Runtime ApplicationProtection.
Runtime-Schutz beobachtet die Codeausführung innerhalb oder unmittelbar neben der Anwendung und kann einen Angriff an der gefährlichen Operation stoppen. Anders als eine WAF sieht die Technik den internen Datenfluss. Dafür greift sie tiefer in Laufzeit, Deployment und Performance ein.
Marktbild: relevante Spezialklasse mit geringer eigenständiger Marktdichte. Sechs aktuelle Ansätze werden verglichen. Viele Angebote sind Module grösserer Observability-, AppSec- oder WAAP-Plattformen.
Schutz im Ausführungskontext.
RASP instrumentiert die Anwendung direkt. Runtime Application Protection in Observability-Plattformen nutzt vorhandene Agenten. Agentennahe WAF-Ansätze schützen nahe am Workload, besitzen aber nicht immer vollständigen Codeflusskontext.
Prüfe unterstützte Laufzeiten, Blocking-Modi, Performance, Fail-open oder Fail-closed, Containerbetrieb, Change-Verfahren, Telemetriedaten, Datenschutz, Exploitabdeckung und Verhalten bei Agenten- oder Plattformausfall.
Wenige Anbieter, deutliche Architekturunterschiede.
| Plattform | Ansatz | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| Contrast Protect | RASP durch Laufzeitinstrumentierung | Code- und Datenflusskontext beim Blocking | Unterstützte Enterprise-Laufzeiten | Agentenwirkung und Sprachabdeckung |
| Dynatrace Runtime Application Protection | Schutz über Observability-Agent | Angriff, Service und Business-Kontext | Dynatrace-OneAgent-Umgebungen | Unterstützte Technologien und Lizenzierung |
| Imperva RASP | RASP im Application-Security-Portfolio | Schutz innerhalb der Anwendung | Hybride Enterprise-Anwendungen | Aktuelle Produktintegration und Laufzeiten |
| Waratek | Compilerbasierter Runtime-Schutz | Virtuelle Patches für Java | Java-Anwendungen und Legacy-Stacks | Technologiefokus und Change-Prozess |
| Datadog Application Security | Runtime Detection und Protection | APM-, Trace- und Security-Kontext | Datadog-instrumentierte Cloud-Anwendungen | Blocking-Funktionen je Sprache und Region |
| Fastly Next-Gen WAF Agent | Agentennaher Anwendungsschutz | Deployment nahe am Workload | DevOps- und Multi-Cloud-Umgebungen | Abgrenzung zu echtem RASP und Codekontext |
Schutz
Service für Service.
- Kandidaten nach Exposition und Korrekturdauer auswählen: internetexponierte Services mit Altcode oder langen Release-Zyklen zuerst.
- In Test- und Abnahmeumgebung dieselbe Agentenversion wie in Produktion betreiben und Agentenupdates über denselben Change-Prozess wie Anwendungsreleases führen.
- Blocking pro Angriffsklasse einzeln aktivieren (z. B. SQL-Injection, Path Traversal, unsichere Deserialisierung) und Fehlalarme vor dem nächsten Schritt mit dem Entwicklungsteam klären.
- Jeden virtuellen Patch mit Ticket, Owner und Ablaufdatum verknüpfen; ein Ablauf ohne Codekorrektur wird eskaliert.
- Anteil exponierter Services mit Schutz im Blocking-Modus
- Zusätzliche Antwortzeit im 95. Perzentil mit und ohne Agent
- Anzahl virtueller Patches, deren Ablaufdatum ohne Codekorrektur überschritten ist
Das Anwendungsteam entscheidet über Blocking und trägt das Verfügbarkeitsrisiko seines Service; AppSec definiert Regeln und Ausnahmen. Der Plattformbetrieb verantwortet Verteilung und Updates der Agenten.
ISO/IEC 27001:2022 Annex A 8.8 (Management technischer Schwachstellen); die Leitlinien in ISO/IEC 27002:2022 sehen kompensierende Massnahmen vor, solange keine Korrektur verfügbar ist. Erkennungen fliessen in die Überwachung nach 8.16.
Für Hersteller nach dem Cyber Resilience Act ersetzt ein virtueller Patch keine Sicherheitsaktualisierung: Anhang I Teil II verlangt ab 11.12.2027, Schwachstellen unverzüglich zu beheben, unter anderem durch Sicherheitsupdates.
Runtime-Schutz ersetzt keine WAF am Perimeter. Er schützt nur instrumentierte Anwendungen; Volumenangriffe, Bot-Verkehr und nicht instrumentierte Dienste bleiben ausserhalb.
- Blocking wird ohne kontrollierten Lern- und Freigabeprozess aktiviert.
- Ein Agentenupdate beeinträchtigt kritische Anwendungen.
- Virtuelle Patches ersetzen dauerhaft die Korrektur im Code.
Wähle einen repräsentativen Service, erzeuge kontrollierte Angriffe und normale Lastspitzen. Prüfe Erkennung, Blocking, Performance, Rollback und ob der Befund eindeutig zum verantwortlichen Code und Team führt.
Security Tool Navigator · Gebiet 07
Im Gebiet Application und Product Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Application und Product Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.