Proxy-Server einfach erklärt

Ein Proxy-Server vermittelt Netzwerkverbindungen zwischen einem Client und einem Zielsystem. Statt direkt auf einen Webserver oder Internetdienst zuzugreifen, sendet der Client seine Anfrage zunächst an den Proxy. Dieser prüft sie, leitet sie weiter und übermittelt die Antwort zurück.

Proxy-Server werden unter anderem für Zugriffskontrolle, Inhaltsfilterung, Protokollierung, Zwischenspeicherung und den Schutz interner Systeme eingesetzt.

Wie funktioniert ein Proxy-Server?

Bei einer direkten Verbindung kommuniziert ein Endgerät unmittelbar mit dem Zielserver. Bei einer Proxy-Verbindung entsteht eine zusätzliche Zwischenstation:

1. Der Client sendet eine Anfrage an den Proxy.
2. Der Proxy prüft die Anfrage anhand seiner Regeln.
3. Er stellt die Verbindung zum Zielserver her.
4. Der Zielserver antwortet dem Proxy.
5. Der Proxy übermittelt die Antwort an den Client.

Für den Zielserver erscheint häufig die IP-Adresse des Proxy-Servers als Absender. Das bedeutet jedoch nicht automatisch, dass der Benutzer vollständig anonym ist. Der Proxy-Betreiber kann Verbindungen protokollieren, und weitere Merkmale können eine Wiedererkennung ermöglichen.

Welche Arten von Proxy-Servern gibt es?

Forward Proxy

Ein Forward Proxy steht auf der Seite der Benutzer beziehungsweise Clients. Er vermittelt deren Zugriffe auf das Internet oder andere Netzwerke.

Unternehmen nutzen ihn beispielsweise, um:

• Webseiten zu filtern
• Downloads zu prüfen
• Internetzugriffe zu protokollieren
• bestimmte Anwendungen zu blockieren
• ausgehende Verbindungen zu kontrollieren

Reverse Proxy

Ein Reverse Proxy befindet sich vor Servern oder Anwendungen. Externe Benutzer verbinden sich mit dem Proxy, der die Anfragen an die internen Zielsysteme weiterleitet.

Reverse Proxys können unter anderem:

• mehrere Webserver zusammenfassen
• Anfragen verteilen
• TLS-Verbindungen beenden
• interne Server verbergen
• Zugriffe authentifizieren
• Webanwendungen zusätzlich absichern

Load Balancer und Web Application Firewalls übernehmen häufig auch Funktionen eines Reverse Proxys.

Transparenter Proxy

Ein transparenter Proxy verarbeitet Verbindungen, ohne dass er auf jedem Endgerät ausdrücklich eingetragen werden muss. Der Datenverkehr wird dabei durch die Netzwerkinfrastruktur zum Proxy geleitet.

Solche Lösungen können die zentrale Verwaltung vereinfachen. Bei verschlüsselten Verbindungen bestehen jedoch technische und datenschutzrechtliche Einschränkungen.

Welche Aufgaben übernimmt ein Proxy?

Zugriffskontrolle

Der Proxy kann festlegen, welche Benutzer, Geräte oder Netzwerkbereiche auf bestimmte Dienste zugreifen dürfen.

Regeln können sich beispielsweise beziehen auf:

• Zieladresse
• Kategorie einer Webseite
• Benutzer oder Gruppe
• Dateityp
• Tageszeit
• verwendetes Protokoll

Inhalts- und Sicherheitsfilterung

Proxy-Systeme können Webseiten, Downloads und andere Inhalte prüfen. Verdächtige oder unerlaubte Inhalte lassen sich blockieren.

Die Schutzwirkung hängt davon ab, welche Protokolle analysiert werden und ob verschlüsselte Verbindungen eingesehen werden können.

Caching

Häufig abgerufene Inhalte können zwischengespeichert werden. Bei einer erneuten Anfrage liefert der Proxy die vorhandene Kopie aus.

Caching kann Bandbreite und Ladezeiten reduzieren. Bei modernen, dynamischen und verschlüsselten Webanwendungen ist der Nutzen jedoch oft geringer als bei statischen Inhalten.

Protokollierung

Ein Proxy kann erfassen, welche Ziele aufgerufen wurden, wann eine Verbindung stattfand und ob sie erlaubt oder blockiert wurde.

Diese Informationen helfen bei:

• Fehleranalyse
• Sicherheitsüberwachung
• Erkennung ungewöhnlicher Zugriffe
• forensischen Untersuchungen
• Nachweis definierter Richtlinien

Protokolle können personenbezogene Daten enthalten und müssen entsprechend geschützt und regelkonform verarbeitet werden.

Was bedeutet HTTPS-Inspection?

Der Inhalt einer HTTPS-Verbindung ist verschlüsselt und kann von einem gewöhnlichen Proxy nicht vollständig geprüft werden.

Bei einer sogenannten TLS- oder HTTPS-Inspection wird die verschlüsselte Verbindung am Proxy kontrolliert aufgebrochen und anschließend neu aufgebaut. Dadurch kann das System den Inhalt analysieren.

Diese Technik erfordert:

• vertrauenswürdige Zertifikate auf den Endgeräten
• sichere Konfiguration
• klare Ausnahmen für sensible Dienste
• Schutz der entschlüsselten Daten
• Beachtung von Datenschutz und Mitbestimmung

Fehlerhafte HTTPS-Inspection kann Sicherheitsprobleme, Anwendungsfehler oder Datenschutzrisiken verursachen.

Was ist der Unterschied zwischen Proxy, Firewall und VPN?

Eine Firewall kontrolliert Netzwerkverbindungen anhand festgelegter Sicherheitsregeln. Ein Proxy verarbeitet dagegen Anfragen auf Anwendungsebene und stellt die Verbindung häufig selbst zum Ziel her.

Ein VPN erzeugt eine verschlüsselte Verbindung zwischen einem Gerät und einem VPN-Endpunkt. Es ersetzt nicht automatisch die Filter- und Prüfmechanismen eines Proxy-Servers.

Moderne Sicherheitsplattformen können Funktionen aus Firewall, Proxy, VPN und Inhaltsfilterung miteinander kombinieren.

Welche Risiken haben Proxy-Server?

Ein Proxy ist ein zentraler Vermittlungspunkt und muss deshalb besonders geschützt werden.

Mögliche Risiken sind:

• unbefugter Zugriff auf Protokolldaten
• Manipulation des Datenverkehrs
• Ausfall als zentraler Engpass
• fehlerhafte Filterregeln
• unzureichend geschützte Administrationszugänge
• veraltete Software
• Missbrauch eines offenen Proxys
• falsches Vertrauen in eine angebliche Anonymisierung

Öffentlich angebotene kostenlose Proxy-Dienste sind besonders kritisch. Es ist häufig nicht nachvollziehbar, wer sie betreibt, welche Daten gespeichert oder ob Verbindungen manipuliert werden.

Fazit

Ein Proxy-Server vermittelt Verbindungen zwischen Clients und Zielsystemen. Er kann Zugriffe kontrollieren, Inhalte filtern, Verbindungen protokollieren und interne Systeme vor direktem Zugriff schützen.

Je nach Aufgabe kommen Forward Proxys für ausgehende Verbindungen oder Reverse Proxys zum Schutz bereitgestellter Anwendungen zum Einsatz. Für einen sicheren Betrieb sind klare Regeln, regelmäßige Updates, geschützte Protokolle und eine sorgfältige Behandlung verschlüsselter Verbindungen erforderlich.