Web Application Firewall (WAF)
Was ist eine Web Application Firewall?
Eine Web Application Firewall, kurz WAF, schützt Webanwendungen und APIs vor schädlichen HTTP- und HTTPS-Anfragen. Sie analysiert den Datenverkehr auf Anwendungsebene, erkennt unter anderem SQL-Injection, Cross-Site-Scripting und automatisierte Angriffe und blockiert verdächtige Anfragen anhand definierter Regeln, bevor sie den Webserver oder die Anwendung erreichen.
Eine Web Application Firewall, deutsch: Webanwendungs-Firewall, kontrolliert den Datenverkehr zwischen Besuchern und einer webbasierten Anwendung. Anders als eine klassische Netzwerk-Firewall bewertet sie nicht nur IP-Adressen, Ports und Protokolle. Eine WAF untersucht auch URLs, Header, Cookies, Parameter, Formulareingaben und übertragene Inhalte.
Web Application Firewall in der IT-Sicherheit
Eine Web Application Firewall arbeitet auf der Anwendungsschicht, also auf Schicht 7 des OSI-Modells. Auf dieser Ebene verarbeitet eine Website konkrete HTTP-Anfragen wie den Aufruf einer Produktseite, eine Anmeldung im Kundenkonto oder das Absenden eines Kontaktformulars. Die WAF prüft, ob Aufbau und Inhalt einer Anfrage zum erwarteten Verhalten der Anwendung passen.
Der zentrale Nutzen einer WAF liegt darin, Angriffe auf öffentlich erreichbare Funktionen abzufangen. Dazu gehören manipulierte Datenbankabfragen, eingeschleuster JavaScript-Code, verdächtige Datei-Uploads, ungewöhnlich viele Anmeldeversuche und Zugriffe auf geschützte Pfade. Die Web Application Firewall ergänzt dadurch sichere Programmierung, regelmäßige Updates und Zugriffskontrollen, ersetzt diese Maßnahmen aber nicht.
Wie funktioniert eine WAF?
Eine WAF wird üblicherweise zwischen dem Client und dem Webserver platziert. Jede Anfrage durchläuft zunächst die Firewall. Erst nach erfolgreicher Prüfung wird sie an die Anwendung weitergeleitet. Bei einem Regelverstoß kann die WAF die Anfrage blockieren, protokollieren, verzögern oder mit einer zusätzlichen Prüfung versehen.
Regelbasierte Systeme vergleichen Anfragen mit bekannten Angriffsmustern. Eine Anfrage mit einer auffälligen Zeichenfolge wie ' OR 1=1 in einem Anmeldefeld kann beispielsweise auf einen Versuch zur Manipulation einer Datenbankabfrage hinweisen. Eine einzelne Zeichenfolge beweist jedoch keinen Angriff. Kontext, Zielparameter und erlaubte Eingabeformate müssen ebenfalls berücksichtigt werden.
Moderne Lösungen kombinieren mehrere Prüfmethoden:
WAF-Typen und Betriebsmodelle
Eine Web Application Firewall kann als Cloud-Dienst, als virtuelle oder physische Appliance sowie direkt auf dem Server betrieben werden. Das Betriebsmodell bestimmt, wer Regeln aktualisiert, wie schnell sich Änderungen ausrollen lassen und an welcher Stelle der Datenverkehr geprüft wird.
| Variante | Position | Typischer Einsatz |
|---|---|---|
| Cloud-WAF | Vor der Hosting-Infrastruktur | Websites, Onlineshops und APIs mit zentral verwalteten Schutzregeln |
| Appliance | Im eigenen Netzwerk oder Rechenzentrum | Unternehmen mit eigener Infrastruktur und individuellen Sicherheitsvorgaben |
| Hostbasierte WAF | Direkt auf dem Anwendungsserver | Gezielter Schutz einzelner Anwendungen mit enger technischer Kontrolle |
Bei der Regelstrategie wird zwischen einer Positivliste und einer Negativliste unterschieden. Eine Positivliste erlaubt nur ausdrücklich definierte Anfragen und bietet eine enge Kontrolle, verlangt aber genaue Kenntnisse der Anwendung. Eine Negativliste blockiert bekannte Angriffsmuster und lässt unbekannte Anfragen zunächst zu. Viele Installationen kombinieren beide Ansätze.
Unterschied zu Firewall und Reverse Proxy
Der Unterschied zwischen einer Web Application Firewall und einer Netzwerk-Firewall liegt in der geprüften Ebene. Eine Netzwerk-Firewall steuert Verbindungen anhand von Merkmalen wie IP-Adresse, Port und Protokoll. Eine WAF analysiert dagegen den Inhalt von HTTP- und HTTPS-Anfragen und kann dadurch Angriffe erkennen, die über eine technisch erlaubte Verbindung auf Port 443 erfolgen.
Ein Reverse Proxy nimmt Anfragen entgegen und leitet sie an interne Server weiter. Diese Architektur kann Lastverteilung, Zwischenspeicherung oder TLS-Terminierung übernehmen. Ein Reverse Proxy wird erst durch entsprechende Sicherheitsregeln zu einer WAF. Auch ein Content Delivery Network kann WAF-Funktionen enthalten, ist allein jedoch kein Schutzsystem für Webanwendungen.
Auswirkungen der WAF auf SEO
Eine korrekt konfigurierte Web Application Firewall unterstützt stabile und erreichbare Websites. Eine zu strenge Regel kann jedoch legitime Suchmaschinen-Crawler, SEO-Crawler oder Shop-Schnittstellen blockieren. Der Server antwortet dann beispielsweise mit dem HTTP-Statuscode 403 für einen verweigerten Zugriff oder mit 429, wenn zu viele Anfragen in kurzer Zeit erkannt wurden. Bei 429 kann ein Retry-After-Header angeben, wann ein erneuter Zugriff zulässig ist.
Für SEO entsteht ein konkretes Risiko, wenn wichtige URLs wiederholt nicht abgerufen werden können. Suchmaschinen erhalten dann keine aktuellen Inhalte, Weiterleitungen oder Indexierungsangaben. Eine vorübergehende Blockierung einzelner Abrufe führt nicht automatisch zu Rankingverlusten. Dauerhafte oder großflächige Sperren können Crawling, Indexierung und damit die SEO-Sichtbarkeit beeinträchtigen.
WAF-Regeln kontrolliert testen
Eine Web Application Firewall sollte nach Änderungen an Website, Shop, Formularen oder APIs erneut getestet werden. Neue URL-Strukturen, zusätzliche Parameter und größere Datenübertragungen können von bestehenden Regeln als Abweichung erkannt werden. Sinnvoll ist ein dokumentierter Test mit normalen Seitenaufrufen, Formularsendungen, Logins, Datei-Uploads und API-Anfragen.
Messbar ist die WAF-Konfiguration über Zugriffsprotokolle, blockierte Anfragen, HTTP-Statuscodes und erfolgreiche Crawls. Der Technik-Crawler der Performance Suite kann technische Erreichbarkeitsprobleme und fehlerhafte Statuscodes sichtbar machen. Ergänzend solltest du im WAF-Protokoll prüfen, welche Regel eine Anfrage ausgelöst hat und ob es sich um einen Angriff oder einen False Positive, also einen Fehlalarm, handelt.
Eine hohe Zahl blockierter Anfragen ist allein kein Qualitätsnachweis. Aussagekräftig wird die Kennzahl erst durch die Aufteilung nach Regel, Ziel-URL, Herkunft, HTTP-Methode und Ergebnis. Prüfe außerdem die Antwortzeit vor und nach Aktivierung neuer Regeln. Mit dem kostenlosen Ladezeiten-Check kannst du kontrollieren, ob sicherheitsbedingte Prüfungen die Auslieferung messbar verzögern.
WAF-Auswahl für Unternehmen
Die passende Web Application Firewall richtet sich nach Anwendung, Hosting-Modell, Datenverkehr und verfügbarem IT-Know-how. Ein Onlineshop mit Kundenkonten, Zahlungsprozessen und mehreren Schnittstellen benötigt andere Regeln als eine statische Unternehmenswebsite. Entscheidend sind nachvollziehbare Protokolle, anpassbare Regeln, ein Testmodus und klar geregelte Zuständigkeiten für Sicherheitsmeldungen.
Bei einem Relaunch gehört die WAF-Konfiguration bereits in die technische Planung. Neue Pfade, Weiterleitungen, Formulare und externe Dienste müssen vor dem Livegang geprüft werden. Eine technisch und suchmaschinenfreundlich geplante Website berücksichtigt Sicherheit, Crawling und Ladezeit als gemeinsame Anforderungen.
Häufige Fragen zur WAF
Braucht jede Website eine WAF?
Nicht jede Website benötigt denselben Schutzumfang. Eine WAF ist besonders sinnvoll, wenn eine Anwendung Logins, Formulare, Zahlungsdaten, Datei-Uploads oder öffentlich erreichbare APIs verarbeitet. Das Risiko und die Folgen eines erfolgreichen Angriffs bestimmen den erforderlichen Umfang.
Kann eine WAF einen DDoS-Angriff verhindern?
Eine WAF kann anwendungsbezogene Angriffe und ungewöhnlich viele HTTP-Anfragen begrenzen. Für sehr große volumetrische DDoS-Angriffe sind zusätzlich Schutzmechanismen auf Netzwerk- und Infrastruktur-Ebene erforderlich.
Was ist ein False Positive bei einer WAF?
Ein False Positive liegt vor, wenn die WAF eine legitime Anfrage fälschlich als Angriff bewertet. Ursachen können ungewöhnliche Formulareingaben, große Uploads, neue API-Parameter oder zu enge Rate-Limits sein. Die betroffene Regel sollte gezielt angepasst und nicht pauschal deaktiviert werden.
Kann eine WAF HTTPS-Anfragen prüfen?
Ja, wenn die verschlüsselte Verbindung vor oder an der WAF entschlüsselt wird. Ohne TLS-Terminierung kann die WAF den Inhalt einer HTTPS-Anfrage nicht vollständig untersuchen. Zertifikatsverwaltung und Weiterleitung müssen deshalb sauber konfiguriert sein.
Ersetzt eine WAF Sicherheitsupdates?
Nein. Eine WAF kann bekannte Angriffsmuster blockieren und Zeit für die Fehlerbehebung schaffen, beseitigt aber keine Schwachstelle im Quellcode, CMS oder Plugin. Updates und sichere Entwicklung bleiben erforderlich.
Warum blockiert eine WAF Google oder einen SEO-Crawler?
Eine WAF kann hohe Abrufraten, wechselnde URLs oder bestimmte User-Agents als automatisierten Angriff bewerten. Prüfe den ausgelösten Regelsatz, verifiziere den Bot und richte eine möglichst enge Ausnahme für die benötigten Zugriffe ein.
Wenn Sicherheitsregeln, Crawling und technische Website-Struktur gemeinsam geprüft werden sollen, kannst du einen unverbindlichen Potenzialcheck anfragen.
Sie haben noch Fragen?
