Sicherheit von Webanwendungen: 10 Best Practices für 2024

Die Sicherheit von Webanwendungen ist für jedes Unternehmen mit Onlinepräsenz zur Kernfrage geworden. Cyberangriffe nehmen zu und werden raffinierter, auf dem Spiel stehen sensible Daten und der Ruf der Organisation. Dieser Artikel zeigt dir die Best Practices, mit denen du deine Webanwendungen wirksam schützt, gegen heutige wie künftige Bedrohungen.

Die wichtigsten Bedrohungen verstehen

Die häufigsten Angriffe

Bevor es an die Lösungen geht, solltest du die wichtigsten Angriffsarten kennen, die Webanwendungen bedrohen:

1. SQL-Injection: Dabei wird Schadcode in SQL-Abfragen eingeschleust, um die Datenbank zu manipulieren.
2. Cross-Site Scripting (XSS): Angreifer schleusen Schadskripte in Seiten ein, die andere Nutzer aufrufen.
3. Brute-Force-Angriffe: Angreifer raten Zugangsdaten, indem sie sehr viele Kombinationen durchprobieren.

Wie sich die Bedrohungen 2024 entwickeln

Cyberkriminelle passen ihre Techniken laufend an. 2024 nehmen gezielte Angriffe spürbar zu, und künstliche Intelligenz kommt immer häufiger zum Einsatz, um Einbruchsversuche zu automatisieren und zu optimieren.

Die Grundlagen sicherer Webanwendungen

Eine belastbare Authentifizierung umsetzen

Eine solide Authentifizierung ist die erste Verteidigungslinie gegen unbefugte Zugriffe.

• Passwörter sicher hashen: Nutze moderne Hash-Algorithmen wie bcrypt oder Argon2, um Passwörter zu speichern.

Beispiel in PHP mit password_hash() und password_verify():

// Passwort bei der Registrierung hashen
$password = $_POST['password'];
$hashedPassword = password_hash($password, PASSWORD_ARGON2ID);

// Speichere $hashedPassword in der Datenbank

// Passwort beim Login prüfen
$storedHash = // Hier den gespeicherten Hash aus der Datenbank holen
if (password_verify($_POST['password'], $storedHash)) {
    // Passwort korrekt
} else {
    // Passwort falsch
}

• Mehr-Faktor-Authentifizierung (2FA/MFA): Verlange mehrere Identitätsnachweise und ziehe damit eine zusätzliche Sicherheitsebene ein.

Sessions sicher verwalten

Richte Mechanismen ein, die die Sessions deiner Nutzer schützen:

• Erzeuge zufällige, komplexe Session-IDs.
• Lass Sessions nach einer Zeit ohne Aktivität ablaufen.
• Setze sichere Cookies mit den Attributen HttpOnly und Secure

// Sichere Session-Optionen konfigurieren
ini_set('session.cookie_httponly', 1);
ini_set('session.use_only_cookies', 1);
ini_set('session.cookie_secure', 1);

// Bei jeder Anmeldung eine neue Session-ID erzeugen
session_regenerate_id(true);

// Lebensdauer der Session festlegen
ini_set('session.gc_maxlifetime', 3600); // 1 Stunde

• Mehr-Faktor-Authentifizierung (2FA/MFA): Verlange mehrere Identitätsnachweise und ziehe damit eine zusätzliche Sicherheitsebene ein.

Eingaben validieren und bereinigen

Jede Nutzereingabe gilt grundsätzlich als potenziell gefährlich:

• Validiere alle Eingaben konsequent auf dem Server.
• Filtere erlaubte Zeichen über Whitelists.
• Escape die Daten sauber, bevor sie in SQL-Abfragen oder HTML landen.

// Beispiel: eine E-Mail-Adresse validieren und bereinigen
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // Die E-Mail-Adresse ist ungültig
}

// Beispiel: Schutz vor SQL-Injection mit Prepared Statements
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute(['username' => $username]);
$user = $stmt->fetch();

Sensible Daten schützen

Daten bei der Übertragung und im Ruhezustand verschlüsseln

Verschlüsselung ist unverzichtbar, um sensible Informationen zu schützen:

// Verschlüsselung
$plaintext = "Données sensibles à chiffrer";
$cipher = "aes-256-cbc";
$key = openssl_random_pseudo_bytes(32);
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length($cipher));

$encrypted = openssl_encrypt($plaintext, $cipher, $key, 0, $iv);

// Entschlüsselung
$decrypted = openssl_decrypt($encrypted, $cipher, $key, 0, $iv);

HTTPS/SSL einrichten

HTTPS ist keine Option mehr, sondern Pflicht:

• Besorge dir ein gültiges SSL/TLS-Zertifikat von einer anerkannten Zertifizierungsstelle.
• Konfiguriere deinen Server so, dass er den gesamten HTTP-Verkehr automatisch auf HTTPS umleitet.

# Rediriger HTTP vers HTTPS
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

APIs sicher betreiben

APIs sind oft kritische Einfallstore:

• Setze für den Zugriff auf deine APIs eine starke Authentifizierung durch.
• Begrenze die Zahl der Anfragen, um Missbrauch vorzubeugen.
• Verwalte API-Sessions sicher über JWT (JSON Web Tokens).

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.

• • Führe mindestens einmal im Jahr oder nach jeder größeren Änderung Penetrationstests durch.

• • Stelle eine Web Application Firewall (WAF) davor, die viele gängige Angriffe abfängt.

• • Richte Alarme für auffällige Aktivitäten ein.

• • Bewahre die Logs lange genug auf, um forensische Analysen zu ermöglichen.

Schwachstellen und Updates verwalten

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.

• • Schule deine Entwickler in sicheren Programmiertechniken.

• • Setze auf Frameworks und Bibliotheken, die für ihre Sicherheit bekannt sind.

• • Führe regelmäßige Code-Reviews mit Fokus auf Sicherheit durch.

• • Halte ein aktuelles Inventar aller Abhängigkeiten vor.

• • Spüre Schwachstellen in Bibliotheken von Dritten mit automatisierten Werkzeugen auf.

• • Wende das Prinzip der gestaffelten Verteidigung an und sichere jede Schicht der Infrastruktur ab.

Tests und laufende Überwachung

• • Führe mindestens einmal im Jahr oder nach jeder größeren Änderung Penetrationstests durch.

• • Stelle eine Web Application Firewall (WAF) davor, die viele gängige Angriffe abfängt.

• • Richte Alarme für auffällige Aktivitäten ein.

• • Bewahre die Logs lange genug auf, um forensische Analysen zu ermöglichen.

Schwachstellen und Updates verwalten

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Funktion, die die Rolle des Nutzers liefert
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Verwendung
if (hasPermission($userId, 'write')) {
    // Schreibzugriff erlauben
} else {
    // Zugriff verweigern
}

Sicherheit von Code und Infrastruktur

• • Schule deine Entwickler in sicheren Programmiertechniken.

• • Setze auf Frameworks und Bibliotheken, die für ihre Sicherheit bekannt sind.

• • Führe regelmäßige Code-Reviews mit Fokus auf Sicherheit durch.

• • Halte ein aktuelles Inventar aller Abhängigkeiten vor.

• • Spüre Schwachstellen in Bibliotheken von Dritten mit automatisierten Werkzeugen auf.

• • Wende das Prinzip der gestaffelten Verteidigung an und sichere jede Schicht der Infrastruktur ab.

Tests und laufende Überwachung

• • Führe mindestens einmal im Jahr oder nach jeder größeren Änderung Penetrationstests durch.

• • Stelle eine Web Application Firewall (WAF) davor, die viele gängige Angriffe abfängt.

• • Richte Alarme für auffällige Aktivitäten ein.

• • Bewahre die Logs lange genug auf, um forensische Analysen zu ermöglichen.

Schwachstellen und Updates verwalten

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.

Zugriffskontrolle und Berechtigungen

Prinzip der geringsten Rechte

Gib jedem Nutzer und jedem Prozess nur die Rechte, die er für seine konkreten Aufgaben braucht.

Eine wirksame Richtlinie für die Zugriffskontrolle

Ein einfaches Beispiel für rollenbasierte Zugriffskontrolle:

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Funktion, die die Rolle des Nutzers liefert
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Verwendung
if (hasPermission($userId, 'write')) {
    // Schreibzugriff erlauben
} else {
    // Zugriff verweigern
}

Sicherheit von Code und Infrastruktur

• • Schule deine Entwickler in sicheren Programmiertechniken.

• • Setze auf Frameworks und Bibliotheken, die für ihre Sicherheit bekannt sind.

• • Führe regelmäßige Code-Reviews mit Fokus auf Sicherheit durch.

• • Halte ein aktuelles Inventar aller Abhängigkeiten vor.

• • Spüre Schwachstellen in Bibliotheken von Dritten mit automatisierten Werkzeugen auf.

• • Wende das Prinzip der gestaffelten Verteidigung an und sichere jede Schicht der Infrastruktur ab.

Tests und laufende Überwachung

• • Führe mindestens einmal im Jahr oder nach jeder größeren Änderung Penetrationstests durch.

• • Stelle eine Web Application Firewall (WAF) davor, die viele gängige Angriffe abfängt.

• • Richte Alarme für auffällige Aktivitäten ein.

• • Bewahre die Logs lange genug auf, um forensische Analysen zu ermöglichen.

Schwachstellen und Updates verwalten

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.

function generateToken($userId) {
    $payload = [
        'user_id' => $userId,
        'exp' => time() + 3600 // Läuft in 1 Stunde ab
    ];
    return jwt_encode($payload, 'votre_clé_secrète');
}

function verifyToken($token) {
    try {
        $payload = jwt_decode($token, 'votre_clé_secrète');
        if ($payload->exp < time()) {
            return false; // Token abgelaufen
        }
        return $payload->user_id;
    } catch (Exception $e) {
        return false; // Token ungültig
    }
}

// Einsatz in einer API-Route
$token = getBearerToken(); // Funktion, die den Token aus dem Header liest
$userId = verifyToken($token);
if ($userId === false) {
    http_response_code(401);
    echo json_encode(['error' => 'Unauthorized']);
    exit;
}
// Weiter mit der Verarbeitung der API-Anfrage

Zugriffskontrolle und Berechtigungen

Prinzip der geringsten Rechte

Gib jedem Nutzer und jedem Prozess nur die Rechte, die er für seine konkreten Aufgaben braucht.

Eine wirksame Richtlinie für die Zugriffskontrolle

Ein einfaches Beispiel für rollenbasierte Zugriffskontrolle:

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Funktion, die die Rolle des Nutzers liefert
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Verwendung
if (hasPermission($userId, 'write')) {
    // Schreibzugriff erlauben
} else {
    // Zugriff verweigern
}

Sicherheit von Code und Infrastruktur

• • Schule deine Entwickler in sicheren Programmiertechniken.

• • Setze auf Frameworks und Bibliotheken, die für ihre Sicherheit bekannt sind.

• • Führe regelmäßige Code-Reviews mit Fokus auf Sicherheit durch.

• • Halte ein aktuelles Inventar aller Abhängigkeiten vor.

• • Spüre Schwachstellen in Bibliotheken von Dritten mit automatisierten Werkzeugen auf.

• • Wende das Prinzip der gestaffelten Verteidigung an und sichere jede Schicht der Infrastruktur ab.

Tests und laufende Überwachung

• • Führe mindestens einmal im Jahr oder nach jeder größeren Änderung Penetrationstests durch.

• • Stelle eine Web Application Firewall (WAF) davor, die viele gängige Angriffe abfängt.

• • Richte Alarme für auffällige Aktivitäten ein.

• • Bewahre die Logs lange genug auf, um forensische Analysen zu ermöglichen.

Schwachstellen und Updates verwalten

• • Lege einen festen Ablauf für das Einspielen von Sicherheitspatches fest.

• • Abonniere die Sicherheitsmeldungen der Hersteller deiner Software.

Schulung und Sensibilisierung

• • Veranstalte regelmäßige Schulungen zu den aktuellen Absicherungstechniken.

• • Bring deinen Nutzern gute Sicherheitsgewohnheiten bei: starke Passwörter wählen, Phishing erkennen und so weiter.

Compliance und Sicherheitsstandards

• • Stelle sicher, dass deine Webanwendung die geltenden Vorgaben einhält (DSGVO, PCI DSS und andere).

• • Nutze die OWASP Top 10 als Referenz, um die kritischsten Schwachstellen zu finden und zu beheben.

Fazit

Webanwendungen abzusichern ist ein fortlaufender Prozess, der ständige Aufmerksamkeit verlangt. Mit diesen Best Practices schützt du deine Anwendungen deutlich besser vor heutigen und künftigen Cyberbedrohungen.