Eine durchschnittliche Webanwendung weist 20 Sicherheitslücken auf, zeigt eine Analyse von Barracuda. Rund 90 Prozent der gefundenen Schwachstellen entfallen auf sieben Kategorien. Besonders häufig sind die Preisgabe von Informationen sowie Schwachstellen, die Markenimitation und Spoofing erleichtern.
Foto: Barracuda Networks
Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International bei Barracuda
Webanwendungen bilden Schnittstellen zu Kunden, Partnern und internen Systemen und können damit auch Angriffsflächen eröffnen. Wie umfangreich diese ausfallen können, hat Barracuda anhand mehrerer Hundert Sicherheitsscans untersucht. Das Ergebnis: Im Durchschnitt wurden 20 Schwachstellen pro Webanwendung festgestellt. Viele davon führt der Sicherheitsanbieter auf vermeidbare Fehlkonfigurationen und Nachlässigkeiten bei der Absicherung zurück.
Für den Report analysierten Forscher mehrere Hundert Scans von Barracuda Application Security Insight über einen Zeitraum von fünf Monaten im Jahr 2026. Dabei identifizierten sie sieben zentrale Arten von Sicherheitslücken, die zusammen rund 90 Prozent aller gefundenen Schwachstellen ausmachen.
An erster Stelle steht mit 25 Prozent die sogenannte Informationspreisgabe. Dabei geben Anwendungen zu viele Details über ihre Systeme, Domains, versteckte Seiten, Routen oder Dienste preis. Angreifer können diese Informationen verwenden, um eine Zielumgebung zu kartieren, mögliche Schwachstellen und verborgene Endpunkte aufzuspüren oder versteckte Administrationsbereiche zu finden. Die gewonnenen Informationen können anschließend zur Vorbereitung gezielter Angriffe dienen.
Mit 23 Prozent folgen Schwachstellen im Zusammenhang mit Markenimitation und Spoofing. Sie können Angreifern dabei helfen, eine vertrauenswürdige Marke, Website oder Domain nachzuahmen und Nutzer zur Preisgabe von Zugangsdaten oder anderen sensiblen Informationen zu bewegen. Kompromittierte Identitäten lassen sich laut Barracuda unter anderem dazu einsetzen, Webseiten zu klonen, Nutzer auf bösartige Seiten umzuleiten oder Phishing-E-Mails im Namen einer Marke zu verschicken.
Auf client-seitige Angriffe beziehungsweise Browser Exploitation entfallen 14 Prozent der entdeckten Sicherheitsmängel. Dabei liegen die Schwachstellen in der Art und Weise, wie Webseiten Inhalte darstellen oder ausführen. Dies kann Angreifern ermöglichen, bösartige Skripte im Browser eines Nutzers auszuführen.
Als Beispiel nennt Barracuda Cross-Site Scripting (XSS). Eingeschleuste Skripte können demnach dazu dienen, Sitzungscookies zu stehlen, sichtbare Inhalte zu verändern oder Nutzer zum Anklicken versteckter Schaltflächen zu bewegen. Auch das Hochladen irreführender Dateien kann auf diesem Weg ermöglicht werden.
Weitere 10 Prozent der festgestellten Schwachstellen betreffen die Offenlegung von Daten. Sensible Informationen können dabei unnötigerweise über Webseiten, APIs, Logs, Cookies, Tracking-Skripte oder falsch konfigurierte Antworten zugänglich werden. Dazu können personenbezogene Daten, Tokens, private Inhalte, vertrauliche Geschäftsinformationen, E-Mails oder Konfigurationseinstellungen gehören.
Die übrigen drei der sieben häufigsten Kategorien liegen jeweils im einstelligen Prozentbereich. Schwache oder fehlende Verschlüsselung macht sechs Prozent der gefundenen Schwachstellen aus. Ebenfalls sechs Prozent entfallen auf veraltete Software oder unsichere Konfigurationen. Weitere fünf Prozent betreffen die Verwaltung von Nutzersitzungen sowie den Schutz von Cookies und Zugangsdaten.
Die reine Bewertung einzelner Sicherheitslücken greift nach Einschätzung von Barracuda zu kurz. Angreifer könnten mehrere Probleme miteinander kombinieren und dadurch die Auswirkungen erhöhen.
„Webanwendungen sind eine kritische Schnittstelle für Unternehmen – von Website-Storefronts bis hin zu interaktiven Oberflächen für Kunden, Partner und den operativen Betrieb. Sie abzusichern ist essenziell",
sagt Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International bei Barracuda.
„Durchschnittlich 20 Schwachstellen pro Anwendung bedeuten, dass Angreifer zahlreiche Möglichkeiten haben, Schwächen auszuloten, zu testen und auszunutzen. Auch wenn nicht jedes Problem für sich genommen kritisch ist, verketten Angreifer häufig mehrere Schwachstellen mit niedrigem und mittlerem Risiko, um sensible Informationen offenzulegen, Zugangsdaten zu stehlen oder sich unbefugten Zugriff zu verschaffen. Unternehmen benötigen daher einen proaktiven, mehrschichtigen Ansatz für die Anwendungssicherheit, der Risiken kontinuierlich identifiziert und behebt, bevor sie ausgenutzt werden können."
Als Gegenmaßnahmen empfiehlt Barracuda, Webanwendungen regelmäßig auf Sicherheitslücken und Fehlkonfigurationen zu überprüfen sowie Anwendungen, Frameworks und Abhängigkeiten zeitnah zu patchen und zu aktualisieren. Unternehmen sollten außerdem die Preisgabe von Informationen und sensiblen Daten reduzieren sowie Verschlüsselung, Authentifizierung und Sicherheitskontrollen für Sessions stärken. Hinzu kommt die kontinuierliche Überwachung von Webanwendungen auf verdächtige Aktivitäten und neu auftretende Bedrohungen.
