Durchschnittliche Webanwendung weist 20 Sicherheitslücken auf

Eine durchschnittliche Webanwendung weist20 Sicherheitslücken auf, die von Angreifern ausgenutzt werden könnten, um Daten zu stehlen, Konten zu kompromittieren oder sich unbefugten Zugriff auf Systeme zu verschaffen. Dabei sind die häufigsten Schwachstellen auf vermeidbare Fehlkonfigurationen und Nachlässigkeiten im Sicherheitsbereich zurückzuführen – so zumindest ein Report von Barracuda.

Für den Report analysierten Forscher mehrere Hundert Scans von Barracuda Application Security Insight über einen Zeitraum von fünf Monaten im Jahr 2026. Dabei identifizierten sie sieben zentrale Arten von Sicherheitslücken, auf die zusammen rund 90 Prozent aller entdeckten Schwachstellen entfallen. Dazu zählen:

• Informationspreisgabe (Information Disclosure): Diese Schwachstellenart macht 25 Prozent der entdeckten Sicherheitsmängel aus. Dabei gibt die Anwendung zu viele Informationen über ihre Systeme, Domains, versteckte Seiten, Routen oder Dienste preis. Angreifer können solche Daten nutzen, um die Umgebung des Ziels zu kartieren, Schwachstellen zu identifizieren, verborgene Endpunkte aufzuspüren, versteckte Admin-Bereiche zu finden und gezieltere Angriffe zu planen – und das alles, ohne entdeckt zu werden.
• Markenimitation und Spoofing: Diese Schwachstellen machen 23 Prozent der entdeckten Sicherheitsmängel aus. Sie erleichtern es Angreifern, eine vertrauenswürdige Marke, Website oder Domain zu imitieren und Nutzer dazu zu verleiten, Zugangsdaten oder sensible Informationen preiszugeben. Angreifer können kompromittierte Identitäten nutzen, um Webseiten zu klonen, Nutzer auf bösartige Seiten umzuleiten, Logins zu stehlen oder überzeugende Phishing-E-Mails im Namen der Marke zu versenden.
• Client-seitige Angriffe (Browser Exploitation): Hierbei handelt es sich um Schwachstellen in der Art und Weise, wie Webseiten Inhalte anzeigen oder ausführen. Angreifer können dadurch bösartige Skripte im Browser eines Nutzers ausführen. Client-seitige Schwachstellen machen 14 Prozent der entdeckten Sicherheitsmängel aus. Angreifer können dies beispielsweise ausnutzen, um Skripte einzuschleusen (Cross-Site Scripting, XSS) und so Sitzungscookies zu stehlen, sichtbare Inhalte zu verändern, Nutzer zum Klicken auf versteckte Schaltflächen zu verleiten oder irreführende Dateien hochzuladen.
• Datenoffenlegung (Data Exposure): Diese Schwachstellenart macht 10 Prozent der entdeckten Sicherheitsmängel aus. Dabei werden sensible Informationen unnötigerweise über die Anwendung offengelegt, beispielsweise über Webseiten, APIs, Logs, Cookies, Tracking-Skripte oder fehlerhaft konfigurierte Antworten. Angreifer können dies ausnutzen, um personenbezogene Daten, Tokens, private Inhalte, Geheimnisse oder vertrauliche Geschäftsinformationen – einschließlich E-Mails und Konfigurationseinstellungen – zu sammeln, Nutzer ohne deren Einwilligung zu verfolgen und Zugriffskontrollen sowie Richtlinien zur Datenaufbewahrung zu manipulieren.
• Folgende Schwachstellen vervollständigen die Liste: Schwache oder fehlende Verschlüsselung, die es Angreifern ermöglicht, Datenverkehr abzufangen oder zu manipulieren (6 Prozent der entdeckten Schwachstellen), veraltete Software oder unsichere Konfigurationen (ebenfalls 6 Prozent) sowie Schwachstellen in der Verwaltung von Nutzersitzungen und beim Schutz von Cookies und Zugangsdaten (5 Prozent).

Webanwendungen sind eine kritische Schnittstelle für Unternehmen – von Website-Storefronts bis hin zu interaktiven Oberflächen für Kunden, Partner und den operativen Betrieb. Sie abzusichern ist essenziell. Durchschnittlich 20 Schwachstellen pro Anwendung bedeuten, dass Angreifer zahlreiche Möglichkeiten haben, Schwächen auszuloten, zu testen und auszunutzen.

Auch wenn nicht jedes Problem für sich genommen kritisch ist, verketten Angreifer häufig mehrere Schwachstellen mit niedrigem und mittlerem Risiko, um sensible Informationen offenzulegen, Zugangsdaten zu stehlen oder sich unbefugten Zugriff zu verschaffen. Unternehmen benötigen daher einen proaktiven, mehrschichtigen Ansatz für die Anwendungssicherheit, der Risiken kontinuierlich identifiziert und behebt, bevor sie ausgenutzt werden können.

Um das Risiko für Webanwendungen zu reduzieren, sollten Unternehmen folgende Maßnahmen ergreifen:

• Regelmäßig auf Sicherheitslücken und Fehlkonfigurationen scannen,
• Anwendungen, Frameworks und Abhängigkeiten zeitnah patchen und aktualisieren,
• die Preisgabe von Informationen und die Offenlegung sensibler Daten minimieren,
• Verschlüsselung, Authentifizierung und Sicherheitskontrollen für Sessions stärken sowie
• Webanwendungen kontinuierlich auf verdächtige Aktivitäten und neu auftretende Bedrohungen überwachen.(rhh)

Jesus Cordero-Guzman ist Director im Bereich Solution Architects AppSec, NetSec & XDR International bei Barracuda.

Barracuda