Reverse Proxy

Reverse Proxy einfach erklärt

Ein Reverse Proxy ist ein Server oder Dienst, der eingehende Anfragen entgegennimmt und an einen oder mehrere interne Zielserver weiterleitet.

Benutzer greifen dabei nicht direkt auf den eigentlichen Webserver oder die Anwendung zu. Stattdessen kommunizieren sie zunächst mit dem Reverse Proxy. Dieser entscheidet, an welches interne System die Anfrage weitergegeben wird, und sendet die Antwort anschließend an den Benutzer zurück.

Wie funktioniert ein Reverse Proxy?

Ein typischer Ablauf sieht folgendermaßen aus:

Ein Benutzer ruft eine Webseite oder Anwendung auf.
Die Anfrage erreicht den Reverse Proxy.
Der Reverse Proxy prüft die Verbindung und wählt ein geeignetes Zielsystem aus.
Der interne Server verarbeitet die Anfrage.
Die Antwort wird über den Reverse Proxy an den Benutzer zurückgegeben.

Für den Benutzer ist normalerweise nicht sichtbar, welcher interne Server die Anfrage tatsächlich verarbeitet hat.

Wofür wird ein Reverse Proxy eingesetzt?

Reverse Proxys übernehmen unterschiedliche Aufgaben beim Betrieb von Webseiten, APIs und Cloud-Anwendungen.

Schutz interner Server

Die eigentlichen Anwendungs- und Webserver müssen nicht direkt aus dem Internet erreichbar sein.

Der Reverse Proxy bildet eine kontrollierte Zugangsschicht und kann interne IP-Adressen sowie die technische Struktur der Umgebung verbergen.

Das allein verhindert jedoch keine Angriffe. Auch der Reverse Proxy selbst muss sicher konfiguriert und regelmäßig aktualisiert werden.

Lastverteilung

Ein Reverse Proxy kann Anfragen auf mehrere Server verteilen.

Diese Funktion wird als Load Balancing bezeichnet. Dadurch lassen sich:

mehr gleichzeitige Benutzer bedienen
einzelne Server entlasten
Anwendungen besser skalieren
ausgefallene Systeme umgehen

Der Reverse Proxy kann beispielsweise prüfen, welcher Server erreichbar ist oder aktuell die geringste Auslastung besitzt.

TLS-Terminierung

Reverse Proxys können verschlüsselte HTTPS-Verbindungen entgegennehmen und die Zertifikate zentral verwalten.

Die Entschlüsselung findet dann am Proxy statt. Anschließend wird die Anfrage je nach Architektur unverschlüsselt oder erneut verschlüsselt an den internen Server weitergeleitet.

Eine erneute Verschlüsselung ist besonders wichtig, wenn das interne Netzwerk nicht vollständig als vertrauenswürdig betrachtet werden kann.

Caching

Häufig abgerufene Inhalte können zwischengespeichert werden.

Dazu gehören beispielsweise:

Bilder
Stylesheets
JavaScript-Dateien
statische Webseiten
herunterladbare Dokumente

Der Reverse Proxy kann diese Inhalte direkt ausliefern, ohne jedes Mal den Anwendungsserver zu belasten.

Zugriffskontrolle

Ein Reverse Proxy kann festlegen, welche Benutzer oder Systeme auf eine Anwendung zugreifen dürfen.

Mögliche Funktionen sind:

zentrale Anmeldung
Multi-Faktor-Authentifizierung
Prüfung von Zugriffstoken
Einschränkung nach IP-Adresse
rollenbasierte Freigaben
Weiterleitung an einen Identitätsdienst

Damit kann der Reverse Proxy eine zusätzliche Sicherheitsschicht vor internen Anwendungen bilden.

Was ist der Unterschied zwischen Reverse Proxy und Forward Proxy?

Ein Forward Proxy steht auf der Seite der Benutzer. Er vermittelt ausgehende Verbindungen von Clients zu externen Diensten.

Ein Reverse Proxy steht dagegen vor Servern und Anwendungen. Er verarbeitet eingehende Verbindungen von Benutzern.

Vereinfacht dargestellt:

Forward Proxy schützt und kontrolliert Clients.
Reverse Proxy schützt und veröffentlicht Serverdienste.

Ist ein Reverse Proxy dasselbe wie ein Load Balancer?

Nein. Ein Load Balancer verteilt Verbindungen auf mehrere Zielsysteme.

Ein Reverse Proxy kann diese Aufgabe übernehmen, bietet aber häufig zusätzliche Funktionen wie:

TLS-Terminierung
Authentifizierung
URL-Weiterleitung
Caching
Protokollierung
Sicherheitsprüfungen

Nicht jeder Reverse Proxy verteilt Anfragen auf mehrere Server. Umgekehrt arbeitet nicht jeder Load Balancer auf Anwendungsebene als vollständiger Reverse Proxy.

Ist ein Reverse Proxy eine Web Application Firewall?

Nein. Eine Web Application Firewall, kurz WAF, untersucht Webanfragen gezielt auf bekannte Angriffsmuster und unerwünschte Inhalte.

Viele WAF-Lösungen arbeiten technisch als Reverse Proxy. Ein gewöhnlicher Reverse Proxy besitzt jedoch nicht automatisch die umfassenden Schutzfunktionen einer WAF.

Eine WAF kann beispielsweise versuchen, Angriffe wie SQL Injection oder Cross-Site Scripting zu erkennen. Sie ersetzt dennoch keine sichere Programmierung und kein regelmäßiges Patch Management.

Reverse Proxy und CDN

Ein Content Delivery Network, kurz CDN, verwendet weltweit verteilte Server, um Inhalte näher an den Benutzern bereitzustellen.

Ein CDN kann ebenfalls als Reverse Proxy vor einer Webseite arbeiten. Es ergänzt den Schutz und die Bereitstellung häufig um:

geografisch verteiltes Caching
DDoS-Schutz
schnellere Auslieferung statischer Inhalte
zentrale TLS-Verwaltung
Filterung unerwünschter Verbindungen

Ein lokal betriebener Reverse Proxy und ein externer CDN-Dienst können auch gemeinsam eingesetzt werden.

Typische Einsatzbereiche

Reverse Proxys werden häufig verwendet für:

Webseiten und Onlineshops
Webanwendungen
REST- und Web-APIs
Container- und Kubernetes-Umgebungen
interne Anwendungen mit externem Zugriff
mehrere Dienste unter einer Domain
Authentifizierungsportale
hochverfügbare Anwendungsplattformen

Ein Reverse Proxy kann beispielsweise Anfragen abhängig von der Adresse weiterleiten:

/shop an das Shopsystem
/api an den API-Server
/login an den Authentifizierungsdienst

Welche Risiken gibt es?

Da der gesamte externe Datenverkehr über den Reverse Proxy läuft, ist er ein kritischer Bestandteil der Infrastruktur.

Mögliche Risiken sind:

Ausfall als zentraler Zugangspunkt
fehlerhafte Weiterleitungsregeln
unsichere TLS-Konfiguration
veraltete Proxy-Software
ungeschützte Administrationsoberflächen
fehlerhafte Header-Verarbeitung
Offenlegung interner Systeme
unzureichende Protokollierung
Umgehung der Zugriffskontrolle

Für wichtige Dienste sollte der Reverse Proxy daher redundant und hochverfügbar betrieben werden.

Was ist bei der Konfiguration wichtig?

Zu einem sicheren Betrieb gehören unter anderem:

regelmäßige Sicherheitsupdates
sichere TLS-Versionen und Zertifikate
klare Weiterleitungsregeln
Einschränkung administrativer Zugriffe
geschützte Kommunikation zu den Backend-Systemen
zentrale Protokollierung
Überwachung von Verfügbarkeit und Leistung
Begrenzung von Anfragegrößen und Zeitüberschreitungen
Entfernung unnötiger Funktionen
Tests nach Konfigurationsänderungen

Außerdem muss verhindert werden, dass interne Backend-Server den Reverse Proxy umgehen und direkt aus dem Internet erreichbar sind.

Fazit

Ein Reverse Proxy nimmt eingehende Verbindungen entgegen und leitet sie kontrolliert an interne Server oder Anwendungen weiter.

Er kann Lasten verteilen, HTTPS-Verbindungen verwalten, Inhalte zwischenspeichern und Zugriffe absichern. Damit ist er ein wichtiger Bestandteil moderner Web-, Cloud- und Anwendungsarchitekturen.

Seine Schutzwirkung hängt jedoch von einer sicheren Konfiguration, regelmäßigen Updates, zuverlässigem Monitoring und einer geeigneten Absicherung der Backend-Systeme ab.