Firewall

Firewall aktiv — aber richtig eingestellt?

Wir sehen nach, ob sie an der richtigen Stelle sitzt, was sie tatsächlich blockt und ob sie im Hintergrund legitime Anfragen abweist.

Eine Firewall ist ein Filter, der Netzwerkverkehr nach festgelegten Regeln durchlässt oder blockiert. Im Web-Umfeld ist meist die Web Application Firewall (WAF) gemeint: Sie prüft eingehende Anfragen an eine Website auf Angriffsmuster und wehrt sie ab, bevor die Anwendung sie verarbeitet. Sie schließt keine Sicherheitslücken — sie verhindert, dass sie erreicht werden.

Kurz zusammengefasst:

• Eine WAF filtert Anfragen, sie repariert nichts.
• Ihr größter praktischer Nutzen ist der Zeitgewinn, bis ein Update eingespielt ist.
• Drei Einbauorte: vorgelagert, auf dem Server, im Plugin — mit sehr unterschiedlicher Wirkung.
• Je näher an der Anwendung, desto später greift sie und desto mehr Last entsteht.
• Falsch abgewiesene Anfragen sind ein realer Nebeneffekt, den man kennen muss.

Wo sie sitzt — und warum das entscheidend ist

Der Unterschied ist im Alltag deutlich spürbar. Bei einem Dauerbeschuss der Anmeldeseite blockt eine Plugin-Firewall zwar zuverlässig, aber jede Anfrage hat vorher PHP gestartet und die Datenbank befragt. Die Website wird langsam, obwohl der Angriff „abgewehrt“ wird — siehe Brute-Force-Angriff.

Wogegen sie hilft

• Ausnutzungsversuche bekannter Lücken in Plugins und Themes
• Einschleusversuche über Formulare und Parameter
• massenhafte Anmeldeversuche
• bekannte schädliche Quellen und Muster
• Überlastungsangriffe — allerdings nur bei vorgelagerten Diensten

Der eigentliche Nutzen: Zeit

Wird eine Lücke in einem verbreiteten Plugin bekannt, beginnen die automatisierten Angriffe oft innerhalb weniger Stunden. Zwischen Veröffentlichung und dem Moment, in dem das Update tatsächlich eingespielt ist, liegt in der Praxis fast immer eine Lücke — Wochenende, Urlaub, Testbedarf.

Gute WAF-Anbieter veröffentlichen für solche Fälle sehr schnell eine Regel, die den bekannten Angriffsweg blockiert. Das nennt sich virtuelles Patchen und ist der überzeugendste Grund für eine WAF: Sie überbrückt genau das Zeitfenster, in dem die meisten Websites fallen.

Was sie nicht ersetzt: das Update selbst. Wer die Regel als Dauerlösung nimmt, hat eine ungepatchte Website mit einem Pflaster darauf.

Die Kehrseite

Falsch abgewiesene Anfragen sind kein Randproblem. Typische Fälle: Ein Redakteur speichert einen Beitrag mit Codebeispielen und bekommt eine Fehlermeldung. Ein Formular mit längerem Text wird blockiert. Ein Zahlungsdienst erreicht die Rückmelde-Adresse nicht.

Deshalb gehört zu jeder WAF-Einführung: erst im Beobachtungsmodus laufen lassen, die Protokolle ansehen, dann scharf schalten — und wissen, wo man nachsieht, wenn sich jemand über eine unerklärliche Fehlermeldung beschwert.

Beim vorgelagerten Dienst kommt eine zweite Frage hinzu: Der gesamte Besucherverkehr läuft über einen Dritten. Das ist datenschutzrechtlich zu bewerten und braucht in aller Regel einen Auftragsverarbeitungsvertrag.

Einordnung

Eine WAF ist eine Schicht von mehreren, und nicht die wichtigste. Die Reihenfolge, die sich bewährt hat: Updates zuerst, dann 2FA und starke Zugänge, dann geprüfte Backups außerhalb des Servers — und dann eine WAF als Puffer. Wer die Reihenfolge umdreht, kauft sich ein Gefühl statt Sicherheit.

Häufige Fragen

Brauche ich eine Web Application Firewall?

Zwingend nicht. Sinnvoll wird sie, wenn viele Erweiterungen im Einsatz sind, Updates nicht sofort eingespielt werden können oder die Website geschäftskritisch ist. Für eine kleine, aktuell gehaltene Website mit wenigen Plugins ist der Nutzen begrenzt.

Ersetzt eine Firewall Updates?

Nein. Sie kann den Zeitraum bis zum Update überbrücken, aber die Lücke bleibt. Wer Updates dauerhaft aufschiebt, verlässt sich darauf, dass die Regel jeden Angriffsweg kennt — und das tut sie nicht.

Plugin oder vorgelagerter Dienst?

Ein vorgelagerter Dienst schützt wirksamer, weil der Angriff den Server nie erreicht, und hilft zusätzlich gegen Überlastung. Dafür läuft der gesamte Verkehr über einen Dritten. Eine Plugin-Firewall ist schnell eingerichtet, greift aber erst, wenn WordPress bereits läuft.

Verlangsamt eine Firewall die Website?

Kommt auf den Ort an. Vorgelagerte Dienste beschleunigen oft sogar, weil sie zusätzlich zwischenspeichern. Plugin-Firewalls kosten bei jedem Aufruf etwas Rechenzeit — bei einem laufenden Angriff spürbar.

Was sind Fehlalarme und wie geht man damit um?

Legitime Anfragen, die als Angriff eingestuft werden — etwa Beiträge mit Codebeispielen. Deshalb sollte eine WAF zunächst nur beobachten, bevor sie blockiert, und die Protokolle sollten regelmäßig angesehen werden.

Schützt eine Firewall vor bereits vorhandener Schadsoftware?

Nein. Sie filtert eingehende Anfragen. Liegt bereits Malware oder eine Backdoor auf dem System, hilft nur eine Bereinigung.