A01 Broken Access Control: Definierter Rollen- und Berechtigungskatalog, anwendungsseitig erzwungene Mandantentrennung (verpflichtende Mandanten-ID auf jedem Datensatz + mandantenbezogene Abfragen), Objekt-basierte Autorisierung pro Entität, zustandslose Sitzungen.

A02 Cryptographic Failures: TLS 1.2+/1.3, AES-256 auf jeder Speicherebene; Kundendokumente werden zusätzlich mit einem dedizierten mandantenspezifischen Schlüssel verschlüsselt, keine lokale Passwortspeicherung.

A03 Injection: Ausschliesslich typsichere Abfragen (kein rohes SQL), WAF-Injection-Muster, Vue-Auto-Escaping, sichere Deserialisierung.

A04 Insecure Design: Geschichtete Architektur, CSRF-Schutz, Rate-Limiting.

A05 Security Misconfiguration: IaC-Scanning, isolierte Managementports, keine Standard-Zugangsdaten, Schemata-Validierung.

A06 Vulnerable Components: Automatische Abhängigkeitsprüfung (CVSS ≥ 7 blockiert Build), kontinuierliches Monitoring.

A07 Authentication Failures: OAuth2/OIDC, MFA, JWT-Validierung mit Issuer-Whitelist.

A08 Data Integrity Failures: CI/CD-Gates, Secret-Scanning, sichere Deserialisierung.

A09 Logging Failures: Audit Trail, CloudTrail, Echtzeit-Fehlertracking.

A10 SSRF: IMDSv2 erzwungen, keine benutzerdefinierten URLs, WAF, VPC-Isolation.