Broken Access Control
OWASP Top 10 #1 (2021). Sammelkategorie: IDOR, fehlende Zugriffskontrolle auf Funktionsebene, Rechteausweitung, Force-Browsing, Fehler bei der JWT-Ausstellung. Alles, wo die Autorisierung (auth-z) versagt, nicht die Authentifizierung (auth-n).
Konkrete Beispiele: Admin-Endpunkt ohne Admin-Prüfung (Vertrauen auf eine „unauffindbare URL"), JWT-Claims werden ohne erneute Prüfung übernommen, fehlerhafte RBAC-Regeln („alle haben für ein Zeitfenster Admin-Rechte"), falsch konfiguriertes CORS (Allow-Credentials + Allow-Origin *). Defense in Depth: Deny-by-Default, verpflichtende Autorisierungs-Middleware pro Endpunkt, RBAC- und ABAC-Frameworks (CASL, Cerbos, OPA). Automatisiertes Testen: Burp Suite und ZAP bieten Scanner für Autorisierungslücken. Moderne Best Practice: Policy-as-Code (OPA Rego) entkoppelt Autorisierung vom Anwendungscode.