Sicherheitsfehler, die Startups 2025 das Genick brechen

Wir pruefen Startup-Codebases. Das finden wir dabei.

Im vergangenen Jahr haben wir die Sicherheit von ueber 20 Startups ueberprueft. Die Muster sind erschreckend einheitlich.

Es handelt sich nicht um raffinierte Angriffsvektoren. Es sind grundlegende Schwachstellen, die existieren, weil Sicherheit "spaeter noch drankommt".

Die 7 haeufigsten Schwachstellen

1. Fehlerhafte Zugriffssteuerung (in 85% der Audits gefunden)

Die haeufigste und gefaehrlichste Schwachstelle. Beispiele:

• Nutzer A kann die Daten von Nutzer B einsehen, indem er eine ID in der URL aendert
• Admin-Endpunkte sind fuer normale Nutzer zugaenglich
• Die API liefert mehr Daten zurueck, als das Frontend anzeigt

Reale Auswirkung: Ein Startup legte 50.000 Kundendatensaetze offen, weil die API darauf vertraute, dass der Client nur eigene Daten abfragt.

Loesung: Serverseitige Autorisierung bei jeder Anfrage. Niemals dem Client vertrauen.

2. Secrets im Code (in 70% der Audits gefunden)

API-Keys, Datenbankpasswoerter, Verschluesselungsschluessel -- ins Git committet.

"Aber es ist ein privates Repository" hilft nicht, wenn:

• Der Laptop eines Auftragnehmers gestohlen wird
• Ein Mitarbeiter geht und den Zugang behaelt
• Sie das Repository fuer 5 Minuten versehentlich oeffentlich machen

Reale Auswirkung: Wir fanden produktive AWS-Schluessel in 3 verschiedenen Repositories. Vollstaendiger Account-Zugriff.

Loesung: Umgebungsvariablen. Secret-Management. Keine Ausnahmen.

3. SQL-Injection (in 40% der Audits gefunden)

Ja, in 2025. Kommt immer noch vor.

Meistens nicht in der Haupt-Codebase -- sondern in Admin-Tools, Reporting-Scripts oder "temporaeren" Features, die dauerhaft wurden.

Reale Auswirkung: Vollstaendiger Datenbankzugriff. Alle Nutzerdaten, alle Zugangsdaten, alle Zahlungsinformationen.

Loesung: Parametrisierte Abfragen. Immer. ORMs helfen, sind aber kein Allheilmittel.

4. Unsicheres Session-Management (in 55% der Audits gefunden)

Sessions, die nie ablaufen. Tokens im localStorage gespeichert. Keine Session-Invalidierung bei Passwortaenderung.

Reale Auswirkung: Account-Uebernahme bleibt bestehen, selbst nachdem der Nutzer sein Konto "gesichert" hat.

Loesung: Ordentliches Session-Handling. Kurze Ablaufzeiten. Invalidierung bei sicherheitsrelevanten Ereignissen.

5. Fehlendes Rate-Limiting (in 75% der Audits gefunden)

Login-Endpunkte ohne Schutz gegen Brute-Force. API-Endpunkte, die unbegrenzt aufgerufen werden koennen.

Reale Auswirkung: Credential-Stuffing-Angriffe haben Erfolg. API-Kosten explodieren durch Missbrauch.

Loesung: Rate-Limiting auf allen oeffentlichen Endpunkten. Exponentielles Backoff bei fehlgeschlagenen Authentifizierungsversuchen.

6. Geschwatzige Fehlermeldungen (in 60% der Audits gefunden)

Stack-Traces in API-Antworten. Datenbankfehler fuer Nutzer sichtbar. Interne Pfade in Fehlerseiten offengelegt.

Reale Auswirkung: Angreifer erfahren Ihren Technology-Stack, die Dateistruktur und potenzielle Schwachstellen.

Loesung: Generische Fehlermeldungen fuer Nutzer. Detailliertes Logging fuer Sie.

7. Veraltete Abhaengigkeiten (in 90% der Audits gefunden)

npm-Pakete mit bekannten CVEs. Frameworks, die zwei Major-Versionen zurueckliegen. "Wenn es laeuft, nicht updaten."

Reale Auswirkung: Bekannte Schwachstellen mit oeffentlich verfuegbaren Exploits. Selbst Script-Kiddies koennen Sie angreifen.

Loesung: Automatisierte Abhaengigkeits-Updates. Regelmaessiger Security-Patching-Zeitplan.

Die unbequeme Wahrheit

Die meisten Startups werden nicht von raffinierten Angreifern gehackt.

Sie werden von automatisierten Scannern gehackt, die bekannte Schwachstellen finden. Von Script-Kiddies, die Tools ausfuehren, die sie kaum verstehen. Von Gelegenheitsangreifern, die ueber tiefhaengende Fruechte stolpern.

Das ist gleichzeitig gute und schlechte Nachricht.

Gut: Sie brauchen keine Sicherheit auf Geheimdienstniveau. Schlecht: Grundlegende Sicherheitsmaengel sind peinlich haeufig.

Wie "ausreichende" Sicherheit aussieht

Sie muessen nicht unhackbar sein. Sie muessen schwerer zu hacken sein als das naechste Ziel.

Minimale Sicherheitsanforderungen:

1. Zugriffssteuerung, die tatsaechlich funktioniert -- Testen Sie sie. Brechen Sie sie selbst, bevor Angreifer es tun. 2. Keine Secrets im Code -- Punkt. Nicht verhandelbar. 3. Aktualisierte Abhaengigkeiten -- Automatisiert. Nicht "wenn wir daran denken". 4. Rate-Limiting -- Auf allem, was oeffentlich zugaenglich ist. 5. Security-Header -- CSP, HSTS, X-Frame-Options. Einfache Siege. 6. Logging und Monitoring -- Wissen, wenn etwas nicht stimmt.

Das ist nicht paranoid. Das ist die Basis.

Wir koennen helfen

Wir bieten Sicherheitsaudits an, die diese Probleme finden, bevor Angreifer es tun. Und wir bauen Systeme, bei denen Sicherheit das Fundament ist, nicht ein nachtraeglicher Gedanke.

Wenn Sie nicht sicher sind, wo Sie stehen, beginnen Sie mit einer Bestandsaufnahme.