Was ist XSS?
Cross-Site Scripting (XSS) ist eine Sicherheitslücke in Webanwendungen, bei der Angreifer schädlichen Code in eine Website einschleusen, der anschließend im Browser anderer Nutzer ausgeführt wird. Der Angriff nutzt das Vertrauen aus, das ein Nutzer einer Website entgegenbringt. XSS zählt zu den
häufigsten Sicherheitsrisiken im Web und betrifft besonders Seiten, die Nutzereingaben ungeprüft weiterverarbeiten.
Wie ein Angriff abläuft
Typischerweise gelangt der Schadcode über Eingabefelder, Kommentare oder Parameter auf die Seite — etwa wenn Inhalte ohne Prüfung gespeichert und später anderen Nutzern angezeigt werden. Wird dieser Code im fremden Browser ausgeführt, kann er beispielsweise Sitzungsdaten auslesen oder Eingaben manipulieren. Die Gefahr entsteht also dort, wo
Frontend und Nutzerinhalte ungeschützt aufeinandertreffen.
Schutzmaßnahmen
Wirksamer Schutz beginnt bei der konsequenten Prüfung und Bereinigung aller Eingaben sowie der korrekten Maskierung von Inhalten bei der Ausgabe, damit eingeschleuster
JavaScript-Code nicht ausgeführt wird. Ergänzend helfen Sicherheitsrichtlinien wie eine Content Security Policy. Sicherheit gehört damit fest in die Entwicklung — verwandt mit Grundlagen wie der
Kryptographie und sauberem, geprüftem
Quellcode. Regelmäßige Sicherheitstests und stets aktuelle Software-Komponenten senken das Risiko zusätzlich und gehören zu jeder verantwortungsvollen Wartung.
