Was ist CSRF und wie verhinderst du es?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** verleitet den Browser eines angemeldeten Benutzers dazu, **ungewollte Anfragen** an eine Website zu senden, auf der dieser authentifiziert ist — und führt Aktionen aus (Überweisungen, Änderungen) ohne seine Zustimmung durch, indem die automatische Übertragung von Anmeldedaten/Cookies durch den Browser ausgenutzt wird. ## Wie CSRF funktioniert ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prävention ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Warum es wichtig ist Das Verständnis von CSRF und wie man es verhindert, ist wertvoll, weil es eine **häufige Web-Sicherheitslücke** ist, die ausnutzt, wie Browser funktionieren, und es Angreifern ermöglicht, Aktionen als authentifizierte Benutzer auszuführen — deshalb ist es wichtiges Sicherheitswissen für Web-Entwickler. Zu verstehen, **wie CSRF funktioniert** — indem man ausnutzt, dass Browser **automatisch Cookies senden** (einschließlich Session-Cookies) bei Anfragen, sodass eine bösartige Seite eine Anfrage zu einer Website auslösen kann, auf der der Benutzer angemeldet ist, und der Browser das Session-Cookie einbezieht, wodurch die Website die gefälschte Anfrage als legitim behandelt und die Aktion ausführt (Überweisungen, Kontoänderungen) ohne Zustimmung des Benutzers — ist notwendig, um diesen subtilen, aber gefährlichen Angriff zu verstehen. CSRF ist gefährlich, weil es sensible Aktionen im Namen des Opfers ausführen kann, ohne dass dieses davon weiß, und es ist eine häufige Web-Sicherheitslücke. Das Verständnis der **Prävention** ist entscheidend: **CSRF-Token** (ein eindeutiges, unvorhersehbares Token pro Sitzung/Formular, das der Server überprüft — die Website des Angreifers kann es nicht kennen, daher schlagen gefälschte Anfragen fehl; die primäre traditionelle Verteidigung), **SameSite-Cookies** (SameSite=Lax/Strict einstellen, damit Cookies nicht bei Cross-Site-Anfragen gesendet werden, nun eine starke Browser-Level-Verteidigung, die zunehmend Standard ist), Überprüfung von Origin/Referer-Headern, Wiederauthentifizierung für sensible Aktionen erforderlich und keine GET-Anfragen für statusändernde Operationen. Zu verstehen, dass **Frameworks oft CSRF-Schutz integriert bieten** (der aktiviert und verwendet werden sollte), ist praktisch wichtig. Die Kombination von CSRF-Token und SameSite-Cookies bietet robusten Schutz. Da CSRF eine häufige Web-Sicherheitslücke ist, die Browser-Verhalten ausnutzt, um ungewollte Aktionen als authentifizierte Benutzer auszuführen, und da das Verständnis dafür, wie es funktioniert und wie man es verhindert (CSRF-Token, SameSite-Cookies, Framework-Schutz), für Web-Entwickler wichtig ist, ist das Verständnis von CSRF und seiner Prävention wertvolles, praktisch relevantes Sicherheitswissen — eine wichtige Web-Sicherheitslücke, die verstanden und verteidigt werden sollte, bei der die Abwehrmaßnahmen (CSRF-Token und SameSite-Cookies) Schlüsselwissen zum Schutz von Benutzern vor ungewollten Aktionen sind, eine bemerkenswerte Angriffsklasse für jede Web-Anwendung mit authentifizierten zustandsändernden Operationen.