Webanwendung vor Bots schützen: WAF einrichten mit Cloudflare

Eine Web Application Firewall (WAF) filtert schädliche Anfragen heraus, bevor sie Ihre Server erreichen, und blockiert automatisierte Angriffe wie SQL-Injection, Cross-Site-Scripting und das Durchprobieren von Passwörtern. Für eine öffentlich erreichbare Webanwendung, die Kundendaten hält, ist sie keine Option, sondern die erste Schutzschicht, die Sie einziehen sollten.

Was Cloudflare WAF ist und wie sie arbeitet

Cloudflare WAF ist eine Web Application Firewall, die als Reverse-Proxy vor Ihrer Anwendung sitzt und den gesamten HTTP-Verkehr prüft, bevor er Ihren Server erreicht. Sie arbeitet mit Regelwerken, die Cloudflare laufend pflegt, und mit Erkennungsmustern aus dem Verkehr des gesamten Netzes. Weil der Verkehr über das Cloudflare-Netz läuft, bekommen Sie einen Schutz gegen Überlastungsangriffe (DDoS) und ein Zwischenspeichern statischer Inhalte mit dazu.

Der Preis dafür: Cloudflare sieht Ihren Verkehr. Für die meisten Unternehmensanwendungen ist das mit Auftragsverarbeitungsvertrag vertretbar. Ob es für Ihre Anwendung vertretbar ist, klären Sie mit Ihrer Datenschutzbeauftragten, bevor Sie den ersten DNS-Eintrag umstellen.

Warum eine Webanwendung ohne WAF ein leichtes Ziel ist

Ohne WAF steht Ihre Anwendung mit jeder Schwachstelle offen im Netz. Automatisierte Bots scannen rund um die Uhr nach bekannten Lücken, probieren gängige Passwörter durch und füllen Eingabefelder mit schädlichem Code. Die OWASP Top 10, der Standardkatalog für Sicherheitslücken in Webanwendungen, führen Injection-Fehler und fehlerhafte Zugriffskontrolle seit Jahren weit oben. Genau diese Angriffsmuster fängt eine WAF ab, bevor Ihr Anwendungscode sie überhaupt zu sehen bekommt.

Wer sich darauf verlässt, dass die eigene Anwendung keine Lücke hat, verlässt sich auf etwas, das noch keine Anwendung geschafft hat. Die WAF kauft Ihnen die Zeit zwischen Bekanntwerden einer Lücke und dem eingespielten Update.

Cloudflare WAF in fünf Schritten einrichten

Schritt 1: Domain bei Cloudflare anlegen

Melden Sie sich bei Cloudflare an, legen Sie Ihre Domain an und lassen Sie die bestehenden DNS-Einträge übernehmen. Danach stellen Sie die Nameserver Ihrer Domain bei Ihrem Registrar auf die von Cloudflare zugewiesenen um. Bis die Umstellung überall greift, vergehen einige Stunden. Ab dann läuft Ihr Verkehr durch das Cloudflare-Netz.

Schritt 2: WAF aktivieren und gepflegte Regelwerke einschalten

Im Bereich Security des Cloudflare-Dashboards aktivieren Sie die WAF und schalten das Cloudflare Managed Ruleset ein. Dieses Regelwerk wird von Cloudflare aktualisiert und deckt die bekannten Angriffsmuster ab. Für den Anfang stellen Sie die Regeln auf Protokollieren statt Blockieren. So sehen Sie, welche Anfragen betroffen wären, ohne echte Nutzer auszusperren. Die Aktion Protokollieren (Log) steht laut Cloudflare-Dokumentation nur in Enterprise-Tarifen bereit; in den übrigen Tarifen schalten Sie Regeln schrittweise scharf und beobachten dabei die Sicherheitsereignisse.

Schritt 3: Eigene Regeln ergänzen

Eigene Regeln bilden das ab, was nur Sie über Ihre Anwendung wissen. Wenn Ihre Kunden ausschließlich in Deutschland sitzen, blockieren Sie Anfragen aus anderen Ländern auf den Anmeldepfad. Wenn das Verwaltungsmenü nur aus dem Firmennetz erreichbar sein muss, erlauben Sie es nur von diesen IP-Adressen. Die Regelsprache lässt Bedingungen auf Pfad, Land, Header und Anfragemethode zu und ist in einer Stunde erlernt.

Schritt 4: Bot-Schutz und Anfragebegrenzung einstellen

Unter Security stellt Cloudflare einen Bot-Schutz bereit, der bekannte Bot-Netze abweist und verdächtige Muster erkennt. Dazu gehört eine Anfragebegrenzung (Rate Limiting) pro IP-Adresse und Zeitfenster. Sinnvoll ist ein deutlich strengeres Limit für die Anmeldeseite als für den Rest der Website, denn dort finden die Passwortangriffe statt. Legitime Nutzer melden sich ein paar Mal am Tag an, kein Mensch tut das im Sekundentakt.

Schritt 5: Testen, dann scharf schalten

Bevor Sie von Protokollieren auf Blockieren umstellen, simulieren Sie typische Angriffsmuster mit einem Prüfwerkzeug wie OWASP ZAP oder mit einfachen curl-Aufrufen und prüfen im Dashboard, ob die WAF sie erkennt. Danach schalten Sie auf Blockieren und beobachten die Protokolle in den ersten Tagen genau. Blockierte legitime Anfragen fallen jetzt auf, nicht erst, wenn ein Kunde anruft.

Was eine WAF im laufenden Betrieb braucht

Eine WAF ist kein einmaliges Einrichten. Prüfen Sie die Protokolle regelmäßig auf legitime Anfragen, die fälschlich blockiert wurden, und passen Sie die Regeln an. Halten Sie die automatische Aktualisierung des gepflegten Regelwerks eingeschaltet. Dokumentieren und versionieren Sie Ihre eigenen Regeln, damit auch in einem Jahr noch jemand weiß, warum ein bestimmter Pfad für ein bestimmtes Land gesperrt ist.

Eine WAF ersetzt außerdem keine Sicherheitsupdates. Sie fängt bekannte Angriffsmuster ab; eine veraltete Anwendung mit einer bekannten Lücke bleibt trotzdem verwundbar, sobald ein Angreifer das Muster variiert. Regelmäßige Updates der Anwendung und der Laufzeit, verschlüsselte Übertragung, ein gehärtetes Betriebssystem und ein Monitoring, das Sie bei auffälligen Mustern weckt, gehören dazu.

Sicherheitsupdates und Backups auslagern: So macht es dataso

Im Betrieb durch dataso ist Cloudflare WAF ein Baustein von mehreren. Wir kombinieren die WAF mit Sicherheitsupdates für Anwendung und Laufzeit, täglichen Backups, Monitoring rund um die Uhr und einem festgelegten Ablauf für den Ernstfall. Die Anwendung selbst läuft dabei in deutschen Rechenzentren. Sie bekommen verbindliche Reaktionszeiten; die Lösung eines Vorfalls erfolgt nach bestem Bemühen, und das sagen wir vorher. Wer wissen will, was diese Reaktionszeiten im Alltag bedeuten, findet es im Beitrag zu SLA-Reaktionszeiten.

Häufige Fragen zu Cloudflare WAF

Wie unterscheidet sich Cloudflare WAF von einer klassischen WAF? Eine klassische WAF läuft als Hardware oder Software im eigenen Rechenzentrum und muss dort betrieben und aktualisiert werden. Cloudflare WAF läuft im Netz von Cloudflare, wird von dort aktualisiert und bringt DDoS-Schutz mit. Dafür fließt Ihr Verkehr durch einen Dritten.

Schützt Cloudflare WAF auch vor DDoS-Angriffen? Der DDoS-Schutz auf Netzwerkebene ist aktiv, sobald Ihre Domain über Cloudflare läuft. Die WAF schützt zusätzlich auf Anwendungsebene, also gegen gezielte Angriffe auf Ihre Eingabefelder und Anmeldeseiten.

Ist der Einsatz von Cloudflare WAF DSGVO-konform? Cloudflare bietet einen Auftragsverarbeitungsvertrag an. Ob der Einsatz für Ihre Anwendung passt, hängt davon ab, welche Daten durch den Proxy laufen und wo sie verarbeitet werden. Das klären Sie vor der Einrichtung mit Ihrer Datenschutzbeauftragten, nicht danach.

Woran erkennen Sie, ob Ihre WAF richtig konfiguriert ist? Sie blockiert simulierte Angriffe und lässt legitime Nutzer durch. Beides prüfen Sie regelmäßig: Angriffe mit einem Prüfwerkzeug, legitime Nutzer über die Protokolle fälschlich blockierter Anfragen.

Der nächste Schritt: Ihre Anwendung von außen betrachten

Rufen Sie die Anmeldeseite Ihrer Webanwendung auf und fragen Sie sich, was passiert, wenn jemand dort tausend Passwörter pro Minute probiert. Wenn Sie die Antwort nicht kennen, klären wir sie in eine halbe Stunde gemeinsam und schauen, was eine WAF, Updates und Backups für Ihre Anwendung konkret bedeuten: Potenzial-Check buchen.