Application Level Gateway (ALG)

Ein Application Level Gateway (ALG), auf Deutsch etwa Anwendungsschicht-Gateway, verarbeitet Netzwerkverkehr auf der siebten Schicht des OSI-Modells. Statt ausschließlich IP-Adressen und Ports auszuwerten, erkennt es Befehle und Verbindungsinformationen innerhalb eines bestimmten Anwendungsprotokolls.

Wie funktioniert ein ALG?

Ein ALG sitzt logisch zwischen einem internen Gerät und dem externen Kommunikationspartner. Es untersucht die übertragenen Daten, erkennt protokollspezifische Informationen und verändert diese, wenn sie wegen einer Firewall oder Network Address Translation, kurz NAT, nicht direkt verwendet werden können.

Das ist beispielsweise bei FTP oder SIP relevant. Solche Protokolle übertragen IP-Adressen und Portnummern teilweise im Nutzdatenbereich. Eine gewöhnliche NAT-Funktion ändert nur die Adressinformationen in den Paketköpfen. Das ALG erkennt zusätzlich die Angaben innerhalb des Protokolls und ersetzt sie durch passende öffentliche Adressen oder Ports.

Der vereinfachte Ablauf besteht aus folgenden Schritten:

• Ein internes Gerät beginnt eine Verbindung zu einem externen Server.
• Das Gateway identifiziert das verwendete Anwendungsprotokoll.
• Das ALG liest protokollspezifische Befehle und Verbindungsdaten.
• Es passt eingebettete IP-Adressen oder Ports an die NAT-Umgebung an.
• Bei Bedarf richtet die Firewall zeitlich begrenzte Freigaben für zusätzliche Datenverbindungen ein.

Welche Protokolle nutzen ALG-Funktionen?

Application Level Gateways werden vor allem für Protokolle eingesetzt, deren Verbindungsaufbau nicht mit einer einzelnen, dauerhaft bekannten Portfreigabe auskommt. Welche Module verfügbar sind, hängt vom Router, der Firewall und deren Softwareversion ab.

Bei verschlüsselten Verbindungen kann ein ALG die Anwendungsdaten in der Regel nicht ohne zusätzliche Entschlüsselung auswerten. Das betrifft insbesondere moderne Protokolle mit durchgängiger Transportverschlüsselung. Viele aktuelle Anwendungen verwenden deshalb eigene Mechanismen, um NAT-Grenzen zu überwinden.

Unterschied zu Firewall und Proxy

Der Unterschied zwischen einem ALG und einer klassischen Paketfilter-Firewall liegt in der Verarbeitungstiefe. Ein Paketfilter entscheidet hauptsächlich anhand von Quelladresse, Zieladresse, Port und Verbindungsstatus. Ein ALG versteht zusätzlich ausgewählte Befehle und Datenstrukturen des jeweiligen Anwendungsprotokolls.

Ein Stateful-Packet-Inspection-System speichert den Zustand einer Netzwerkverbindung und kann zusammengehörige Pakete erkennen. Ein Application Level Gateway geht darüber hinaus, sofern es den Inhalt des verwendeten Protokolls analysiert und dessen Verbindungsangaben verändert.

Der Begriff Proxy bezeichnet allgemein einen Vermittler zwischen Client und Zielserver. Eine klassische Proxy-Firewall kann als Application Level Gateway arbeiten, wenn sie Verbindungen auf Anwendungsebene beendet und neu aufbaut. In Routern bezeichnet ALG dagegen häufig ein einzelnes Hilfsmodul für NAT, etwa einen SIP-ALG oder FTP-ALG.

Eine Web Application Firewall, kurz WAF, ist ebenfalls auf der Anwendungsschicht tätig, verfolgt aber einen anderen Zweck. Sie prüft hauptsächlich HTTP- und HTTPS-Anfragen an Webanwendungen auf unerwünschte Muster und Angriffe. Ein ALG unterstützt dagegen den technischen Verbindungsaufbau eines bestimmten Protokolls.

Wann verursacht ein ALG Probleme?

Ein ALG kann Verbindungen beeinträchtigen, wenn es Protokolldaten falsch interpretiert oder verändert, obwohl die beteiligte Anwendung NAT bereits selbst berücksichtigt. Häufige Symptome bei SIP sind fehlender Ton, einseitige Sprachübertragung, unterbrochene Gespräche oder eine fehlerhafte Registrierung des Endgeräts.

Fehler treten außerdem auf, wenn mehrere Router hintereinander NAT ausführen, eine Anwendung andere als die erwarteten Ports nutzt oder verschlüsselte Protokollbestandteile nicht ausgewertet werden können. Ob ein ALG aktiviert bleiben sollte, lässt sich deshalb nur anhand der konkreten Netzwerkarchitektur und Anwendung entscheiden.

Relevanz für SEO, SEA und GEO

Ein Application Level Gateway ist kein direkter Ranking-Faktor. Eine fehlerhafte Gateway-, Proxy- oder Firewall-Konfiguration kann jedoch die Erreichbarkeit einer Website oder einzelner Dienste beeinträchtigen. Suchmaschinen-Crawler erhalten dann beispielsweise einen HTTP-Statuscode 403, 502 oder 504, obwohl die Seite für interne Nutzer zeitweise erreichbar wirkt.

Für SEO zählt deshalb die technische Wirkung: Googlebot muss relevante URLs zuverlässig abrufen können. Wiederkehrende Verbindungsabbrüche, blockierte Ressourcen und Serverfehler können das Crawling erschweren und die Indexierung verzögern. Ein technischer SEO-Check hilft dabei, Erreichbarkeit, Statuscodes und weitere Onpage-Signale gemeinsam zu prüfen.

Bei SEA können restriktive Netzwerkregeln den Aufruf externer Tracking-Endpunkte, Weiterleitungen oder serverseitiger Schnittstellen beeinflussen. Die Folge sind unvollständige Messdaten, obwohl die Anzeigen und Landingpages grundsätzlich funktionieren. Netzwerkprotokolle, Browser-Entwicklertools und das Tagging müssen in diesem Fall gemeinsam geprüft werden.

Für GEO, also Generative Engine Optimization, gilt derselbe technische Grundsatz: Inhalte können nur verarbeitet und zitiert werden, wenn zugelassene KI-Crawler und Abrufsysteme die Seiten erreichen. Eine Analyse der KI-Sichtbarkeit sollte deshalb technische Zugänglichkeit, Content und Quellenautorität zusammen betrachten.

ALG-Probleme systematisch prüfen

Eine strukturierte Prüfung beginnt mit dem betroffenen Dienst und einem reproduzierbaren Fehlerbild. Bei einer Website sind HTTP-Statuscodes, Serverprotokolle, DNS-Auflösung, TLS-Verbindung und Firewall-Ereignisse aussagekräftiger als die Vermutung, dass das ALG allein die Ursache sei.

• Ermittle, welches Protokoll und welche Ports die Anwendung tatsächlich verwendet.
• Prüfe Router und Firewalls auf aktive ALG-Module und protokollspezifische Regeln.
• Vergleiche Zugriffe aus verschiedenen Netzen und mit unterschiedlichen Clients.
• Kontrolliere Server-, Firewall- und Proxy-Protokolle zum selben Zeitpunkt.
• Teste Konfigurationsänderungen einzeln und dokumentiere deren Wirkung.

Bei technischen SEO-Problemen empfiehlt sich zusätzlich ein externer Crawl. Dadurch lässt sich erkennen, ob die Domain außerhalb des Unternehmensnetzes erreichbar ist und ob einzelne Seitentypen, Skripte oder Schnittstellen blockiert werden. Der SEO-Technik-Crawler der Performance Suite veranschaulicht, wie technische Fehler automatisiert erfasst und für die weitere Prüfung priorisiert werden können.

Wenn Netzwerkfehler Crawling, Tracking oder KI-Abrufe beeinflussen, sollten Marketing und IT dieselbe Datenbasis auswerten. Ein technisches SEO-Audit verbindet die beobachteten Statuscodes und Crawling-Probleme mit ihrer möglichen Wirkung auf SEO-Sichtbarkeit und organischen Traffic.

Du möchtest technische Barrieren deiner Website fachlich einordnen lassen?

Kostenloser Potenzialcheck

Häufige Fragen zum ALG