Acht Monate nach der Veröffentlichung ist die Umstellung auf die OWASP Top 10:2025 für viele deutsche AppSec-Teams noch immer Baustelle statt Abschluss. Die Liste wurde im November 2025 auf der OWASP Global AppSec Conference in Washington angekündigt und im Januar 2026 final verabschiedet. Sie löst die seit 2021 gültige Fassung ab, die vier Jahre lang als Referenz für Pentests, Compliance-Nachweise und Entwicklerschulungen diente. Wer heute noch mit der alten Nummerierung arbeitet, riskiert Lücken in Audits und falsche Priorisierung im Patch-Management.
Der Wechsel ist mehr als Kosmetik. Zwei komplett neue Kategorien sind dazugekommen, eine alte ist verschwunden, und die Reihenfolge der Risiken hat sich spürbar verschoben. Für Unternehmen in Deutschland, Österreich und der Schweiz kommt die Aktualisierung zu einem denkbar ungünstigen Zeitpunkt: Laut Check Point stiegen Cyberangriffe in der DACH-Region 2025 um 124 Prozent, wobei Deutschland laut demselben Bericht mehr als 80 Prozent der regionalen Vorfälle auf sich vereint (Check Point, DACH Threat Landscape). Dieser Artikel vergleicht beide Fassungen im Detail: was sich geändert hat, welche Kategorie wie oft in echten Anwendungen auftritt, was der Umstieg kostet und wie ein Migrationsplan für Teams aussieht, die noch auf 2021 testen.
Für Security-Verantwortliche in deutschen Unternehmen ist die Liste selten nur eine akademische Referenz. Sie taucht in Pentest-Reports auf, in Ausschreibungen für externe Audits, in ISO-27001-Nachweisen und zunehmend auch in Lieferantenverträgen, die eine OWASP-konforme Testabdeckung fordern. Wenn ein Auftraggeber inzwischen nach “OWASP Top 10:2025” fragt, ein interner Report aber noch die 2021er-Nummerierung trägt, entsteht im Audit-Gespräch schnell Erklärungsbedarf. Genau deshalb lohnt sich ein strukturierter Vergleich, bevor die nächste Zertifizierungsrunde ansteht.
OWASP Top 10 2025 vs. 2021: Die wichtigsten Fakten auf einen Blick
Die OWASP Top 10 ist die meistzitierte Referenzliste für Webanwendungssicherheit weltweit. Sie wird nicht jährlich, sondern in unregelmäßigen Abständen aktualisiert, basierend auf Datenspenden von Sicherheitsanbietern und Community-Umfragen. Die 2021er-Ausgabe war die siebte Version der Liste, die 2025er-Ausgabe ist die achte. Zwischen beiden liegen vier Jahre, in denen sich die Bedrohungslandschaft durch Cloud-native Architekturen, KI-gestützte Angriffe und massenhafte Supply-Chain-Kompromittierungen spürbar verändert hat.
Kurz zusammengefasst: Broken Access Control bleibt unangefochten auf Platz eins, in beiden Ausgaben betraf das Risiko laut OWASP-eigenen Daten 100 Prozent der getesteten Anwendungen in irgendeiner Form. Neu in der 2025er-Liste sind Software Supply Chain Failures (Platz 3) und Mishandling of Exceptional Conditions (Platz 10). Aus der Liste verschwunden sind Vulnerable and Outdated Components und Server-Side Request Forgery als eigenständige Kategorien, ihre Risiken sind jetzt in andere Bereiche integriert oder durch neue Schwerpunkte ersetzt worden. Die 2025er-Liste umfasst insgesamt 248 zugeordnete CWEs (Common Weakness Enumerations), verteilt auf zehn Risikoklassen (OWASP Top 10:2025, Einleitung).
Die 2021er-Fassung war zu ihrer Zeit selbst ein größerer Umbruch: OWASP führte damals drei neue Kategorien ein, überarbeitete Namen und Umfang von vier weiteren und konsolidierte einige ältere Klassen aus der 2017er-Version. Die 2025er-Fassung fällt dagegen gezielter aus, OWASP selbst spricht von zwei neuen Kategorien und einer Konsolidierung. Das klingt nach einem kleineren Schritt, wiegt in der Praxis aber schwerer, weil die beiden neuen Kategorien, Supply Chain Failures und Exceptional Conditions, Themen abdecken, für die viele Unternehmen bislang schlicht keine dedizierten Kontrollen hatten. Es geht also weniger um Umbenennungen als um echte, bisher unbenannte Lücken im Testkatalog.
Für Leserinnen und Leser, die die Liste zum ersten Mal für ein Projekt heranziehen, lohnt sich ein kurzer Blick auf die Zielgruppe: Die OWASP Top 10 richtet sich in erster Linie an Entwickler, Architekten und Sicherheitsteams, die Webanwendungen bauen oder prüfen, nicht an Netzwerk- oder Infrastrukturteams im engeren Sinn. Wer nach Risiken für Cloud-Infrastruktur, Netzwerksegmentierung oder physische Sicherheit sucht, findet passendere Rahmenwerke etwa beim BSI-Grundschutz oder bei branchenspezifischen ISO-Normen. Die OWASP Top 10 ergänzt solche Rahmenwerke, ersetzt sie aber nicht.
Wie OWASP die Rangliste erstellt: Methodik in Kürze
Die OWASP Top 10 entsteht nicht per Redaktionsentscheid, sondern über aggregierte Datenspenden von Sicherheitsanbietern, Beratungsunternehmen und Bug-Bounty-Plattformen, kombiniert mit einer Community-Umfrage unter Praktikern. Für jede der zugeordneten CWEs berechnet OWASP eine Incidence Rate (Anteil der getesteten Anwendungen mit mindestens einer Instanz dieser Schwachstelle), eine Coverage-Rate (wie oft eine Kategorie überhaupt getestet wurde) sowie gewichtete Werte für Ausnutzbarkeit und Auswirkung. Diese vier Werte zusammen ergeben die Endplatzierung, nicht die reine Häufigkeit allein (OWASP, Was sind Application Security Risks).
Das erklärt einige auf den ersten Blick überraschende Platzierungen: Software Supply Chain Failures hat mit 5,19 Prozent die höchste durchschnittliche Incidence Rate aller zehn Kategorien, landet aber nur auf Platz 3, nicht auf Platz 1, weil die Coverage, also wie systematisch diese Schwachstellenklasse bislang getestet wurde, noch deutlich geringer ist als bei etablierten Kategorien wie Broken Access Control oder Injection. Wer die Rangliste als reine “Häufigkeitstabelle” liest, unterschätzt deshalb leicht, wie akut ein neu eingeführtes Risiko bereits ist.
Die vollständige Rangliste: OWASP Top 10:2021 im Vergleich zu 2025
Die folgende Tabelle zeigt beide Ranglisten nebeneinander. Wichtig für Teams, die Scan-Regeln oder Compliance-Reports migrieren: Die Positionsnummer allein sagt wenig aus, entscheidend ist, welche CWEs eine Kategorie tatsächlich abdeckt.
| Platz | OWASP Top 10:2021 | OWASP Top 10:2025 | Status der Änderung |
|---|---|---|---|
| 1 | Broken Access Control | Broken Access Control | Unverändert an der Spitze |
| 2 | Cryptographic Failures | Security Misconfiguration | Misconfiguration steigt von Platz 5 auf 2 |
| 3 | Injection | Software Supply Chain Failures | Neue Kategorie 2025 |
| 4 | Insecure Design | Cryptographic Failures | Fällt von Platz 2 auf 4 |
| 5 | Security Misconfiguration | Injection | Fällt von Platz 3 auf 5 |
| 6 | Vulnerable and Outdated Components | Insecure Design | Fällt von Platz 4 auf 6 |
| 7 | Identification and Authentication Failures | Authentication Failures | Umbenannt, leicht verschoben |
| 8 | Software and Data Integrity Failures | Software or Data Integrity Failures | Umbenannt (and → or) |
| 9 | Security Logging and Monitoring Failures | Security Logging & Alerting Failures | Umbenannt, Fokus auf Alerting |
| 10 | Server-Side Request Forgery (SSRF) | Mishandling of Exceptional Conditions | Komplett neue Kategorie 2025 |
Auffällig ist, dass “Vulnerable and Outdated Components” aus 2021 in der neuen Liste nicht mehr als eigene Kategorie geführt wird. OWASP begründet das mit einer Konsolidierung: Komponentenschwachstellen werden 2025 stärker über die neue Supply-Chain-Kategorie und bestehende Klassen wie Security Misconfiguration abgedeckt, statt als isoliertes Thema zu laufen. SSRF wiederum ist nicht verschwunden, sondern taucht als Teilaspekt in anderen Kategorien auf, hat aber seinen Soloplatz an “Mishandling of Exceptional Conditions” verloren, eine Kategorie, die es 2021 in dieser Form noch nicht gab.
Was ist neu: Supply Chain Failures und Exceptional Conditions
Software Supply Chain Failures (A03:2025) ist die auffälligste Neuerung. Die Kategorie fasst Risiken durch kompromittierte Abhängigkeiten, manipulierte Build-Pipelines und untergeschobene Pakete zusammen, Themen, die 2021 noch unter “Vulnerable and Outdated Components” liefen, aber deutlich enger gefasst waren. Laut Qualys hat diese Kategorie die höchste durchschnittliche Incidence Rate aller zehn 2025er-Kategorien mit 5,19 Prozent, gleichzeitig aber eine auffällig niedrige CVE-Abdeckung. Das bedeutet: Angriffe passieren, während viele Scanner noch keine passenden Signaturen liefern (Qualys Insights, Juni 2026). Für Teams in Deutschland ist das relevant, weil viele CI/CD-Pipelines auf öffentliche Package-Registries wie npm oder PyPI setzen, ohne durchgängige Signaturprüfung.
Mishandling of Exceptional Conditions (A10:2025) ist die zweite komplett neue Kategorie und behandelt ein Risiko, das lange keinen eigenen Namen hatte: fehlerhafte Fehlerbehandlung. Wenn eine Anwendung bei einer Exception ins Fail-Open-Verhalten wechselt, sensible Stack-Traces preisgibt oder Sicherheitsprüfungen bei einem Timeout überspringt, fällt das jetzt in diese Kategorie. Praktisch betrifft das häufig Zahlungs-APIs, Login-Flows und Rate-Limiter, die unter Last oder bei Backend-Ausfällen in einen unsicheren Zustand kippen. Die Kategorie war 2021 in keiner der zehn Klassen explizit abgebildet, obwohl das zugrunde liegende Problem in Code-Reviews seit Jahren bekannt ist.
Security Misconfiguration: Vom fünften auf den zweiten Platz
Der größte Sprung in der neuen Rangliste betrifft Security Misconfiguration, das von Platz 5 (2021) auf Platz 2 (2025) klettert. Der Grund liegt in der Datenlage: Laut Qualys wiesen 100 Prozent der getesteten Anwendungen irgendeine Form von Fehlkonfiguration auf, bei einer durchschnittlichen Incidence Rate von 3,00 Prozent über 16 zugeordnete CWEs. OWASP selbst bestätigt diese Zahl in der offiziellen Kategorie-Seite (OWASP A02:2025). Zum Vergleich: Broken Access Control liegt bei einer maximalen Incidence Rate von 20,15 Prozent und einer durchschnittlichen Rate von rund 3,74 Prozent über 40 CWEs, bleibt damit aber trotz höherer Einzelwerte auf Platz 1, weil OWASP nicht nur die Häufigkeit, sondern auch Ausnutzbarkeit und Auswirkung gewichtet (OWASP A01:2025).
Orca Security beschreibt die typischen Symptome von Security Misconfiguration so: unsichere Standardeinstellungen, unvollständiges Hardening, zu ausführliche Fehlermeldungen, fehlende Security-Header und zu großzügige Berechtigungen über den gesamten API-Stack hinweg (Orca Security, OWASP API Security Guide). Für deutsche Cloud-Teams heißt das konkret: offene Cloud-Storage-Buckets, Default-Zugangsdaten in Staging-Umgebungen, die versehentlich live gehen, und Kubernetes-Cluster mit zu weit gefassten RBAC-Regeln zählen jetzt zu den am zweithäufigsten geprüften Risiken überhaupt.
Benchmark-Daten aus drei Quellen im Vergleich
Wie verlässlich sind die Prävalenzangaben der neuen Liste? Drei unabhängige Quellen liefern konsistente, aber nicht identische Zahlen, was für die Aussagekraft der Daten spricht, da sie nicht aus einer einzigen Testumgebung stammen.
| Kategorie | OWASP offizielle Daten | Qualys-Analyse | Ministry of Testing / Community |
|---|---|---|---|
| Broken Access Control (A01) | Max. 20,15%, Ø 3,74%, 40 CWEs | 100% aller getesteten Apps betroffen | 94% der Apps 2021 getestet, meiste Vorkommen aller Kategorien |
| Security Misconfiguration (A02) | Ø 3,00%, 16 CWEs | 100% aller getesteten Apps betroffen | Größter Einzelsprung der Liste (Platz 5 → 2) |
| Software Supply Chain Failures (A03) | Neue Kategorie, keine 2021-Baseline | Höchste Ø Incidence Rate: 5,19% | Niedrige CVE-Abdeckung trotz hoher Häufigkeit |
| Injection (A05) | Max. 13,77%, Ø 3,08%, 37 CWEs | 100% aller getesteten Apps auf Injection geprüft | Weiterhin eine der am intensivsten getesteten Kategorien |
Die Übereinstimmung zwischen OWASP-eigenen Zahlen und der unabhängigen Qualys-Auswertung ist bemerkenswert: Beide Quellen bestätigen unabhängig voneinander, dass Broken Access Control und Security Misconfiguration in praktisch jeder getesteten Anwendung in irgendeiner Form vorkommen. Der Unterschied liegt in der Tiefe: OWASP misst Incidence Rate pro CWE-Population, Qualys aggregiert über die eigene Scan-Flotte hinweg. Für Sicherheitsteams bedeutet das: Wer nur nach der offiziellen Rangliste priorisiert, sollte die CWE-Anzahl pro Kategorie im Blick behalten, denn 40 CWEs unter Broken Access Control sind ein deutlich breiteres Testfeld als 16 CWEs unter Security Misconfiguration.
Für die Injection-Kategorie liefert OWASP mit 37 zugeordneten CWEs und einer maximalen Incidence Rate von 13,77 Prozent bei einer durchschnittlichen Rate von 3,08 Prozent ein drittes belastbares Beispiel: Trotz jahrzehntelanger Aufklärungsarbeit zu SQL-Injection und verwandten Schwachstellen bleibt die Kategorie eine der am intensivsten geprüften überhaupt, mit einer Testabdeckung von 100 Prozent der untersuchten Anwendungen. Das zeigt, dass hohe Testreife und anhaltende Relevanz sich nicht ausschließen, ein Muster, das sich künftig auch bei den neuen 2025er-Kategorien einstellen dürfte, sobald Tooling und Testabdeckung nachziehen.
Tool- und Preisvergleich: Was kostet die Migration auf 2025?
Ein Wechsel der Referenzliste bedeutet in der Praxis, dass Scan-Regeln, Compliance-Reports und Dashboards angepasst werden müssen. Nicht jeder Anbieter hat zum Redaktionsschluss vollständige 2025er-Unterstützung ausgerollt, was direkte Auswirkungen auf Migrationskosten und Zeitplan hat.
| Tool / Anbieter | OWASP Top 10:2025-Support | Startpreis | Stand der Ankündigung |
|---|---|---|---|
| Snyk API & Web | Ja, Reports für 2021 und 2025 parallel wählbar | Kostenlose Stufe + kostenpflichtige Team-/Enterprise-Pläne | Rollout Feb. und Mai 2026 |
| Qualys WAS / TotalAppSec | Ja, Umstellung mit WASUI 1.28 | Enterprise-Lizenzierung, individuell | Angekündigt März 2026, Rollout Anfang Mai 2026 |
| Invicti | OWASP-Top-10-Scan-Policy vorhanden, 2025-spezifische Version in Doku nicht explizit benannt | Enterprise-Lizenzierung, individuell | Keine gesonderte 2025-Ankündigung gefunden |
| OWASP ZAP | Community-Projekt, keine offizielle 2025-spezifische Ankündigung gefunden | Kostenlos, Open Source | – |
| Burp Suite (PortSwigger) | Keine explizite 2025-Ankündigung gefunden | Ab ca. 449 USD/Jahr (Professional) | – |
Auffällig: Snyk und Qualys haben als erste große kommerzielle Anbieter explizit dokumentierten OWASP-Top-10:2025-Support ausgerollt, beide mit Parallelbetrieb der alten 2021er-Kategorien, damit Teams ihre Compliance-Historie nicht verlieren (Snyk Updates, Mai 2026). Für Open-Source-Tools wie OWASP ZAP liegt keine offizielle, datierte Ankündigung einer vollständigen 2025-Migration vor, was für Teams mit begrenztem Budget ein praktisches Problem sein kann: Community-Regelsätze hinken bei neuen Kategorien oft hinter kommerziellen Produkten hinterher.
Snyk hat den Rollout in zwei Schritten vollzogen: Im Februar 2026 kam zunächst ein verbessertes Risiko-Mapping mit direkter Zuordnung zu den 2025er-Kategorien in der Benutzeroberfläche, im Mai 2026 folgte dann die vollständige Unterstützung für Compliance-Reports nach OWASP Top 10:2025 in Snyk API & Web, wahlweise parallel zur 2021er-Fassung. Bei Qualys war der Weg ähnlich gestaffelt: Die Ankündigung erfolgte im März 2026, der tatsächliche Rollout für Web Application Scanning und TotalAppSec folgte mit dem Release WASUI 1.28 Anfang Mai 2026. Für Teams, die eines dieser beiden Tools bereits im Einsatz haben, bedeutet das: Ein Großteil der technischen Migration lässt sich über ein reguläres Produkt-Update abbilden, ohne dass komplett neue Regelsätze von Hand geschrieben werden müssen.
Kosten-Nutzen-Abwägung: Lohnt sich der Umstieg finanziell?
Aus reiner Lizenzsicht ist der Umstieg für die meisten Teams kein großer Kostentreiber: Snyk bietet die 2025er-Unterstützung im Rahmen bestehender Pläne an, Qualys liefert die Umstellung über ein reguläres Produkt-Update aus. Der eigentliche Kostenfaktor liegt nicht in Lizenzgebühren, sondern in der internen Arbeitszeit für Mapping, Regel-Updates und Schulungen, ein Aufwand, der sich in den meisten mittelständischen Teams im Bereich weniger Personentage bewegt, nicht Wochen.
Dem steht ein Risiko gegenüber, das sich in konkreten Zahlen ausdrücken lässt: Bei durchschnittlichen Kosten von 4,25 Millionen Euro pro Datenleck in Deutschland würde bereits eine einzige verhinderte Sicherheitslücke in der Kategorie Software Supply Chain Failures, die laut Qualys aktuell die höchste Incidence Rate aller Kategorien aufweist, den Migrationsaufwand um ein Vielfaches aufwiegen. Diese Rechnung ist bewusst grob, sie ersetzt keine unternehmensspezifische Risikoanalyse, zeigt aber die Größenordnung: Die Kosten der Untätigkeit übersteigen die Kosten der Migration in den allermeisten realistischen Szenarien deutlich.
DACH-Bedrohungslage: Warum die Aktualisierung jetzt besonders relevant ist
Die OWASP-Aktualisierung trifft die DACH-Region zu einem Zeitpunkt zunehmenden Drucks. Der BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 registrierte durchschnittlich 119 neue Schwachstellen pro Tag, ein Plus von rund 24 Prozent gegenüber dem Vorjahreszeitraum. Zusätzlich wurden 280.000 neue Schadprogrammvarianten täglich erfasst, und das Bundeskriminalamt dokumentierte 950 Ransomware-Angriffe im Berichtszeitraum (BSI, Lagebericht zur IT-Sicherheit in Deutschland).
Check Point beziffert die durchschnittliche Zahl wöchentlicher Cyberangriffe pro Organisation in Deutschland für Februar 2026 auf 1.345, ein Plus von 11 Prozent gegenüber dem Vorjahr, im April 2026 stieg der Wert weiter auf 1.377 pro Organisation und Woche. Über das gesamte Jahr 2025 kamen laut Silicon.de durchschnittlich 1.223 Angriffe pro Woche und Unternehmen zusammen, 14 Prozent mehr als im Vorjahr. Die DACH-Region insgesamt verzeichnete laut Check Point einen Anstieg von 124 Prozent bei Cyberangriffen, wobei Deutschland mehr als 80 Prozent der regionalen Vorfälle ausmacht, gefolgt von der Schweiz mit 12 Prozent und Österreich mit 8 Prozent.
Auf Branchenebene ist die Verteilung besonders ungleich: Im ersten Quartal 2025 war laut Check Point der Bildungssektor in Deutschland mit durchschnittlich 4.484 Angriffen pro Organisation und Woche am stärksten betroffen, ein Anstieg von 73 Prozent gegenüber dem Vorjahr (B2B Cyber Security, Check-Point-Auswertung). Für Sicherheitsteams in Bildungseinrichtungen und öffentlichen Verwaltungen mit ähnlichem Angriffsprofil ist das ein zusätzliches Argument, die neuen 2025er-Kategorien nicht erst im nächsten Jahresbudget, sondern im laufenden Quartal zu berücksichtigen.
Auch die finanziellen Folgen sind gestiegen: IBM beziffert die durchschnittlichen Kosten eines Datenlecks in Deutschland für 2026 auf 4,25 Millionen Euro pro Vorfall, nachdem der Wert 2025 erstmals seit fünf Jahren auf 3,87 Millionen Euro gesunken war. Weltweit lag der Durchschnitt 2026 bei 4,99 Millionen US-Dollar, ein Anstieg von 12 Prozent gegenüber dem Vorjahr (IBM Cost of a Data Breach Report). Diese Zahlen unterstreichen, warum eine präzise Priorisierung nach der aktuellen OWASP-Rangliste kein akademisches Thema ist, sondern direkten Einfluss auf das Budget für Incident Response hat.
Ein weiterer Faktor, den die neue OWASP-Liste indirekt aufgreift: Laut IBMs globaler Auswertung für 2026 ist inzwischen jeder vierte böswillige Datenverstoß KI-unterstützt, mit durchschnittlichen Kosten von 6 Millionen US-Dollar pro Vorfall, wenn KI-gestützte Angriffstechniken beteiligt waren (IBM Newsroom, Juli 2026). Das betrifft besonders die neuen 2025er-Kategorien: automatisierte Angriffe scannen gezielt nach Fehlkonfigurationen und schwachen Fehlerbehandlungsroutinen, weil diese Muster leichter maschinell zu erkennen sind als komplexe Logikfehler. Für den BSI-Berichtszeitraum bedeutet das zusätzlichen Druck auf ohnehin schon steigende Zahlen bei Schwachstellen und Schadprogrammvarianten.
BSI-Zahlen im Detail: Was die Meldekanäle 2025 zeigen
Neben den Gesamtzahlen zu neuen Schwachstellen lohnt sich ein Blick auf die einzelnen Meldekanäle des BSI, weil sie zeigen, wie unterschiedlich schwer die gemeldeten Probleme wiegen. Im Berichtszeitraum des Lageberichts 2025 registrierte der Warn- und Informationsdienst (WID) 3.871 Meldungen, deutlich mehr als die 166 Fälle, die über den Kanal Coordinated Vulnerability Disclosure (CVD) inklusive Zero-Day-Meldungen liefen. Hinzu kamen 41 eigenständige Cybersicherheitswarnungen des BSI (BSI Lagebericht 2025).
Die Verteilung ist aufschlussreich: WID-Meldungen decken meist bekannte, bereits katalogisierte Schwachstellen ab, also genau das Feld, in dem etablierte Scanner mit guter CVE-Abdeckung stark sind. CVD-Fälle und Zero-Days hingegen betreffen unbekannte oder neu entdeckte Lücken, ein Bereich, in dem laut Qualys gerade die neue OWASP-Kategorie Software Supply Chain Failures schwach abgedeckt ist. Wer Ressourcen für Sicherheitsprüfungen priorisiert, sollte also nicht nur auf die Menge der Meldungen schauen, sondern auf die Kanäle: Ein hoher Anteil an CVD- und Zero-Day-Fällen deutet auf Risiken hin, die klassische, signaturbasierte Scans eher übersehen, genau das Muster, das die 2025er-Liste mit ihrer neuen Supply-Chain-Kategorie adressieren soll.
Fünf typische Vorfallmuster nach OWASP-Kategorie
Statt einzelner, nicht überprüfbarer Firmennamen lohnt sich der Blick auf die Vorfallmuster, die hinter den verifizierten DACH-Zahlen stehen und sich den jeweiligen OWASP-Kategorien zuordnen lassen.
- Broken Access Control (A01): Fehlkonfigurierte Berechtigungsprüfungen in internen APIs, häufig durch IDOR-ähnliche Schwachstellen, bei denen ein Nutzer über eine geänderte ID auf fremde Datensätze zugreifen kann. Bleibt mit 100 Prozent Testabdeckung die am häufigsten bestätigte Schwachstellenklasse überhaupt, und das über beide Listenversionen hinweg unverändert.
- Security Misconfiguration (A02): Offene Cloud-Storage-Buckets und Staging-Umgebungen mit Default-Zugangsdaten, die versehentlich öffentlich erreichbar bleiben, ein Muster, das laut Orca Security über den gesamten API-Stack hinweg auftritt. Besonders häufig betroffen sind Umgebungen, die schnell für Demos oder Proof-of-Concepts aufgesetzt und danach nicht wieder abgebaut werden.
- Software Supply Chain Failures (A03): Kompromittierte oder manipulierte Abhängigkeiten in CI/CD-Pipelines, verstärkt durch die laut Qualys ungewöhnlich niedrige CVE-Abdeckung dieser neuen Kategorie, wodurch Scanner Angriffe oft erst spät erkennen. Deutsche Mittelständler mit schlanken DevOps-Teams sind hier besonders exponiert, weil dedizierte Supply-Chain-Kontrollen bislang selten Teil des Standard-Tooling waren.
- Authentication Failures (A07): Schwache Session-Verwaltung und fehlende Multi-Faktor-Authentifizierung bei internen Verwaltungspanelen, ein Dauerbrenner, der bereits 2021 unter “Identification and Authentication Failures” lief und trotz Umbenennung inhaltlich kaum an Relevanz verloren hat.
- Mishandling of Exceptional Conditions (A10): Fail-Open-Verhalten bei Zahlungs- oder Login-APIs unter Last, wenn Sicherheitsprüfungen bei einem Backend-Timeout stillschweigend übersprungen werden, ein Risiko, das 2021 noch keine eigene Kategorie hatte und deshalb in klassischen Testplänen oft schlicht fehlte.
Checkliste für Entwicklerteams: Erste 30 Tage nach dem Umstieg
Bevor der vollständige Migrationsplan greift, hilft eine kurzfristige Checkliste, um die größten Lücken schnell zu schließen. Sie richtet sich an Entwicklerteams, die nicht auf den nächsten großen Audit-Zyklus warten wollen, sondern sofort handlungsfähig werden müssen.
- Dependency-Scanner prüfen, ob Signaturprüfung für Paket-Registries wie npm, PyPI oder Maven Central aktiv ist, als direkte Reaktion auf die neue Supply-Chain-Kategorie und die von Qualys gemessene niedrige CVE-Abdeckung in diesem Bereich.
- Fehlerbehandlung in kritischen Pfaden (Login, Zahlung, Passwort-Reset) daraufhin prüfen, ob Exceptions zu einem sicheren Default (Fail-Closed) statt zu einem unsicheren Default (Fail-Open) führen.
- Cloud-Konfigurationen mit einem Configuration-Scanner gegen Standardeinstellungen abgleichen, insbesondere bei Staging- und Testumgebungen, die häufig übersehen werden, weil sie als “nicht produktiv” eingestuft und deshalb seltener geprüft werden.
- Bestehende Pentest- und Audit-Reports mit Bezug auf OWASP Top 10:2021 kennzeichnen, damit klar ist, welche Nachweise noch auf die alte Version referenzieren und wann eine Aktualisierung ansteht.
- Interne Security-Schulungen um die beiden neuen Kategorien ergänzen, da viele Entwickler mit den Begriffen “Supply Chain Failures” und “Exceptional Conditions” bislang wenig Berührung hatten, anders als etwa mit dem seit Jahren bekannten Begriff SQL-Injection.
OWASP API Security Top 10: Das verwandte, aber eigenständige Regelwerk
Neben der klassischen Top 10 für Webanwendungen pflegt OWASP mit der API Security Top 10 ein eigenes, separates Regelwerk, das speziell auf Programmierschnittstellen zugeschnitten ist. Die aktuelle Fassung stammt aus 2023 und ist zum Redaktionsschluss noch nicht durch eine 2025er-Ausgabe ersetzt worden, beide Ranglisten laufen also aktuell parallel. Die API Security Top 10 2023 beginnt mit API1:2023 Broken Object Level Authorization, gefolgt von API2:2023 Broken Authentication und API3:2023 Broken Object Property Level Authorization (OWASP API Security Top 10, Inhaltsverzeichnis).
Für Teams, die sowohl klassische Webanwendungen als auch APIs betreiben, was in der Praxis die meisten deutschen Unternehmen betrifft, bedeutet das: Es reicht nicht, nur die neue OWASP Top 10:2025 zu berücksichtigen. Kategorien wie API8:2023 Security Misconfiguration und API9:2023 Improper Inventory Management überschneiden sich zwar thematisch mit der Web-Liste, sind aber nicht identisch nummeriert oder gewichtet. Wer ausschließlich nach der Web-Top-10 testet, übersieht leicht API-spezifische Risiken wie unzureichendes Rate-Limiting bei geschäftskritischen Endpunkten, ein Thema, das in der klassischen Liste keine eigene Kategorie hat.
Praktisch heißt das für die Testplanung: Ein vollständiges Sicherheitsprogramm für eine moderne Anwendung mit REST- oder GraphQL-Schnittstelle sollte beide Ranglisten parallel abbilden, die OWASP Top 10:2025 für die Anwendungslogik und Infrastruktur, die API Security Top 10 2023 für die Schnittstellenebene. Wer nur eines der beiden Regelwerke nutzt, deckt in aller Regel nur einen Teil der realistischen Angriffsfläche ab, insbesondere bei Microservice-Architekturen, in denen ein Großteil der Kommunikation ohnehin über APIs läuft.
Migrationsleitfaden: So steigen Teams von 2021 auf 2025 um
Ein sauberer Umstieg lässt sich in sechs überschaubare Schritte gliedern. Die Reihenfolge ist bewusst so gewählt, dass laufende Audits und Compliance-Nachweise nicht unterbrochen werden, und dass technische Umstellungen vor der reinen Dokumentationsarbeit stehen.
- Bestandsaufnahme: Prüfen, welche Scan-Tools, WAFs und Compliance-Reports aktuell noch auf OWASP Top 10:2021 referenzieren. Bei Snyk und Qualys ist Parallelbetrieb beider Versionen möglich, das erleichtert den Übergang erheblich, weil kein harter Cutover-Termin nötig ist, an dem alle Systeme gleichzeitig umgestellt werden müssen.
- Mapping erstellen: Für jede bestehende 2021er-Kategorie die entsprechende 2025er-Kategorie zuordnen, insbesondere bei den umbenannten Klassen wie Authentication Failures und den beiden komplett neuen Kategorien Supply Chain Failures und Exceptional Conditions. Ein einfaches Mapping-Dokument reicht dafür oft aus, es muss kein aufwendiges Tool sein.
- Scan-Regeln aktualisieren: Regelsätze in SAST-, DAST- und API-Security-Tools auf die 2025er-CWE-Zuordnung umstellen. Bei Open-Source-Tools wie OWASP ZAP sollte geprüft werden, ob die Community-Regeln bereits die neuen Kategorien abdecken, notfalls mit eigenen Custom-Regeln nachrüsten.
- Supply-Chain-Kontrollen ergänzen: Da diese Kategorie 2021 noch nicht existierte, fehlen in vielen Pipelines dedizierte Kontrollen für Paket-Signaturen, Software Bill of Materials (SBOM) und Build-Provenienz. Dieser Schritt erfordert häufig neue Tools, nicht nur angepasste Regeln in bestehenden Scannern.
- Fehlerbehandlung auditieren: Code-Reviews gezielt auf Fail-Open-Muster, unbehandelte Exceptions und verbose Fehlermeldungen ausrichten, um die neue Kategorie Mishandling of Exceptional Conditions abzudecken. Statische Code-Analyse kann einen Teil davon automatisieren, ersetzt aber kein manuelles Review kritischer Pfade.
- Reporting umstellen: Interne Dashboards, Auditor-Berichte und Kundenzertifikate auf die 2025er-Nummerierung umstellen, mit einer Übergangsfrist, in der beide Versionen referenziert werden, um Missverständnisse bei externen Prüfern zu vermeiden. Ein klar kommunizierter Stichtag hilft, diese Übergangsphase nicht unnötig in die Länge zu ziehen.
Fünf Einsatzszenarien: Wann welche Version noch sinnvoll ist
Auch wenn OWASP Top 10:2025 der aktuelle Standard ist, gibt es Situationen, in denen Teams die 2021er-Fassung noch aktiv referenzieren, teils parallel.
- Neue Projekte und Greenfield-Entwicklung: Hier sollte ausschließlich nach OWASP Top 10:2025 getestet werden, da alle Scan-Regeln von Grund auf neu aufgesetzt werden und keine Altlasten aus früheren Compliance-Zyklen mitgeschleppt werden müssen. Der Mehraufwand gegenüber einem Start mit der 2021er-Liste ist praktisch null.
- Laufende Zertifizierungen mit fester Referenzversion: Manche Verträge oder Zertifikate verweisen explizit auf OWASP Top 10:2021, hier bleibt die alte Version bis zur nächsten Rezertifizierung bindend. Ein vorzeitiger Wechsel kann in solchen Fällen sogar Verwirrung stiften, wenn Auditoren gezielt nach der vertraglich vereinbarten Fassung fragen.
- Legacy-Systeme mit eingefrorenem Audit-Scope: Bei Systemen, die kurz vor der Abschaltung stehen, lohnt sich oft kein vollständiges Remapping mehr, ein finaler 2021er-Report reicht, sofern das System keine neuen Abhängigkeiten oder Deployments mehr erhält, die unter die neuen 2025er-Kategorien fallen würden.
- Lieferanten- und Drittanbieter-Audits: Wenn Zulieferer noch mit 2021er-Reports arbeiten, sollten Einkaufs- und Sicherheitsteams parallel beide Versionen im Blick behalten, bis die gesamte Lieferkette umgestellt hat. Gerade bei Supply-Chain-Risiken ist das eigene Sicherheitsniveau nur so stark wie das schwächste Glied in der Kette externer Zulieferer.
- CI/CD-Pipelines mit Supply-Chain-Fokus: Für Teams, die verstärkt auf Open-Source-Abhängigkeiten setzen, ist die neue Kategorie Software Supply Chain Failures ein Pflichtfeld, unabhängig davon, ob der Rest noch nach 2021 läuft. Hier zahlt sich ein selektiver Vorab-Umstieg aus, ohne gleich das komplette Reporting umzustellen.
Vor- und Nachteile beider Versionen im direkten Vergleich
OWASP Top 10:2021 – Vorteile: breit etabliert, von praktisch jedem Tool und Auditor unterstützt, vier Jahre Praxiserfahrung und umfangreiche Trainingsmaterialien verfügbar, stabile Referenz für langlaufende Verträge. Gerade in Ausschreibungen, die lange im Voraus formuliert wurden, ist die 2021er-Nummerierung oft noch fest verankert.
OWASP Top 10:2021 – Nachteile: keine eigene Kategorie für Supply-Chain-Risiken oder Fehlerbehandlung, damit Lücken bei zwei Risikoklassen, die seit 2021 deutlich an Relevanz gewonnen haben, Security Misconfiguration wird mit Platz 5 unterpriorisiert, obwohl aktuelle Daten zeigen, dass praktisch jede getestete Anwendung davon betroffen ist.
OWASP Top 10:2025 – Vorteile: deckt Supply-Chain-Angriffe und fehlerhafte Fehlerbehandlung erstmals explizit ab, Neupriorisierung von Security Misconfiguration näher an der tatsächlichen Datenlage, 248 CWEs mit differenzierterer Zuordnung.
OWASP Top 10:2025 – Nachteile: Tool-Unterstützung noch lückenhaft, insbesondere bei Open-Source-Scannern, Migrationsaufwand für bestehende Compliance-Reports, neue Kategorie Supply Chain Failures hat laut Qualys noch eine niedrige CVE-Abdeckung, was automatisierte Erkennung erschwert.
In der Praxis zeigt sich der Unterschied vor allem im Umgang mit neuen Angriffsflächen. Ein Team, das ausschließlich nach der 2021er-Liste testet, hat für kompromittierte CI/CD-Pipelines oder Fail-Open-Verhalten in Zahlungs-APIs schlicht keine dedizierte Prüfkategorie, das Risiko fällt bestenfalls unter allgemeine Kategorien wie Insecure Design, ohne die spezifische Aufmerksamkeit zu bekommen, die es laut aktueller Datenlage verdient. Umgekehrt bedeutet der Umstieg auf 2025 nicht automatisch bessere Testabdeckung, wenn das eingesetzte Scan-Tool die neuen Kategorien noch nicht vollständig unterstützt. Die Wahl der Liste allein ersetzt keine funktionierende Tool-Kette.
Verdict: Welche Version sollten Teams jetzt nutzen?
Die Datenlage ist eindeutig: OWASP Top 10:2025 ist seit Januar 2026 die offizielle, finale Referenzversion, und die zugrunde liegenden Zahlen, 248 CWEs, eine neue Supply-Chain-Kategorie mit der höchsten gemessenen Incidence Rate von 5,19 Prozent, sowie eine Security-Misconfiguration-Kategorie, die in 100 Prozent aller getesteten Anwendungen auftritt, sprechen für einen zügigen Umstieg. Wer die Migration weiter hinauszögert, testet gegen ein Bedrohungsmodell, das vier Jahre alt ist, während Angriffe auf Software-Lieferketten und fehlerhafte Ausnahmebehandlung messbar zunehmen.
Für Unternehmen in Deutschland kommt ein praktischer Grund hinzu: Bei durchschnittlich 119 neuen Schwachstellen pro Tag laut BSI und Kosten von 4,25 Millionen Euro pro Datenleck laut IBM ist eine präzisere Priorisierung kein Nice-to-have. Die klare Empfehlung: Neue Projekte sofort auf 2025 umstellen, bestehende Audits mit Parallelbetrieb migrieren, und die beiden neuen Kategorien Supply Chain Failures und Mishandling of Exceptional Conditions als Erstes in Scan-Regeln und Code-Reviews verankern, weil hier die größten blinden Flecken der alten Liste lagen.
Wer die Migration verschleppt, verliert nicht nur Zeit, sondern auch Vergleichbarkeit: Externe Auditoren, Kunden und Partner werden zunehmend nach der 2025er-Nummerierung fragen, und ein Report, der ausschließlich auf 2021 basiert, wirkt in Ausschreibungen schnell veraltet. Der pragmatischste Weg ist selten der radikale Komplettumstieg an einem Stichtag, sondern der stufenweise Parallelbetrieb, wie ihn Snyk und Qualys bereits unterstützen, kombiniert mit klarer interner Priorisierung der beiden neuen Kategorien.
Häufig gestellte Fragen zu OWASP Top 10:2025 vs. 2021
Wann wurde OWASP Top 10:2025 offiziell veröffentlicht?
Die Ankündigung erfolgte im November 2025 auf der OWASP Global AppSec Conference in Washington, D.C. Die finale Fassung wurde im Januar 2026 verabschiedet und ist seither die aktuelle, offizielle Version.
Ist OWASP Top 10:2021 jetzt komplett veraltet?
Nicht sofort ungültig, aber nicht mehr aktuell. Einige Verträge, Zertifizierungen und Legacy-Audits referenzieren weiterhin explizit die 2021er-Fassung. Neue Projekte sollten jedoch ausschließlich nach 2025 getestet werden.
Welche zwei Kategorien sind komplett neu in der 2025er-Liste?
Software Supply Chain Failures (A03:2025) und Mishandling of Exceptional Conditions (A10:2025) sind die beiden neuen Kategorien, die es in dieser Form 2021 noch nicht gab.
Warum ist Security Misconfiguration von Platz 5 auf Platz 2 gestiegen?
Weil neue Testdaten zeigen, dass 100 Prozent der untersuchten Anwendungen irgendeine Form von Fehlkonfiguration aufweisen, laut Qualys-Analyse mit einer durchschnittlichen Incidence Rate von 3,00 Prozent über 16 CWEs. Das macht die Kategorie deutlich relevanter als 2021 angenommen.
Unterstützen gängige Scanner wie OWASP ZAP oder Burp Suite bereits OWASP Top 10:2025?
Bei Snyk und Qualys liegt eine explizite, datierte Ankündigung der 2025er-Unterstützung vor. Für OWASP ZAP und Burp Suite ließ sich zum Redaktionsschluss keine offizielle, datierte 2025-spezifische Ankündigung finden, Teams sollten das vor der Migration direkt beim jeweiligen Anbieter prüfen.
Was passiert mit “Vulnerable and Outdated Components” aus der 2021er-Liste?
Die Kategorie erscheint 2025 nicht mehr als eigenständiger Listenpunkt. Ihre Risiken sind teilweise in die neue Kategorie Software Supply Chain Failures und in bestehende Kategorien wie Security Misconfiguration integriert worden.
Wie hoch sind die durchschnittlichen Kosten eines Datenlecks in Deutschland aktuell?
Laut IBM Cost of a Data Breach Report lagen die durchschnittlichen Kosten pro Vorfall in Deutschland 2026 bei 4,25 Millionen Euro, nach einem vorübergehenden Rückgang auf 3,87 Millionen Euro im Jahr 2025.
Muss ich als kleines Unternehmen sofort umsteigen?
Ein sofortiger Komplettumstieg ist selten zwingend nötig, aber empfehlenswert für neue Projekte. Bestehende Systeme können schrittweise migriert werden, wichtig ist vor allem, die beiden neuen Kategorien Supply Chain Failures und Exceptional Conditions frühzeitig in Reviews und Scans zu berücksichtigen, da sie bislang oft komplett fehlten. Gerade kleinere Teams mit begrenzten Ressourcen profitieren davon, den in diesem Artikel beschriebenen 30-Tage-Fahrplan als Ausgangspunkt zu nutzen, statt eine vollständige Migration in einem Schritt zu planen.
Ist die OWASP API Security Top 10 dasselbe wie die OWASP Top 10:2025?
Nein. Die OWASP API Security Top 10 ist ein separates Regelwerk, aktuell noch in der Fassung von 2023, das speziell auf Programmierschnittstellen zugeschnitten ist. Beide Listen überschneiden sich thematisch, etwa bei Fehlkonfiguration und Authentifizierung, folgen aber einer eigenen Nummerierung und sollten unabhängig voneinander berücksichtigt werden.
Wie lange dauert eine vollständige Migration auf OWASP Top 10:2025 erfahrungsgemäß?
Das hängt stark von der Größe der Codebasis und der Anzahl der eingesetzten Scan-Tools ab. Der in diesem Artikel beschriebene Sechs-Schritte-Plan lässt sich bei einem einzelnen Produktteam mit etabliertem CI/CD-Setup oft innerhalb weniger Wochen umsetzen. Größere Organisationen mit vielen Legacy-Systemen und mehreren parallelen Audit-Zyklen sollten eher mit mehreren Monaten kalkulieren, insbesondere wenn Lieferanten- und Drittanbieter-Reports mit einbezogen werden müssen.
