Was ist eine Web Application Firewall?

Eine Web Application Firewall (WAF) kontrolliert HTTP- und HTTPS-Verkehr vor einer Website oder API. Sie analysiert Anfragen, teilweise auch Antworten, und kann sie zulassen, protokollieren, verändern, verzögern oder blockieren. Im Unterschied zu einer klassischen Netzwerk-Firewall versteht sie Anwendungsmerkmale wie URL, Methode, Header, Cookie und Request Body.

Wie arbeitet eine WAF?

Regelbasierte WAFs suchen nach bekannten Angriffsmustern, ungewöhnlichen Zeichenfolgen oder Abweichungen vom erwarteten Request. Positive Sicherheitsmodelle erlauben nur definierte Methoden, Parameter, Datentypen und Größen; negative Modelle blockieren bekannte bösartige Muster. Viele Produkte kombinieren beides mit Reputationsdaten, Bot-Erkennung, Rate Limiting und statistischen Verfahren. Keine Erkennung ist fehlerfrei: Kontext und Normalverkehr der Anwendung bleiben wichtig.

Welche Betriebsformen gibt es?

Die WAF muss tatsächlich im einzigen erreichbaren Pfad liegen. Bleibt der Origin über seine IP-Adresse, einen alten Hostnamen oder einen zweiten Load Balancer direkt erreichbar, lässt sich die Kontrolle umgehen.

Wogegen kann eine WAF helfen?

• Erkennbare Muster von SQL Injection, XSS, Path Traversal und anderen HTTP-basierten Eingabeangriffen.
• Unzulässige Methoden, zu große Bodies, fehlerhafte Protokollmerkmale und bekannte Scanner.
• Automatisiertes Login-Raten, Scraping und bestimmte Bots durch Limits und Challenges.
• Schnelle temporäre Einschränkung eines konkreten verwundbaren Pfads.
• Zentrale Telemetrie zu blockierten und auffälligen Webanfragen.

Die Wirksamkeit hängt vom Parsing ab. Doppelte Kodierung, verschiedene Content Types, GraphQL, WebSockets, Datei-Uploads und abweichende Interpretation durch WAF und Backend können Kontrollen erschweren oder Umgehungen ermöglichen.

Was kann eine WAF nicht zuverlässig erkennen?

Eine WAF kennt die fachliche Berechtigung meist nicht. Wenn ein angemeldeter Kunde eine gültig aussehende Anfrage sendet, um das Dokument eines anderen Kunden abzurufen, kann nur die Anwendung die fehlende Objektberechtigung zuverlässig beurteilen. Gleiches gilt für Geschäftslogik, unsichere Workflows, Fehlkonfigurationen hinter der WAF, kompromittierte Zugangsdaten und Schwachstellen in nicht erfasstem Traffic. TLS-Terminierung allein macht die Anwendung ebenfalls nicht sicher.

Was ist ein virtueller Patch?

Ein virtueller Patch ist eine gezielte WAF-Regel, die einen bekannten Angriff auf eine noch nicht behobene Schwachstelle blockieren soll. Er kann Exposition kurzfristig reduzieren, wenn ein reguläres Update Zeit benötigt. Die Regel behebt weder den Codefehler noch alternative Angriffspfade und kann durch neue Varianten umgangen werden. Deshalb braucht sie einen Verantwortlichen, Monitoring, ein Ablaufdatum und weiterhin einen geplanten Fix in der Anwendung.

Wie wird eine WAF sicher betrieben?

1. Zunächst im Monitoring-Modus normalen Traffic und Fehlalarme verstehen.
2. Regelsätze versionieren, Änderungen testen und schrittweise in Blocking überführen.
3. Origin-Zugriff auf die WAF beschränken und vertrauenswürdige Proxy-Header eindeutig behandeln.
4. TLS, Zertifikate, Schlüssel, Adminzugang und Hochverfügbarkeit der WAF selbst absichern.
5. Ereignisse mit Request-ID und Anwendungstelemetrie korrelieren, sensible Inhalte in Logs minimieren.
6. Ausnahmen eng fassen, begründen, befristen und nach Änderungen erneut prüfen.

Wie wird ihre Wirksamkeit geprüft?

Tests müssen bekannte Angriffe, normale Grenzfälle, Kodierungsvarianten und anwendungsspezifische Requests abdecken. Geprüft wird nicht nur, ob eine Regel blockiert, sondern auch, ob der Origin direkt erreichbar bleibt, Logs eine Untersuchung erlauben und legitime Benutzer beeinträchtigt werden. Ein Penetrationstest sollte die WAF als vorhandene Schutzschicht berücksichtigen, gleichzeitig aber die eigentliche Anwendungssicherheit bewerten. Ein „WAF erkannt“-Ergebnis ist weder Beweis für eine sichere noch für eine unsichere Anwendung.