Blog
Sicherheit & Compliance-Artikel
Web-Sicherheit, DSGVO/ISO 27001/PCI-Vorbereitung und praktische Tipps.
Ist KI-generierter Code sicher? Sicherheitsrisiken und Checkliste
Erfahren Sie mehr über versteckte Sicherheitslücken in Webanwendungen, die mit KI erstellt wurden, KI-Coderisiken und grundlegende Kontrollen vor dem Livegang.
29. September 2026
Was ist eine digitale Visitenkarte? Funktionsweise, Vorteile und Anwendungsbereiche
Was ist eine digitale Visitenkarte, wie funktioniert sie und worin unterscheidet sie sich von klassischen Papierkarten? Ein umfassender Leitfaden mit QR-Codes, NFC und Praxisbeispielen.
28. September 2026
Was ist eine NFC-Visitenkarte? Funktionsweise, Sicherheit und Leitfaden
Was ist eine NFC-Visitenkarte, wie funktioniert sie und worin unterscheidet sie sich von einer QR-Code-Visitenkarte? Ein umfassender Leitfaden zum Teilen digitaler Kontaktdaten mittels NFC-Technologie.
27. September 2026
Was ist Subresource Integrity (SRI)? Sicherheit von per CDN geladenem Code
Wird ein CDN oder Dritter kompromittiert, kann schädlicher Code auf Ihre Site gelangen. SRI verifiziert kryptografisch, dass die vom Browser geladene Datei die erwartete ist.
26. September 2026
Information Disclosure: Warum Server- und Technologiedetails verborgen werden sollten
Server-Header, ausführliche Fehlermeldungen und Versionsdetails weisen Angreifern den Weg. Welche Informationen lecken, warum es zählt und wie man es reduziert.
25. September 2026
GraphQL-Sicherheit: Introspection, übermäßige Queries und Autorisierungsrisiken
GraphQL bietet Flexibilität, bringt aber eigene Risiken: Introspection-Preisgabe, Ressourcenerschöpfung durch verschachtelte Queries und Autorisierung auf Feldebene.
24. September 2026
Sichere Datei-Upload-Architektur: Worauf zu achten ist
Datei-Upload-Funktionen öffnen bei unsorgfältigem Design die Tür von Codeausführung bis Speichermissbrauch. Wir behandeln die Bausteine eines sicheren Upload-Designs.
23. September 2026
Open-Redirect-Schwachstelle und ihr Phishing-Risiko
Open Redirect lässt Angreifer Ihre Site für Phishing nutzen. Wie es entsteht, warum es gefährlich ist und wie man es mit einer Allowlist verhindert.
22. September 2026
Credential Stuffing und schwache Passwortrichtlinien
Angreifer probieren anderswo geleakte Passwörter auf Ihrer Login-Seite. Wie Credential Stuffing funktioniert und wie man es mit Rate Limiting, MFA und Leak-Prüfung stoppt.
21. September 2026
Einführung in die Zero-Trust-Architektur: "Niemals vertrauen, immer verifizieren"
Das klassische "innen sicher, außen gefährlich"-Netzwerkmodell reicht nicht mehr. Wir erklären die Kernprinzipien von Zero Trust und praktische Schritte.
20. September 2026
Dark-Web-Monitoring: Wie Sie Ihre geleakten Zugangsdaten erkennen
E-Mail-Adressen und Passwörter Ihrer Organisation können in anderen Datenlecks auftauchen. Was Dark-Web-Monitoring leistet, was nicht, und wie man auf ein Leck reagiert.
19. September 2026
Exponierte Datenbanken und Admin-Panels: Eine stille Quelle für Datenlecks
Eine internetseitige Datenbank oder ein Admin-Panel ohne Authentifizierung ist einer der einfachsten Wege zu einem Datenleck. Wie es passiert und wie man es schließt.
18. September 2026
Lieferkettenangriffe: Wie vertrauenswürdige Software Sie kompromittieren kann
Die Kompromittierung eines Lieferanten oder einer Abhängigkeit kann sich auf jeden Kunden ausbreiten, der ihr vertraut. Wir erklären das Lieferkettenrisiko und seine Reduzierung.
17. September 2026
HTTP-Sicherheits-Header: Ein praktischer Überblick über die wichtigsten
Eine Handvoll HTTP-Antwort-Header geben Browsern starke, kostengünstige Schutzmaßnahmen. Wir behandeln HSTS, CSP, X-Frame-Options, X-Content-Type-Options und ihre Anwendung.
16. September 2026
Die Anatomie eines Ransomware-Angriffs: Vom Erstzugriff bis zur Verschlüsselung
Ransomware passiert nicht sofort; sie durchläuft Erstzugriff, Ausbreitung und Verschlüsselung. Diese Phasen zu kennen, ermöglicht, den Angriff früh zu stoppen.
15. September 2026
Grundlagen der Container- und Kubernetes-Sicherheit
Container und Kubernetes beschleunigen die Bereitstellung, öffnen aber eine neue Angriffsfläche. Wir behandeln Image-Sicherheit, Least Privilege und den exponierten API-Server.
14. September 2026
Falsch konfigurierte Speicher-Buckets (S3): Das Risiko öffentlicher Daten
Cloud-Speicher-Buckets versehentlich öffentlich zu lassen ist eine der häufigsten Ursachen für Datenlecks. Wie es passiert und wie man Speicher sicher konfiguriert.
13. September 2026
JWT (JSON Web Token) Sicherheit: Korrekte und falsche Nutzung
JWTs sind bei Sitzungen und API-Identität verbreitet, öffnen aber falsch genutzt die Tür zum Authentifizierungs-Bypass. Wir erklären alg=none, schwache Signaturen und Speicherfehler.
12. September 2026
Rate Limiting und Brute-Force-Schutz: Login- und API-Endpunkte absichern
Rate Limiting ist eine grundlegende Abwehr gegen Brute Force und automatisierten Missbrauch. Wo und wie es anzuwenden ist und welche Fallstricke zu vermeiden sind.
11. September 2026
SQL-Injection und XSS: Wie die zwei klassischen Injection-Lücken entstehen und verhindert werden
Die zwei häufigsten Web-Schwachstellen teilen eine Ursache: nicht vertrauenswürdige Eingaben, die als Code oder Query interpretiert werden. Entstehung und richtige Abwehr.
10. September 2026
Cookie-Sicherheit: Korrekte Nutzung von HttpOnly, Secure und SameSite
Sitzungs-Cookies sind ein Hauptziel für Angreifer. Wir erklären, wie Sie Sitzungen mit den Flags HttpOnly, Secure und SameSite und passendem Cookie-Scope schützen.
9. September 2026
Was ist Clickjacking? Unsichtbare Klick-Angriffe und frame-ancestors-Schutz
Clickjacking bringt Nutzer dazu, über ein unsichtbares iframe zu klicken. Wir erklären den Schutz mit X-Frame-Options und Content-Security-Policy frame-ancestors.
8. September 2026
Was ist SSRF (Server-Side Request Forgery) und wie verhindert man es?
SSRF bringt den Server dazu, eine Anfrage an eine vom Angreifer gewählte Adresse zu stellen — möglicherweise ins interne Netz oder zu Cloud-Metadaten. Ursachen, Auswirkungen und Abwehr.
7. September 2026
Was ist CSRF (Cross-Site Request Forgery) und wie verhindert man es?
CSRF lässt einen Nutzer unbemerkt eine Aktion in seinem Namen ausführen. Wir erklären SameSite-Cookies, CSRF-Tokens und moderne mehrschichtige Abwehr mit Beispielen.
6. September 2026
HSTS und Preload: Ihre Website vor SSL-Stripping schützen
Selbst mit gültigem TLS-Zertifikat ist die erste HTTP-Anfrage unverschlüsselt. HSTS zwingt Browser, immer HTTPS zu nutzen. Wir erklären max-age, includeSubDomains, preload und sichere Einführung.
5. September 2026
IDOR und Broken Access Control: Authentifizierung reicht nicht, Autorisierung ist Pflicht
IDOR ist, wenn ein Nutzer mit eigener Identität auf fremde Daten zugreift. Warum es zu den häufigsten Web-Schwachstellen zählt und wie Autorisierung auf Objektebene es verhindert.
4. September 2026
Business E-Mail Compromise (BEC): Der teuerste Social-Engineering-Angriff
BEC-Angriffe missbrauchen Vertrauen und Autorität statt Malware und verursachen durch gefälschte Zahlungsanweisungen große finanzielle Verluste. Wie er funktioniert und vorzubeugen ist.
3. September 2026
DNS-Sicherheit: DNSSEC, häufige Fehlkonfigurationen und Domain-Risiken
DNS ist das Adressbuch des Internets und ein häufiges Angriffsziel. Wir erklären DNSSEC, verwaiste Einträge, Subdomain-Übernahme und den Schutz davor.
2. September 2026
OAuth 2.0 und OpenID Connect: Sicherheit, häufige Fehler und korrekte Nutzung
OAuth 2.0 dient der Autorisierung, OpenID Connect der Authentifizierung. Wir behandeln häufige Fehler wie das Verwechseln beider und locker geprüfte Redirect-URIs.
1. September 2026
Die 3-2-1-Backup-Regel: Die wirksamste Verteidigung gegen Ransomware
Ransomware verschlüsselt Ihre Daten; ein solides Backup ist der einzige zuverlässige Weg zur Wiederherstellung ohne Zahlung. Wir erklären die 3-2-1-Regel und unveränderliche Backups.
31. August 2026
Das Modell der geteilten Verantwortung in der Cloud: Wofür sind Sie zuständig?
Welcher Teil der Sicherheit gehört bei AWS, Azure und Google Cloud dem Anbieter, welcher Ihnen? Wir erklären das Modell der geteilten Verantwortung und häufige Fehler.
30. August 2026
DSGVO: Technische Mindestmaßnahmen auf der Web-Seite
DSGVO-Konformität ist vor allem ein rechtlicher Prozess, hat aber eine technische Dimension. Die technischen Mindestmaßnahmen für Web und Datensicherheit im Überblick.
29. August 2026
CORS-Fehlkonfiguration: Das stille Risiko, den Origin für alle zu öffnen
CORS ist kein Angriff, sondern eine Lockerung der Same-Origin-Policy des Browsers. Falsch konfiguriert gibt es Daten preis, die es schützen soll. Die Wildcard-plus-Credentials-Falle.
28. August 2026
E-Mail-Spoofing mit SPF, DKIM und DMARC verhindern: Schritt für Schritt
Ohne SPF, DKIM und DMARC kann jeder E-Mails im Namen Ihrer Domain versenden. So funktionieren diese drei DNS-basierten Kontrollen und so führen Sie sie sicher ein.
28. August 2026