Was ist eine Web Application Firewall (WAF)?
Zuletzt aktualisiert:
Kurz erklärt: Eine Web Application Firewall (WAF) ist eine Schutzkomponente, die den HTTP- und HTTPS-Verkehr zu einer Webanwendung analysiert und schädliche Anfragen blockiert, bevor sie die Anwendung erreichen. Anders als eine klassische Netzwerk-Firewall arbeitet die WAF auf der Applikationsebene und wehrt gezielt webspezifische Angriffe wie SQL-Injection oder Cross-Site Scripting ab, wie sie in den OWASP Top 10 beschrieben sind. Sie ist damit eine spezialisierte Ergänzung zur Netzwerk-Firewall und ein zentraler Baustein zum Schutz öffentlich erreichbarer Webdienste.
Eine Web Application Firewall (WAF) ist eine Schutzkomponente, die den Datenverkehr zu einer Webanwendung auf Applikationsebene (HTTP/HTTPS) analysiert und schädliche Anfragen abfängt, bevor sie die Anwendung erreichen. Sie ist von der klassischen Firewall abzugrenzen: Während diese auf Netzwerkebene filtert, setzt die WAF dort an, wo Angriffe auf die Logik einer Webanwendung zielen — etwa bei den in den OWASP Top 10 beschriebenen Risiken.
Foundational Facts
- Bedeutung: Web Application Firewall, deutsch Webanwendungs-Firewall
- Charakter: Schutz auf Applikationsschicht (HTTP/HTTPS), nicht auf Netzwerkebene
- Bezug: adressiert webspezifische Angriffe gemäß OWASP Top 10
- Schlüsselmerkmal: Inhaltsanalyse von HTTP-Anfragen statt reiner Adress-/Portfilterung
- Einsatzbezug: vorgeschaltet vor öffentlich erreichbare Webanwendungen, oft als Cloud-Dienst
Schutz auf der Applikationsebene
Der entscheidende Unterschied einer WAF liegt in der Ebene, auf der sie arbeitet. Webverkehr läuft über die regulär freigegebenen Ports 80 und 443 — für eine klassische Netzwerk-Firewall ist eine Angriffsanfrage damit nicht von einer legitimen Anfrage zu unterscheiden, beide kommen über denselben erlaubten Kanal. Die WAF prüft dagegen den Inhalt jeder HTTP-Anfrage: Parameter, Header, Eingabefelder und übertragene Daten. Verdächtige Muster, die auf einen Manipulationsversuch hindeuten, werden blockiert, bevor die Anwendung die Anfrage verarbeitet.
Typische abgewehrte Angriffe
| Angriffstyp | Kurzbeschreibung |
|---|---|
| SQL-Injection (SQLi) | Einschleusen von Datenbankbefehlen über Eingabefelder |
| Cross-Site Scripting (XSS) | Einschleusen von Schadskripten, die im Browser anderer Nutzer ausgeführt werden |
| Path Traversal | Zugriff auf Dateien außerhalb des vorgesehenen Verzeichnisses |
| Manipulation von Eingaben | Umgehung serverseitiger Prüfungen durch präparierte Anfragen |
Diese Angriffsklassen gehören zu den langjährigen Dauerbrennern der Anwendungssicherheit und sind in den OWASP Top 10 dokumentiert. Werden konkrete Schwachstellen in eingesetzter Software bekannt, erhalten sie häufig einen CVE-Eintrag — eine WAF kann hier als kurzfristige Schutzschicht dienen, solange ein Patch noch nicht eingespielt ist (virtuelles Patching).
Abgrenzung zur klassischen Firewall
WAF und Netzwerk-Firewall sind keine Alternativen, sondern arbeiten auf verschiedenen Schichten zusammen. Die Netzwerk-Firewall entscheidet, ob eine Verbindung überhaupt zustande kommt; die WAF entscheidet, was innerhalb erlaubter Web-Verbindungen passieren darf. In einer mehrschichtigen Architektur sitzt die WAF unmittelbar vor der Webanwendung und reduziert deren Angriffsfläche, indem sie schädliche Anfragen aussortiert.
Technisch lässt sich eine WAF in zwei Grundmodi betreiben. Im Erkennungsmodus protokolliert sie verdächtige Anfragen nur, ohne sie zu blockieren — nützlich, um Fehlalarme zu beobachten, bevor scharf geschaltet wird. Im Blockiermodus wehrt sie erkannte Angriffe aktiv ab. Diese gestaffelte Einführung ist in der Praxis wichtig, weil ein zu aggressiv eingestelltes Regelwerk auch legitime Anfragen abweisen und damit die Anwendung stören kann.
WAF im Mittelstand
Für kleine und mittlere Unternehmen, die eine Webanwendung mit Login-Bereich, Formularen oder Kundendaten betreiben, ist eine WAF eine wirksame und heute leicht zugängliche Schutzmaßnahme. Cloudbasierte WAF-Dienste lassen sich der eigenen Anwendung vorschalten, ohne dass eigene Hardware betrieben werden muss, und bringen gepflegte Regelsätze gegen aktuelle Angriffsmuster mit. Wichtig bleibt: Eine WAF ersetzt keine sichere Programmierung. Sie verschafft Zeit und fängt vieles ab, doch die Grundabsicherung liegt in geprüftem Anwendungscode und einem funktionierenden Patch-Prozess.
Weiterführende Links
Häufige Fragen
- Worin unterscheidet sich eine WAF von einer klassischen Firewall?
- Eine klassische Netzwerk-Firewall filtert Verkehr anhand von Adressen, Ports und Protokollen und entscheidet, ob eine Verbindung grundsätzlich zugelassen wird. Eine Web Application Firewall arbeitet eine Ebene höher, auf der Applikationsschicht, und prüft den Inhalt der HTTP-Anfragen selbst. Sie erkennt damit Angriffe, die über erlaubte Web-Ports laufen und für eine Netzwerk-Firewall wie legitimer Verkehr aussehen.
- Gegen welche Angriffe schützt eine WAF?
- Eine WAF richtet sich gegen typische Angriffe auf Webanwendungen, wie sie in den OWASP Top 10 zusammengefasst sind, etwa SQL-Injection, Cross-Site Scripting und verschiedene Formen von Manipulation von Eingaben. Sie erkennt verdächtige Muster in Anfragen und blockiert oder bereinigt diese, bevor die Anwendung sie verarbeitet.
- Ersetzt eine WAF sicheren Code?
- Nein. Eine WAF ist eine zusätzliche Schutzschicht, kein Ersatz für sichere Softwareentwicklung. Sie kann bekannte Angriffsmuster abfangen und einen Puffer schaffen, etwa wenn eine Schwachstelle bekannt, aber noch nicht behoben ist. Die eigentliche Absicherung liegt jedoch in fehlerfreiem, geprüftem Anwendungscode. WAF und sichere Entwicklung ergänzen einander.
- Brauchen auch kleine Unternehmen mit Website eine WAF?
- Sobald ein Unternehmen eine eigene Webanwendung mit Login, Formularen oder Kundendaten betreibt, ist eine WAF sinnvoll, denn jede öffentlich erreichbare Anwendung vergrößert die Angriffsfläche. Für kleine und mittlere Unternehmen sind cloudbasierte WAF-Dienste oft der praktikabelste Weg, da sie ohne eigene Hardware vorgeschaltet werden können und automatisch gepflegte Regelsätze mitbringen.