Eine Web Application Firewall (WAF) analysiert HTTP-Requests und blockiert bekannte Angriffs-Muster bevor sie Ihre Anwendung erreichen.
Was eine WAF blockt
- SQL-Injection — Versuche Datenbank-Queries zu manipulieren
- XSS (Cross-Site Scripting) — Einschleusen von JavaScript
- File Inclusion — Zugriff auf Server-Dateien
- Command Injection — Ausführung von OS-Kommandos
- Bot-Traffic — Auto-Scanner, Content-Scraper
- Bekannte CVEs — Signaturen für aktuelle Sicherheitslücken
Aktivieren im WTS-Portal
Für WTS-Webhosting:
- Meine Dienste → Ihre Webhosting-Instanz
- Reiter Sicherheit → WAF
- WAF aktivieren
- Level wählen:
- Standard — filtert bekannte Angriffe, wenig False Positives
- Streng — aggressiverer Schutz, gelegentlich blockt legitime Anfragen
- Lernmodus — protokolliert nur, blockt nicht
Statistik ansehen
Sicherheit → WAF → Statistik zeigt:
- Blockierte Anfragen (Anzahl, Land, Angriffstyp)
- Top-Angreifer-IPs
- Meistgeblockte Regeln
Praktisch um zu verstehen wer versucht Sie anzugreifen.
Ausnahmen definieren
Manchmal blockt die WAF legitime Requests. Dann:
- In der Statistik: falsche Blockierung finden
- Als Ausnahme markieren
- Regel für diese IP / URL / User-Agent deaktivieren
Alternativ: Whitelist für vertrauenswürdige IPs (Ihre eigene Büro-IP z.B.).
WAF für WordPress
Zusätzliche Sicherheit für WordPress-Sites:
- Wordfence (kostenlos + Premium) — WordPress-spezifische WAF-Regeln, Malware-Scan
- Sucuri (kostenpflichtig) — Cloud-basierte WAF, Anti-Malware
Diese laufen innerhalb von WordPress und ergänzen die WTS-WAF, nicht ersetzen.
Cloudflare WAF (Pro-Plan)
Für maximale Sicherheit: Cloudflare WAF vor Ihrem WTS-Server.
- Vielfach mehr Regeln
- Custom Rules per Klick
- Bot-Management
- Rate Limiting
Kosten: $20/Monat pro Domain.
Bei False Positives
Wenn Ihre eigene Anwendung durch die WAF blockiert wird:
- Sicherheit → WAF → Logs ansehen
- Welche Regel hat blockiert?
- Regel für Ihr spezifisches Verhalten anpassen (z.B. bestimmter Endpoint darf große POST-Requests)
Support hilft gerne wenn Sie unsicher sind — WAF-Konfiguration ist oft komplex.
Modus "Nur protokollieren"
Wenn Sie unsicher sind ob WAF False Positives auslöst, starte mit Nur protokollieren:
- Alle Angriffe werden erkannt und geloggt
- Aber nichts wird blockiert
- Nach 1-2 Wochen: Log analysieren, entscheiden welche Regeln Sie wirklich aktiv haben wollen