Tutorials

Cloudflare Web Application Firewall (WAF) bereitstellen: Der ultimative 2025 Easy Guide

Melden

Hier ist ein aktueller, leicht verständlicher Guide für das Jahr 2025, um Ihre Webanwendung mit der Cloudflare WAF (Web Application Firewall) zu schützen.

In der heutigen Zeit ist eine Web Application Firewall (WAF) kein Luxus mehr, sondern eine Notwendigkeit. Sie schützt Ihre Website vor SQL-Injections, Cross-Site Scripting (XSS) und automatisierten Bot-Angriffen. Cloudflare bietet eine der leistungsstärksten und am einfachsten zu bedienenden WAF-Lösungen auf dem Markt.

In dieser Anleitung führen wir Sie Schritt für Schritt durch die Einrichtung.

Schritt 1: Vorbereitung & Cloudflare-Konto

Bevor Sie die WAF nutzen können, muss Ihre Website über Cloudflare laufen.

  1. Registrierung: Erstellen Sie ein kostenloses Konto auf cloudflare.com.
  2. Website hinzufügen: Klicken Sie auf "Site hinzufügen" und geben Sie Ihre Domain ein (z. B. meine-website.de).
  3. Tarif wählen:
    • Free Plan: Enthält grundlegenden Schutz und DDoS-Abwehr.
    • Pro Plan (Empfohlen für WAF): Bietet Zugriff auf die erweiterten Managed Rulesets (verwaltete Regelsätze), die automatisch vor den neuesten Bedrohungen schützen.
  4. DNS-Einträge: Cloudflare scannt Ihre DNS-Einträge. Bestätigen Sie diese und ändern Sie die Nameserver bei Ihrem Domain-Provider (z. B. Strato, IONOS, GoDaddy) auf die von Cloudflare zugewiesenen Nameserver.

Schritt 2: Der "Orangefarbene Wolke"-Status (Proxy)

Damit die WAF den Datenverkehr filtern kann, muss dieser durch das Cloudflare-Netzwerk geleitet werden.

  1. Navigieren Sie im Cloudflare-Dashboard zu DNS > Records.
  2. Stellen Sie sicher, dass der Status bei Ihren A- oder CNAME-Einträgen auf Proxied (orangefarbene Wolke) steht.
  3. Nur wenn die Wolke orange ist, fungiert Cloudflare als Schutzschild.

Schritt 3: Die WAF aktivieren und konfigurieren

Sobald der Proxy aktiv ist, können Sie die Sicherheitsregeln festlegen.

  1. Gehen Sie im Menü links auf Sicherheit (Security) > WAF.
  2. Managed Rules (Verwaltete Regeln):
    • Falls Sie den Pro-Plan nutzen, aktivieren Sie das Cloudflare Managed Ruleset. Dieses wird von Cloudflare-Experten ständig aktualisiert, um Zero-Day-Lücken zu schließen.
    • Aktivieren Sie auch das OWASP Core Ruleset, um Schutz gegen die 10 häufigsten Web-Sicherheitsrisiken zu erhalten.
  3. Sensitivity (Empfindlichkeit): Stellen Sie die Empfindlichkeit zu Beginn auf "Medium". Wenn alles reibungslos läuft, können Sie sie später auf "High" setzen.

Schritt 4: Eigene Firewall-Regeln erstellen (Custom Rules)

Manchmal benötigen Sie spezifischen Schutz.

  1. Klicken Sie unter WAF > Custom Rules auf "Regel erstellen".
  2. Beispiel: Admin-Bereich schützen.
    • Feld: URI Path
    • Operator: contains
    • Wert: /wp-admin oder /admin
    • Aktion: Wählen Sie "Interactive Challenge" (Captcha) oder "Block", wenn Sie nur von Ihrer eigenen IP-Adresse zugreifen möchten.
  3. Beispiel: Länder-Blockierung.
    • Wenn Sie nur Kunden aus Deutschland bedienen, können Sie Anfragen aus Ländern mit hoher Cyber-Kriminalität blockieren oder mit einem Captcha versehen.

Schritt 5: Bot-Schutz aktivieren

Bots verursachen im Jahr 2025 über 40% des Internet-Traffics.

  1. Navigieren Sie zu Sicherheit > Bots.
  2. Aktivieren Sie den Bot Fight Mode (auch im Free-Tarif verfügbar).
  3. Dies erkennt und blockiert bekannte bösartige Crawler und Scraper automatisch.

Schritt 6: Überwachung und Optimierung

Eine WAF ist kein "Set it and forget it"-Tool.

  1. Security Events: Schauen Sie regelmäßig unter Sicherheit > Ereignisse nach. Dort sehen Sie genau, welche IP-Adressen blockiert wurden und welche Regel ausgelöst hat.
  2. False Positives vermeiden: Wenn legitime Nutzer blockiert werden, finden Sie das Ereignis im Log und passen Sie die entsprechende Regel an (z. B. IP auf die Allowlist setzen).

Profi-Tipps für 2025

  • Rate Limiting: Aktivieren Sie unter WAF > Rate Limiting Regeln, um Brute-Force-Angriffe auf Login-Formulare zu verhindern (begrenzt die Anzahl der Anfragen pro Minute pro IP).
  • SSL/TLS: Stellen Sie unter SSL/TLS den Modus auf "Full (Strict)", um sicherzustellen, dass die Verbindung zwischen Cloudflare und Ihrem Server ebenfalls verschlüsselt ist.
  • Development Mode: Wenn Sie Änderungen an Ihrer Website vornehmen, aktivieren Sie den "Development Mode" unter "Caching", damit die WAF oder der Cache Ihre Änderungen nicht behindern.

Fazit

Mit Cloudflare ist das Einrichten einer WAF im Jahr 2025 einfacher denn je. Selbst mit dem kostenlosen Plan erhalten Sie einen soliden Basisschutz. Für geschäftskritische Anwendungen ist der Pro-Plan jedoch aufgrund der verwalteten Regelsätze die absolut richtige Wahl, um sich gegen moderne Bedrohungen abzusichern.

Ihre Website ist nun bereit und geschützt!

0