Firewall und Web Application Firewall (WAF)

Was sind eine Firewall und eine Web Application Firewall?

Eine Firewall begrenzt den Datenverkehr zwischen IP-Netzen; eine Web Application Firewall kontrolliert HTTP-Verkehr zum zusätzlichen Schutz von Webanwendungen.

Technisch sind beide Kontrollen zu unterscheiden: Eine Netzfirewall koppelt unterschiedlich vertrauenswürdige IP-Netze und lässt nur die durch eine Sicherheitsrichtlinie erlaubten Datenströme zu. Eine WAF arbeitet auf höheren Protokollebenen und untersucht den Webverkehr einer konkreten Anwendung. Sie kann beispielsweise den Schutz gegen HTTP-basierte Angriffe ergänzen.

Der Normwortlaut

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

Quelle: § 30 Absatz 1 Sätze 1 bis 3 BSIG. Der Wortlaut nennt weder eine Firewall noch eine WAF. Er verpflichtet die erfassten Einrichtungen zum Risikomanagement, nicht pauschal zum Einsatz eines bestimmten Produkts.

Für wen ist die gesetzliche Pflicht relevant?

Die Pflicht aus § 30 BSIG richtet sich an besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Die Einordnung hängt von den dort geregelten Sektoren, Einrichtungsarten und Größenmerkmalen ab. Erfasst sind die informationstechnischen Systeme, Komponenten und Prozesse, welche die Einrichtung für ihre Dienste nutzt. Die Bereichsausnahmen und Rückausnahmen in § 28 Absätze 5 und 6 müssen mitgeprüft werden, insbesondere bei den dort genannten Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Fällen. Technische Relevanz allein begründet weder die Einstufung noch eine Pflicht zum Einsatz einer Firewall oder WAF.

Wann sind Firewall oder WAF in Betracht zu ziehen?

Für erfasste Einrichtungen ist die konkrete Kontrolle risikobasiert auszuwählen: Eine Firewall kommt in Betracht, wenn Datenströme zwischen unterschiedlich vertrauenswürdigen Netzen beschränkt werden müssen. Eine WAF kommt in Betracht, wenn HTTP-Angriffsrisiken für eine Webanwendung zusätzlichen Schutz erfordern. Die gesetzlich erforderlichen Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und sollen den Stand der Technik einhalten. Bei ihrer Umsetzung sind einschlägige europäische und internationale Normen zu berücksichtigen.

Wie muss eine WAF technisch betrieben werden?

Nach der technischen Empfehlung des BSI sollte die Konfiguration fachgerecht auf die konkrete Webanwendung oder den Webservice abgestimmt sein. Wird eine WAF eingesetzt, empfiehlt das BSI, die Konfiguration nach jedem Update der geschützten Anwendung oder des Webservices zu prüfen und das Regelwerk in den Penetrationstest einzubeziehen. „Nach jedem Update“ ist ein empfohlener technischer Prüfzeitpunkt, keine allgemeine gesetzliche Frist. Fähigkeiten und Schutzwirkung hängen zudem vom Produkt und von der Konfiguration ab.

Welche Grenzen und Spezialregime gelten?

Eine WAF ergänzt sichere Entwicklung und Anwendungstests, ersetzt sie aber nicht. Zusatzfunktionen von Next-Generation- oder UTM-Firewalls wie VPN, IDS/IPS, Viren- oder Spamfilter benötigen eigene Anforderungen. Rechtlich gehen Durchführungsrechtsakte der Europäischen Kommission nach § 30 Absätze 3 und 4 in ihrem jeweiligen Anwendungsumfang vor. Auch ein wirksamer Ausnahmebescheid nach § 37 BSIG kann die allgemeinen Pflichten im dort geregelten Einzelfall begrenzen.

Gibt es Fristen oder technische Schwellenwerte?

§ 30 BSIG enthält für Einsatz, Beschaffung oder Konfiguration einer Firewall oder WAF weder eine allgemeine Frist noch einen technischen Schwellenwert. Die Größenmerkmale des § 28 betreffen ausschließlich die Einordnung von Einrichtungen. Sektorspezifische Vorgaben, vorrangige EU-Durchführungsrechtsakte oder Einzelanordnungen können im konkreten Fall zusätzliche Anforderungen enthalten.

Was muss dokumentiert werden?

Erfasste Einrichtungen müssen die Einhaltung ihrer Risikomanagementpflicht aus § 30 Absatz 1 dokumentieren. Als Praxisempfehlung sollte die Dokumentation nachvollziehbar festhalten, welches Risiko bewertet wurde, warum eine Firewall oder WAF erforderlich oder nicht erforderlich ist, welche Regeln und Zuständigkeiten gelten und wie Änderungen sowie Wirksamkeit geprüft werden. Diese Konkretisierung ist eine Empfehlung für einen belastbaren Nachweis, kein wörtlicher gesetzlicher Produktkatalog.

Häufige Fehlannahmen

• „Das BSIG schreibt jeder Organisation eine Firewall oder WAF vor.“ Nein. § 30 gilt für die nach § 28 erfassten Einrichtungen und verlangt geeignete Risikomanagementmaßnahmen, ohne ein solches Einzelprodukt zu benennen.
• „Eine WAF ist dasselbe wie eine Netzfirewall.“ Nein. Die Netzfirewall kontrolliert Datenströme zwischen IP-Netzen; die WAF kontrolliert Webverkehr auf Anwendungsebene.
• „Eine WAF ersetzt sichere Softwareentwicklung und Tests.“ Nein. Das BSI ordnet sie als zusätzlichen Schutzmechanismus ein.
• „Nach jedem Update zu prüfen ist eine gesetzliche Frist.“ Nein. Es handelt sich um einen vom BSI empfohlenen technischen Prüfzeitpunkt beim Einsatz einer WAF.
• „Eine Firewall deckt VPN, IDS/IPS sowie Viren- und Spamfilter automatisch ab.“ Nein. Solche Zusatzfunktionen sind produktabhängig und benötigen eigene Anforderungen.

Was die Geschäftsleitung tun sollte

1. Den Anwendungsbereich nach § 28 einschließlich der Bereichsausnahmen, Rückausnahmen und einschlägigen Spezialregime prüfen lassen.
2. Auf Basis der Risikoanalyse entscheiden und dokumentieren, an welchen Netz- oder Webübergängen Firewall- beziehungsweise WAF-Kontrollen erforderlich und verhältnismäßig sind.
3. Verantwortung für Regelwerk, anwendungsspezifische Konfiguration, Überwachung, Änderungsprüfung und Wirksamkeitskontrolle eindeutig zuweisen.
4. Bei WAFs Prüfungen nach Updates und die Einbeziehung des Regelwerks in Penetrationstests organisatorisch verankern.
5. Als Geschäftsleitung einer erfassten Einrichtung die nach § 30 erforderlichen Maßnahmen gemäß § 38 umsetzen und überwachen sowie die dort vorgesehene regelmäßige Schulung beachten.

Die Schritte zur Produktauswahl und Betriebsorganisation sind Praxisempfehlungen. Die gesetzlichen Pflichten aus §§ 30 und 38 gelten nur, wenn die Einrichtung und die betreffende Risikomanagementmaßnahme in den gesetzlichen Anwendungsbereich fallen.

Für die Geschäftsleitung

Entscheidend ist nicht der pauschale Kauf eines Sicherheitsprodukts, sondern eine nachweisbare, risikobasierte Entscheidung. Zuerst ist der gesetzliche Anwendungsbereich einschließlich Ausnahmen und Spezialregimen zu klären. Danach ist festzulegen, ob Netztrennung oder HTTP-Risiken eine Firewall oder WAF erfordern, wie deren Wirksamkeit geprüft wird und wer Änderungen überwacht. Der Nachweis sollte Risiko, Entscheidung, Konfiguration und Kontrollen nachvollziehbar verbinden.

Quellen

• § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen
• § 30 BSIG – Risikomanagementmaßnahmen
• § 37 BSIG – Ausnahmen von Verpflichtungen
• § 38 BSIG – Billigungs-, Überwachungs- und Schulungspflichten der Geschäftsleitungen
• BSI IT-Grundschutz: NET.3.2 Firewall, Edition 2023
• BSI: Sicherheit von Webanwendungen, Abschnitt 4.6.8 zur WAF
• BSI: Leitfaden IS-Webcheck, Einsatz von Web Application Firewalls