Wie Unternehmen ihre Anwendungen bereitstellen und schützen, steht unter wachsendem Druck. Ein aktueller Beitrag im IP-Insider bringt die Lage auf den Punkt: Wenn die Gültigkeit von TLS-Zertifikaten bis 2029 auf 47 Tage schrumpft, wird jede manuell gepflegte Application-Delivery-Umgebung zum Betriebsrisiko. Der Zertifikatswechsel ist dabei nur das erste Symptom. Dahinter steckt ein größerer Umbau: Anwendungsbereitstellung und Sicherheit wachsen zusammen, automatisiert und möglichst nah am Nutzer.
Wo klassische Application Delivery an ihre Grenzen stößt
Viele Umgebungen sind über Jahre gewachsen: dedizierte Appliances (ADCs) an jedem Standort und Konfigurationen, die nur im Gerät selbst existieren, ohne Versionierung und ohne Audit-Trail. Zertifikate werden manuell erneuert, Regeln manuell gepflegt; der IP-Insider-Beitrag beschreibt das als Handarbeit ohne Nachvollziehbarkeit. Richtig eng wird es, sobald Geschwindigkeit dazukommt: Die Entwicklung deployt wöchentlich, Sicherheitsfreigaben dauern Wochen. So entstehen Silos und blinde Flecken.
Sicherheit gehört in die Auslieferung, nicht daneben
Der wichtigere Perspektivwechsel: Application Security ist Teil der Auslieferung selbst und kein nachgelagertes Add-on. Statt Datenverkehr erst ins Rechenzentrum und dort durch eine Kette einzelner Appliances zu schleusen, wird er am globalen Edge terminiert, geprüft und abgesichert, bevor er die eigene Infrastruktur überhaupt erreicht. Genau hier setzen Anbieter wie Cloudflare an: Netzwerk, Auslieferung und Sicherheit laufen in einer cloud-nativen Plattform zusammen.
Die Bausteine einer Application-Security-Plattform
Anbieter wie Cloudflare fassen die Funktionen, die früher über verschiedene Appliances verstreut waren, in einem zusammenhängenden Stack zusammen:
- Web Application Firewall (WAF): wehrt Angriffe wie SQL-Injection, Cross-Site-Scripting und Zero-Days ab. Grundlage sind gepflegte Managed Rulesets (einschließlich OWASP Core Ruleset) und eigene Regeln, zentral verwaltet und versionierbar statt je Standort eine Appliance.
- DDoS-Schutz: automatische Abwehr von Angriffen auf Netzwerk-, Transport- und Anwendungsebene (Layer 3 bis 7) im weltweiten Anycast-Netz. Die Last wird abgefangen, bevor sie die Origin erreicht.
- Bot-Management: trennt echte Nutzer von automatisierten Zugriffen und stoppt Credential Stuffing, Scraping und Missbrauch, ohne legitime Kunden auszubremsen.
- API-Sicherheit: Schema-Validierung, automatische API-Erkennung, Authentifizierung und Rate Limiting sichern die Schnittstellen ab, über die moderne Anwendungen kommunizieren.
- Clientseitiger Skriptschutz: beobachtet clientseitige Skripte und meldet Manipulationen, relevant etwa bei Magecart- und Supply-Chain-Angriffen im Browser.
- SSL/TLS mit automatischem Zertifikatsmanagement: Ausstellung und Erneuerung laufen ohne manuelles Zutun. Auch eine Laufzeit von 47 Tagen ist dann nur noch ein Parameter.
- Load Balancing, Routenoptimierung und Warteschlangen: intelligente Lastverteilung, optimierte Routen durch das Netz und geordnete Warteschlangen bei Lastspitzen sichern Performance und Verfügbarkeit, also die „Delivery“ in Application Delivery.
Wer diese Bausteine nicht selbst aufbauen und betreiben will, findet Application Security als Managed Service mit WAF, DDoS-Schutz sowie Bot- und API-Management aus einer Plattform.
Automatisierung statt Handarbeit
Damit daraus kein neues Silo entsteht, ist Automatisierung der zweite Baustein. Plattformen wie Cloudflare sind API-first konzipiert und lassen sich vollständig als Infrastructure-as-Code betreiben, etwa über Terraform. Konfigurationen liegen versioniert im Git-Repository, gelangen über Pipelines in Produktion und bleiben jederzeit nachvollziehbar. Sicherheitsprüfungen rücken nach vorn in den Entwicklungsprozess (Shift-Left), statt am Ende zu bremsen. Die Frage, wer wann was und warum geändert hat, lässt sich damit endlich beantworten.
Zertifikatslaufzeiten: vom Weckruf zur Routine
Die 47-Tage-Zertifikate, der Auslöser der Debatte, verlieren ihre Brisanz, sobald Ausstellung und Rotation automatisiert im Auslieferungspfad ablaufen. Aus dem Kalendereintrag mit Ausfallrisiko wird ein Hintergrundprozess. Darin liegt der Kern von „Application Delivery neu denken“: nicht schnellere Handarbeit, sondern gar keine Handarbeit mehr.
Passende Managed Services
- Application Security – WAF, DDoS-Schutz, Bot- und API-Management samt automatisiertem Zertifikatsmanagement als betreuter Dienst.