Framework

Die Richtung der Aufrufe. Eine Bibliothek wird vom eigenen Code aufgerufen, ein Framework ruft den eigenen Code auf und gibt dafür Struktur, Ablauf und Benennung vor. Die praktische Folge: Eine Bibliothek lässt sich austauschen, ohne die Anwendung umzubauen; ein Wechsel des Frameworks ist keine Umstellung, sondern eine Neuentwicklung. Deshalb ist die Wahl einer Bibliothek eine Entscheidung für ein Projektjahr, die des Frameworks eine für die gesamte Lebensdauer der Anwendung.

Zwischen acht Monaten und vier Jahren, je nach Hersteller. Laravel nennt in seiner Unterstützungstabelle 18 Monate Fehlerkorrekturen und 24 Monate Sicherheitskorrekturen je Hauptversion. Symfony gibt für eine Fassung mit Langzeitunterstützung 3 Jahre Fehler- und 4 Jahre Sicherheitskorrekturen zu, für eine Standardfassung 8 Monate. Angular unterstützt 24 Monate, davon 12 aktiv – Herstellerangaben, abgerufen am 14.09.2026. Wer diese Enddaten nicht im Kalender führt, betreibt die Anwendung irgendwann ohne Sicherheitsupdates, ohne es zu bemerken.

Die Korrektur kommt meist schnell, eingespielt werden muss sie aber im eigenen Projekt. Beim Spring Framework wurde die Lücke CVE-2022-22965 am 31. März 2022 mit dem Schweregrad 9,8 von 10 veröffentlicht; die bereinigten Fassungen standen laut Herstellermeldung am selben Tag bereit. Verbreitung wirkt dabei in beide Richtungen: Sie verkürzt die Zeit bis zur Korrektur und macht dieselbe Anwendung zum Ziel automatisierter Massenscans, weil Angreifer die Bauweise kennen.

Auf zwei prüfbare Dinge: die Lizenz und eine Unterstützungstabelle mit Enddaten. Eine unwiderrufliche Lizenz wie MIT oder Apache 2.0 nimmt dem Anbieter die Möglichkeit, Bedingungen später zu verschärfen; eine Tabelle mit Datum macht aus einer Zusage eine Planungsgröße. Der Ernstfall ist dokumentiert: Google stellte AngularJS zum 31. Dezember 2021 ein, der Nachfolger Angular war nicht kompatibel, und Sicherheitskorrekturen gibt es seither nur noch kommerziell von Dritten.

Es liefert den Mechanismus, nicht die Regel. Ein Framework kann prüfen, ob ein angemeldeter Nutzer eine Berechtigung besitzt; welcher Nutzer welchen Datensatz sehen darf, steht nirgends im Framework und muss in jeder Anwendung eigens festgelegt werden. Genau dort liegt der häufigste Fehler: Fehlerhafte Zugriffskontrolle führt die OWASP-Liste der zehn größten Risiken in der Ausgabe 2025 auf Rang eins, mit der höchsten Zahl gezählter Vorkommen aller zehn Kategorien.