Weg von der Legacy-Enterprise-WAF: eine Migrations-Checkliste

Der Wechsel scheitert an der Reihenfolge, nicht an der Technik

Die meisten WAF-Migrationen scheitern nicht daran, dass die neue Lösung schwächer wäre — sondern daran, dass jemand am Umschalttag den Verkehr umzieht, ohne vorher zu wissen, was die alte WAF eigentlich geblockt hat. Am Montag steht der Login, ein Partner-Feed bricht ab, und niemand kann sagen, ob das ein Angriff oder eine fehlende Ausnahmeregel ist. Der Wechsel von einer Legacy-Enterprise-WAF ist gut machbar — aber nur in der richtigen Reihenfolge. Diese Checkliste ist genau diese Reihenfolge.

1. Inventarisieren, was die alte WAF wirklich tut

Bevor irgendetwas umzieht: Machen Sie sichtbar, welche Regeln in der alten Lösung tatsächlich greifen. Nicht die Liste, die im Kaufvertrag stand, sondern die Regeln und Ausnahmen, die über Jahre organisch gewachsen sind — die eine Sonderfreigabe für den Zahlungsanbieter, die Whitelist für das interne Tool, die Regel, die mal ein Vorfall nötig machte. Genau dieses undokumentierte Gestrüpp ist der Grund, warum Migrationen kippen. Was Sie hier nicht erfassen, fällt Ihnen am Umschalttag auf die Füße.

2. Parallel fahren, nicht hart umschalten

Der teuerste Fehler ist der Big-Bang-Cutover. Die neue WAF sollte erst im Beobachtungsmodus laufen: Sie sieht denselben Verkehr, wertet ihn aus und protokolliert, was sie blockieren würde — ohne es zu tun. In diesem Fenster vergleichen Sie zwei Bilder: Was die alte WAF blockt und was die neue blocken würde. Jede Abweichung ist entweder eine fehlende Ausnahme (die Sie jetzt einstellen, gefahrlos) oder ein echter Fund (den die alte WAF vielleicht durchgelassen hat). Erst wenn dieser Abgleich sauber ist, geht der Blockmodus scharf. Das Prinzip dahinter ist dasselbe wie beim Tuning von False Positives.

3. Die Regelbasis übersetzen, nicht kopieren

Legacy-Enterprise-WAFs tragen oft Hunderte handgeschriebener Regeln mit sich — viele davon Workarounds für längst behobene Probleme oder Duplikate dessen, was ein modernes Regelwerk ohnehin abdeckt. Kopieren Sie diesen Ballast nicht blind. Das gepflegte OWASP Core Rule Set deckt die klassischen Klassen — SQL-Injection, XSS, Remote Code Execution — bereits ab; was Sie wirklich übernehmen müssen, sind die anwendungsspezifischen Ausnahmen aus Schritt 1, nicht die generischen Regeln, für die es längst einen gepflegten Standard gibt.

4. Datenresidenz und Jurisdiktion prüfen

Ein Anbieterwechsel ist der natürliche Moment, die Datenschutzfrage neu zu stellen — oft ist er sogar ihr Auslöser. Wo verarbeitet die neue Lösung, welchem Recht unterliegt sie, bleiben die Sicherheits-Logs in der EU? Für viele deutsche Betreiber ist genau das der Grund für die Migration: weg von US-Jurisdiktion, hin zu EU-Datenresidenz als Architekturvorgabe. Unsere Edge-Nodes laufen in der EU (Hetzner, OVH, Scaleway), und die Verarbeitung verlässt die Region nicht. Wie DSGVO-konformes Protokollieren dabei aussieht, steht im Beitrag zum Edge-Logging.

5. Den Umschaltweg und den Rückweg festlegen

Der eigentliche Cutover läuft über DNS: Sie zeigen die Domain auf die neuen Edge-Nodes. Das ist umkehrbar — und genau das gehört vorher festgehalten. Definieren Sie das Erfolgskriterium (saubere Metriken über ein definiertes Fenster) und den Rückweg (DNS zurückzeigen), bevor Sie umschalten, nicht danach. Jede Entscheidung im Übergang landet in einem unveränderlichen, nur-anfügenden Audit-Log — der belegbare Zeitstrahl, falls hinterher jemand fragt, was wann passiert ist.

Ehrlich über die Grenzen

Wir sind kein globales CDN und bieten keinen kostenlosen Self-Service-Tarif; wenn Ihre Legacy-WAF vor allem als weltweiter Static-Cache diente, deckt ein Wechsel zu uns diesen Teil nicht ab, und das sagen wir vorab. Ob unsere Lösung zu Ihrem Bestand passt, sehen Sie am ehrlichsten im direkten Vergleich — etwa gegen Imperva oder Myra. Unser Latenzziel ist ein Design-Budget von ≤5 ms; jede gemessene Zahl kennzeichnen wir als staging-gemessen, siehe die Latenz-Methodik.

Wenn Sie eine alte Enterprise-WAF ablösen wollen und die Reihenfolge sauber gehen möchten, nennen Sie uns Ihre Domain.