Erkenntnisse aus der Praxis – keine Lehrbuchdefinitionen, sondern echte Probleme, auf die ich gestoßen bin, und wie ich sie gelöst habe.
36 Beiträge30 ThemenNeueste 25. Oktober 2026
Eine Web-App, PostgreSQL und Redis zu deployen sollte keine 200 $ im Monat an „Cloud-Steuer“ kosten. So kombiniert Dokku SSH, Git, Docker und Nginx zu einem schlanken Heroku-Erlebnis ohne Downtime auf deinem eigenen 5-$-Linux-Server.
PHP, Python, C#, Node.js, Ruby, Go ... dazu Next.js, Express, Laravel, .NET, Django und Flask. Wer heute mit dem Backend startet, wird vom Ökosystem schnell erschlagen. Hier ist ein pragmatischer, zielbasierter Rahmen für die Wahl deines Stacks.
Versionsnummern wie 1.4.2 oder 0.1.0 in deiner package.json sind keine zufälligen Labels, sondern strikte Verträge. Hier erfährst du, wie SemVer, CalVer, ZeroVer und die Versionierung per Git-Commit-Hash funktionieren und wie du fehlerhafte Production-Updates vermeidest.
Abseits des Clickbaits rund um die PHP-Meldung CVE-2026-115560 (CVSS 6.4): Wie Laufzeitänderungen an session.serialize_handler mit session.upload_progress kollidieren und PHP Object Injection auslösen, und die php.ini-Gegenmaßnahme in einer Zeile.
Wenn du in der URL /invoices/1042 zu /invoices/1043 änderst und damit die private Rechnung eines anderen Kunden siehst, hat dein Backend eine IDOR-Schwachstelle (Broken Object Level Authorization) – die Nummer 1 der OWASP API Security Top 10.
Jede Woche begegnen dir Dependabot-Warnungen und Schlagzeilen mit CVE-Kennungen und CVSS-Scores wie 9.8 oder 10.0. So funktioniert das weltweite System zur Erfassung von Schwachstellen und so sieht die Formel hinter einer kritischen 10.0 aus.
Ein Nutzer mit wackeliger Mobilfunkverbindung tippt dreimal auf „Jetzt bezahlen“ und wird dreimal für dieselbe Bestellung belastet. Warum es nicht reicht, den Button im Frontend zu deaktivieren, und wie Backends auf Stripe-Niveau mit Idempotency Keys eine genau einmalige Ausführung garantieren.
Eine Welle kritischer Schwachstellen (CVSS 9.8+) hat die Grundpfeiler moderner Backends getroffen: PHP, Node.js und Java. Eine technische Tiefenanalyse der Remote-Code-Execution-Exploits (RCE) und sofortige Gegenmaßnahmen.
Code, der auf deinem Laptop mit 3 Testzeilen in 5 ms läuft, kann beim Auflisten von 100 Bestellungen leicht deinen PostgreSQL-Server in der Produktion lahmlegen. So entsteht die N+1-Query-Falle in modernen ORMs und so behebst du sie mit einer Zeile.
Was passiert in den Millisekunden, nachdem dein Backend eine Passwort-Reset-Mail ausgelöst hat? Von SMTP-Relays und DNS-MX-Abfragen bis zum kryptografischen Dreiergespann (SPF, DKIM, DMARC), das deine Transaktions-Mails aus dem Spam-Ordner hält.
Themen
10
# Backend10 2026-10-25 Durch den Dschungel: Welche Backend-Sprache und welches Framework solltest du 2026 wählen?2026-10-24 PHP CVE-2026-115560 im Detail: Session Upload Progress und Serialize-Handler-Mismatch erklärt2026-10-24 Was ist eine IDOR-Schwachstelle? Authentication vs. Authorization und wie du BOLA verhinderst2026-10-23 Was ist eine CVE und was bedeutet ein CVSS-Score von 10.0 wirklich?2026-10-23 Der Nutzer hat 3-mal auf „Bezahlen“ geklickt! Idempotency Keys in Zahlungssystemen richtig entwerfen2026-10-23 Alarmstufe Rot im Backend: Kritische RCE-Schwachstellen in PHP, Node.js und Java (CVE-Analyse)… +4Goodies
Die Ressourcen, die ich in meinen Videos durchgehe, gesammelt, damit du sie Schritt für Schritt abhaken kannst.