Interviewfragen zur Sicherheit von Webanwendungen mit Antworten

Beispielfragen

Ein paar Fragen aus jedem Level mit richtiger Antwort und Erklärung.

Sicherheit von Webanwendungen · Junior

1. Wofür steht die CIA-Triade in der Informationssicherheit?
   ▸Antwort zeigen

   Richtige Antwort: Confidentiality, Integrity, Availability

   Vertraulichkeit heißt, nur die richtigen Personen sehen die Daten, Integrität, dass sie nicht unerlaubt geändert werden, und Verfügbarkeit, dass das System funktioniert, wenn es gebraucht wird. Die meisten Angriffe treffen mindestens eines der drei.

2. Ein Formular prüft per JavaScript, dass das Feld für das Alter eine Zahl von 18 bis 120 ist. Reicht das zum Schutz des Servers?
   ▸Antwort zeigen

   Richtige Antwort: Nein: Anfragen können die Seite umgehen, also muss der Server auch prüfen

   Validierung auf dem Client dient der Nutzererfahrung. Jeder kann eine Anfrage mit curl oder DevTools senden, daher muss jede wichtige Regel auf dem Server erneut geprüft werden.

3. Was ist die OWASP Top 10?
   ▸Antwort zeigen

   Richtige Antwort: Eine regelmäßig aktualisierte Liste der größten Sicherheitsrisiken von Web-Apps

   OWASP (Open Worldwide Application Security Project) veröffentlicht die Top 10 als Dokument zur Sensibilisierung. Fehlerhafte Zugriffskontrolle, Injection und Sicherheitsfehlkonfiguration gehören zu den Einträgen.

4. Was bedeutet das Prinzip der geringsten Rechte (Least Privilege)?
   ▸Antwort zeigen

   Richtige Antwort: Jeder bekommt nur die Rechte, die er für seine Aufgabe braucht

   Wird ein Konto oder Schlüssel mit minimalen Rechten kompromittiert, bleibt der Schaden begrenzt. Ein Datenbanknutzer für einen reinen Lesebericht sollte zum Beispiel keine Tabellen löschen können.

Sicherheit von Webanwendungen · Middle

1. Ein Wert wird HTML-escaped und dann in ein Inline-Skript gesetzt: <script>var q = '{{value}}';</script>. Warum ist das trotzdem unsicher?
   ▸Antwort zeigen

   Richtige Antwort: Ein JS-String-Kontext braucht JS-Kodierung, kein HTML-Escaping

   Jeder Kontext hat eigene Regeln fürs Escaping. Am sichersten vermeidet man es: Daten in ein data--Attribut oder einen JSON-Block legen und aus dem eigenen Skript lesen.

2. Welches davon ist eine Senke (Sink) für DOM-XSS?
   ▸Antwort zeigen

   Richtige Antwort: element.insertAdjacentHTML()

   Senken parsen Strings als HTML oder Code: innerHTML, outerHTML, insertAdjacentHTML, document.write, eval, setTimeout(string) und URL-Properties, die javascript: akzeptieren.

3. Welches davon ist eine typische Quelle für DOM-XSS?
   ▸Antwort zeigen

   Richtige Antwort: location.hash

   Quellen sind Werte, die ein Angreifer kontrollieren kann: die URL (location, hash, search), document.referrer, postMessage-Daten und gespeicherte Werte anderer Nutzer.

4. Warum ist eval(userInput) oder new Function(userInput) immer gefährlich?
   ▸Antwort zeigen

   Richtige Antwort: Es führt jeden String als Code mit den Rechten der Seite aus

   Stammt irgendein Teil des Strings von Nutzern, kontrollieren sie den Code. Eine strikte CSP blockiert diese Aufrufe zudem, außer 'unsafe-eval' ist gesetzt.

Sicherheit von Webanwendungen · Senior

1. Wobei hilft das Modell STRIDE?
   ▸Antwort zeigen

   Richtige Antwort: Bedrohungen nach Kategorien finden, etwa Spoofing und Tampering

   Geht man für jede Komponente und jeden Datenfluss jede Kategorie durch, wird es unwahrscheinlicher, eine ganze Klasse von Bedrohungen zu übersehen.

2. Wann ist Threat Modeling am nützlichsten?
   ▸Antwort zeigen

   Richtige Antwort: Beim Entwurf, und erneut, wenn sich die Architektur ändert

   Entwurfsfehler wie das Vertrauen auf eine Rolle vom Client sind am Whiteboard günstig zu beheben und in Produktion teuer.

3. Was ist die Kernidee der Zero-Trust-Architektur?
   ▸Antwort zeigen

   Richtige Antwort: Kein Vertrauen aufgrund des Netzwerkorts: jede Anfrage wird geprüft

   Im VPN oder Cluster zu sein macht einen Aufruf nicht vertrauenswürdig. Dienste prüfen bei jeder Anfrage Identität und Berechtigungen.

4. Wofür nutzt man OWASP ASVS?
   ▸Antwort zeigen

   Richtige Antwort: Eine detaillierte Liste prüfbarer Sicherheitsanforderungen nach Stufen

   Die Top 10 sensibilisieren; ASVS ist eine Checkliste, aus der man Anforderungen und Testpläne ableiten kann.

Kombinierte Tests mit diesem Thema

Fragen aus mehreren Themen auf einmal, wie im Vorstellungsgespräch für eine konkrete Stelle.