Automatische Angriffstools treffen Websites den ganzen Tag, und sie prüfen nicht, ob eine Website gross, klein, beliebt oder unbekannt ist. Eine Web Application Firewall ist die Schicht, die jede eingehende Anfrage liest, bevor deine Website es tut, und die schädlichen Anfragen stoppt. Sie unterscheidet sich von anderen Sicherheitstools durch die Ebene, auf der sie arbeitet, und durch das, was sie tatsächlich liest.
Der meiste Datenverkehr, der versucht, in eine Website einzubrechen, kommt nicht von einem Menschen an der Tastatur. Er kommt von automatischen Tools, die Listen bekannter Schwachstellen abarbeiten und schädliche Anfragen an Tausende Websites gleichzeitig senden. Eine Web Application Firewall ist genau dafür gebaut, solche Anfragen abzufangen. Warum Websites unabhängig von Grösse oder Zweck angegriffen werden, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.
Was ist eine Web Application Firewall?
Eine Web Application Firewall, oft WAF genannt, ist eine Schutzschicht zwischen dem Internet und deiner Website. Jede Anfrage, die bei deiner Website ankommt, läuft zuerst durch die Firewall. Die Firewall prüft jede Anfrage anhand von Regeln und entscheidet, ob sie durchgelassen oder blockiert wird.
Der wichtigste Unterschied zwischen einer Web Application Firewall und einer normalen Netzwerk-Firewall ist, worauf sie schauen. Eine Netzwerk-Firewall arbeitet auf Verbindungsebene und steuert, welche Server miteinander sprechen dürfen. Eine Web Application Firewall schaut auf den Inhalt der Anfrage selbst, und dort stecken webbasierte Angriffe. Sie liest, was gesendet wird, nicht nur, woher es kommt.
Wie funktioniert eine Web Application Firewall?
Was sie liest
- Jede eingehende Anfrage trägt Informationen: die angeforderte URL, alle Daten, die über Formulare gesendet werden, und die Angaben, die der Browser mitschickt
- Die Firewall gleicht all das mit Regeln ab, die beschreiben, wie schädliche Anfragen aussehen
- Anfragen, die einem schädlichen Muster entsprechen, werden blockiert, bevor sie den Server oder den Code deiner Website überhaupt erreichen
Wie sie entscheidet, was sie blockiert
- Firewalls nutzen Regelsätze, die bekannte Angriffsmuster beschreiben. Diese werden regelmässig aktualisiert, wenn neue Angriffsmethoden entdeckt werden
- Manche Firewalls betrachten auch das Verhalten über die Zeit. Eine Quelle, die Hunderte Anfragen pro Sekunde sendet oder die Website nach einem Muster abtastet, das zu einem Scan-Tool passt, kann blockiert werden, auch wenn keine einzelne Anfrage eine bestimmte Regel verletzt
- Verwaltete Firewall-Dienste aktualisieren die Regeln automatisch. Eine Firewall mit alten Regeln ist gegen die Angriffe von heute viel weniger wirksam
Welche Angriffe stoppt eine Web Application Firewall?
SQL-Injection
- SQL-Injection gehört zu den häufigsten Webangriffen. Dabei werden schädliche Datenbankbefehle in ein Formularfeld oder eine URL eingefügt, damit die Website diese Befehle wie echte Anweisungen ausführt
- Ein erfolgreicher SQL-Injection-Angriff kann es einem Angreifer ermöglichen, jeden Datensatz aus der Datenbank zu ziehen, Inhalte zu ändern oder ganz zu löschen
- Eine Web Application Firewall erkennt die Muster dieser Angriffe und blockiert sie, bevor sie die Website erreichen
Cross-Site-Scripting
- Cross-Site-Scripting, oft XSS genannt, funktioniert so: Schädliche Skripte werden in eine Seite eingeschleust, die andere Besucher dann in ihren Browsern laden
- Diese Skripte können Login-Sitzungen stehlen, Besucher auf andere Websites umleiten oder Eingaben in Formularen abgreifen, ohne dass es jemand merkt
- Eine Firewall blockiert Anfragen mit diesen Angriffsmustern, bevor schädlicher Code die Seite erreichen kann
Schädlicher Bot-Verkehr
- Automatische Bots machen einen grossen Teil des Website-Traffics aus. Manche sind harmlos, etwa Crawler von Suchmaschinen. Andere sind darauf gebaut, nach Schwachstellen zu suchen, an der Login-Seite grosse Mengen Passwörter auszuprobieren oder Inhalte abzugreifen
- Eine Web Application Firewall kann Bots erkennen und blockieren, die bekannten schädlichen Mustern entsprechen. So begrenzt sie, was sie finden können, und verringert die Last, die sie auf dem Server erzeugen
Bekannte Angriffstools
- Angreifer nutzen Tools, die Anfragen in Mustern senden, die untersucht und dokumentiert wurden. Ihre Signaturen sind in die Regelsätze der Firewalls eingebaut
- Eine Web Application Firewall mit aktuellen Regeln blockiert Anfragen, die diesen Mustern entsprechen, automatisch, ohne dass du etwas tun musst
Was eine Web Application Firewall allein nicht stoppen kann
Eine Firewall ist eine Schicht in einem Sicherheitskonzept, keine vollständige Antwort für sich allein.
Anmeldungen mit gestohlenen Passwörtern
- Eine Web Application Firewall kann nicht erkennen, ob eine Anmeldung vom echten Kontoinhaber stammt oder von jemandem, der das Passwort anderswo in die Hände bekommen hat
- Eine Anmeldung mit dem richtigen Benutzernamen und Passwort sieht aus wie eine normale Anfrage. Die Firewall lässt sie durch
- Deshalb brauchst du neben einer Firewall weiterhin starke Passwörter und Zwei-Faktor-Authentifizierung. Wie diese Schutzmassnahmen zusammenwirken, erklärt der Artikel So schützt du deine Website vor Hackern
Neue Angriffsmethoden, auf die die Regeln noch nicht reagiert haben
- Wird in Website-Software eine neue Schwachstelle gefunden, liegt zwischen dem Beginn der Angriffe und der Aktualisierung der Firewall-Regeln eine Lücke
- In diesem Zeitfenster lässt die Firewall genau diese Angriffe möglicherweise durch
- Wenn du die Website-Software aktuell hältst und zusätzlich eine Firewall betreibst, schliesst du diese Lücke deutlich
Schädlicher Code, der schon auf der Website liegt
- Eine Web Application Firewall filtert eingehende Anfragen. Sie durchsucht nicht die eigenen Dateien der Website nach schädlichem Code, der durch einen früheren Angriff schon dort liegen kann
- Wenn etwas auf die Website gelangt ist, bevor die Firewall aktiv war, oder auf einem Weg, den die Firewall nicht erkannt hat, wird es nicht entdeckt
- Wie schädlicher Code auf einer Website aussieht und wie du damit umgehst, erklärt der Artikel Was ist Website-Malware und wie wirkt sie sich auf deine Website aus?
Firewalls auf Netzwerkebene und auf Website-Ebene
Firewalls auf Netzwerkebene
- Eine Firewall auf Netzwerkebene arbeitet auf der Ebene des Hostings und filtert Datenverkehr, bevor er einzelne Websites erreicht
- Sie kommen in der Regel vom Hosting-Unternehmen oder CDN. Sie sind darauf gebaut, Angriffe in grossem Umfang zu blockieren, auch Flood-Angriffe, die Server mit riesigen Datenmengen auf einen Schlag lahmlegen wollen
- Sie arbeiten auf breiter Ebene und filtern Datenmengen und Verbindungsmuster besser, als dass sie den konkreten Inhalt einzelner Anfragen lesen
Firewalls auf Website-Ebene
- Eine Web Application Firewall auf Website-Ebene arbeitet näher an der Website und liest den tatsächlichen Inhalt jeder Anfrage. So fängt sie Angriffsmuster ab, die eine Firewall auf Netzwerkebene womöglich nicht sieht
- Sie lassen sich bei verwalteten Hosting-Diensten auf Plattformebene einrichten oder bei selbst verwalteten Websites über ein Plugin oder einen Sicherheitsdienst hinzufügen
- Beide Arten decken unterschiedliche Bereiche ab und ergänzen sich gut. Ein Hosting-Anbieter, der Firewall-Schutz auf Netzwerkebene enthält, fängt schon einen grossen Teil der automatisierten Angriffe ab, bevor irgendeine Einrichtung auf Website-Ebene nötig ist
Wie eine Web Application Firewall in ein vollständiges Sicherheitskonzept passt
Eine Firewall arbeitet zusammen mit anderen Schutzmassnahmen, die jeweils eine andere Art von Risiko abdecken.
- Eine Firewall filtert schädliche Anfragen. Aktuelle Software schliesst die Schwachstellen, auf die diese Anfragen zielen. Zusammen decken sie die zwei häufigsten Wege ab, auf denen Angriffe eindringen
- Starke Passwörter und Zwei-Faktor-Authentifizierung stoppen den Zugang über gestohlene Zugangsdaten, den keine Firewall allein blockieren kann
- Backups ermöglichen es einer Website, sich schnell zu erholen, wenn doch etwas durchkommt. Eine vollständige Anleitung findest du im Artikel So sicherst du deine Website per Backup
So geht WEMASY mit Firewall-Schutz um
Das Hosting von WEMASY enthält Firewall-Schutz und Datenverkehrsfilterung auf Netzwerkebene. Schädliche Anfragen und Flood-Angriffe werden gefiltert, bevor sie einzelne Websites auf der Plattform erreichen. Das ist in jedem Tarif eingebaut und braucht weder Einrichtung noch Konfiguration durch die Website-Inhaber.
Software-Updates werden auf Plattformebene verwaltet, sodass Websites ohne dein Zutun vor bekannten Schwachstellen geschützt bleiben. SSL-Zertifikate sind enthalten und werden für jede Website automatisch eingerichtet.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist eine Web Application Firewall?
Eine Web Application Firewall, kurz WAF, ist eine Schutzschicht zwischen deiner Website und dem Datenverkehr aus dem Internet. Sie prüft jede eingehende Anfrage anhand von Regeln, die beschreiben, wie schädliche Anfragen aussehen, und blockiert die, die passen, bevor sie deine Website erreichen. Das unterscheidet sie von einer normalen Netzwerk-Firewall, die Verbindungen auf breiterer Ebene steuert. Eine Web Application Firewall liest den Inhalt jeder Anfrage, und dort stecken webbasierte Angriffe. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Welche Angriffe blockiert eine Web Application Firewall?
Eine Web Application Firewall blockiert eine Reihe gängiger Webangriffe, darunter SQL-Injection (schädliche Datenbankbefehle in einem Formular oder einer URL), Cross-Site-Scripting (schädliche Skripte in Seiten, die andere Besucher dann laden) und Datenverkehr von Bots, die die Website nach Schwachstellen absuchen. Sie blockiert auch Anfragen bekannter Angriffstools, die Anfragen in erkennbaren Mustern senden. Die Firewall erledigt das automatisch, auf Basis von Regeln, die aktualisiert werden, sobald neue Angriffsmethoden gefunden werden.
Ersetzt eine Web Application Firewall andere Sicherheitsmassnahmen?
Nein. Eine Web Application Firewall ist ein Teil eines Sicherheitskonzepts, keine vollständige Lösung. Sie filtert schädliche eingehende Anfragen, kann aber Angriffe mit gestohlenen Passwörtern nicht stoppen, weil eine Anmeldung mit den richtigen Angaben wie eine normale Anfrage aussieht. Sie durchsucht auch nicht die eigenen Dateien der Website nach schädlichem Code, der schon dort liegen kann. Am besten wirkt sie zusammen mit starken Passwörtern, Zwei-Faktor-Authentifizierung, Software-Updates und regelmässigen Backups.
Was ist der Unterschied zwischen einer Netzwerk-Firewall und einer Web Application Firewall?
Eine Netzwerk-Firewall steuert den Datenverkehr auf Verbindungsebene und entscheidet, welche Server und Netzwerke miteinander kommunizieren dürfen. Eine Web Application Firewall arbeitet auf Inhaltsebene, liest die Details jeder eingehenden Anfrage und blockiert die, die schädlichen Mustern entsprechen. Beide arbeiten auf unterschiedlichen Ebenen und haben unterschiedliche Zwecke. Viele Hosting-Anbieter enthalten Firewall-Schutz auf Netzwerkebene, der Angriffe in grossem Umfang abfängt, während eine Web Application Firewall gezielteren Schutz für Inhalt und Code der Website selbst ergänzt.
Brauche ich eine Web Application Firewall, wenn mein Hosting schon Firewall-Schutz enthält?
Firewall-Schutz auf Hosting-Ebene arbeitet in der Regel auf Netzwerkebene und filtert Angriffe in grossem Umfang und Datenfluten. Eine Web Application Firewall arbeitet näher an der Website selbst und kann den Inhalt einzelner Anfragen lesen. So fängt sie Angriffsmuster ab, die eine Firewall auf Netzwerkebene womöglich nicht sieht. Ob du beides brauchst, hängt von deinem Hosting ab. Verwaltete Hosting-Plattformen mit Firewall-Schutz auf Plattformebene decken die häufigsten Angriffsarten oft ohne zusätzliche Einrichtung ab. Bei selbst verwaltetem Hosting lohnt sich eine Web Application Firewall.
Wie oft werden die Regeln einer Web Application Firewall aktualisiert?
Verwaltete Web-Application-Firewall-Dienste aktualisieren ihre Regeln automatisch, sobald neue Angriffsmethoden gefunden und dokumentiert werden. Das ist einer der Hauptgründe, einen verwalteten Dienst einer von Hand konfigurierten Lösung vorzuziehen. Veraltete Regeln machen eine Firewall gegen die Angriffe von heute viel weniger wirksam. Bei einer selbst verwalteten Firewall oder einem Plugin ist es genauso wichtig, dass sie regelmässig Updates bekommt, wie dass sie installiert ist.