Schutz vor der richtigen Anwendung platzieren

Zunächst wird geklärt, welche Domains, APIs und Verwaltungsendpunkte geschützt werden sollen. Wichtig sind direkte Zugriffe auf den Ursprungsserver und alternative Hostnamen. Wenn Angreifer den vorgeschalteten Schutz umgehen können, erfasst die WAF nur einen Teil des tatsächlich erreichbaren Verkehrs.

Für Uploads, Zahlungsanbieter und Schnittstellen werden normale Anfrageformen dokumentiert. Die Anwendung bestimmt etwa zulässige Größen, Methoden und besondere Parameter. Regeln dürfen deshalb nicht ausschließlich nach einem allgemeinen Sicherheitswert gewählt werden, sondern müssen legitime Geschäftsabläufe zuverlässig berücksichtigen.

Regeln beobachten, testen und gezielt schärfen

Eine geeignete Einführung beginnt mit nachvollziehbaren Testfällen und einer Beobachtungsphase, sofern das Risiko dies zulässt. Auffällige Ereignisse werden fachlich bewertet. Ausnahmen werden möglichst eng auf den betroffenen Endpunkt begrenzt, statt ganze Regelgruppen für die gesamte Website abzuschalten.

Bei einer dringenden Schwachstelle können geeignete Regeln ergänzend Zeit für ein Update schaffen. Ob ein konkreter Angriffsweg erkannt wird, muss anhand aktueller Herstellerinformationen beurteilt werden. Für kritische PHP-Lücken darf eine allgemeine WAF-Aktivierung deshalb nicht als vollständige Behebung dargestellt werden.

Betrieb und Auswirkungen sichtbar machen

Zur laufenden Pflege gehören Regelupdates, Prüfung von Fehlalarmen und abgestimmte Änderungen bei neuen Funktionen. Auch Antwortzeiten, Ausfälle und die Behandlung echter Client-Adressen sind relevant. Die beteiligten Anbieter und Datenflüsse müssen zum vereinbarten Betriebs- und Datenschutzkonzept passen.

Als Ergebnis sollten geschützte Endpunkte, bekannte Ausnahmen und getestete Geschäftsabläufe nachvollziehbar sein. Für eine erste Einschätzung nennen Sie Website, verwendete Plattform, wichtige APIs und vorhandene Schutzdienste. Daraus lässt sich beurteilen, wo eine WAF konkret zusätzlichen Nutzen bringt.

Ihre Checkliste für den nächsten Schritt

  • Domains, APIs und mögliche direkte Zugriffe auf Ursprungsserver erfassen.
  • Checkout, Anmeldung, Uploads und Partneranbindungen unter Schutzregeln testen.
  • Ausnahmen eng begrenzen und nach Änderungen der Anwendung erneut prüfen.

Häufige Fragen

Kann eine WAF eine vorhandene Webshell entfernen?

Nein. Eine Webshell muss im Rahmen einer Untersuchung und Bereinigung behandelt werden; die WAF kontrolliert vor allem den durch sie geleiteten Verkehr.

Bedeutet ein blockierter Zugriff einen erfolgreichen Angriff?

Nicht automatisch. Ein Block zeigt zunächst, dass eine Regel ausgelöst wurde. Eine Kompromittierung erfordert zusätzliche technische Belege.

Quellen & weiterführende Informationen

OWASP: Web Application Firewall ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.