deserialisierung

Deserialisierung ist der Prozess der Rekonstruktion von Objekten oder Datenstrukturen aus einer serialisierten Darstellung, etwa aus einem Bit- oder Textstream. Während die Serialisierung den Zustand eines Objekts in eine speicher- oder übertragbare Form überführt, dient die Deserialisierung dazu, diesen Zustand wiederherzustellen. In vielen Sprachen kann das Deserialisieren neue Objekte erzeugen und gegebenenfalls Konstruktoren oder Initialisierungslogik ausführen.

Typische Formate für serialisierte Daten sind JSON, XML, YAML, Protobuf, MessagePack sowie verschiedene Binärcodes. Beim Deserialisieren wird oft versucht, Typinformationen, Felder und Referenzen aus dem Stream zu rekonstruieren, wodurch der ursprüngliche Objektzustand oder die Datenstruktur wieder verfügbar wird. Die konkrete Umsetzung hängt stark von der Programmiersprache und der verwendeten Bibliothek ab.

Anwendungsgebiete sind Datenaustausch zwischen Systemen, persistente Speicherung von Objektzuständen, Remote Procedure Calls und das Caching komplexer Datenstrukturen. Deserialisierung ist damit eng mit Serialisierung verbunden und bildet einen zentralen Schritt in vielen Integrations- und Speicherprozessen.

Sicherheitsaspekte: Deserialisierung von untrusted data birgt erhebliche Risiken, darunter Objektinjection und in bestimmten Umgebungen Remote-Code-Ausführung. Fehlerhafte Implementationen können Angreifer Typsysteme, Konstruktorlogik oder Seiteneffekte ausnutzen. Empfehlungen sind die Verarbeitung vertrauenswürdiger Payloads, Einsatz von Signaturen bzw. Integritätsprüfungen, Versions- und Schemakontrolle, sowie die Beschränkung auf sichere Datentransformen (z. B. DTOs) oder der Verzicht auf native Objektdeserialisierung zugunsten sicherer Alternativen.

Siehe auch: Serialisierung, Datenformate, Sicherheitsaspekte bei der Datenverarbeitung.