Von Regeln zu Risiken: Die Entwicklung von WAFs und der Aufstieg KI-gestützter Ergebnisse

Debrup GhoshLeitender Produktmanager | F5

CISOs kaufen Web Application Firewalls (WAFs) nicht wegen ihrer Funktionen – sie kaufen sie, um Geschäftsrisiken zu reduzieren, ohne das Unternehmen auszubremsen. Doch in vielen Unternehmen geraten WAF-Lösungen an einem bekannten Punkt ins Stocken: Die WAF ist implementiert und Warnmeldungen gehen ein, aber die Aktivierung des Blockierungsmodus verzögert sich, weil die Feinabstimmung kostspielig ist, eine bereichsübergreifende Zusammenarbeit erfordert und Risiken birgt.

Angreifer warten derweil nicht ab. Sie sondieren APIs, automatisieren den Missbrauch von Zugangsdaten und setzen Umgehungstechniken ein, die Regelsätze überwinden, die für den Datenverkehr von gestern konzipiert wurden. Als Reaktion auf diese Realität haben sich WAFs weiterentwickelt. Wer diese Entwicklung versteht, erkennt, warum KI-gestützte WAFs zunehmend einen entscheidenden Wendepunkt in der Praxis darstellen: Sie verkürzen die Zeit bis zum wirksamen Schutz, reduzieren den Betriebsaufwand und verbessern die Sicherheit, ohne die Nutzung für Kunden zu erschweren.

Generation 1: Kontrollreiche, signaturbasierte Absicherung

WAFs der ersten Generation legten den Grundstein für die Websicherheit: Durch Signaturen und die Durchsetzung von Protokollvorgaben boten sie umfassenden Schutz vor bekannten Bedrohungen. Ihre Stärken lagen in der Abwehr gängiger Exploits (z. B. SQLi, XSS), der Zuordnung zu CVEs mithilfe umfangreicher Signatur-Engines, der Durchsetzung der HTTP-Konformität sowie der einheitlichen Anwendung von Richtlinien und Überwachungsfunktionen über verschiedene Anwendungen hinweg. Darüber hinaus boten sie wichtige betriebliche Schutzmaßnahmen: Sie maskierten sensible Daten in Protokollen, ermöglichten die Anpassung von Sperrseiten, verwalteten zulässige Antwortcodes, nutzten Feeds zur Bewertung der IP-Reputation und schützten sensible Daten in Antworten.

Die Herausforderung entstand, als Anwendungen dynamischer wurden und sich die Angriffsfläche auf APIs, Bots und Automatisierung verlagerte. Signaturbasierte Modelle führen zu einem grundlegenden betrieblichen Zielkonflikt:

• Eine Verschärfung der Regeln, um mehr Angriffe zu erkennen, führt zu mehr Fehlalarmen und Betriebsstörungen.
• Eine Lockerung der Regeln zur Verringerung von Beeinträchtigungen führt zu mehr falsch-negativen Ergebnissen und einem erhöhten Risiko von Sicherheitsverletzungen.

In der Praxis führt dies zu einem hohen Abstimmungsaufwand: Sicherheitsteams priorisieren Warnmeldungen, Entwickler prüfen, ob der Datenverkehr legitim ist, und Plattformteams implementieren Ausnahmen. Dieser Zyklus wiederholt sich für jede Anwendung, jede Version und häufig auch für jede Umgebung. Die Folge sind ein verzögerter Einsatz des Blockierungsmodus, ein uneinheitlicher Schutz und eine wachsende Diskrepanz zwischen dem, was die WAF abwehren könnte, und dem, was sie in der Produktionsumgebung tatsächlich abwehrt.

Generation 2: Von der „Anfrageprüfung“ zum „Benutzer- und Sitzungsverhalten“

Die Funktionen von WAFs der zweiten Generation gingen über die reine Überprüfung von Nutzdaten hinaus und ermöglichten es, Benutzersitzungen anhand mehrerer Signale zu identifizieren und nachzuverfolgen – darunter Client-IP-Adresse, TLS-Fingerprinting, Cookies, HTTP-Header und weitere Identifikatoren. Dieser Wandel ist wichtig, da viele moderne Angriffe nicht wie eine einzelne „bösartige Anfrage“ aussehen. Sie zeigen sich vielmehr als Verhaltensmuster im Zeitverlauf: Auskundschaftung, Automatisierung, Missbrauchsmuster oder langsame, unauffällige Sondierungsversuche.

Durch die Nachverfolgung von Sitzungen und die verhaltensbasierte Bewertung des von Nutzern ausgehenden Risikos konnten WAFs der zweiten Generation Bots und missbräuchlich agierende Clients besser erkennen und Gegenmaßnahmen wie Challenges oder temporäre Sperren ermöglichen. Dadurch verringerte sich die alleinige Abhängigkeit von statischen Signaturen.

Doch selbst bei besserer Transparenz des Nutzerverhaltens sehen viele CISOs nach wie vor dieselbe Einführungshürde: das Vertrauen in die Durchsetzung. Zu wissen, dass etwas „verdächtig“ ist, führt nicht automatisch zu einer Entscheidung, die legitimen Datenverkehr nicht beeinträchtigt. Teams diskutieren weiterhin über Schwellenwerte, Ausnahmen und das Zusammenspiel von Regeln – insbesondere, wenn sich Anwendungen und APIs wöchentlich ändern.

Generation 3: KI-gestützte WAFs und ergebnisbasierte Durchsetzung

WAFs der dritten Generation führen ein anderes Betriebsmodell ein: risikobasierte Entscheidungen, die auf einer KI-gestützten WAF-Risikobewertung beruhen. Anstatt Teams zu zwingen, sich durch ein Labyrinth aus Signaturübereinstimmungen, Regelverstößen und Kompromissen bei der Feinabstimmung zu arbeiten, wertet die WAF mehrere Signale pro Anfrage aus und weist eine Risikostufe zu. Diese Risikostufe bildet die Grundlage für die Durchsetzung.

Damit verlagert sich das Gespräch mit dem CISO von der Frage „Wie optimieren wir die WAF?“ hin zu „Welches Risikoniveau sind wir bereit, für diese App, diesen Endpunkt oder diese Geschäftsfunktion zu akzeptieren?“

Die praktischen Auswirkungen sind erheblich:

• Schnellerer Schutz: Kunden können früher in den Blockierungsmodus wechseln, da Entscheidungen auf einer mehrstufigen Analyse statt auf fehleranfälligen Auslösern mit nur einer Regel basieren.
• Weniger betrieblicher Aufwand: Weniger manuelle Ausnahmen und weniger fallspezifische Anpassungen reduzieren Reibungsverluste zwischen SecOps, AppSec, Entwicklern und Plattformteams.
• Verbesserte Erkennung bei geringer Fehlalarmrate: Die Korrelation mehrerer Signale hilft, mehr Angriffe zu erkennen und gleichzeitig Beeinträchtigungen für legitime Nutzer zu reduzieren.

Ein mehrschichtiger Ansatz

Die besten Ergebnisse werden erzielt, wenn die WAF-Funktionen der 1., 2. und 3. Generation miteinander kombiniert und nicht als Alternativen betrachtet werden.

Kontrollen der ersten Generation – Signaturen, Protokollkonformität, Schutzmaßnahmen gegen Bedrohungskampagnen, Schutz sensibler Daten und umfassende Beobachtbarkeit – bieten hochwirksamen Schutz vor bekannten Schwachstellen und gängigen Angriffstechniken und bleiben unverzichtbare grundlegende Sicherheitsmaßnahmen.

Gen 2 ergänzt Sitzungsbewusstsein und Verhaltens-Tracking, um Anfragen zu User Journeys zu verknüpfen. Dadurch kann die Plattform missbräuchliche Automatisierung von normalen Nutzungsmustern unterscheiden und die Abhängigkeit von fehleranfälligen Ausnahmen für einzelne URLs reduzieren.

Das KI-gestützte Risikoscoring der 3. Generation führt diese Signale anschließend in einer konsistenten, ergebnisorientierten Entscheidungs-Engine zusammen. Dabei werden Signaturtreffer, Verhaltensanomalien und kontextbezogene Indikatoren zu einer einheitlichen Risikobewertung pro Anfrage bzw. Sitzung korreliert. So können Teams schneller und mit größerer Sicherheit die Blockierung aktivieren und zugleich sowohl falsch-negative als auch falsch-positive Ergebnisse minimieren.

In Kombination bietet dieser mehrschichtige Ansatz maximalen Schutz bei minimalem operativem Abstimmungsaufwand: deterministische Kontrollen für bekannte Bedrohungen, verhaltensbasierte Erkennung für sich weiterentwickelnde Bedrohungen und risikobasierte Durchsetzung, um auch in großem Maßstab präzise Entscheidungen zu treffen.

Bewertung von WAFs anhand von Geschäftsergebnissen

Wie bereits erwähnt, sollten CISOs WAF-Lösungen anhand der Geschäftsergebnisse bewerten – also danach, wie schnell das Unternehmen den Blockierungsmodus erreichen und dauerhaft aufrechterhalten kann, wie wirksam Bedrohungen in Anwendungen und APIs abgewehrt werden und wie wenig legitimer Kundenverkehr beeinträchtigt wird – und nicht anhand des Umfangs einzelner Funktionen.

Bei guter Umsetzung verlagert sich der operative Fokus weg von Diskussionen über einzelne Signaturen und Ausnahmen hin zur Festlegung von Risikoschwellenwerten, die auf die Risikotoleranz des Unternehmens abgestimmt sind. Dadurch wird der Schutz verbessert und zugleich die Zahl der Fehlalarme in verteilten Umgebungen gering gehalten.

Weitere Informationen zu F5 Distributed Cloud WAF und den KI-basierten Funktionen finden Sie auf unserer Produktseite oder kontaktieren Sie unser Team, um einen Demotermin zu vereinbaren.

Über den Autor

Debrup GhoshLeitender Produktmanager | F5

Weitere Blogbeiträge von Debrup Ghosh