01Top 10: gemeinsames Vokabular, kein Standard
Die OWASP Top 10 sind ein Awareness-Dokument: Sie benennen die aus Datenanalysen und Community-Umfragen abgeleiteten größten Risikokategorien für Webanwendungen. Die aktuelle Ausgabe 2025 – die achte insgesamt – stützt sich auf Daten zu über 2,8 Millionen getesteten Anwendungen und betrachtet 589 CWEs; neu sind die Kategorien „Software Supply Chain Failures“ (A03) und „Mishandling of Exceptional Conditions“ (A10), auf Platz 1 bleibt „Broken Access Control“, das nun auch SSRF umfasst. Für Entwickler-Teams eignen sich die Top 10 als Einstieg und gemeinsames Vokabular mit Management und Auditoren – als prüfbare Anforderungsliste oder Testkatalog sind sie nicht gedacht. Dafür verweist OWASP selbst auf ASVS und WSTG.
02ASVS 5.0: prüfbare Sicherheitsanforderungen
Der Application Security Verification Standard (ASVS) übersetzt „sichere Anwendung“ in konkrete, verifizierbare Anforderungen. Version 5.0.0 (veröffentlicht am 30. Mai 2025) umfasst 345 Anforderungen in 17 Kapiteln – von Autorisierung über Kryptografie bis OAuth/OIDC – und drei Stufen: Level 1 als Einstieg in die ASVS-Nutzung, Level 2 als umfassendes Standard-Sicherheitsniveau, Level 3 für Anwendungen mit hohem Schutzbedarf. Da die Anforderungen auch maschinenlesbar als CSV und JSON vorliegen, lassen sie sich direkt in Backlogs und Definition-of-Done-Kriterien übernehmen – und dienen als objektiver Maßstab in Ausschreibungen und Lieferantenverträgen.
03Cheat Sheets und Developer Guide: Wissen ins Team bringen
Die Cheat Sheet Series liefert kompakte, umsetzungsnahe Anleitungen zu einzelnen Themen – von Passwort-Speicherung über Injection-Prävention bis Secrets Management – in aktuell 120 laufend gepflegten Cheat Sheets (Stand: Juli 2026). Index-Ansichten verknüpfen die Sheets mit ASVS, Top 10 und Proactive Controls, sodass sich zu jeder Anforderung direkt die passende Umsetzungshilfe finden lässt – ideal für das Onboarding neuer Entwicklerinnen und Entwickler und als Referenz in Code-Reviews. Der OWASP Developer Guide, eines der ältesten OWASP-Projekte (erstmals 2002 veröffentlicht, aktuell Version 4.x), versteht sich bewusst als Wegweiser: Er dupliziert keine Inhalte, sondern führt als Einstiegs- und Übersichtswerk durch das OWASP-Ökosystem.
04WSTG: Testfälle für die Verifikation ableiten
Der Web Security Testing Guide (WSTG) ist die Referenzmethodik für das Sicherheitstesten von Webanwendungen. Die aktuelle stabile Version 4.2 (Dezember 2020) adressiert jedes Testszenario über eindeutige Kennungen im Format WSTG-<Kategorie>-<Nummer>; Version 5.0 entsteht derzeit öffentlich auf GitHub und ist als Arbeitsstand zu behandeln. Teams nutzen den WSTG, um Testpläne für Releases abzuleiten, interne Sicherheitstests zu strukturieren und den Scope externer Penetrationstests nachvollziehbar festzulegen – die stabilen Test-IDs schaffen dabei eine gemeinsame Sprache zwischen Entwicklung, Testern und Dienstleistern.
05Werkzeuge: Dependency-Check, Dependency-Track und ZAP
Auf der Werkzeugebene stellt das Ökosystem einsatzfertige Open-Source-Bausteine bereit. Dependency-Check (OWASP-Flagship-Projekt) prüft als Software-Composition-Analysis-Werkzeug Projektabhängigkeiten gegen öffentlich bekannte Schwachstellen aus der NVD und integriert sich per CLI, Maven, Gradle, Jenkins oder Azure DevOps in den Build. Dependency-Track (ebenfalls Flagship) hebt das auf Portfolio-Ebene: Die Plattform wertet CycloneDX-SBOMs kontinuierlich aus, unterstützt VEX und macht Schwachstellen-, Versions- und Lizenzrisiken über alle Anwendungen hinweg sichtbar – mit der neuen Top-10-Kategorie „Software Supply Chain Failures“ ein Baustein mit zusätzlichem Gewicht. Der DAST-Scanner ZAP ergänzt automatisierte dynamische Tests in der CI-Pipeline; er ist seit 2023 kein OWASP-Projekt mehr und wird seit 2024 als „ZAP by Checkmarx“ weitergeführt, bleibt aber quelloffen und kostenfrei.
06Reifegrad steuern mit SAMM – und alles verzahnen
Das Software Assurance Maturity Model (SAMM, Version 2; aktuelles Modell-Release v2.2.0 vom Juli 2024) misst nicht einzelne Anwendungen, sondern den Entwicklungsprozess: fünf Geschäftsfunktionen (Governance, Design, Implementation, Verification, Operations) mit 15 Sicherheitspraktiken und je drei Reifegradstufen – messbar, handlungsorientiert und technologie- wie prozessneutral. Ein SAMM-Assessment zeigt, wo die Organisation steht, und liefert eine priorisierte Roadmap. Daraus ergibt sich das Zusammenspiel im Alltag: Anforderungen kommen aus dem ASVS in den Backlog, Cheat Sheets und Developer Guide unterstützen Umsetzung und Onboarding, der WSTG strukturiert die Verifikation, Dependency-Track, Dependency-Check und ZAP automatisieren Prüfungen in der Pipeline – und SAMM macht den Fortschritt über alle Teams hinweg messbar und steuerbar.
