Ein Content Delivery Network (CDN) ist ein geografisch verteiltes Servernetz, das Webinhalte zwischenspeichert und von Standorten nahe den Nutzern ausliefert, Websites beschleunigt und Angriffe abfängt.
Wie ein CDN funktioniert
Statt dass sich jeder Besucher mit dem Ursprungsserver (Origin) der Website verbindet, leiten DNS oder Anycast-Routing ihn zum nächstgelegenen Edge-Server des CDN. Dieser liefert zwischengespeicherte Bilder, Skripte und Seiten aus und reicht nur die übrigen Anfragen an den Origin weiter – er arbeitet also als großer Reverse-Proxy-Server. Akamai, 1998 gegründet, begründete das Modell; heute transportieren Cloudflare, Fastly, Amazon CloudFront und andere einen großen Teil des gesamten Webverkehrs.
Warum CDNs für die Sicherheit wichtig sind
Moderne CDNs sind zugleich Sicherheitsplattformen. Sie terminieren TLS, filtern Verkehr mit Web Application Firewalls, steuern Bots und verteilen volumetrische DDoS-Angriffe auf riesige globale Kapazitäten, sodass Websites Fluten überstehen, die ein einzelnes Rechenzentrum überlasten würden. Außerdem verbergen sie die echte IP-Adresse des Origin-Servers.
Die Konzentration bringt eigene Risiken:
- Single Points of Failure – im Juni 2021 legte ein Konfigurationsfehler bei Fastly kurzzeitig zahlreiche große Nachrichten- und Behördenwebsites weltweit lahm.
- Datenlecks – durch den Fehler Cloudbleed gaben Edge-Server von Cloudflare 2017 Speicherfragmente samt Cookies und Tokens in Webseiten preis.
- Offengelegter Origin – finden Angreifer die IP-Adresse des Origins über alte DNS-Einträge oder E-Mail-Header, können sie den CDN-Schutz umgehen.
- Missbrauch – Angreifer hosten Phishing-Seiten und Malware auf vertrauenswürdigen CDN-Domains, und „Domain Fronting“ (MITRE ATT&CK T1090.004) versteckt Command-and-Control-Verkehr dahinter.
Best Practices
- Verbindungen zum Origin nur aus den Adressbereichen des CDN oder über authentifizierte Tunnel zulassen.
- WAF, Rate Limiting und DDoS-Schutz aktivieren und ihre Regeln überprüfen.
- Für Skripte Dritter aus öffentlichen CDNs Subresource Integrity verwenden.
- CDN-Ausfälle mit Failover-Optionen für kritische Dienste einplanen.
