Reverse Proxy
Was ist ein Reverse Proxy?
Ein Reverse Proxy ist ein Server, der Anfragen von Nutzern entgegennimmt und an einen oder mehrere interne Webserver weiterleitet. Für den Client erscheint der Vermittler als Zielserver. Er kann TLS beenden, Inhalte zwischenspeichern, Last verteilen, Zugriffe filtern und die eigentliche Serverstruktur vor dem öffentlichen Netz verbergen.
Ein Reverse Proxy steht aus Sicht des Nutzers vor der eigentlichen Webanwendung. Die deutsche Entsprechung lautet einmalig „umgekehrter Proxy“. Browser, Suchmaschinen-Crawler und andere Clients kommunizieren mit der öffentlichen Adresse des Proxy-Servers. Der Reverse Proxy leitet zulässige Anfragen anschließend an den passenden internen Server weiter und sendet dessen Antwort an den Client zurück.
Wie funktioniert ein Reverse Proxy?
Der typische Ablauf beginnt mit einer Anfrage an eine Domain über Port 443 für HTTPS. Der Reverse Proxy nimmt die Verbindung entgegen, prüft Hostname, Pfad und weitere Merkmale und wählt anhand seiner Konfiguration einen Zielserver aus. Dieser Zielserver wird häufig als Backend oder Upstream bezeichnet. Die Antwort läuft anschließend über denselben Reverse Proxy zurück.
Routing-Regeln können sich auf die Domain, den URL-Pfad oder technische Eigenschaften der Anfrage beziehen. So kann /shop/ an ein Shopsystem und /magazin/ an ein anderes Content-Management-System weitergeleitet werden, obwohl beide Bereiche unter derselben Domain erreichbar sind. Die interne Infrastruktur bleibt dabei für den Besucher unsichtbar.
Aufgaben eines Reverse Proxy
Ein Reverse Proxy kann mehrere technische Aufgaben an einem zentralen Zugangspunkt bündeln. Welche Funktionen aktiv sind, hängt von der Konfiguration ab. Ein einfacher Aufbau leitet Anfragen lediglich weiter. Umfangreichere Installationen übernehmen zusätzlich Verschlüsselung, Caching, Zugriffskontrollen und die Verteilung von Anfragen.
| Funktion | Technische Wirkung |
|---|---|
| TLS-Terminierung | Der Reverse Proxy verarbeitet HTTPS und kommuniziert anschließend verschlüsselt oder innerhalb eines geschützten Netzes mit dem Backend. |
| Lastverteilung | Anfragen werden anhand definierter Regeln auf mehrere Server verteilt. |
| Caching | Geeignete Antworten werden zwischengespeichert und ohne erneute Berechnung ausgeliefert. |
| Zugriffskontrolle | Anfragen können nach IP-Adresse, Pfad, Headern oder Authentifizierung geprüft werden. |
| Zentrales Routing | Mehrere Anwendungen oder Domains werden über einen gemeinsamen Zugang erreichbar. |
Beim Caching reicht das bloße Aktivieren einer Speicherfunktion nicht aus. Der Cache-Schlüssel muss alle Merkmale berücksichtigen, die den Inhalt verändern. Dazu können Hostname, URL, Sprache, Cookies und der HTTP-Header Vary gehören. Fehlt ein Merkmal, kann der Reverse Proxy eine Antwort an den falschen Nutzer oder für die falsche Sprachversion ausliefern.
HTTP-Header korrekt weitergeben
Die weitergeleitete Anfrage muss dem Backend genügend Informationen über die ursprüngliche Verbindung liefern. Häufig verwendete Header sind X-Forwarded-For für die Client-IP, X-Forwarded-Proto für HTTP oder HTTPS und Host für die aufgerufene Domain. Moderne Systeme können alternativ den standardisierten Forwarded-Header verwenden.
Ein verbreiteter Denkfehler besteht darin, jedem eingehenden X-Forwarded-For-Wert zu vertrauen. Clients können diesen Header selbst setzen. Das Backend darf deshalb nur Header auswerten, die von einem bekannten Reverse Proxy überschrieben oder ergänzt wurden. Andernfalls lassen sich IP-basierte Protokolle, Sperren und Zugriffskontrollen manipulieren.
Reverse Proxy und SEO
Für SEO ist ein Reverse Proxy relevant, sobald er Statuscodes, Weiterleitungen, Canonical-Signale oder die Erreichbarkeit von Ressourcen verändert. Liefert der Proxy statt der Backend-Antwort einen Fehler der Klasse 5xx, können Suchmaschinen die angeforderte Seite nicht zuverlässig crawlen. Statuscodes mit einer führenden 5 kennzeichnen serverseitige Fehler und können bei wiederholtem Auftreten Crawling und Indexierung beeinträchtigen.
Besondere Aufmerksamkeit verlangt die HTTPS-Erkennung. Wenn das Backend nicht erkennt, dass der ursprüngliche Aufruf über HTTPS erfolgte, erzeugt die Anwendung möglicherweise interne Links, Canonical Tags oder Weiterleitungen mit HTTP. Der Reverse Proxy muss das ursprüngliche Protokoll korrekt übermitteln, und die Anwendung muss den verwendeten Header ausschließlich aus vertrauenswürdiger Quelle auswerten.
Zwischengespeicherte SEO-Dateien können ebenfalls Fehler verursachen. Eine veraltete robots.txt, XML-Sitemap oder Weiterleitungsantwort bleibt je nach Cache-Regel länger aktiv als die Änderung im Backend. Für dauerhaft verschobene URLs ist eine 301-Weiterleitung vorgesehen, während eine 302-Weiterleitung eine vorübergehende Änderung kennzeichnet. Lösche betroffene Cache-Einträge deshalb nach Änderungen gezielt.
KI-Crawler gezielt berücksichtigen
Für GEO, also Generative Engine Optimization, zählt die technische Erreichbarkeit ebenfalls. Rate Limits, Bot-Filter oder Sicherheitsregeln am Reverse Proxy können neben unerwünschten Bots auch legitime Suchmaschinen- und KI-Crawler treffen. Prüfe Bot-Regeln anhand dokumentierter Kennungen und Server-Logs, statt alle automatisierten Zugriffe pauschal zu behandeln.
Unterschiede zu ähnlichen Systemen
Der Unterschied zwischen Reverse Proxy und Forward Proxy liegt in der vertretenen Seite. Ein Forward Proxy handelt im Auftrag des Clients und vermittelt dessen Zugriff auf externe Ziele. Ein Reverse Proxy handelt vor dem Server und nimmt Anfragen für dahinterliegende Anwendungen entgegen. Nutzer eines Forward Proxy kennen den Proxy meist bewusst, während Besucher einer Website den Reverse Proxy normalerweise nicht erkennen.
Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Ein Reverse Proxy kann diese Aufgabe übernehmen, ist aber nicht darauf beschränkt. Ein Content Delivery Network, kurz CDN, betreibt verteilte Proxy- und Cache-Systeme an mehreren Standorten. Eine Web Application Firewall, kurz WAF, analysiert HTTP-Anfragen auf Angriffsmuster. CDN, WAF und Lastverteilung können Funktionen einer Proxy-Architektur sein, bleiben jedoch eigenständige Konzepte.
Reverse Proxy technisch prüfen
Messbar ist die Wirkung eines Reverse Proxy über Antwortzeit, Cache-Status, Statuscodes, Backend-Fehler und Server-Logs. Vergleiche eine Anfrage über die öffentliche Domain mit einem kontrollierten Aufruf des Backends. Abweichende Inhalte, Header oder Statuscodes zeigen, ob der Proxy die Antwort verändert. Ein Technik-Crawler für technische Checks kann erreichbare URLs, Weiterleitungen und Serverfehler systematisch erfassen.
Für eine technische Prüfung sollten IT und SEO gemeinsam kontrollieren, welche Ebene einen Fehler erzeugt. Ein Statuscode 502 deutet typischerweise darauf hin, dass der Proxy vom Backend keine gültige Antwort erhalten hat. Ein Statuscode 504 weist auf eine Zeitüberschreitung bei der Kommunikation mit dem Backend hin. Ein Statuscode 503 signalisiert, dass der Dienst momentan nicht verfügbar ist. Der Log-Eintrag des Reverse Proxy liefert die notwendige Abgrenzung.
Ein technisches SEO-Audit verbindet die Serverprüfung mit der Bewertung von Crawling, Indexierung und URL-Signalen. Für einzelne Domains liefert auch der kostenlose SEO-Check einen ersten Überblick über technische Auffälligkeiten. Bei einem neuen Aufbau sollten Routing, HTTPS und Weiterleitungen bereits in die technische Website-Planung einfließen.
Häufige Fragen zum Reverse Proxy
Brauche ich einen Reverse Proxy auch bei nur einem Webserver?
Ein Reverse Proxy kann auch vor einem einzelnen Webserver sinnvoll sein, etwa für zentrale HTTPS-Verarbeitung, Caching, Zugriffsschutz oder die spätere Erweiterung der Infrastruktur. Für eine einfache Website ohne diese Anforderungen erhöht eine zusätzliche Proxy-Ebene jedoch den Konfigurationsaufwand.
Kann ein Reverse Proxy die IP-Adresse des Webservers verbergen?
Ein Reverse Proxy kann verhindern, dass die öffentliche Domain direkt auf die IP-Adresse des Backends zeigt. Der Schutz funktioniert nur, wenn der interne Server keine öffentlich erreichbaren Dienste anbietet und seine Adresse nicht über DNS-Einträge, E-Mails oder andere Verbindungen offengelegt wird.
Ersetzt ein Reverse Proxy eine Firewall?
Ein Reverse Proxy ersetzt keine Netzwerk-Firewall. Der Proxy verarbeitet Anfragen auf Anwendungsebene, während eine Firewall Netzwerkverbindungen anhand von Adressen, Ports und Protokollen kontrolliert. Beide Systeme erfüllen unterschiedliche Aufgaben und können gemeinsam eingesetzt werden.
Welche Ports verwendet ein Reverse Proxy?
Für Websites nimmt ein Reverse Proxy Anfragen üblicherweise über Port 80 für HTTP und Port 443 für HTTPS an. Die Verbindung zum Backend kann andere Ports verwenden, die nur innerhalb des geschützten Netzes erreichbar sein sollten.
Kann ein Reverse Proxy mehrere Domains verwalten?
Ein Reverse Proxy kann viele Domains über dieselbe öffentliche IP-Adresse bedienen. Der Hostname der Anfrage bestimmt dabei, welches Zertifikat und welches Backend verwendet werden. Für jede Domain muss eine eindeutige Routing-Regel vorhanden sein.
Wo werden Zugriffe bei einem Reverse Proxy protokolliert?
Zugriffe werden meist zuerst im Access-Log des Reverse Proxy erfasst. Das Backend führt häufig ein zusätzliches Protokoll. Damit beide Logs dieselbe Anfrage zuordnen können, sollte der Proxy eine eindeutige Request-ID und die geprüfte Client-IP weitergeben.
Wenn du Proxy-Konfiguration, Crawling und Indexierung gemeinsam bewerten lassen möchtest, bietet ein Potenzialcheck eine fachliche Einordnung der technischen Signale.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
