Seite 2 - Security/OWASP

DNSSEC schützt DNS-Antworten mit kryptographischen Signaturen gegen Spoofing und Cache-Poisoning, während CAA-Records festlegen, welche Zertifizierungsstellen für die eigene Domain überhaupt Zertifikate ausstellen dürfen. Wir zeigen die praktische Einrichtung beider Maßnahmen und wo ihre jeweiligen Grenzen liegen.

Wer Authentifizierung in jedem GraphQL-Subgraph einzeln implementiert, baut dieselbe JWT-Prüfung zehnmal, mit zehn potenziellen Fehlerquellen. Ein API-Gateway übernimmt Token-Validierung, Session-Handling und Rate-Limiting an einer einzigen Stelle und reicht nur einen geprüften Auth-Context an die dahinterliegenden Services weiter.

Die DSGVO verlangt, dass eine meldepflichtige Datenschutzverletzung binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet wird. Diese Frist klingt in der Theorie klar, wird in der Praxis aber schnell zum Problem, wenn ein Unternehmen erst am Wochenende ein IT-Team zusammentrommeln muss, um überhaupt herauszufinden, welche Daten in welchem Umfang betroffen sind. Wer den Meldeprozess vorher definiert und die technischen Voraussetzungen für eine schnelle Umfangsbestimmung schafft, verwandelt eine Krisensituation in einen abarbeitbaren Ablaufplan.

Eine belastbare PCI-DSS Härtung setzt konkrete Linux Konfiguration voraus, nicht nur Prozessdokumentation. Wer versteht, welche Anforderungen des Standards direkt am Server ansetzen, kann Firewall-Segmentierung, Zugriffskontrolle, Logging und Datei-Integrität so umsetzen, dass sie einem Qualified Security Assessor standhalten.

Ein zentrales Security-Team, das jeden Pull Request und jede Architekturentscheidung selbst prüfen soll, stößt bei wachsender Entwicklerzahl unweigerlich an eine harte Skalierungsgrenze, weil die Anzahl der Sicherheitsexperten typischerweise deutlich langsamer wächst als die Anzahl der Entwickler und der von ihnen produzierte Code. Ein Security-Champions-Programm löst dieses Skalierungsproblem, indem es in jedem einzelnen Entwicklungsteam eine Person mit vertieftem Sicherheitsinteresse als lokale erste Anlaufstelle etabliert, die eng mit dem zentralen Security-Team zusammenarbeitet, ohne selbst Vollzeit-Sicherheitsexpertin zu sein.

Ein offener GraphQL-Endpunkt erlaubt jedem Client, beliebige Queries gegen das Schema zu formulieren, auch solche, die nie für den produktiven Einsatz gedacht waren. Query-Whitelisting kehrt dieses Prinzip um: Nur vorab bekannte, geprüfte Queries werden ausgeführt, alles andere wird abgelehnt, bevor es den Resolver erreicht.

Die Reporting API gibt Browsern einen standardisierten Weg, Probleme wie CSP-Verstöße, veraltete API-Nutzung oder sogar Tab-Abstürze automatisch an einen zentralen Endpunkt zu melden. Anders als klassisches Error-Tracking läuft das größtenteils ohne zusätzliches JavaScript und erfasst auch Fälle, die eigener Code niemals sehen würde.

Compliance Automatisierung mit OpenSCAP verwandelt manuelle, fehleranfällige Checklisten in wiederholbare Scans gegen anerkannte SCAP-Profile. Wer den SCAP Security Guide richtig einsetzt, automatische Remediation-Skripte nutzt und den Prozess über Ansible und oscapd fortlaufend betreibt, macht Compliance zu einem beobachtbaren Betriebszustand statt zur einmaligen Vorbereitung auf ein Audit.

Ein einmal committetes Secret bleibt in der Git-Historie erreichbar, auch nach dem Löschen der Datei. Dieser Artikel zeigt, warum das so ist, wie Pre-Commit-Hooks und CI-Scanner Leaks von vornherein verhindern, und welche Reihenfolge bei einem echten Vorfall zählt: zuerst die Zugangsdaten rotieren, dann die Historie bereinigen.

Eine Content Security Policy mit der Direktive unsafe-inline erlaubt jedes Inline-Skript auf der Seite auszuführen, egal ob es vom eigenen Team stammt oder von einem Angreifer per Cross-Site-Scripting eingeschleust wurde. Das ist keine Randnotiz, sondern hebelt den zentralen Schutzzweck einer CSP fast vollständig aus. CSP Level 3 löst dieses Dilemma mit einem pro Request neu generierten Nonce-Wert, der legitime Inline-Skripte gezielt freischaltet, während jedes eingeschleuste, nicht autorisierte Skript weiterhin blockiert bleibt.