Fallstudie Quipu: Von Insellösungen zu WAAP Cloud-Schutz mit statischen Rate-Limits stößt an Grenzen

Anbieter zum Thema

Link11 GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Der IT-Service-Provider Quipu setzte gegen DDoS-Angriffe zunächst auf Cloud-Standardmechanismen mit statischen Rate-Limits. Das Problem: Legitime Nutzer wurden ausgesperrt, während Angreifer die Services des Unternehmens mit Tausenden Bots beeinträchtigten. Die Lösung: eine integrierte WAAP-Plattform mit WAF, API-Schutz, Bot-Management und Layer-7-DDoS.

Angriffe auf Webanwendungen sind schon lange kein Randthema mehr, sondern bergen ein Risiko für den operativen Betrieb. Bot-Attacken, DDoS-Angriffe, API-Missbrauch und klassische Exploits treffen nicht nur große Plattformen, sondern auch mittelständische und regulierte Organisationen.

Der IT-Service-Provider Quipu, zuständig für die IT der ProCredit-Gruppe, sah sich genau mit dieser Herausforderung konfrontiert: wiederholte Angriffe und eine steigende Komplexität. Deshalb hat das Unternehmen seine Schutzarchitektur überarbeitet. Der Weg führte von punktuellen Cloud-Standardmechanismen weg hin zu einer integrierten Web Application und API Protection (WAAP)-Strategie, die in Zusammenarbeit mit dem europäischen Anbieter Link11 umgesetzt wurde.

Notfall-Onboarding scheitert ohne die richtige Vorbereitung

DDoS-Resilienz entscheidet sich schon lange vor dem Angriff

Cloud-Schutz allein reichte nicht

Ausgangspunkt waren mehrere DDoS-Angriffe auf öffentlich erreichbare Dienste. Zu diesem Zeitpunkt setzte Quipu auf die Schutzmechanismen des Cloud-Providers. Die Annahme war, dass dies für die eigene Bedrohungslage ausreichen sollte. Die Praxis zeigte jedoch ein anderes Bild. Selbst mit kleinen Botnetzen von 3.000 bis 6.000 Bots gelang es Angreifern, Services über Zeiträume von teils mehr als 20 Minuten spürbar zu beeinträchtigen oder zeitweise außer Betrieb zu setzen, indem sie mehrere tausend Requests pro Sekunde sendeten.

Die eingesetzte Lösung arbeitete im Wesentlichen mit statischen Rate-Limits, also festen Schwellenwerten pro IP-Adresse oder Region, die über Zeitfenster von einer bis fünf Minuten definiert waren. Wurden diese Werte überschritten, mussten sie manuell angepasst oder ganze Länder blockiert werden. Dadurch wurden allerdings auch legitime Nutzer ausgesperrt. „Wir konnten Angriffe zwar bremsen, gleichzeitig fiel es jedoch schwer, bösartigen und legitimen Traffic zu trennen“, beschreibt Borut Lappe, Senior Cybersecurity Officer bei Quipu, die Situation. Für ein Unternehmen, das digitale Bankservices betreibt, ist das untragbar.

Störungen bei App und Webseite

DDoS-Angriff schränkt Buchungssystem der Deutschen Bahn massiv ein

Vom DDoS-Problem zur Architekturfrage

Die Analyse hat ergeben, dass ein reiner DDoS-Schutz das Problem nicht löst. Um Angriffe bewerten zu können, muss der Traffic entschlüsselt und auf Applikationsebene analysiert werden. Erst dort lassen sich Anomalien in Header-Informationen, ungewöhnliche Request-Muster oder missbräuchliche API-Aufrufe erkennen. Somit rücken Web Application Firewall (WAF), API-Schutz, Bot-Management und Layer-7-DDoS-Abwehr in den Fokus.

Diesen Ansatz fasst Gartner unter dem Begriff WAAP (Web Application and API Protection) zusammen. Das Analystenhaus beschreibt WAAP als Plattformansatz, der WAF, API-Security, Bot-Management und anwendungsnahe DDoS-Abwehr in einer Architektur vereint. Das Ziel besteht darin, moderne, mehrstufige Angriffe ganzheitlich abzuwehren, anstatt sie mit isolierten Einzellösungen zu bekämpfen.

Anforderungen aus der Praxis

Für Quipu waren sowohl die Technik als auch der Betrieb von entscheidender Bedeutung. Frühere On-Premises-Ansätze hatten gezeigt, wie hoch der Aufwand für Pflege, Tuning und den Erhalt von Know-how ist. „Wenn man die Lösung nicht täglich nutzt, geht Wissen verloren“, so Lappe. Deshalb war ein Fully Managed Service ein zentrales Auswahlkriterium.

Hinzu kamen konkrete technische und regulatorische Anforderungen: Dazu zählen die Unterstützung von Custom Ports, die Entschlüsselung und Analyse von Traffic auf Layer 7 sowie die Abdeckung von PCI DSS, GDPR und den Anforderungen an die operationale Resilienz (DORA). Als IT-Dienstleister für Finanzinstitute ist Sicherheit kein Nice-to-have, sondern Teil der Governance.

Aus einer Longlist von sieben Anbietern blieben am Ende zwei übrig: Link11 und ein weiterer internationaler WAAP-Anbieter mit globaler Plattformpräsenz. Beide erfüllten die funktionalen Mindestanforderungen. Neben der vertraglichen Erfüllung regulatorischer Anforderungen wie PCI DSS und GDPR war ausschlaggebend, dass ein konsequent gemanagtes Betriebsmodell ohne zusätzliche Stundenkontingente angeboten wurde. Überzeugt hat zudem die technische Ausrichtung: Die Plattform kombiniert signaturbasierte Erkennung mit verhaltensbasierter Analyse auf Layer 7 und ermöglicht eine adaptive, kontextbezogene Reaktion statt rein statischer Schwellenwerte.

Warum Unternehmen ihre Sicherheit neu denken müssen

Das Web gehört den Bots – Fake Traffic nimmt rapide zu

Bewährungsprobe im Echtbetrieb

Wie bei der Einführung nahezu jeder neuen Dienstleistung war auch bei Quipu die Inbetriebnahme mit einigen Anpassungen verbunden. Nach dem Umschalten in den Live-Betrieb kam es zunächst zu sogenannten „False Positives” und blockierten Requests. Konkret wurden API-Parameter-Validierungen, typische Request-Frequenzen einzelner Endpunkte sowie länderspezifische Zugriffsmuster analysiert und schrittweise angepasst. Die initiale „Tuning-Phase“ dauerte einige Wochen. Der Unterschied zu früher: Die Anpassungen erfolgten iterativ und im laufenden Betrieb.

Der Härtetest kam während der Evaluierungsphase: Ein produktiver Service wurde Ziel eines Angriffs mit mehreren tausend Bots. Nach der Umstellung der DNS-Routen lief der Traffic über die neue Schutzplattform von Link11. Der Angriff konnte in kurzer Zeit abgewehrt werden. Dies erfolgte technisch durch eine Kombination aus verhaltensbasierter Analyse (Behavioral Layer-7-Detection), Signaturabgleich bekannter Angriffsmuster sowie dynamischer Reputationsbewertung einzelner Quellen. Auffällige IP-Adressen oder Netze wurden automatisiert isoliert und für definierte Zeiträume blockiert, statt nach Ablauf eines festen Schwellenwert-Zeitfensters wieder freigegeben zu werden. Wiederholte Angriffe aus denselben Netzen verpufften.

Im Vergleich zur vorherigen Lösung reduzierte sich der Bedarf an manuellen Eingriffen deutlich: Anstatt wiederholt Schwellenwerte anzupassen oder Länderblockaden zu setzen, erfolgte die Mitigation automatisiert auf Applikationsebene. Gleichzeitig blieb legitimer Traffic weitgehend unbeeinträchtigt, was einen wesentlichen Unterschied zur früheren Praxis darstellt.

Gcore Radar Report 1. HJ 2025

DDoS-Angriffe sind ein Stresstest für Plattformen

Braucht jedes Unternehmen WAAP?

Nicht jedes Unternehmen braucht sofort eine vollumfängliche WAAP-Plattform. Sobald jedoch Webportale, Kunden-APIs oder digitale Geschäftsprozesse geschäftskritisch werden, ist ein integrierter Ansatz ein betriebswirtschaftlicher Faktor. Es geht nicht nur um die Abwehr einzelner Angriffe, sondern auch um Verfügbarkeit, Resilienz, Reputation und Compliance.

Der Fall Quipu verdeutlicht, warum Gartner WAAP nicht als „neue WAF“, sondern als Architekturkonzept positioniert. Seine eigentliche Stärke liegt in der Kombination aus Anwendungssicht, API-Schutz, Bot-Abwehr und DDoS-Mitigation, ergänzt um einen Betriebsansatz, der die Komplexität für die eigenen Teams reduziert. Für IT-Entscheider kann WAAP somit eine strategische Antwort auf eine Bedrohungslage sein, die längst nicht mehr in Silos funktioniert.

Über die Autorin: Lisa Fröhlich ist bei Link11 verantwortlich für den Bereich Corporate Communications.

(ID:50784625)