Web ApplicationFirewalls.
Eine WAF kontrolliert HTTP- und HTTPS-Anfragen vor Webanwendungen und APIs. Sie blockiert bekannte Angriffsmuster, missbräuchliche Requests und auffällige Automatisierung. Sie korrigiert jedoch keinen unsicheren Code und versteht fachlichen Missbrauch nur begrenzt.
Marktbild: hohe Priorität für internetexponierte Dienste und ein stark durchdrungener Markt. Fünfzehn Angebote reichen von Cloud-WAAP und Hyperscaler-Diensten bis zu Appliances und Open Source.
Edge, Cloud oder eigener Datenpfad.
CDN-basierte WAFs schützen global am Edge. Cloud-native Dienste integrieren direkt mit Load Balancern und Gateways. Appliances und virtuelle Systeme geben mehr Kontrolle im eigenen Netz. Jede Variante verändert TLS-Terminierung, Latenz und Ausfallabhängigkeit.
Prüfe API- und Protokollabdeckung, Managed Rules, Custom Rules, Bot Defense, Rate Limiting, TLS, Logging, False Positives, Blockierungsfreigabe, Multi-Cloud-Einsatz und Schutz bei Ausfall des Anbieters.
Plattformen und Betriebsmodelle.
| Produkt | Modell | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| Cloudflare WAF | Globale Edge-WAF | Schnelle Aktivierung und breite Edge-Signale | Internetdienste jeder Grösse | Origin-Abschirmung und Regelpaket |
| Akamai App & API Protector | Edge WAAP | Skalierung, APIs und Bot-Schutz | Grosse verteilte Webportfolios | Multi-CDN und Betriebsmodell |
| AWS WAF | Cloud-native WAF | Direkte AWS-Ressourcenintegration | AWS-zentrierte Plattformen | Kosten pro Regel und Request, Tuning |
| Azure Web Application Firewall | Cloud-native WAF | Application Gateway und Front Door | Azure-Anwendungen | SKU, Regelversion und regionale Architektur |
| Google Cloud Armor | Cloud Edge Protection | Google-Edge, WAF und DDoS-Kontext | Google-Cloud-Workloads | Backendtypen und Hybrid-Abdeckung |
| F5 Advanced WAF | Appliance und virtuell | Tiefe Traffic- und App-Delivery-Integration | F5-geprägte Enterprise-Netze | Komplexität, Skills und Lizenzierung |
| Imperva WAF | Cloud oder On-Premises | Hybrider Schutz und Managed Rules | Regulierte und hybride Umgebungen | Deploymentvariante und API-Schutz |
| Fastly Next-Gen WAF | Edge und agentennah | Signal-Sciences-Technologie und Tuning | DevOps-nahe Webplattformen | Deployment, Edge-Bindung und Regelkontrolle |
| Fortinet FortiWeb | Appliance, VM und Cloud | Breite Betriebsmodelle im Fortinet-Portfolio | Mittelstand und Enterprise | Integration, Bot- und API-Module |
| Barracuda WAF | Appliance und Cloud | Pragmatische App- und API-Absicherung | Mittelstand und verteilte Dienste | Automatisierung und Managed Service |
| Radware Cloud WAF | Cloud WAAP | WAF mit Bot- und DDoS-Schutz | Exponierte geschäftskritische Dienste | Trafficführung und Servicegrenzen |
| NetScaler WAF | ADC-integrierte WAF | Anwendungsschutz im NetScaler-Datenpfad | Bestehende NetScaler-Umgebungen | Produktedition und Betriebsaufwand |
| open-appsec | Open Source und SaaS | Machine-Learning-Engine für NGINX und Kubernetes | Teams mit Eigenbetrieb | Policy, Support und Plattformintegration |
| Coraza WAF | Open Source Engine | Moderne OWASP-CRS-kompatible Integration | Cloud-native Eigenintegration | Betrieb, Regeln und fehlende Managementebene |
| OWASP ModSecurity | Open Source Engine | Breite Verbreitung und OWASP CRS | Selbst betriebene Webstacks | Wartung, Tuning und Connector-Architektur |
- Eine WAF läuft dauerhaft im Lernmodus und blockiert nichts.
- Direkte Origin-Zugriffe umgehen den Schutz vollständig.
- Zu breite Ausnahmen werden nach einem Fehlalarm nie zurückgenommen.
Teste reale Anwendungen und APIs mit Normalverkehr, bekannten Angriffsmustern, grossen Uploads und komplexen Logins. Miss False Positives, Latenz, Umgehung des Origins und die Zeit bis zu einer sicheren Regeländerung.
Security Tool Navigator · Gebiet 07
Im Gebiet Application und Product Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Application und Product Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.