WAF: Die Firewall, die Ihre Website rund um die Uhr schützt

Eine klassische Firewall schützt das Netzwerk: Sie entscheidet, welche Ports und Protokolle passieren dürfen. Angriffe auf Websites laufen heute aber nicht über exotische Ports — sie kommen über denselben Port 443 wie Ihre Besucher, verpackt in scheinbar normale HTTP-Anfragen. Hier kommt die WAF ins Spiel, die Web Application Firewall: Sie prüft nicht nur, woher eine Anfrage kommt, sondern was darin steht.

Wovor eine WAF Sie schützt

• SQL-Injection — ein Angreifer schleust über ein Such- oder Loginfeld SQL-Code ein, um Daten aus Ihrer Datenbank auszulesen oder zu löschen. Seit Jahren ganz oben auf der OWASP-Liste der häufigsten Angriffe.
• XSS (Cross-Site Scripting) — bösartiges JavaScript, das im Browser Ihrer Besucher ausgeführt wird, etwa um deren Sitzungen zu stehlen.
• Brute-Force-Angriffe — automatisiertes Passwortraten gegen wp-login.php, oft Tausende Versuche pro Stunde.
• Bekannte Plugin-Schwachstellen — wird eine Lücke in einem beliebten WordPress-Plugin entdeckt, beginnen Bots innerhalb weniger Stunden, das Internet massenhaft nach ungepatchten Websites zu durchsuchen. WAF-Regeln werden schneller aktualisiert, als die meisten Betreiber ihre Plugins updaten — das nennt sich virtuelles Patchen.
• Bösartige Bots und Scraper — Traffic, der Ressourcen verbrennt, Inhalte stiehlt und Schwachstellen sucht.

Wie eine WAF in der Praxis arbeitet

Jede Anfrage an Ihre Website durchläuft zuerst die WAF, die sie mit Tausenden Regeln abgleicht: bekannte Angriffsmuster, verdächtige URL-Parameter, ungewöhnliche Header, IP-Adressen mit schlechter Reputation. Eine legitime Anfrage passiert in unter einer Millisekunde — der Besucher merkt nichts. Eine verdächtige wird blockiert, mit einem CAPTCHA konfrontiert oder gedrosselt. Moderne WAFs arbeiten auf CDN-Ebene: Der Angriff wird geografisch weit von Ihrem Server gestoppt, bevor er Ihre Ressourcen überhaupt belastet.

Braucht eine kleine Website wirklich eine WAF?

Ja — womöglich mehr als eine große. Angriffe auf kleine Websites sind fast ausschließlich automatisiert: Bots wählen ihre Ziele nicht nach Größe, sie scannen Millionen Websites und greifen jede mit einer bekannten Schwachstelle an. Eine durchschnittliche ungeschützte WordPress-Website erhält Hunderte bösartige Anfragen pro Tag — der Betreiber sieht davon nichts, bis etwas kaputtgeht. Die Bereinigung einer gehackten Website kostet mehrere Hundert Euro und Tage an Ausfallzeit (während Google die Seite womöglich als gefährlich markiert), während eine WAF denselben Angriff lautlos abwehrt.

Was eine WAF nicht ist

Eine WAF ersetzt keine Grundhygiene: WordPress und Plugins aktuell halten, starke Passwörter und Backups bleiben Ihre Aufgabe. Die WAF ist der Sicherheitsgurt — sie senkt das Risiko drastisch, heißt aber nicht, dass Sie mit geschlossenen Augen fahren können. Die ideale Ausstattung für eine kleine Website: WAF + automatisches tägliches Backup + regelmäßige Updates. Damit sind über 95 % der realen Bedrohungen abgedeckt.

Wie Sie zu einer WAF kommen

Sie können eine WAF als eigenständigen Dienst buchen (Cloudflare, Sucuri — ab etwa 20 Dollar monatlich für ernstzunehmende Regelwerke) oder ein Hosting wählen, bei dem sie bereits enthalten ist. Bei uns gehört die WAF — zusammen mit DDoS-Schutz und kostenlosem globalem CDN — zu jedem Tarif, schon ab 4,20 € im Monat, ganz ohne Konfiguration: Hosting aktivieren, Schutz läuft. Wenn Ihre Website mit WordPress läuft, werfen Sie auch einen Blick auf unser WordPress-Hosting mit Regeln, die speziell auf die häufigsten WordPress-Angriffe abgestimmt sind.