Seite 9 - Security/OWASP

Sobald ein Team weiß, dass die Aufarbeitung eines Sicherheitsvorfalls damit endet, eine schuldige Person zu benennen, ändert sich das Verhalten in der Aufarbeitung selbst: Details werden zurückgehalten, Zeitlinien geglättet und unbequeme Fragen vermieden. Ein blame-freies Postmortem verschiebt den Fokus konsequent von der Frage, wer einen Fehler gemacht hat, hin zu der Frage, welche Bedingungen diesen Fehler überhaupt erst möglich gemacht haben, und führt dadurch nachweislich zu ehrlicheren, vollständigeren Berichten.

Ein korrekt konfigurierter TLS Stack entscheidet darüber, ob Kundendaten, Zahlungsinformationen und Sessions in Magento Shops wirklich geschützt sind oder nur scheinbar. Dieser Artikel zeigt, wie der TLS Handshake funktioniert, warum veraltete Protokollversionen und schwache Cipher Suites ein reales Risiko darstellen, wie Zertifikatsketten korrekt validiert werden und wie Let's Encrypt, HSTS und gehärtete Serverkonfigurationen zusammenspielen.

Ein gestohlenes Admin-Passwort reicht heute für einen Totalschaden im Magento-Backend. Dieser Artikel zeigt, wie TOTP nach RFC 6238, gehashte Backup-Codes und phishing-resistentes WebAuthn/FIDO2 technisch korrekt implementiert werden und wie sich Magentos natives Two-Factor-Auth-Modul für alle Admin-Nutzer erzwingen lässt.

Image Signing beweist, dass ein Container Image tatsächlich aus der eigenen Pipeline stammt und seit dem Build nicht verändert wurde. Eine Software Bill of Materials listet jede einzelne Komponente im Image auf und macht Supply-Chain-Risiken sichtbar, bevor sie zum Sicherheitsvorfall werden. Cosign und Syft aus dem Sigstore-Ökosystem setzen beides ohne eigene PKI-Infrastruktur um.

Ein CIS Benchmark liefert die konkreteste verfügbare Checkliste, um einen Linux Server nachvollziehbar zu härten und Compliance-Anforderungen zu erfüllen. Wer die Kontrollen versteht, priorisiert und mit CIS-CAT sowie Ansible automatisiert, ersetzt manuelle Einzelprüfungen durch wiederholbare, auditierbare Prozesse.

Ungepatchte Server sind das häufigste Einfallstor für Angriffe, aber vollautomatische Updates ohne Kontrolle bergen ein eigenes Risiko. Dieser Artikel zeigt, wie unattended-upgrades Sicherheitspatches zuverlässig einspielt, Fehler per E-Mail meldet und Reboots in ein planbares Wartungsfenster verschiebt, statt den Betrieb unvorhersehbar zu unterbrechen.

Ein Passwort als Kommandozeilenargument übergeben, landet dauerhaft in der Bash History und ist für jeden sichtbar, der später dieselbe Shell nutzt. Dieser Artikel zeigt, wie Secrets in der Bash History, der Prozessliste und in Logs entstehen, wie HISTCONTROL und sichere Übergabewege das verhindern, und wie man bestehende History-Dateien nach vergessenen Zugangsdaten durchsucht.

Ein Threat-Modeling-Workshop ohne feste Struktur verläuft schnell im Sand, weil Teilnehmer entweder zu abstrakt bleiben oder sich in Detailfragen einzelner Komponenten verlieren, ohne systematisch alle relevanten Bedrohungskategorien abzudecken. Die STRIDE-Methodik gibt genau diese Struktur vor, indem sie sechs klar abgegrenzte Bedrohungskategorien liefert, die pro Systemkomponente durchgegangen werden, und so aus einer offenen Diskussion einen wiederholbaren, vollständigen Prozess macht.

SUID, SGID und das Sticky Bit steuern, mit welchen Rechten Programme laufen, wer Gruppenrechte erbt und wer Dateien in gemeinsam genutzten Verzeichnissen löschen darf. Richtig eingesetzt ermöglichen sie sichere Systemwerkzeuge wie passwd und stabile geteilte Projektordner ohne ständige manuelle Rechtevergabe. Falsch konfiguriert öffnen unentdeckte SUID-Binaries jedoch ein klassisches Einfallstor für Privilege Escalation, das jeder Administrator regelmäßig gezielt auditieren sollte.

Wer Claude Code oder ähnliche Assistenten nutzt, sendet Code-Kontext und Prompts an einen externen Anbieter. Dieser Artikel zeigt konkret, was dabei übertragen wird, wie man eine Datenschutz- und Trainings-Opt-out-Richtlinie vor der Einführung bewertet und wie sich Zugangsdaten und Kundendaten zuverlässig aus dem KI-Kontext ausschließen lassen.