Tag: Security

1. Penetration-Testing-Grundlagen für Entwickler-Teams

   31.03.2025

   Ein Penetration Test deckt reale Angriffspfade auf, die automatisierte Scanner übersehen, erfordert aber vorab eine schriftliche Freigabe, einen klaren Scope und ein Team, das die Ergebnisse tatsächlich umsetzt. Dieser Artikel erklärt Testansätze, Autorisierungspflichten, die Vorbereitung von Entwickler-Teams und den Unterschied zwischen internem Security Review und externem Pentest anhand konkreter Praxisbeispiele.

   Read more

2. Bug-Bounty-Programme verstehen und sinnvoll einsetzen

   16.02.2025

   Ein Bug-Bounty-Programm belohnt externe Sicherheitsforscher für das verantwortungsvolle Melden von Schwachstellen, funktioniert aber nur mit klar definiertem Scope, gestaffelten Prämien und einem reifen internen Prozess für Schwachstellenmanagement. Dieser Artikel erklärt, wie private und öffentliche Programme sich unterscheiden, wann ein Unternehmen tatsächlich bereit ist, welche Plattformen helfen, und wie die erste eingehende Meldung professionell bearbeitet wird.

   Read more

3. GraphQL-spezifische Angriffe: Introspection, Query-Depth, Batching

   12.02.2025

   GraphQL-Endpunkte in Magento-Shops öffnen Angreifern neue Wege: aktivierte Introspection legt das komplette Schema offen, tief verschachtelte Queries überlasten Datenbank und Server, und Alias-basiertes Batching ermöglicht Brute-Force-Angriffe auf Login-Formulare. Dieser Artikel zeigt, wie ihr Introspection in Produktion deaktiviert, Query-Tiefe und Komplexität begrenzt, Batching kontrolliert und Feld-Level-Autorisierung sauber implementiert, damit euer Magento-GraphQL-Endpunkt robust gegen gezielte Angriffe bleibt.

   Read more

4. CORS richtig konfigurieren ohne Sicherheitslücken

   12.02.2025

   Ein zu freizügig gesetzter Access-Control-Allow-Origin-Header hebt genau den Browserschutz auf, den die Same-Origin Policy eigentlich garantiert. Dieser Artikel erklärt Preflight-Requests, die gefährliche Kombination aus Wildcard und Credentials, Origin-Reflection als häufigsten Fehler und wie eine saubere, server-seitige Allowlist für Magento-APIs hinter CDN und Varnish zuverlässig funktioniert.

   Read more

5. Cookie-Consent technisch sauber umsetzen

   12.02.2025

   Ein Cookie-Banner, der Tracking-Skripte weiterlaufen lässt, obwohl der Nutzer noch nicht eingewilligt hat, erfüllt weder ePrivacy noch DSGVO noch TTDSG. Dieser Artikel zeigt, wie Opt-in-Consent granular pro Zweck funktioniert, wie Skripte technisch bis zur Einwilligung blockiert werden, wie Google Consent Mode v2 und CMP-Plattformen korrekt eingebunden werden und wie man die eigene Implementierung im Network-Tab tatsächlich überprüft.

   Read more

6. API-Rate-Limiting gegen Missbrauch und Overload

   09.02.2025

   Unlimitierte APIs sind ein offenes Tor für Missbrauch, Scraping und versehentliche Overload-Situationen durch fehlerhafte Clients. Dieser Artikel zeigt, wie Fixed Window, Sliding Window und Token Bucket Algorithmen funktionieren, wie Rate Limits pro IP-Adresse oder API-Key sinnvoll konfiguriert werden und wie sich Gateway-Layer und Anwendungslogik in Magento-Umgebungen mit Redis kombinieren lassen, um Systeme stabil und fair zu halten.

   Read more

7. Supply-Chain-Security: Der Angriff über Abhängigkeiten

   06.02.2025

   Jede Composer- und npm-Abhängigkeit ist ein stillschweigender Vertrauensvertrag mit fremdem Code. Typosquatting-Pakete, gekaperte Maintainer-Accounts und schadhafte Install-Skripte schleusen Angriffe direkt in Build-Pipelines ein. Dieser Artikel zeigt reale Angriffsmuster und konkrete Gegenmaßnahmen für PHP- und Magento-Projekte.

   Read more

8. Input-Validation-Strategien: Whitelist statt Blacklist

   02.02.2025

   Wer Benutzereingaben nur gegen bekannte Angriffsmuster prüft, übersieht zwangsläufig die nächste Variante. Dieser Artikel zeigt, warum Allowlist-Validierung jede Blacklist schlägt, wie PHPs filter_var Funktion richtig eingesetzt wird, welche Fallstricke Magentos Formularvalidierung bereithält und warum Validierung und Sanitization strikt getrennte Aufgaben mit unterschiedlichen Zielen sind.

   Read more

9. Magento Security Scan Tool richtig nutzen und interpretieren

   14.01.2025

   Das kostenlose Magento Security Scan Tool prüft öffentlich erreichbare Shops automatisiert auf bekannte Schwachstellen, riskante Dateiberechtigungen und versehentlich freigegebene sensible Dateien wie .git oder .env Dateien. Dieser Artikel zeigt, wie man einen Shop korrekt registriert, wiederkehrende Scans einrichtet, Befunde richtig priorisiert und versteht, warum das Tool einen echten Penetrationstest niemals ersetzt.

   Read more

10. Security-Logging und Monitoring richtig aufsetzen

    07.01.2025

    Wer Angriffe erst nach Wochen bemerkt, hat den entscheidenden Vorteil bereits verloren. Dieser Artikel zeigt, welche sicherheitsrelevanten Ereignisse wirklich protokolliert werden müssen, wie sensible Daten wie Passwörter und Tokens dabei geschützt bleiben, wie zentrale Log-Aggregation Anomalien sichtbar macht und wie Alarmschwellen gesetzt werden, ohne das Team mit ständigen Fehlalarmen zu ermüden.

    Read more