Interviewfragen zur Sicherheit von Webanwendungen (Senior) mit Antworten

75 Fragen fürs Vorstellungsgespräch zur Sicherheit von Webanwendungen (Senior) mit richtigen Antworten, Erklärungen und Links zur Dokumentation.

Diesen Test machen
  1. 1.Wobei hilft das Modell STRIDE?
  2. 2.Wann ist Threat Modeling am nützlichsten?
  3. 3.Was ist die Kernidee der Zero-Trust-Architektur?
  4. 4.Wofür nutzt man OWASP ASVS?
  5. 5.Warum sind sichere Standardwerte in einer geteilten internen Bibliothek oder einem Framework wichtig?
  6. 6.Ein Team ergänzt einen Datenfluss: der Browser lädt Dateien hoch, die ein Hintergrund-Worker verarbeitet. Welche Frage ist für das Threat Model am wichtigsten?
  7. 7.Was bedeutet „Blast Radius“ im Sicherheitsentwurf?
  8. 8.Wie führt man Trusted Types in einer großen bestehenden App ein?
  9. 9.Was ist ein Script Gadget?
  10. 10.Was ist Mutation XSS (mXSS)?
  11. 11.Was bietet die HTML Sanitizer API (setHTML) gegenüber einer JavaScript-Sanitizer-Bibliothek?
  12. 12.Was ist Dangling Markup Injection?
  13. 13.Eine Richtlinie nutzt ein Nonce, aber die HTML-Seite wird von einem CDN gecacht und vielen Nutzern ausgeliefert. Was ist falsch?
  14. 14.Warum lässt sich eine CSP umgehen, die https://cdn.jsdelivr.net erlaubt?
  15. 15.Was erzwingt require-trusted-types-for 'script' tatsächlich?
  16. 16.In einem Designsystem umhüllt eine Komponente <RichText html={...} /> dangerouslySetInnerHTML. Was ist der robusteste Ansatz?
  17. 17.Warum kann XSS über postMessage selbst auf einer Website mit strikter CSP passieren?
  18. 18.Wie behandelt man CSP-Verstoßberichte im großen Maßstab sinnvoll?
  19. 19.Was ist das größte verbleibende Risiko, wenn eine strikte Nonce-CSP und Trusted Types aktiv sind?
  20. 20.Welche zwei Header machen eine Seite cross-origin isoliert?
  21. 21.Warum wurden SharedArrayBuffer und hochauflösende Timer nach Spectre eingeschränkt?
  22. 22.Wovor schützt Cross-Origin-Opener-Policy: same-origin?
  23. 23.Was sind XS-Leaks?
  24. 24.Was macht eine Resource Isolation Policy auf Basis der Fetch-Metadata?
  25. 25.Was ist Site Isolation in Browsern?
  26. 26.Was ändert Cross-Origin-Embedder-Policy: credentialless gegenüber require-corp?
  27. 27.Welche Attribute sollte ein iframe haben, der nicht vertrauenswürdiges HTML von Nutzern zeigt?
  28. 28.Warum liefern Sicherheitsteams von Nutzern hochgeladene Inhalte von einer eigenen Domain wie usercontent.example aus?
  29. 29.Was ist das Backend-for-Frontend-Muster (BFF) für die Authentifizierung einer SPA?
  30. 30.Tokens nur im Speicher einer SPA vs. HttpOnly-Cookies: was ist der zentrale Kompromiss?
  31. 31.Was ist die Erkennung wiederverwendeter Refresh-Tokens (Reuse Detection)?
  32. 32.Wovor schützen absendergebundene Tokens (zum Beispiel DPoP)?
  33. 33.Was ist der Angriff durch Algorithmusverwechslung bei JWT (RS256 zu HS256)?
  34. 34.Wie rotiert man JWT-Signaturschlüssel, ohne alle abzumelden?
  35. 35.Warum sind Passkeys (WebAuthn) resistent gegen Phishing?
  36. 36.Warum gilt SMS als schwächerer zweiter Faktor?
  37. 37.Welche Signale rechtfertigen eine Step-up-Authentifizierung mitten in einer Sitzung?
  38. 38.Wie setzt man „überall abmelden“ mit JWT-Access-Tokens um?
  39. 39.Warum sollten Antworten auf Login und Passwort-Reset für bestehende und unbekannte Konten etwa gleich lange dauern?
  40. 40.Wie sollte ein Dienst einen übergebenen API-Schlüssel oder eine HMAC-Signatur mit dem erwarteten Wert vergleichen?
  41. 41.Welche Zufallsquelle sollte man im Browser oder in Node.js für Sitzungs-IDs und Reset-Tokens nutzen?
  42. 42.Wer sollte laut OAuth 2.0 Security BCP (RFC 9700) PKCE nutzen?
  43. 43.Was ist ein OAuth-Mix-up-Angriff?
  44. 44.Wie kann ein Autorisierungscode oder Token über den Header Referer leaken?
  45. 45.Wovor schützt der OIDC-Parameter nonce?
  46. 46.Warum sollten API-Access-Tokens eine bestimmte Zielgruppe (aud) haben?
  47. 47.Warum rät der OAuth BCP vom Resource Owner Password Credentials Grant ab?
  48. 48.Ein OAuth-Anbieter erlaubt redirect_uri=https://app.com/callback/../open-redirect?to=evil. Welche Kombination führt zum Token-Leak?
  49. 49.Was ist Dependency Confusion?
  50. 50.Warum sind npm-Skripte postinstall ein Risiko für die Lieferkette?
  51. 51.Was bringt npm Package Provenance?
  52. 52.Was ist SLSA?
  53. 53.Ein Skript von einem CDN wird mit <script src="https://cdn.example/lib@3.2.1.js"> eingebunden. Wovor schützt integrity="sha384-..."?
  54. 54.Was ist das Hauptrisiko, viele Drittanbieter-Skripte über einen Tag Manager zu laden?
  55. 55.Wie behandelt man automatische Abhängigkeits-Updates (Dependabot, Renovate) sicher?
  56. 56.Was ist Typosquatting in Paket-Registries?
  57. 57.Welche CI-Praxis begrenzt den Schaden einer kompromittierten Abhängigkeit beim Build am besten?
  58. 58.Dein Server ruft für Link-Vorschauen eine vom Nutzer gelieferte URL ab. Was ist das größte Risiko?
  59. 59.Warum ist unsichere Deserialisierung gefährlich?
  60. 60.Was ist ReDoS?
  61. 61.Welcher Entwurf für Rate Limiting passt am besten zu einer öffentlichen Login-API?
  62. 62.Was sollte nie in Anwendungslogs erscheinen?
  63. 63.Was ist der Hauptvorteil eines Secrets Managers gegenüber Umgebungsvariablen in einem Repo?
  64. 64.Warum sollte man Datei-Uploads anhand des Inhalts und nicht nur der Endung prüfen?
  65. 65.Was ist BOLA in der OWASP API Security Top 10?
  66. 66.Warum braucht jede Next.js Server Action ihre eigene Autorisierungsprüfung?
  67. 67.Was war das Kernproblem der Next.js-Middleware-Schwachstelle von 2025 (CVE-2025-29927)?
  68. 68.Eine React Server Component lädt einen Nutzerdatensatz und gibt das ganze Objekt an eine Client Component. Was ist das Risiko?
  69. 69.Warum kann serverseitiges Rendern XSS wieder einführen, das das Client-Framework verhindern würde?
  70. 70.Eine App schickt Nutzereingaben an ein LLM und zeigt die Antwort als HTML. Welches Risiko nennt die OWASP LLM Top 10 zuerst?
  71. 71.Wo sollte in einer Full-Stack-App mit Framework die Autorisierungslogik liegen, um am zuverlässigsten zu sein?
  72. 72.Was beschreibt ein CVSS-Score?
  73. 73.Wofür ist /.well-known/security.txt da?
  74. 74.Was ist die richtige Reihenfolge der Schritte, wenn ein Produktions-Secret leakt?
  75. 75.Wie ergänzen sich automatisches Scannen (SAST/DAST), Pentests und Bug Bounties?