Webanwendungen weisen im Schnitt 20 Sicherheitslücken auf

Einfache Nachlässigkeiten und Fehlkonfigurationen gefährden Unternehmensanwendungen. Ein neuer Bericht offenbart die häufigsten Schwachstellen.

Ein aktueller Untersuchungsbericht des IT-Sicherheitsanbieters Barracuda Networks zeigt gravierende Sicherheitsmängel bei der Absicherung von Unternehmens-Webanwendungen auf. Durch die Auswertung mehrerer Hundert Sicherheits-Scans aus dem Jahr 2026 ermittelten die Forscher, dass eine durchschnittliche Webanwendung 20 potenzielle Schwachstellen aufweist.

Der Großteil dieser Risiken beruht nicht auf hochkomplexen Sicherheitslücken, sondern auf vermeidbaren Konfigurationsfehlern und mangelnder Sorgfalt bei der Systempflege. Rund 90 Prozent aller identifizierten Mängel lassen sich dabei auf sieben zentrale Kategorien zurückführen.

Die häufigsten Schwachstellen-Kategorien bei Webanwendungen im Überblick

Die Analyse schlüsselt die identifizierten Risiken wie folgt auf:

• Informationspreisgabe (25 %): Anwendungen geben ungewollt Systemstrukturen, Pfade oder Admin-Bereiche preis. Angreifer nutzen diese Daten zur spurlosen Kartierung der Zielinfrastruktur.
• Markenimitation & Spoofing (23 %): Erleichtert Kriminellen das Klonen von Websites und das Versenden überzeugender Phishing-E-Mails im Namen des Unternehmens.
• Client-seitige Angriffe (14 %): Schwachstellen bei der Darstellung von Inhalten ermöglichen Cross-Site-Scripting (XSS) und den Diebstahl von Sitzungscookies im Browser.
• Unbeabsichtigte Datenoffenlegung (10 %): Sensible Informationen, API-Tokens oder personenbezogene Daten werden über ungeschützte Antworten, Logs oder Cookies geleakt.
• Verschlüsselungs-, Software- & Sitzungsmängel (17 %): Mangelhafte Verschlüsselung (6 %), veraltete Softwareversionen (6 %) sowie Fehler in der Sitzungsverwaltung und Rechtevergabe (5 %) runden das Risikoprofil ab.

Verkettung von Einzellücken erhöht das Gesamtrisiko

Sicherheitsexperten warnen davor, Schwachstellen mit geringem oder mittlerem Risiko zu unterschätzen.

„Auch wenn nicht jedes Problem für sich genommen kritisch ist, verketten Angreifer häufig mehrere Schwachstellen, um sensible Informationen offenzulegen, Zugangsdaten zu stehlen oder sich unbefugten Zugriff zu verschaffen.“

Jesus Cordero-Guzman, Director Solution Architects bei Barracuda

Unternehmen wird geraten, Anwendungen kontinuierlich auf Fehlkonfigurationen zu scannen, Softwareabhängigkeiten zeitnah zu aktualisieren, die Datenausgabe auf das Minimum zu begrenzen und Verschlüsselungs- sowie Authentifizierungsstandards konsequent zu stärken.

(Barracuda/red)