Was ist eine WAF?

Web Application Firewall (WAF) einfach erklärt

Eine klassische Firewall entscheidet vor allem anhand von Adressen und Ports – den „Türnummern“ einzelner Dienste –, wer überhaupt mit einem Server sprechen darf. Eine Web Application Firewall schaut genauer hin: Sie liest den Inhalt jeder Anfrage an eine Webanwendung, etwa an einen Webshop oder ein Online-Portal, und sucht nach verdächtigen Mustern.

Man kann sich eine WAF wie einen Türsteher vorstellen. Er kennt die typischen Tricks von Störenfrieden und weist Gäste ab, die verdächtig auftreten. Was er nicht weiß: welche Räume im Inneren ein Gast mit gültiger Eintrittskarte betreten darf. Genau dort liegen viele Schwachstellen.

So funktioniert eine WAF

Eine WAF sitzt zwischen Internet und Anwendung – als eigenes Gerät, als Software auf dem Webserver oder als Cloud-Dienst. Jede Anfrage durchläuft sie, bevor sie die Anwendung erreicht:

1. Bekannte Angriffe erkennen: Die WAF vergleicht die Anfrage mit Regeln für bekannte Angriffsmuster, etwa SQL-Injection oder Cross-Site Scripting. Man spricht vom Blocklist-Modell.
2. Nur Erlaubtes durchlassen: Strengere Konfigurationen legen zusätzlich fest, was erlaubt ist – etwa welche Felder ein Formular hat und welche Zeichen darin stehen dürfen. Das nennt man Allowlist-Modell.
3. Reagieren: Verdächtige Anfragen werden blockiert oder zumindest protokolliert und gemeldet. Viele WAFs begrenzen zudem, wie viele Anfragen ein Absender stellen darf, um automatisierte Angriffe zu bremsen.

Ein praktischer Nebeneffekt ist das virtuelle Patchen: Wird eine Lücke in einer Anwendung bekannt, kann eine passende WAF-Regel Angriffe darauf abfangen, bis das eigentliche Update eingespielt ist.

Ein Beispiel aus der Praxis

Ein Online-Händler für Ersatzteile schützt seinen Webshop mit einer Cloud-WAF und fühlt sich gut abgesichert. Im Penetrationstest zeigt sich: Die WAF blockiert einfache Angriffsversuche tatsächlich zuverlässig.

Trotzdem finden sich zwei Lücken. Erstens ist der Webserver auch direkt über seine eigene IP-Adresse, also seine Zahlenadresse im Internet, erreichbar – wer sie kennt, umgeht die WAF vollständig. Zweitens lassen sich im Kundenkonto durch Ändern der Bestellnummer in der Adresszeile Rechnungen fremder Kunden abrufen. Für die WAF ist das eine ganz normale Anfrage; die fehlende Berechtigungsprüfung (IDOR) bemerkt sie nicht.

Der Händler sperrt den direkten Zugriff auf den Server und lässt die Berechtigungsprüfung im Code nachrüsten. Die WAF bleibt als zusätzliche Schutzschicht im Einsatz.

Warum ist das für Unternehmen wichtig?

Webanwendungen sind rund um die Uhr erreichbar und werden ständig automatisiert nach bekannten Lücken abgesucht. Eine gut gepflegte WAF filtert viele dieser Massenangriffe heraus und verschafft Ihnen bei neu bekannten Schwachstellen wertvolle Zeit.

Wer Kartenzahlungen verarbeitet, kennt das Thema aus PCI DSS 4.0.1, dem Sicherheitsstandard der Kartenzahlungsbranche. Er verlangt für öffentlich erreichbare Webanwendungen eine automatisierte technische Lösung, die webbasierte Angriffe laufend erkennt und abwehrt (Anforderung 6.4.2) – in der Praxis meist eine WAF.

Die größte Gefahr ist ein falsches Sicherheitsgefühl. Eine WAF erkennt in der Regel keine Logikfehler wie fehlende Berechtigungsprüfungen. Geschickt verschleierte Angriffe können Regeln umgehen, und eine zu vorsichtig eingestellte WAF protokolliert nur, statt zu blockieren.

So schützen Sie sich

• Sicher entwickeln: Die eigentliche Absicherung gehört in den Code – etwa durch Eingabeprüfung und ein sauberes Berechtigungskonzept. Die WAF ist eine zusätzliche Schicht.
• Direktzugriff sperren: Stellen Sie sicher, dass Ihre Anwendung nur über die WAF erreichbar ist.
• Regeln pflegen: Halten Sie das Regelwerk aktuell und passen Sie es an Ihre Anwendung an, um Fehlalarme und Lücken zu vermeiden.
• Blockieren statt nur protokollieren: Prüfen Sie, ob die WAF im Schutzmodus läuft und ob Alarme tatsächlich ausgewertet werden.
• Virtuelles Patchen gezielt nutzen: Überbrücken Sie damit die Zeit bis zum Update – ersetzen Sie das Update aber nicht dauerhaft.
• Regelmäßig testen: Lassen Sie Ihre Anwendung mit und ohne aktive WAF prüfen. So kennen Sie die Schutzwirkung der WAF und die tatsächliche Sicherheit der Anwendung.

Wie Rootsektor unterstützt

Beim Penetrationstest für Webanwendungen & Webshops stimmen wir mit Ihnen ab, ob wir mit aktiver WAF, direkt gegen die Anwendung oder in beiden Varianten testen. So sehen Sie, was Ihre WAF abfängt und welche Schwachstellen in der Anwendung selbst stecken. Sie erhalten konkrete Maßnahmenempfehlungen für Code und Konfiguration sowie nach der Behebung einen kostenlosen Retest. Ihr Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.