ShieldCache: Web Application Firewall nach OWASP und HTTP-Cache

Jede öffentlich erreichbare Website wird rund um die Uhr abgetastet, und gleichzeitig erwarten Besucher und Suchmaschinen, dass Seiten schnell laden.

Mit ShieldCache lösen Sie beides an einer Stelle: Eine Web Application Firewall und ein HTTP-Cache stellen sich vor Ihre bestehende Website, Ihr Hosting bleibt, wo es ist. Hier erfahren Sie, wie das funktioniert und wie Sie starten.

Das Problem: Bots, Angriffe und Lastspitzen

Viele Angriffe laufen automatisiert ab und treffen kleine Firmenseiten genauso wie große Onlineshops:

• Passwort-Raten: Bots rufen Anmeldeseiten wie /wp-login.php immer wieder mit wechselnden Zugangsdaten auf.
• Angriffe auf die Anwendung: eingeschleuster Code für SQL-Injection oder Cross-Site-Scripting.
• Scanner: Suche nach Konfigurationsdateien, Sicherungen und bekannten Lücken in Plugins.
• Last: Jede dieser Anfragen kostet Rechenzeit. Kommen viele echte Besucher hinzu, wird die Website langsam.

Ein Teil davon lässt sich mit Plugins abfangen - aber erst, wenn die Anfrage Ihren Server schon erreicht hat. Wirksamer ist ein Schutz, der davor steht.

Was ist ShieldCache?

ShieldCache ist ein Reverse-Proxy mit Web Application Firewall, HTTP-Cache, Rate-Limits und Zugriffsregeln. Ihre Domain zeigt auf unsere Proxy-Server in Deutschland. Dort werden Angriffe abgewiesen, Zugriffe begrenzt oder per Captcha geprüft und häufig abgerufene Inhalte aus dem Cache ausgeliefert. Nur geprüfte Anfragen gehen weiter an Ihren Server, den sogenannten Ursprung.

Ihr Hosting bleibt, wo es ist

Sie behalten Server, Hoster, CMS und Anwendung - ob Ihre Website bei SpeedIT liegt oder bei einem anderen Anbieter. Auf Ihrem Server wird nichts installiert, Sie stellen nur die DNS-Einträge Ihrer Domain um. ShieldCache arbeitet mit jeder Website, die über HTTP oder HTTPS erreichbar ist.

Die Funktionen im Überblick

So funktioniert ShieldCache: der Weg einer Anfrage

Jede Anfrage an Ihre Domain durchläuft auf dem Proxy dieselben Stationen - erst danach erreicht sie Ihren Server:

1. Verbindung in Deutschland: Die verschlüsselte Verbindung endet auf unseren Servern in Deutschland - über HTTP/1.1, HTTP/2 oder HTTP/3, mit einem Zertifikat von Let's Encrypt oder Ihrem eigenen.
2. Globale Sperrlisten: Verkehr von bekannten Abuse-IPs und -Netzen wird schon auf Netzwerkebene verworfen.
3. Zugriffsregeln: Rate-Limits, IP-Regeln, Länder- und Netzfilter, Zugriffsschutz und Dateischutz greifen. Bei weichen Sperren kann stattdessen eine Captcha-Prüfung erscheinen.
4. Web Application Firewall: Das OWASP Core Rule Set prüft die Anfrage. Im Erkennen-Modus wird ein Treffer nur protokolliert, im Blockieren-Modus wird die Anfrage abgewiesen.
5. HTTP-Cache und Ursprung: Liegt die Antwort im Cache, geht sie sofort zurück an den Besucher. Alle übrigen Anfragen leitet ShieldCache an Ihren Server weiter.

Abgewiesene Besucher sehen eine Fehlerseite mit Fehlercode und Referenz, die Sie im Kundenbereich nachschlagen.

Schutz: Firewall, Regeln und Sperrlisten

Web Application Firewall nach OWASP Core Rule Set

Die Web Application Firewall (WAF) prüft jede Anfrage gegen das OWASP Core Rule Set, das offene Regelwerk des OWASP-Projekts, und erkennt Angriffe wie SQL-Injection, Cross-Site-Scripting oder Befehlsausführung:

• Modus: „Nur erkennen“ protokolliert Treffer, „Blockieren“ weist Angriffe mit einer Fehlerseite samt Referenz ab. Neue Seiten starten im Erkennen-Modus.
• Prüfstufe: Stufe 1 ist ein Grundschutz mit sehr wenigen Fehlalarmen, die Stufen 2 und 3 prüfen strenger für erhöhten Schutzbedarf.
• Anwendungsprofile: Profile für WordPress, WooCommerce, Shopware, Laravel, WoltLab und JSON-Schnittstellen nehmen bekannte Fehlalarme dieser Anwendungen aus.
• Angriffs-Kategorien: 13 Gruppen von Regeln schalten Sie einzeln - zum Beispiel Java-Angriffe bei einer reinen PHP-Website.

Ausnahmen und WAF-Protokoll mit Referenz

Löst ein legitimer Zugriff Regeln aus - etwa ein Editor im Verwaltungsbereich, ein Formular oder eine Schnittstelle -, legen Sie eine Ausnahme je Pfad an. Die Regeln werden dann nur dort abgeschaltet, überall sonst prüft die Firewall weiter. Zwei Aktionen stehen zur Wahl:

• Freigeben: Die gewählten Regeln greifen auf diesem Pfad nicht mehr.
• Freigeben & loggen: ShieldCache blockiert nicht mehr, schreibt Treffer aber weiter ins Protokoll. So beobachten Sie eine Ausnahme, bevor Sie sie endgültig festlegen.

Das WAF-Protokoll zeigt alle Anfragen mit Regeltreffern der letzten 30 Tage. Aus jeder Zeile legen Sie mit einem Klick eine vorbefüllte Ausnahme an. Meldet sich ein Besucher mit der Referenz seiner Fehlerseite, zeigt „Referenz prüfen“ sofort, welche Regel gegriffen hat.

Rate-Limits gegen Passwort-Raten und Massenanfragen

Mit Rate-Limits legen Sie je Pfad fest, wie viele Anfragen eine Besucher-IP in einem Zeitfenster stellen darf - mit Vorlagen für Anmeldung, API, Formular und Kasse. Das Protokoll zeigt je Regel, wie oft sie gegriffen hat und aus welchen Ländern und Netzen die Anfragen kamen.

IP-, Länder- und Netzregeln

Geben Sie Adressen oder Netze frei, etwa Ihr Büro, oder sperren Sie auffällige Absender, auf Wunsch befristet. Der Länderfilter lässt nur gewählte Länder zu oder sperrt einzelne, der Filter nach Netzbetreiber (ASN) arbeitet genauso mit den Netzen ganzer Anbieter, etwa von Rechenzentren.

Globale Sperrlisten mit bekannten Abuse-IPs

Unabhängig von Ihren eigenen Regeln verwerfen die Proxy-Server Verkehr von Adressen und Netzen aus globalen Sperrlisten - etwa Botnetze, Scanner und bekannte Angriffsquellen, für IPv4 und IPv6. Die Listen werden laufend aktualisiert, Sie müssen dafür nichts einstellen.

Captcha-Prüfung statt harter Sperre

Bei Rate-Limits, Länder- und Netzfiltern sowie leichten Firewall-Treffern kann ShieldCache statt einer Fehlerseite eine kurze Sicherheitsprüfung zeigen. Wer sie besteht, kommt für eine einstellbare Zeit weiter. Klare Angriffe und IP-Sperren bleiben gesperrt.

Die Prüfung läuft über CaptchaCore, unseren eigenen Captcha-Dienst: ohne Tracking und ohne Bilderrätsel, mit Rechenaufgabe (Proof of Work) und Verhaltensanalyse auf eigenen Servern in Deutschland.

Zugriffsschutz je Pfad: IP-Adresse und/oder Anmeldung

Testumgebung oder Adminbereich sollen nicht öffentlich sein? Der Zugriffsschutz sichert die ganze Seite oder Pfade wie /admin/, ohne Ihre Anwendung anzupassen:

• Nur mit Anmeldung: Der Browser fragt nach Benutzername und Passwort.
• Nur freigegebene IP-Adressen: Nur eingetragene Adressen oder Netze kommen durch.
• IP-Adresse oder Anmeldung: Freigegebene Adressen ohne Anmeldung, alle anderen mit.
• IP-Adresse und Anmeldung: Nur von freigegebenen Adressen und zusätzlich mit Anmeldung.

Wiederholte Fehlversuche führen zu einer kurzen Sperre, geschützte Bereiche landen nie im Cache.

Dateischutz mit Ausnahmen

Dateischutz-Profile sperren typische Pfade gängiger CMS, die nicht öffentlich sein sollen. Brauchen Sie einzelne Dateien trotzdem öffentlich, etwa Downloads als .zip, legen Sie eine Ausnahme für einen Pfad und bestimmte Dateiendungen an. Firewall und Sperren gelten dort weiter.

Sicherheits-Header, eigene Kopfzeilen und Content-Security-Policy

Header-Vorlagen ergänzen übliche Sicherheits-Header. Eigene Kopfzeilen setzen Sie zusätzlich oder entfernen solche wie X-Powered-By.

Mit der Content-Security-Policy (CSP) legen Sie fest, aus welchen Quellen der Browser Skripte, Stile und Bilder laden darf. Im Modus „Nur melden“ blockiert der Browser nichts, meldet aber jeden Verstoß. Die Berichte sehen Sie im Kundenbereich, ohne IP-Adressen, und übernehmen benötigte Quellen per Klick. Danach stellen Sie auf „Erzwingen“.

Geschwindigkeit: Cache, HTTP/3 und Kompression

HTTP-Cache nach Ihren Regeln

Der HTTP-Cache beantwortet wiederkehrende Anfragen direkt vom Proxy. Sie bestimmen, wie lange statische Dateien im Cache bleiben, ob auch HTML gecacht wird und ob ShieldCache die Cache-Vorgaben Ihres Servers beachtet. Pfade wie der Verwaltungsbereich und Cookies wie Anmeldung oder Warenkorb umgehen den Cache.

Vorlagen für WordPress, WooCommerce, Shopware 6, Joomla und statische Websites tragen übliche Pfade, Cookies und Parameter mit einem Klick ein. Nach einem Update leeren Sie den Cache sofort - komplett, für einen Pfad oder für alles unter einem Pfad.

HTTP/2, HTTP/3 und Kompression

ShieldCache spricht HTTP/1.1, HTTP/2 und HTTP/3 mit QUIC, Browser wählen das passende Protokoll selbst. Auf Wunsch komprimiert ShieldCache Antworten mit Zstandard oder gzip, HSTS stellen Sie getrennt ein.

Ausfallsicherheit und Entlastung

Antwortet Ihr Server einmal nicht, liefert ShieldCache bereits gecachte Inhalte für eine einstellbare Zeit weiter aus. Liegt Ihre Website auf mehreren Servern, tragen Sie bis zu vier weitere Ursprünge ein - für Ausfallsicherheit oder Lastverteilung, mit Gesundheitsprüfung.

Kontrolle und Transparenz

Statistiken mit echten Messwerten

Die Statistik zeigt Anfragen, Traffic, Cache-Quote, Antwortzeit und wie viele Anfragen Ihren Server gar nicht erst erreicht haben, dazu Blockierungen je Art, Captcha-Prüfungen, Länder und die meistgenutzten Pfade. Alle Werte sind gemessen, nicht hochgerechnet, und kommen ohne IP-Adressen aus.

Protokolle und Referenzen

Neben dem WAF-Protokoll zeigen Protokolle für Rate-Limits und Zugriffssperren, wann, von wo und durch welche Regel eine Anfrage abgewiesen wurde - jeweils mit der Referenz der Fehlerseite.

Fassungen, Betriebsart und Fehlerseiten

Änderungen sammeln Sie zuerst im Entwurf und übernehmen sie mit einem Klick auf den Proxy, meist in unter einer Minute. Jede übernommene Fassung wird gespeichert, eine frühere holen Sie bei Bedarf zurück. Über die Betriebsart reichen Sie Anfragen im Notfall sofort ohne Prüfung an Ihren Server durch oder zeigen eine Wartungsseite. Im Tarif Enterprise gestalten Sie Fehler-, Wartungs- und Prüfseiten mit Ihrem Logo, Ihrer Farbe, Ihrem Namen und einem eigenen Wartungstext.

Arbeiten im Team

Arbeiten mehrere Personen oder Ihre Agentur mit Ihrem Konto, vergeben Sie über den Kontozugriff gezielt Rechte: ShieldCache einsehen, ShieldCache verwalten oder nur den Cache leeren.

Domains, Weiterleitungen und Zertifikate

Domains bestätigen und umstellen

Je Seite tragen Sie eine Hauptdomain und weitere Domains derselben registrierbaren Domain ein, etwa www.muster.de und muster.de. Bestätigt wird jede Domain per TXT-Eintrag - liegt sie in Ihrem Domainbestand bei uns, geschieht das automatisch. Danach richten Sie die Domain per CNAME oder A-/AAAA-Eintrag auf ShieldCache. Die www-Weiterleitung führt Besucher auf Wunsch einheitlich auf die Adresse mit oder ohne www.

Weiterleitungs-Domains ohne Aufpreis

Soll eine weitere Domain nur auf Ihre Website umleiten - zum Beispiel die alte muster.de auf die neue muster.eu -, legen Sie sie als Weiterleitung an. Sie wählen den Statuscode (301 oder 308 dauerhaft, 302 oder 307 vorübergehend; 307 und 308 behalten die Methode, ein Formular bleibt ein Formular) und ob der Pfad mitgenommen wird. Weiterleitungs-Domains dürfen zu einer anderen Domain gehören, sind kostenlos und belasten Ihren Server nicht.

Zertifikate automatisch oder eigene

Für jede bestätigte Domain stellt ShieldCache automatisch ein Zertifikat von Let's Encrypt aus und erneuert es. Klappt der erste Versuch direkt nach der DNS-Umstellung nicht, wiederholt der Proxy ihn selbst - oder Sie stoßen ihn mit „Erneut anfordern“ sofort an. Alternativ hinterlegen Sie ein eigenes Zertifikat.

Umzug von einem anderen Schutzdienst

Erwartet Ihre Anwendung die Besucher-IP in der Kopfzeile eines früheren Schutzdienstes, tragen Sie deren Namen einfach ein. So ziehen Sie um, ohne die Anwendung anzupassen.

Datenschutz und Standort Deutschland

ShieldCache wird von SpeedIT auf Proxy-Servern in Deutschland betrieben. Datensparsamkeit ist eingebaut:

• Die Statistik kommt ohne IP-Adressen aus.
• In den Protokollen stehen IP-Adressen 7 Tage vollständig, danach gekürzt (IPv4 auf das /24-Netz, IPv6 auf /48). Nach 30 Tagen werden die Einträge gelöscht.
• Land und Netz eines Besuchers ermittelt ShieldCache über eine lokale Datenbank - die IP-Adresse verlässt den Proxy dafür nicht.
• CSP-Berichte werden ohne IP-Adressen gespeichert und verschwinden 30 Tage nach der letzten Meldung.
• Passwörter des Zugriffsschutzes liegen nur als Hash vor, sensible Werte in den Fundstellen der Firewall werden maskiert.

Für wen eignet sich ShieldCache?

WordPress-Websites

Cache-Vorlage, Firewall- und Dateischutz-Profil für WordPress sind mit wenigen Klicks gesetzt. Ein Rate-Limit mit Captcha-Prüfung bremst Passwort-Raten auf /wp-login.php, ohne echte Nutzer auszusperren.

Onlineshops mit WooCommerce oder Shopware

Die Cache-Vorlagen nehmen Warenkorb, Kasse und Kundenkonto vom Cache aus und tragen Sitzungs- und Warenkorb-Cookies ein. Rückmeldungen von Zahlungsanbietern, die im WAF-Protokoll auftauchen, geben Sie gezielt für ihren Pfad frei.

Agenturen und mehrere Websites

Jede Website ist eine eigene Seite im Projekt, mit eigenen Domains, Regeln und Statistiken. Über den Kontozugriff arbeitet Ihr Team mit passenden Rechten mit.

Apps, Schnittstellen und WebSockets

ShieldCache reicht WebSocket-Verbindungen ohne weitere Einstellung durch, auch für Anwendungen mit dauerhaften Verbindungen wie SignalR oder Blazor Server. Das Firewall-Profil für JSON-Schnittstellen, Pfade ohne Cache und Rate-Limits je Pfad passen ShieldCache an Ihre Schnittstelle an. Bewährte Einstellungen zeigen die Praxisbeispiele.

In wenigen Schritten startklar

Die Einrichtung erledigen Sie selbst im Kundenbereich - ohne Einrichtungsgebühr und meist in wenigen Minuten:

1. Tarif bestellen: Nach der Bestellung steht Ihr Projekt unter Meine Produkte bereit.
2. Seite anlegen: Name und Hauptdomain eintragen, zum Beispiel www.muster.de.
3. Domain bestätigen: den TXT-Eintrag aus der DNS-Anleitung anlegen.
4. Ursprung eintragen: IP-Adresse oder Hostname Ihres Servers angeben und die Verbindung testen.
5. Übernehmen: Cache-Vorlage wählen und die Einstellungen übernehmen.
6. DNS umstellen: die Domain per CNAME oder A-/AAAA-Eintrag auf ShieldCache richten. Das Zertifikat wird automatisch ausgestellt.

Lieber abgeben? Mit der optionalen Express-Einrichtung richtet unser Team Ihre Seiten ein. Die ausführliche Anleitung mit Screenshots finden Sie in der Wissensdatenbank: ShieldCache einrichten.

Tarife im Überblick

Firewall, Cache, Zugriffsregeln, Captcha-Prüfung und Statistiken sind in jedem Tarif enthalten. Die Tarife unterscheiden sich in der Zahl der Websites, dem Anfragekontingent und den Rate-Limit-Pfaden:

Weitere Websites und Rate-Limit-Pfade buchen Sie als Option dazu. Als Anfrage zählt jede HTTP-Anfrage, auch für Bilder und Skripte. Eine Einrichtungsgebühr gibt es nicht. Aktuelle Preise finden Sie auf der Produktseite.

Häufige Fragen zu ShieldCache

Weiterlesen in der Wissensdatenbank

• ShieldCache im Überblick
• Seite anlegen, Domain bestätigen und DNS umstellen
• Firewall einstellen, Ausnahmen anlegen und das WAF-Protokoll lesen
• IP-Regeln, Länder, Netzbetreiber, Rate-Limits und Captcha-Prüfung
• Bereiche mit Passwort oder IP-Freigabe schützen
• Cache an Ihre Website anpassen
• Content-Security-Policy und eigene Kopfzeilen
• Häufige Fragen und Fehlerbehebung

Passend dazu: Für den Schutz vor DDoS-Angriffen gibt es unseren Bedrohungsschutz, für schnellere Ladezeiten weltweit unser Content Delivery Network.