Prüfpunkt software.firewall.keine_reaktionOffene Türen und Abwehr
Braucht eine kleine Website eine Web-Firewall?
Läuft Ihre Website mit einem Redaktionssystem, einer Anmeldung oder einem Shop, lohnt sich eine Web-Firewall. Sie prüft jede Anfrage, bevor sie Ihre Website erreicht, und fängt einen Teil der automatisierten Angriffe ab. Updates und eine geschützte Anmeldung bleiben trotzdem nötig. Eine Visitenkarte aus festen HTML-Seiten ohne Anmeldung und ohne Programme am Server bietet einer solchen Firewall kaum etwas, das sie schützen könnte.
Eine Web-Firewall liest den Inhalt der Anfragen
Eine gewöhnliche Firewall regelt, wer den Server überhaupt erreicht. Das BSI rät etwa, einen Webserver nur über die Anschlüsse für Webverkehr erreichbar zu machen. Eine Web-Firewall setzt eine Stufe später an: Sie steht vor der Website und wendet Regeln auf jede Anfrage an. Laut der Sicherheitsgemeinschaft OWASP decken diese Regeln übliche Angriffe ab, etwa das Einschleusen von Befehlen in Datenbankabfragen oder von fremden Skripten in Seiten. Die Anleitung von WordPress nennt ModSecurity als verbreitetste offene Web-Firewall; ein Regelwerk dafür ist das OWASP Core Rule Set.
Am Webserver, im Redaktionssystem oder als vorgelagerter Dienst
WordPress beschreibt diese Bauformen. Am Webserver filtert die Firewall, bevor das Redaktionssystem etwas zu sehen bekommt; das richtet Ihr Hoster ein. Als Erweiterung im Redaktionssystem läuft sie erst, während WordPress schon lädt. Als vorgelagerter Dienst läuft der gesamte Verkehr zuerst über einen Anbieter, WordPress nennt Cloudflare, Sucuri und Incapsula. Dort werden Anfragen ausgefiltert, bevor sie Ihren Server erreichen. Über diesen Anbieter laufen dann auch alle Formulareingaben Ihrer Kunden. Besprechen Sie das mit Ihrem Datenschutzbeauftragten, bevor Sie umstellen.
Im Test wurde rund ein Viertel der Angriffe auf Lücken abgewehrt
Patchstack, ein Anbieter von WordPress-Sicherheit, hat 2025 Schutzmaßnahmen bei bekannten Hostern getestet, darunter eingebaute Web-Firewalls und Cloudflare. Gegen bekannte, tatsächlich ausgenutzte WordPress-Lücken wurden 12 Prozent der Angriffe abgewehrt, über eine breitere Auswahl an Lücken 26 Prozent. Ähnliche Kombinationen schnitten je nach Hoster sehr unterschiedlich ab. Patchstack verkauft selbst Schutz, die Zahlen sind also eine Anbieterangabe. Die Begründung lässt sich nachvollziehen: Wer eine fehlende Rechteprüfung in einer Erweiterung ausnutzt, erzeugt Verkehr, der für die Firewall wie der eines angemeldeten Nutzers aussieht. Deshalb bleiben Updates nötig. Auch das Sperrprogramm fail2ban schreibt über sich selbst: Es senkt die Zahl der Fehlversuche, das Risiko einer schwachen Anmeldung beseitigt es nicht.
Eine zu strenge Regel sperrt auch Ihre Kunden aus
Eine Firewall kennt Ihre Website nicht. Das Core Rule Set nennt das Fehlalarm: Eine echte Anfrage passt zufällig auf eine Angriffsregel und kann gesperrt werden. Als Beispiel nennt die Anleitung einen WordPress-Beitrag mit einer HTML-Überschrift. In einem Shop kann es das Bestellformular treffen. Der Kunde sieht dann eine Fehlermeldung, und die Bestellung kommt nicht an. Deshalb gibt es Stufen: Die erste ist laut Anleitung für jeden Server im Internet gedacht und braucht wenig Nacharbeit. Die zweite passt, wenn echte Kundendaten im Spiel sind, etwa bei einem gekauften Shop, und erzeugt mehr Fehlalarme.
So gehen Sie es an
- Fragen Sie Ihren Hoster, ob am Webserver eine Web-Firewall läuft, welches Regelwerk sie nutzt und auf welcher Stufe.
- Lassen Sie eine neue Firewall zuerst nur protokollieren. Für den Wechsel auf die aktuelle Fassung empfiehlt das Core Rule Set dafür ein bis zwei Wochen oder so lange, bis jeder wichtige Ablauf einmal durchlaufen ist.
- Probieren Sie in dieser Zeit Bestellung, Kontaktformular und Anmeldung aus. Was gesperrt worden wäre, nimmt Ihre Agentur einzeln aus der Regel heraus.
- Erst danach schaltet sie das Sperren ein und lässt die ausführlichen Protokolle noch eine Woche mitlaufen.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was kostet ein Cyberangriff mein Unternehmen?Stillstand, verlorene Kunden, Benachrichtigungen, Sichtbarkeit in der Suche: was ein Angriff ein kleines Unternehmen in Österreich und Deutschland kostet.
- Warum brauchen auch Fehlerseite und Skripte die Sicherheitskopfzeilen?Sicherheitskopfzeilen schützen nur die Antworten, die sie enthalten. Die Prüfung vergleicht Startseite, Fehlerseite und Skripte Ihrer Website.
- Wie schützen Sie Anmeldung und Schnittstellen Ihres CMS vor automatisierten Angriffen?Anmeldemaske, xmlrpc.php und readme.html sind bei vielen Websites für jeden erreichbar. Die Prüfung nennt, welche davon offen sind.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
