung und Datenschutz
Prüfen Sie Eingaben an der Grenze, nutzen Sie parametrisierte Abfragen und kodieren Sie Ausgaben, um Injection und Cross-Site-Scripting zu verhindern. Verschlüsseln Sie Daten bei der Übertragung und im Ruhezustand und erheben Sie nur, was das Geschäft wirklich braucht – Daten, die Sie nicht halten, können nicht abfließen.
Konfiguration, Secrets und Abhängigkeiten
Viele Vorfälle beginnen mit einem vergessenen Test-Endpunkt, einem öffentlichen Storage-Bucket oder einer veralteten Bibliothek statt mit einem Fehler im Hauptcode.
- Secrets in einem verwalteten Secret-Speicher halten, nie im Code.
- Sichere HTTP-Header setzen und ungenutzte Funktionen abschalten.
- Abhängigkeiten automatisch scannen und zügig patchen.
- Cloud-Berechtigungen auf das Minimum beschränken, das jeder Service braucht.
Logging, Monitoring und Prüfung
Protokollieren Sie sicherheitsrelevante Ereignisse – Anmeldungen, Rechteänderungen, Exporte, administrative Aktionen – und alarmieren Sie bei ungewöhnlichen Mustern. Prüfen Sie die Sicherheit vor jedem größeren Launch und nach wesentlichen Architekturänderungen, mit den OWASP Top 10 als Grundlage.
Hat es Ihnen gefallen? Den nächsten Beitrag per E-Mail erhalten.