Kurz gesagt: Benchmarking Ihres AppSec-Programms anhand der OWASP ASVS-Standards
OWASP ASVS ist ein Maßstab, kein Zertifikat. Sein Wert hängt davon ab, was man damit misst und welche Beweise man vorlegen kann, wenn jemand fragt, welchem Niveau die Anwendung entspricht.
- Es gibt keine offizielle OWASP ASVS-Zertifizierung. Eine Niveauangabe ist nur so aussagekräftig wie die dahinterliegende Überprüfung. Deshalb fragen Käufer und Prüfer zunehmend, wie die Angabe verifiziert wurde.
- Organisationen nutzen es hauptsächlich auf vier Arten: als sichere Entwicklungsgrundlage, Penetrationstest-Umfang, Beschaffungsanforderung und lückenorientierter Fahrplan.
- Die Einführung scheitert an Umfang und Zuständigkeit, nicht an mangelndem Sicherheitswissen. Viele Anforderungen erweisen sich als nicht anwendbar oder gehören einem anderen Team.
- Die Version ist wichtig. ASVS 5.0 hat die Stufen im Jahr 2025 neu geordnet, daher sollte jede Forderung und jeder Vertrag die jeweilige Version angeben, zum Beispiel.
v5.0.0. - Automatisieren Sie, was möglich ist, und überprüfen Sie den Rest. Die Scannerergebnisse werden den OWASP ASVS-Anforderungs-IDs zugeordnet, um einen Teil des Benchmarks aktuell zu halten; Designprüfungen und Tests decken den Rest ab.
Nahezu jedes AppSec-Team hat schon einmal von der OWASP Application Security Verification gehört. StandardOWASP ASVS ist besser bekannt als OWASP ASVS. Weitaus weniger Unternehmen können angeben, welches Niveau ihre Anwendungen tatsächlich erreichen, oder dies einem Auditor oder Kunden nachweisen. Genau hier liegt der Wert von OWASP ASVS – oder dessen Verlust.
Dieser Beitrag fasst nicht zusammen standard, Weil die standard Das gelingt ihm gut. Es untersucht, wie Organisationen OWASP ASVS tatsächlich nutzen, wo die Einführung Reibungspunkte schafft und wie die standard hat sich in 18 Jahren weiterentwickelt, und wie Sie Ihr eigenes Programm daran messen können.
Was OWASP ASVS ist, in einem Absatz
OWASP ASVS wurde 2008 eingeführt und ist ein Katalog von Sicherheitsanforderungen für Webanwendungen und APIs. Jede Anforderung ist so formuliert, dass sie objektiv überprüfbar ist. Die Anforderungen sind in drei kumulative Stufen unterteilt, sodass der Aufwand mit dem Risiko einer Anwendung skaliert. Im Gegensatz zu Rahmenwerken auf Organisationsebene wie ISO 27001 arbeitet OWASP ASVS mit konkreten Anforderungen, die Entwickler, Tester und Käufer gleichermaßen nutzen können. Die aktuelle Version… ASVS 5.0, wurde im Mai 2025 auf der Global AppSec EU in Barcelona live vorgestellt.
18 Jahre auf der Reifeleiter
OWASP ASVS hat sich seit 2008 stark verändert. Version 4.0 (2019) hat die Struktur grundlegend verändert. standard rund um das gestaffelte Niveaumodell, und 4.0.3 (2021) wurde jahrelang die Version, die von den Beschaffungsteams angegeben wurde. ASVS 5.0 modernisiert wurde es: etwa 350 Anforderungen in 17 Kapiteln, ein optimiertes Level 1, das die Einstiegshürde senken soll, neue Kapitel zur Web-Frontend-Sicherheit und zu in sich geschlossenen Token sowie eine eigene Website.
Das Muster über diese 18 Jahre hinweg ist eindeutig: die standard reifte schneller als seine Einführung. Viele Organisationen beziehen sich in Verträgen und Audits immer noch auf die 4.x-Anforderungen, obwohl sich die Anforderungen selbst weiterentwickelt haben.
Wer nutzt OWASP ASVS und wofür?
Fünf konkrete Anwendungsfälle, was jeder einzelne bietet und wo er typischerweise an seine Grenzen stößt.
| Arbeiten jederzeit weiterbearbeiten können. Jede Präsentation und jeder KI-Avatar, den Sie von Grund auf neu erstellen oder hochladen, | Wer benutzt es? | Was es liefert | Wo es bricht |
|---|---|---|---|
| Sichere Entwicklungsgrundlage | Entwickler und Architekten | Eine konkrete Definition von „ausreichend sicher“, die als Akzeptanzkriterium verwendet werden kann | Hunderte von Anforderungen, viele davon nicht zutreffend oder im Besitz eines anderen Teams. |
| Penetrationstest- und Auditumfang | Tester und Prüfer | Berichte, die Ergebnisse Anforderungs-IDs zuordnen und die Abdeckung aufzeigen, nicht nur eine Liste von Fehlern. | Die Ergebnisse können nur dann verglichen werden, wenn das Oszilloskop sowohl den Pegel als auch die Version erfasst. |
| Beschaffung und Verträge | Käufer- und Lieferantenrisikoteams | Eine klare Vorgabe in Ausschreibungen und Verträgen: „Das gelieferte System muss ASVS Level 2 entsprechen.“ | Da es keine offizielle Zertifizierung gibt, muss der Käufer selbst festlegen, welche Nachweise er akzeptiert. |
| GRC- und Compliance-Nachweise | Compliance-Teams | Zuordnungen zu Rahmenwerken wie ISO 27001 und PCI DSS zur Auditvorbereitung | Bleibt oft ein technisches standard dass GRC-Tools nicht verfolgen |
| Lückenanalyse und Roadmap | AppSec-Führungskräfte | Eine auf Ebenen basierende Lückenliste, die phasenweise geschlossen werden kann. | Veraltet schnell, wenn es nicht erneut überprüft wird, da der Code und die standard Übernehmen |
Wo die Einführung Reibungspunkte erzeugt.
Die hilfreichsten Erfahrungsberichte zur Einführung von OWASP ASVS stammen von Teams, die den Prozess durchlaufen haben. Ein detailliertes Beispiel ist der Bericht von SoftwareMills über … Implementierung von ASVS Level 2 in einem bestehenden System, eine ausgereifte Microservices-Plattform auf Kubernetes. Vier Erkenntnisse stechen hervor, und sie decken sich mit den Beobachtungen in der gesamten Branche.
Am Ende gibt es kein Zertifikat. OWASP zertifiziert keine ASVS-Stufen. In diesem Projekt wurde die Verifizierung durch Penetrationstests und ein internes Audit auf Basis eines jährlich wiederholten Selbstbewertungsbogens durchgeführt. Jede Angabe wie „OWASP ASVS Level 2“ bezieht sich auf einen Verifizierungsprozess, und Käufer fragen zunehmend nach diesem Prozess.
Die Festlegung des Geltungsbereichs erfordert mehr Arbeit als die reine Sicherheit. Von den 267 Anforderungen der Stufe 2, die das Team überprüfte, waren mehr als die Hälfte bereits erfüllt und 80 nicht zutreffend. Einige Anforderungen fielen gar nicht in den Zuständigkeitsbereich des Teams: Die Identitätsverwaltung erfolgte durch ein anderes internes Team, das seine eigene ASVS-Prüfung bestehen musste. Eine ASVS-Stufe ist einem System zugeordnet, und Systeme überschreiten Teamgrenzen.
Versionen weichen voneinander ab. Zwischen Version 4.0.3 und 5.0 wurden einige Anforderungen zwischen verschiedenen Stufen verschoben. Eine vom Team markierte JSON-Validierungsanforderung wurde in der neuen Version von Stufe 1 auf Stufe 3 hochgestuft. Ein Benchmark, der keine Versionsbindung vornimmt, misst somit an einem sich ständig verändernden Ziel.
Die GRC-Frage ist noch offen. OWASP ASVS wurde für die Anwendung in Verträgen entwickelt: Der Käufer definiert ein erforderliches Niveau, und der Verkäufer weist nach, dass die Software dieses erfüllt. In der Praxis nutzen viele Organisationen OWASP ASVS jedoch weiterhin hauptsächlich als Entwicklungs- und Testwerkzeug. Compliance-Teams ordnen es zwar übergeordneten Rahmenwerken zu, die Verknüpfung zwischen einer Anforderungs-ID und den entsprechenden Nachweisen erfolgt aber oft manuell, was die kontinuierliche Berichterstattung erschwert.
Wie Sie Ihr AppSec-Programm anhand von OWASP ASVS bewerten können
Ein praktischer Benchmark beginnt nicht mit Anforderung 1.1.1. Er beginnt mit decisIonen über den Umfang.
- Kategorisieren Sie Ihre Anwendungen und weisen Sie ihnen ein Zielniveau zu. Stufe 1 als Basis für alles, Stufe 2 für Anwendungen, die sensible Daten verarbeiten, Stufe 3 nur für kritische Systeme.
- Version anpinnen. Vergleichen Sie die Ergebnisse mit Version 5.0.0 und geben Sie die Anforderungs-IDs entsprechend an, damit die Ergebnisse im Laufe der Zeit vergleichbar bleiben.
- Zielen, bevor man ein Tor schießt. Anforderungen, die nicht zutreffen, sind mit einer schriftlichen Begründung zu kennzeichnen. Für jede Anforderung, die über Teamgrenzen hinausgeht, ist ein Verantwortlicher zu benennen.
- Automatisieren Sie die verifizierbare Ebene. Ergebnisse des Kartenscanners (Code, Infrastruktur als Code, pipelines) zu den OWASP ASVS-Anforderungs-IDs, sodass ein Teil des Benchmarks bei jedem Scan aktualisiert wird, anstatt nur einmal im Jahr.
- Den Rest manuell überprüfen. Architektur-, Geschäftslogik- und Prozessanforderungen erfordern Designprüfungen, Bedrohungsmodellierung und Tests.
- Aus Lücken einen gestaffelten Fahrplan entwickeln. Schließen Sie die Lücken der Ebene 1 im gesamten Portfolio, bevor Sie einzelne Anwendungen auf Ebene 2 weiterleiten.
- Eine erneute Überprüfung sollte regelmäßig und nach größeren Änderungen erfolgen. Eine jährliche Überprüfung ist ein übliches Minimum. Kontinuierliche Nachweise aus Ihren Tools verkürzen die jährliche Überprüfung erheblich.
Über die Anwendung hinaus: ASVS und SPVS
OWASP ASVS deckt die Anwendung ab. Es deckt nicht die pipeline Das Unternehmen baut und versendet die Produkte, und genau dort enden viele der schädlichsten Angriffe auf die Lieferkette. Diese Lücke ist das, was die OWASP Secure Pipeline Verification Standard (SPVS) behandelt: ein auf dem Reifegrad basierendes Kontrollsystem für die Phasen Planung, Entwicklung, Integration, Freigabe und Betrieb, das im Oktober 2025 die Version 1.0 erreichte.
Die beiden standardSie funktionieren als Paar: ASVS für das, was Sie bauen, SPVS für die Art und Weise, wie Sie es bauen.
Wie Xygeni Ergebnisse OWASP ASVS zuordnet
OWASP ASVS ist eines der standardXygeni konzentriert sich neben SPVS vor allem auf diesen Bereich. SAST, IaC und CI/CD Die Detektoren werden mit der jeweiligen ASVS-Anforderung gekennzeichnet. Dadurch ändert sich die Bedeutung eines Ergebnisses: Es handelt sich nicht mehr nur um „ein Problem in dieser Datei“, sondern um einen Beleg für oder gegen eine spezifische Anforderung in Ihrem Benchmark.
Diese Erkenntnisse fließen ein in Xygeni ASPM, wo sie zusammen mit den Ergebnissen aus dem Rest Ihres Technologie-Stacks priorisiert werden. Pipeline Erkenntnisse aus Xygeni CI/CD Sicherheit und IaC Schecks Erweitern Sie dieselbe Logik über den Code hinaus. Wenn Sie wissen, welche Anforderungen Ihre Tools bereits abdecken, können Sie die manuelle Überprüfung auf diejenigen konzentrieren, die tatsächlich eine menschliche Prüfung erfordern.
Sehen Sie, wie Ihre Ergebnisse den OWASP ASVS-Anforderungen zugeordnet werden.
Ein einmal jährlich aktualisierter Benchmark beschreibt die Anwendung des Vorjahres. Kontakt Xygeni-Karte anzeigen SAST, IaC und CI/CD Ergebnisse im Hinblick auf die OWASP ASVS-Anforderungen oder Kostenlos starten und scannen Sie noch heute Ihre ersten Repositories.
FAQ
Gibt es eine offizielle OWASP ASVS-Zertifizierung?
Nein. OWASP zertifiziert keine ASVS-Stufen. Organisationen überprüfen diese durch Penetrationstests, Audits und Selbstbewertungen, daher ist der Nachweis einer Stufenangabe genauso wichtig wie die Angabe selbst.
Was hat sich in ASVS 5.0 geändert?
Version 5.0, veröffentlicht im Mai 2025, enthält rund 350 Anforderungen in 17 Kapiteln, ein optimiertes Level 1, neue Kapitel wie Web-Frontend-Sicherheit sowie aktualisierte Hinweise zu Kryptographie und Authentifizierung.
Welches OWASP ASVS-Level sollte meine Anwendung anstreben?
Stufe 1 ist die Basis für jede Anwendung, Stufe 2 eignet sich für die meisten Geschäftsanwendungen, die sensible Daten verarbeiten, und Stufe 3 ist für kritische Systeme vorgesehen, bei denen ein Verstoß schwerwiegende Folgen hätte.
Worin besteht der Unterschied zwischen OWASP ASVS und SPVS?
OWASP ASVS definiert Sicherheitsanforderungen für die Anwendung selbst. SPVS definiert überprüfbare Kontrollen für die pipeline Das Unternehmen entwickelt, testet und liefert es aus.
