Firewall: Wählen Sie Ihren Schutzmodus

Was sind Firewall-Modi?

Die SeenSecure-Firewall hat drei Betriebsmodi, die bestimmen, wie sie auf eingehenden Verkehr reagiert: was sie erkennt, was sie blockiert und was sie nur protokolliert. Sie können jederzeit über den Reiter Modus im Firewall & WAF-Panel wechseln, und die Änderung wird sofort auf der gesamten Website wirksam, ohne Cache zu leeren oder etwas neu zu starten.

Diese drei Modi sind unabhängig vom zentralen Schalter Status des SeenSecure-Schutzes (Reiter Resumen — dieser Reiter ist im Plugin noch nicht ins Deutsche übersetzt — des Firewall & WAF-Panels, direkt unter den Statistikkarten). Dieser Schalter ist eine vierte Position, aber kein "milderer Modus als Monitoring" — er bedeutet die vollständige Abschaltung der Firewall, ausführlich erklärt am Ende des nächsten Abschnitts.

💡 Empfehlung: Beginnen Sie immer im Monitoring-Modus, um den Verkehr risikofrei zu beobachten. Wenn Sie keine Fehlalarme sehen, wechseln Sie zu Protection.

⚠️ Der globale Modus steuert die einzelnen Schutzfunktionen: Funktionen wie Geo-Blocking, ASN-Regeln, Zahlungsgateway-Schutz oder Anti-Bot haben ihre eigene Aktionsauswahl (Monitor / Block / Challenge) auf ihrem eigenen Reiter. Diese Auswahl greift jedoch nur wirklich, wenn der globale Firewall-Modus auf Protection oder Strict steht. Steht der globale Modus auf Monitoring — oder ist die Firewall ausgeschaltet — protokollieren diese einzelnen Schutzfunktionen nur Ereignisse, selbst wenn Sie sie auf "Block" eingestellt haben. Das ist die häufigste Ursache für "ich habe das auf Blockieren gestellt und es blockiert trotzdem nicht".

Die 3 Betriebsmodi

Nur Test

🔍 Monitoring

Erkennt und protokolliert Bedrohungen, ohne etwas zu blockieren. Der gesamte Verkehr passiert uneingeschränkt. Ideal für die ersten Stunden nach der Installation.

✓ Produktion

🛡️ Protection

Erkennt und blockiert echte Bedrohungen (SQL, XSS, LFI). Optimales Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit. Empfohlen für Produktionsseiten.

Fortgeschritten

🔒 Strict

Maximale Sicherheit mit strengen Validierungen. Blockiert selbst verdächtigen Verkehr. Kann Fehlalarme verursachen. Nur für stark gefährdete Seiten.

Modus	Erkennt	Blockiert	Fehlalarme	Empfohlene Nutzung
Monitoring	✅	❌	Keine	Test / Beobachtung
Protection	✅	✅	Niedrig	Produktion
Strict	✅	✅	⚠️ Hoch	Stark gefährdete Seiten

🔍 Monitoring im Detail

Was er tut: Er führt alle Erkennungs-Engines der Firewall aus — SQL-Injection, XSS, Datei-Inklusion, Bot-Muster usw. — für jede eingehende Anfrage, genau wie Protection oder Strict. Der einzige Unterschied: Wird etwas Verdächtiges erkannt, wird nie eingegriffen — keine Blockierung, keine Herausforderung, nur ein Eintrag im Verkehrsprotokoll und im Vorfalls-Panel. Der Besucher merkt nie, dass er analysiert wurde.

Wann verwenden: in den ersten 24-48 Stunden nach der Installation des Plugins; nach einer größeren Änderung an der Website (neues Theme, neues Zahlungsgateway, Hosting-Migration); oder wenn Sie vermuten, dass eine bestimmte Regel Fehlalarme erzeugt, und dies bestätigen möchten, ohne während der Untersuchung echten Traffic zu blockieren.

Risiko: Die Gefahr liegt nicht im Modus selbst, sondern darin, ihn zu vergessen. Eine dauerhaft im Monitoring belassene Produktionsseite zeigt Aktivität im Dashboard — es sieht so aus, als würde "etwas passieren" — aber tatsächlich wird kein echter Angriff gestoppt.

Reales Beispiel: Sie installieren SeenSecure in einem Shop mit einem individuellen Angebotsformular. Sie lassen Monitoring 48 Stunden aktiv und sehen im Verkehrsprotokoll Dutzende Anfragen, die als mögliche SQL-Injection gegen dieses Formular markiert sind — tatsächlich handelt es sich um ein Drittanbieter-Plugin, das legitim Parameter mit Anführungszeichen und Sonderzeichen sendet. Dank Monitoring erkennen Sie den Fehlalarm, fügen die entsprechende Ausnahme hinzu und wechseln erst dann zu Protection — ohne das Formular in der Produktion je zu beschädigen.

🛡️ Protection im Detail

Was er tut: Er aktiviert die echte Blockierung. Wenn eine Anfrage einem Bedrohungsmuster mit hoher Konfidenz entspricht (SQL-Injection, XSS, Remote- oder lokale Datei-Inklusion und gleichwertige Kategorien), antwortet SeenSecure mit HTTP 403 und stoppt die Anfrage, bevor sie WordPress erreicht. Mehrdeutiger Traffic, der die Angriffskriterien nicht mit ausreichender Sicherheit erfüllt, wird durchgelassen, um Fehlalarme zu minimieren.

Wann verwenden: Es ist der empfohlene Standardmodus für jede Produktionsseite mit echtem Traffic, das ganze Jahr über. Er bietet effektiven Schutz ohne die Reibung häufiger Fehlalarme.

Risiko: Gering, wenn Sie die Website bereits im Monitoring validiert haben, aber eine größere Änderung (neues Theme, neues Plugin mit ungewöhnlichen Formularen) kann Muster einführen, die Protection zuvor nicht kannte. Überprüfen Sie das Verkehrsprotokoll nach jeder wichtigen Änderung.

Reales Beispiel: Ein Produktimport-Plugin sendet den Namen O'Brien's "Deluxe" Kit mit legitimen einfachen und doppelten Anführungszeichen. Protection erkennt dies als normalen Text und lässt es durch. Dagegen blockiert er sofort eine POST-Anfrage an /wp-login.php mit einer Payload wie ' OR '1'='1, typisch für einen Authentifizierungs-Bypass-Versuch — der bösartige Besucher erhält einen 403 und der Versuch wird im Verkehrsprotokoll erfasst.

🔒 Strict im Detail

Was er tut: Er wendet dieselben Erkennungskategorien wie Protection an, jedoch mit einer viel geringeren Toleranz für Mehrdeutigkeit. Wo Protection zweifelhaften Traffic durchlässt "falls er legitim ist", blockiert Strict ihn "falls er ein Angriff ist". Es ist ein Haltungswechsel, keine andere Erkennungs-Engine: Priorität hat, nichts Verdächtiges durchzulassen, statt keinen legitimen Besucher zu stören.

Wann verwenden: Während eines bestätigten aktiven Angriffs (eine Welle von Login-Versuchen, aggressives Schwachstellen-Scanning von mehreren IPs), auf sehr hochwertigen Seiten (Zahlungen, Gesundheits- oder Rechtsdaten), bei denen die Kosten eines durchgelassenen echten Angriffs viel höher sind als das Blockieren eines legitimen Besuchers, oder vorübergehend nach der Erkennung einer gezielt gegen Ihre Domain gerichteten Kampagne.

Risiko: Es ist der Modus, der am ehesten legitimen Traffic blockiert. Ein unkonventionelles Plugin, ein Theme mit stark parametrisierten URLs oder sogar ein Nutzer mit einer ungewöhnlichen Browsererweiterung können eine Blockierung auslösen, die in Protection nicht aufgetreten wäre. Er wird nicht als dauerhafte Einstellung ohne vorheriges Testen empfohlen.

Reales Beispiel: Ihr Onlineshop erleidet einen Credential-Stuffing-Angriff: Bots probieren Hunderte von Benutzername/Passwort-Kombinationen gegen wp-login.php von Dutzenden verschiedener IPs. Sie wechseln für die Dauer des Angriffs zu Strict — die Grenzfälle, die Protection "für den Fall, dass sie legitim waren" durchgelassen hätte, werden nun ebenfalls blockiert und schließen die Lücke, die die Angreifer ausnutzten. Sobald der Angriff nachlässt, überprüfen Sie das Verkehrsprotokoll, bestätigen, dass keine echten Kunden betroffen waren, und wechseln zurück zu Protection.

⏻ Der Off-Schalter (vollständige Abschaltung)

Off ist kein vierter, "sanfterer" Modus als Monitoring — es ist die vollständige Abschaltung der Firewall über den Schalter Status des SeenSecure-Schutzes im Reiter Resumen. Bei ausgeschalteter Firewall führt SeenSecure nicht einmal eine Bedrohungsanalyse der Anfrage durch: nichts wird erkannt, nichts wird in Incidents protokolliert, und keine einzelne Schutzfunktion (Geo-Blocking, Anti-Bot, ASN-Regeln, Zahlungsgateway-Bypass) greift, selbst wenn sie auf ihrem eigenen Reiter auf "Block" eingestellt ist. Rate Limiting ist ein separates Modul und kann weiterhin unabhängig Traffic protokollieren, aber der Rest der Firewall ist vollständig inaktiv.

⚠️ Nur kurzzeitig verwenden: Schalten Sie die Firewall nur zur Fehlersuche bei einem schwerwiegenden Konflikt mit einem anderen Plugin oder für sehr spezifische Tests vollständig aus, und aktivieren Sie sie sofort wieder. Lassen Sie sie niemals als Produktionseinstellung auf Off — nicht einmal Monitoring, das zumindest erkennt und protokolliert, bietet dieses falsche Sicherheitsgefühl.

Welchen Modus sollten Sie wählen?

🆕 Sie haben das Plugin gerade installiert

Verwenden Sie Monitoring für mindestens 24-48 Stunden. Überprüfen Sie die Protokolle im Vorfalls-Panel, um zu sehen, welche Bedrohungen die Firewall erkennt.

🌐 Produktionsseite mit echtem Verkehr

Der Modus Protection ist Ihre beste Wahl. Er bietet das ideale Gleichgewicht zwischen Sicherheit und Benutzererfahrung.

🎯 Seite unter aktivem Angriff

Wechseln Sie direkt zu Strict. Er blockiert selbst verdächtigen Verkehr, nicht nur bestätigt bösartigen. Kehren Sie zu Protection zurück, wenn der Angriff nachlässt.

💳 Hochwertige Website (Zahlungen, Gesundheit, Rechtsdaten)

Wenn Ihre Website Zahlungen, Krankenakten oder sensible Rechtsdaten verarbeitet, übersteigen die Kosten eines einzigen erfolgreichen Angriffs bei Weitem die Kosten eines gelegentlichen Fehlalarms. In diesen Fällen entscheiden sich manche Administratoren dauerhaft für Strict auf den kritischsten Pfaden (Login, Checkout) und nur Protection für den Rest der Website, dies erfordert jedoch gründliche vorherige Tests in Protection und einen klaren Prozess zur Verwaltung von Whitelists bei auftretenden Fehlalarmen.

⚠️ Wichtig: Lassen Sie die Firewall auf einer Produktionsseite nicht im Monitoring-Modus. Dieser Modus protokolliert nur, er schützt nicht.

Praktische Tipps

Monitoring → Protection: Wenn Sie nach 48 Stunden im Monitoring-Modus keine Fehlalarme sehen, wechseln Sie zuversichtlich zu Protection.
Protection → Strict: Nur wenn Ihre Seite häufigen Angriffen ausgesetzt ist oder kritische Daten verarbeitet.
Änderungen rückgängig machen: Wenn ein Modus Probleme verursacht, wechseln Sie sofort zu einem anderen. Änderungen sind sofort wirksam.
Vor der Aktivierung von Strict sich selbst whitelisten: Wenn Sie Strict auf einer Website mit sensiblen Daten testen möchten, fügen Sie zunächst Ihre eigene IP zur Firewall-Whitelist hinzu. So vermeiden Sie, sich selbst aus Ihrem eigenen Dashboard auszusperren, falls Strict etwas im Zusammenhang mit Ihrer Admin-Sitzung blockiert.
Prüfen Sie das Verkehrsprotokoll nach jedem Moduswechsel: Filtern Sie in den ersten Stunden nach dem Wechsel zu Protection oder Strict nach Status = 403, um schnell zu erkennen, ob legitimer Traffic blockiert wird.

✅ Empfohlener Ablauf: Monitoring (24-48h) → Protection (Produktion). Nur zu Strict wechseln, wenn nötig.