Web Application Firewall (WAF)

Definition

Eine Web Application Firewall (WAF) ist eine Sicherheitskomponente, die speziell zum Schutz von Webanwendungen und APIs entwickelt wurde.

Sie überwacht und kontrolliert den ein- und ausgehenden Datenverkehr auf Anwendungsebene (OSI-Layer 7), um Angriffe auf Webanwendungen zu erkennen und abzuwehren.

Im Fokus stehen Bedrohungen wie SQL-Injection, Cross-Site-Scripting (XSS), Command Injection oder manipulierte HTTP-Anfragen.

Schutzobjekte:

• Webanwendungen
• Webservices und APIs
• Portale, Shops und Cloud-Applikationen
• Anwendungsbezogener HTTP-/HTTPS-Traffic

Funktionsweise

Eine WAF analysiert Webanfragen anhand definierter Sicherheitsregeln und Signaturen.
Sie kann entweder als eigenständige Instanz, als Cloud-Service oder integriert in eine Application-Delivery-Plattform betrieben werden.

Typische Funktionsmechanismen:

• Analyse von HTTP-Headern, Parametern und Payloads
• Erkennung bekannter Angriffsmuster (z. B. OWASP Top 10)
• Blockieren, Weiterleiten oder Protokollieren verdächtiger Anfragen
• Schutz vor automatisierten Angriffen (Bots)
• Rate Limiting und Anomalieerkennung
• Unterstützung von TLS-/SSL-Verbindungen

WAFs arbeiten ergänzend zu Netzwerk-Firewalls, da sie Anwendungslogik verstehen.

Einsatzbereiche

Web Application Firewalls werden eingesetzt in:

• Öffentlichen Webportalen und Unternehmenswebsites
• Cloud- und Hybrid-Cloud-Umgebungen
• API-basierten Architekturen und Microservices
• E-Commerce-Plattformen
• Finanz-, Verwaltungs- und Gesundheitsanwendungen

Besonders relevant sind WAFs überall dort, wo Webanwendungen öffentlich erreichbar und geschäftskritisch sind.

Unterschiede zu ähnlichen Technologien

Netzwerk-Firewall: Filtert Datenverkehr auf Netzwerk- oder Transportebene; versteht keine Anwendungslogik.

Intrusion Detection / Prevention Systems (IDS/IPS): Erkennen Angriffe netzwerkweit; WAFs sind spezialisiert auf Webanwendungen.

Application Delivery Controller (ADC): ADCs kombinieren Load Balancing, WAF und weitere Optimierungsfunktionen in einer Plattform.

Vorteile und Nachteile

Verwandte Begriffe

• Load Balancing
• Application Delivery Controller (ADC)
• Network Firewall
• OWASP Top 10
• API Security
• Zero Trust

Beispiele

• Schutz eines öffentlichen Kundenportals vor SQL-Injection-Angriffen
• Absicherung von REST-APIs gegen automatisierte Abfragen
• Blockieren verdächtiger Anfragen aus bekannten Angriffsmustern
• Kombination von Load Balancing und WAF für hochverfügbare Webanwendungen

Quellen

• Microsoft Learn – Web Application Firewall on Azure
  https://learn.microsoft.com/en-us/azure/web-application-firewall/overview
• OWASP Foundation – OWASP Top 10 Web Application Security Risks
  https://owasp.org/www-project-top-ten/
• Cloudflare Learning Center – What is a Web Application Firewall (WAF)?
  https://www.cloudflare.com/learning/ddos/glossary/web-application-firewall-waf/
• Gartner – Market Guide for Web Application Firewalls (2024)
  https://www.gartner.com/en/documents