Seite 5 - Security/OWASP

Firewalls, Scanner und SIEM-Systeme allein verhindern keine Sicherheitsvorfälle, wenn Mitarbeitende Phishing-Mails anklicken oder Zugangsdaten leichtfertig weitergeben, denn der Mensch bleibt der am häufigsten ausgenutzte Angriffsvektor. Dieser Artikel zeigt, wie Teams eine echte Security-Kultur aufbauen: durch praxisnahes Onboarding, kurze wiederkehrende Trainings, faire Phishing-Simulationen und eine Meldekultur ohne Schuldzuweisungen, die Vorfälle früh sichtbar macht, statt sie zu verstecken.

Wer erst im laufenden Sicherheitsvorfall über Zuständigkeiten, Beweissicherung und Meldepflichten nachdenkt, verliert wertvolle Stunden und riskiert rechtliche Konsequenzen. Dieser Artikel zeigt den kompletten Incident-Response-Lebenszyklus von der Erkennung über Eindämmung und Bereinigung bis zur Wiederherstellung, erklärt die DSGVO-Meldefristen und liefert ein leichtgewichtiges Plan-Template, das kleine Entwicklerteams sofort anwenden können.

Cross-Site Scripting zählt seit Jahren zu den häufigsten Schwachstellen in Webanwendungen und erlaubt Angreifern, eigenen JavaScript-Code im Browser fremder Nutzer auszuführen. Dieser Artikel erklärt die drei XSS-Typen reflected, stored und DOM-based, zeigt wie unescaped Ausgaben zu ausführbarem Code werden, und liefert konkrete Schutzmaßnahmen über kontextabhängiges Encoding, Content-Security-Policy und die Escaping-Helfer von Magento und Hyva.

Server, die SSH ausschließlich mit Passwort-Login und offenem Root-Zugang betreiben, sind ein bevorzugtes Ziel automatisierter Brute-Force-Angriffe aus dem gesamten Internet. Dieser Artikel zeigt praxisnah, wie Key-basierte Authentifizierung, eine konsequent gehärtete sshd_config, saubere Client-Konfiguration über host-spezifische Einträge und fail2ban als ergänzende Schutzschicht SSH-Zugänge auf produktiven Linux-Servern zuverlässig und dauerhaft absichern, ganz ohne exotische Zusatztools.

Broken Access Control steht seit 2021 auf Platz 1 der OWASP Top 10 und betrifft die meisten getesteten Webanwendungen. Dieser Artikel erklärt IDOR, fehlende Function-Level Access Control und Privilege Escalation durch Parameter Tampering an konkreten Beispielen und zeigt, wie sich Zugriffskontrolle in Magento über ACL-Patterns und das Principle of Least Privilege sauber umsetzen lässt.

Eine falsch konfigurierte oder komplett fehlende Content Security Policy öffnet Cross Site Scripting Angriffen Tür und Tor, selbst wenn der restliche Code sauber ist. Dieser Artikel zeigt Schritt für Schritt, wie man Direktiven wie script src und frame ancestors korrekt aufbaut, Report Only Modus für einen sicheren Rollout nutzt und die Policy speziell für Magento und Hyvä Storefronts absichert.

Eine unsicher implementierte Session ist der direkteste Weg zur Kontoübernahme, egal wie stark das Login selbst geschützt ist. Dieser Artikel zeigt, wie Session-ID-Regeneration, Cookie-Flags, Timeout-Strategien und sichere Session-Speicherung zusammenspielen und wie Magento Frontend- und Admin-Sessions strukturell voneinander trennt.

Standardlogs wie syslog oder journald zeigen nur, was Anwendungen selbst protokollieren, nicht aber wer /etc/passwd verändert oder wie ein Prozess seine Rechte erweitert hat. auditd hakt sich direkt in das Linux Kernel Audit Subsystem ein, protokolliert Syscalls und Dateizugriffe lückenlos und macht Änderungen mit ausearch und aureport forensisch nachvollziehbar, inklusive Regeln für sensible Konfigurationsdateien und Rechteausweitung.

SSH ist das wichtigste Einfallstor für Serverzugriff und gleichzeitig eines der am häufigsten automatisiert angegriffenen Protokolle im Internet. Dieser Artikel zeigt, wie schlüsselbasierte Authentifizierung mit ed25519, gesperrter Root-Login, fail2ban und eine gehärtete sshd_config Brute-Force-Angriffe zuverlässig abwehren, ergänzt um Bastion-Host-Muster für sicheren Zugriff auf Production-Server.

KI-Assistenten wie Claude beschleunigen die Entwicklung, übernehmen aber auch unsichere Muster aus Trainingsdaten, etwa fehlende Input-Validierung, veraltete Krypto-Funktionen oder permissive Standardrechte. Mit gezieltem Security-Prompting und einem Review-Prozess, der KI-Code wie jeden menschlichen Beitrag behandelt, lassen sich diese Risiken systematisch reduzieren.