Firewall, Web Application Firewall und DDoS-Schutz werden häufig in einem Satz genannt. Sie lösen aber unterschiedliche Probleme. Wer die Ebenen auseinanderhält, kann Regeln gezielter planen und vermeidet die Erwartung, eine einzelne Schutzfunktion könne jede Art von Angriff abfangen.
Die klassische Firewall
Eine Netzwerk-Firewall entscheidet vor allem anhand von Verbindungen: Welche Ports und Protokolle dürfen den Server erreichen? Damit lassen sich beispielsweise nicht benötigte Verwaltungsdienste abschirmen. Sie sieht jedoch nicht automatisch, ob eine erlaubte HTTP-Anfrage im Detail schädlich ist.
Was eine WAF ergänzt
Eine Web Application Firewall prüft Web- und API-Anfragen auf der Anwendungsebene. Sie kann Regeln für Pfade, Parameter, Header oder bekannte Angriffsmuster anwenden. Die Cloudflare-Dokumentation zur WAF beschreibt sie deshalb als Schutzschicht zwischen Webanwendung und Internet.
Eine WAF ersetzt keine Updates. Sie kann eine zusätzliche Hürde sein, sollte aber immer zusammen mit aktueller Software, sicheren Zugangsdaten und begrenzten Berechtigungen betrieben werden.
DDoS-Schutz verfolgt ein anderes Ziel
Bei einem DDoS-Angriff steht meist die Verfügbarkeit im Vordergrund: Sehr viele Anfragen sollen einen Dienst verlangsamen oder nicht mehr erreichbar machen. Schutzmechanismen setzen deshalb häufig vor dem eigentlichen Server an, etwa durch Filterung, Rate-Limits und Caching. Cloudflare erklärt diese Zusammenhänge in den DDoS-Learning-Paths.
Eine sinnvolle Kombination
- Nur benötigte Ports und Dienste nach außen öffnen.
- WAF-Regeln zunächst beobachten und Ausnahmen dokumentiert einrichten.
- Login- und API-Endpunkte zusätzlich mit Rate-Limits oder Mehrfaktor-Anmeldung schützen.
- Logs regelmäßig prüfen, damit Fehlalarme nicht unbemerkt echte Zugriffe blockieren.
- Backups und Wiederherstellung getrennt von der Firewall testen.
Die wichtigste Erkenntnis ist schlicht: Netzwerk-Firewall, WAF und DDoS-Schutz sind Ergänzungen. Sicherheit entsteht aus ihrem Zusammenspiel und aus regelmäßiger Pflege.
