Was ist eine Web Application Firewall (WAF)?

WAF: Definition und Abgrenzung

Eine Web Application Firewall sitzt als Filter vor einer Webanwendung, etwa einem Onlineshop, einem Kundenportal oder einer WordPress-Seite. Sie analysiert jede HTTP-Anfrage und blockiert solche, die typische Angriffsmuster enthalten. Damit adressiert sie vor allem Schwachstellenklassen aus den OWASP Top 10.

Eine klassische Netzwerk-Firewall entscheidet nach Adresse und Port und lässt Webverkehr auf Port 443 in der Regel passieren. Ob in einem Formularfeld Schadcode steckt, sieht sie nicht. Genau diese Lücke schließt die WAF auf der Anwendungsebene; beide Systeme ergänzen sich also.

So arbeitet eine WAF

Eine WAF wendet Regeln auf Anfragen und Antworten an. Verbreitet sind Regelsätze wie das OWASP Core Rule Set, das sich etwa mit ModSecurity nutzen lässt, sowie herstellereigene Signaturen. Zusätzlich lassen sich Ratenbegrenzungen, Geoblocking, Bot-Erkennung und eigene Regeln für einzelne Adressen festlegen, etwa strengerer Schutz für Login und Warenkorb.

Betrieben wird eine WAF als Cloud-Dienst vor der Website, oft zusammen mit einem CDN, als Gerät oder virtuelle Appliance im Rechenzentrum oder als Modul auf dem Webserver. Üblich ist ein stufenweiser Start: erst im Beobachtungsmodus, der nur protokolliert, dann im Blockmodus.

Praxis­bei­spiel: Online­shop unter Dauerbe­schuss

Ein Fachhändler für Werkzeug betreibt einen Shopware-Shop. In den Server-Logs fallen tausende Login-Versuche pro Stunde und Anfragen mit seltsamen Zeichenketten in Suchfeld und Adresse auf. Der Shop wird langsamer, im Hintergrund probieren Skripte gestohlene Zugangsdaten und bekannte Schwachstellen durch.

Eine vorgeschaltete Cloud-WAF filtert diesen Verkehr, noch bevor er den Server erreicht: Bots werden gedrosselt, Injection-Muster blockiert, der Admin-Bereich ist nur aus bestimmten Netzen erreichbar. Der Händler prüft die Protokolle regelmäßig und passt Ausnahmen an, damit echte Kunden nicht ausgesperrt werden.

Vorteile, Grenzen und typische Fehler

Eine WAF verschafft Zeit: Sie kann bekannte Lücken per „virtuellem Patch“ abschirmen, bis das Update eingespielt ist, und sie drosselt automatisierte Angriffe, die sonst Server und Budget belasten. Sie ersetzt aber keinen sicheren Code. Falsch eingestellt, blockiert sie legitime Anfragen (False Positives) oder lässt Angriffe durch; eine einmal installierte WAF ohne Pflege schützt auf Dauer kaum.

Nano Concepts richtet WAF-Schutz für Websites und Webanwendungen ein, testet die Regeln mit realistischen Anfragen und kombiniert ihn mit Updates, Härtung und Monitoring. So entsteht ein Schutz, der Shop und Portal vor Angriffen abschirmt, ohne den Einkauf echter Kunden zu behindern.

• Installiert, aber dauerhaft im reinen Beobachtungsmodus belassen
• Origin-Server bleibt direkt per IP-Adresse erreichbar und umgeht die WAF
• Keine Ausnahmen für Zahlungs- oder API-Schnittstellen, sodass Kunden ausgesperrt werden
• Regeln und Logs werden nicht gepflegt oder ausgewertet
• WAF als Ausrede, um Updates und Code-Reviews aufzuschieben