WAF Fragenkatalog

Wie funktioniert TLS/SSL?

TLS (Transport Layer Security) verschlüsselt die Verbindung zwischen Client und Server. Der Ablauf erfolgt in einem sogenannten Handshake:

TLS-Versionen im Überblick

TLS 1.3 Empfohlen

Der aktuellste Standard (2018). Schnellerer Handshake (1-RTT), stärkere Verschlüsselung, entfernt unsichere Algorithmen vollständig.

TLS 1.2 Empfohlen

Seit 2008 etabliert. Unterstützt moderne Cipher-Suites, gilt laut BSI als sicher. Gute Kompatibilität mit älteren Clients.

TLS 1.1 Veraltet

Seit 2020 deprecated. Bietet nur geringfügige Verbesserungen gegenüber TLS 1.0, sollte nicht mehr eingesetzt werden.

TLS 1.0 Unsicher

Standard von 1999. Anfällig für BEAST und POODLE. Seit 2020 abgekündigt (RFC 8996). Erfordert Ausnahmegenehmigung.

TLS 1.2 + TLS 1.3 ist die empfohlene Kombination: maximale Sicherheit für moderne Clients bei gleichzeitiger Kompatibilität.

Wie funktioniert TLS/SSL im Backend?

TLS verschlüsselt auch die Verbindung zwischen dem ALG und dem Verfahrensserver im Backend. Hier agiert der ALG als Client und der Verfahrensserver gibt die unterstützten TLS-Versionen vor.

TLS-Versionen im Überblick

TLS 1.3 Empfohlen

Der aktuellste Standard (2018). Schnellerer Handshake (1-RTT), stärkere Verschlüsselung, entfernt unsichere Algorithmen vollständig.

TLS 1.2 Empfohlen

Seit 2008 etabliert. Unterstützt moderne Cipher-Suites, gilt laut BSI als sicher. Gute Kompatibilität mit älteren Systemen.

TLS 1.1 Veraltet

Seit 2020 deprecated. Sollte nicht mehr eingesetzt werden.

TLS 1.0 Unsicher

Standard von 1999. Anfällig für BEAST und POODLE. Seit 2020 abgekündigt (RFC 8996). Erfordert Ausnahmegenehmigung.

TLS 1.2 + TLS 1.3 ist die empfohlene Kombination: maximale Sicherheit bei gleichzeitiger Kompatibilität mit älteren Verfahrensservern.

Was ist WebSocket?

WebSocket ermöglicht eine dauerhafte, bidirektionale Verbindung zwischen Client und Server — im Gegensatz zu HTTP, wo der Client immer die Anfrage stellen muss.

Typische Einsatzbereiche

💬 Chat & Messaging

Echtzeit-Chatsysteme wie Slack oder Teams nutzen WebSocket für sofortige Nachrichtenzustellung ohne ständiges Polling.

📈 Live-Daten & Dashboards

Börsenkurse, Monitoring-Dashboards oder IoT-Sensordaten, die sich sekündlich aktualisieren müssen.

🎮 Online-Gaming

Multiplayer-Spiele benötigen latenzarme, bidirektionale Kommunikation für Spielzustände in Echtzeit.

📋 Kollaboratives Arbeiten

Tools wie Google Docs synchronisieren Änderungen mehrerer Nutzer gleichzeitig über WebSocket.

Falls das Verfahren nur gelegentliche Updates benötigt, reicht oft ein Fallback auf HTTP-Polling oder Server-Sent Events — ohne Ausnahmegenehmigung.

HTTP-Versionen im Überblick

Das Hypertext Transfer Protocol (HTTP) ist das Fundament der Web-Kommunikation. Jede Version bringt Verbesserungen in Performance und Sicherheit.

HTTP/1.0 Veraltet

Vorteile: Einfachstes Protokoll, breite Kompatibilität mit Altsystemen.
Nachteile: Für jede Anfrage wird eine neue TCP-Verbindung aufgebaut — sehr ineffizient. Keine persistente Verbindung, kein Host-Header-Standard. Erfordert Ausnahmegenehmigung.

HTTP/1.1

Vorteile: Persistente Verbindungen (Keep-Alive), Pipelining, virtuelles Hosting über Host-Header. Seit 1997 etabliert und sehr stabil.
Sicherheit: Keine eingebaute Verschlüsselung — setzt auf TLS/SSL (HTTPS) auf. Gut verstanden und von ALG-Systemen vollständig inspizierbar.

HTTP/2

Vorteile: Multiplexing (mehrere Anfragen gleichzeitig über eine Verbindung), Header-Kompression (HPACK), Server Push. Deutlich schneller als HTTP/1.1.
Sicherheit: In der Praxis fast ausschließlich mit TLS betrieben. Die binäre Struktur erschwert manuelle Inspektion, wird aber von modernen ALG-Systemen unterstützt.

HTTP/3 Neueste Version

Vorteile: Basiert auf QUIC (UDP statt TCP) — schnellerer Verbindungsaufbau, bessere Performance bei Paketverlusten, eingebaute Verschlüsselung.
Sicherheit: TLS 1.3 ist fester Bestandteil. UDP-basiert, was manche Firewalls und ALG-Systeme noch nicht vollständig unterstützen — Kompatibilität vorab prüfen.

Empfehlung: gleiche Version wie der Verfahrensserver wählen. HTTP/1.1 oder HTTP/2 sind in den meisten Umgebungen optimal.

HTTP-Methoden im Überblick

HTTP-Methoden definieren, welche Aktion ein Client auf dem Server ausführen möchte. Jede Methode hat einen klar definierten Zweck.

POST

Sendet Daten an den Server, z.B. Formularübermittlungen, Datei-Uploads oder API-Aufrufe. Häufigste Methode neben GET.

PUT

Ersetzt eine Ressource vollständig. Typisch in REST-APIs, um bestehende Objekte zu überschreiben.

PATCH

Aktualisiert eine Ressource teilweise. Effizienter als PUT, wenn nur einzelne Felder geändert werden sollen.

DELETE

Löscht eine Ressource auf dem Server. Erfordert sorgfältige Autorisierung, da Aktionen nicht rückgängig gemacht werden können.

OPTIONS

Fragt ab, welche Methoden für eine Ressource erlaubt sind. Wird häufig für CORS-Preflight-Anfragen im Browser benötigt.

CONNECT

Etabliert einen Tunnel zum Zielserver, typischerweise für HTTPS über einen Proxy. Selten in direkten Anwendungen benötigt.

TRACE Sicherheitsrisiko

Gibt die Anfrage zu Diagnosezwecken zurück. In produktiven Umgebungen deaktivieren — kann für Cross-Site Tracing (XST)-Angriffe missbraucht werden.