Eine Webanwendung hat eine Schwachstelle: Öffnet ein angemeldeter Nutzer eine vom Angreifer präparierte Fallenseite, sendet sein Browser vom Nutzer nicht beabsichtigte Anfragen an die legitime Website, etwa Überweisungen oder Einstellungsänderungen. Welche Gegenmaßnahme ist angemessen?

Antwort: A. In die Formulare für wichtige Vorgänge einen nicht vorhersagbaren Zufallswert (Token) pro Sitzung einbetten und beim Empfang einer Anfrage prüfen, ob der Wert korrekt ist

Diese Schwachstelle heißt Cross-Site Request Forgery (CSRF). Beim Senden einer Anfrage an die legitime Website hängt der Browser automatisch deren Cookies (die Informationen der angemeldeten Sitzung) an, egal von welcher Seite die Anfrage ausgeht. Beurteilt der Server eine Anfrage allein anhand der Cookies als echten Vorgang des angemeldeten Nutzers, akzeptiert er deshalb auch Anfragen, die eine Fallenseite den Browser senden ließ. Die grundlegende Gegenmaßnahme ist, nur in die legitimen Formulare einen nicht vorhersagbaren Zufallswert pro Sitzung (CSRF-Token) einzubetten und ihn auf dem Server zu prüfen. Die Fallenseite kann diesen Wert nicht erfahren und daher keine gültige Anfrage erzeugen. Weitere Maßnahmen sind das Attribut SameSite, damit Cookies nicht an Anfragen von anderen Websites angehängt werden, und die erneute Passworteingabe vor wichtigen Vorgängen wie Überweisungen. Der Unterschied zu XSS: XSS bettet ein schädliches Skript in die Website ein, CSRF bringt dagegen den Browser des Nutzers dazu, legitim aussehende Anfragen zu senden.