Kostenloser E-Guide: Mit Webrisiken richtig umgehen

Unternehmen speichern in Datenbanken häufig wertvolle Daten, seien es Kundendaten oder sensible Informationen zu den Produkten oder auch Prozessen des Unternehmens. Und das macht diese Datenbanken zu durchaus attraktiven Zielen für weniger redliche Naturen. Angreifer versuchen per SQL Injection unerlaubten Zugang zu internen Daten zu erhalten. Das erfolgt manchmal ganz profan über ein Formularfelder auf der Webseite oder über spezielle URLs. Kein Wunder also, das SQL Injection häufig in Zusammenhang mit spektakulären Datendiebstählen genannt wird und bei den OWASP Top Ten der Webbedrohungen stets weit oben rangiert. Die gute Nachricht: Unternehmen haben vielfältige Möglichkeiten die Angriffe zu erschweren oder gar zu verhindern.

Zu den Klassikern der Bedrohungen für Webanwendungen gehört darüber hinaus das Cross-Site Scripting oder auch als XSS oder Webseiten-übergreifendes Scripting bezeichnet. Diese Art des Angriffs findet sich ebenfalls seit vielen Jahren in den OWASP Top Ten.

Beim Cross-Site Scripting nutzt der arglose Anwender eine augenscheinlich harmlose Webanwendung. Der Angreifer injiziert Schadcode im Browser des Anwenders und führt diesen aus. Diese Vorgehensweise kann beispielsweise dazu genutzt werden, eine andere Session zu übernehmen, um Token oder Cookies zu stehlen. Damit kann sich der Angreifer unter Umständen in die Lage versetzen sich als augenscheinlich legitimer Nutzer einer Applikation auszugeben.

Angesichts dessen, dass Unternehmen immer mehr webbasierte Lösungen einsetzen, ein hohes Risiko. Es existieren unterschiedliche Arten von XSS-Attacken und Vorgehensweisen, wie man diesen am Besten begegnet.