Ein Proxy-Server hat die Aufgabe, den in ein privates Netzwerk ein- und ausgehenden Internetverkehr zu verwalten. Auch wenn die Funktion auf den ersten Blick eine einzige ist, stecken dahinter in Wirklichkeit sehr viele Einsatzzwecke:
- Er filtert das Surfen: So kann er etwa einem Unternehmensnutzer den Zugriff auf Websites sperren, die nichts mit dessen Arbeit zu tun haben;
- er beschleunigt das Surfen: Dank eines Cache-Systems kann er den Zugriff auf die von einer Nutzergruppe am häufigsten aufgerufenen Seiten deutlich schneller machen;
- er erhöht das Sicherheitsniveau des Geräts, mit dem Sie surfen: Tatsächlich ist es der Proxy, der die Verbindung zur gewünschten IP/Port herstellt (etwa www.sito.com auf Port 80) — niemals baut Ihr PC die Verbindung auf, sondern der Proxy, der sich anschließend darum kümmert, das Ergebnis weiterzuleiten, in diesem Fall eine HTTP-Seite;
- er verhält sich wie eine Firewall, mit eigenen Regeln zur kontextbezogenen Filterung;
- er erhöht die Privatsphäre der Surfenden;
- er erlaubt das Surfen ausschließlich den autorisierten Geräten innerhalb des lokalen Netzwerks, zu dem sie gehören: etwa ein Unternehmensnetz, in dem das Surfen von den Servern aus unterbunden ist — außer zu den Domains des Herstellers der Betriebssysteme und der Hardware;
- indem er Ihre IP maskiert, kann er auch Ihren Standort verschleiern und macht damit Versuche der IP-Geolokalisierung nutzlos.
Seine Arbeit besteht im Wesentlichen darin, den Verkehr zwischen Geräten und den verwendeten Protokollen abzufangen und zu verwalten. Daneben gibt es die Reverse Proxys: Diese besonderen Server leisten, wie der Name sagt, die umgekehrte Arbeit — sie fangen die Anfragen der Clients stellvertretend für einen oder mehrere Server ab und leiten sie bei Bedarf an die Zielserver weiter (die den aufgerufenen Dienst bereitstellen). Diese Art der Konfiguration verhindert nicht nur, dass irgendjemand direkt mit den Servern kommuniziert, sondern verbessert auch die Leistung durch Lastverteilung: Der eingehende Verkehr lässt sich auf mehrere Server verteilen, die denselben Dienst erbringen, statt ihn auf eine einzige Maschine zu konzentrieren. Auch hier ist der Vorteil vielfältig, einschließlich eines höheren Sicherheitsniveaus für die Server, die faktisch nicht direkt im Internet exponiert werden.
So läuft die Arbeit des Proxys ab
- Schritt 1 — die Anfragen werden von Ihrer IP-Adresse an den Proxy-Server gesendet;
- Schritt 2 — der Proxy-Server leitet die Anfrage unter Verwendung seiner eigenen IP-Adresse nach außen weiter;
- Schritt 3 — die Antworten werden an den Proxy-Server geleitet;
- Schritt 4a — der Proxy-Server leitet die angeforderten Daten an Ihren Browser weiter;
- Schritt 4b — oder Ihr Browser erhält eine Hinweisseite, dass der angeforderte Verkehr nicht erlaubt ist.
Es gibt aber nicht nur Vorteile. Da der Proxy alle Ihre Anfragen und den gesamten für Sie bestimmten Verkehr kennt, setzt er Sie automatisch einem Sicherheits- und Datenschutzrisiko aus. Kurz gesagt: Wenn Sie dem verwendeten Proxy-Server nicht „vertrauen“, gehen Sie unter Umständen dieselben Risiken ein wie ohne ihn — wenn nicht größere.
Die drei Haupttypen
- Transparent Proxy — dient im Wesentlichen dem Caching häufig aufgerufener Seiten sowie dem Filtern von Websites, die in der Organisation unerwünscht sind. Dieser Proxy-Typ maskiert die IP in keiner Weise: Sie bleibt faktisch die des Geräts, von dem aus gesurft wird.
- Distorting Proxy — liefert dem aufgerufenen Webserver eine falsche IP-Adresse, gibt sich dabei aber dennoch als Proxy zu erkennen. Die falsche IP-Adresse gewährleistet Anonymität; der eigentliche Vorteil ist jedoch, dass Sie den entfernten Server dazu bringen können, Sie an einem fiktiven Standort zu verorten. Häufig wird dieser Proxy-Typ genutzt, um die typischen Beschränkungen von Websites zu umgehen, die Inhalte je nach geografischer Region anbieten.
- Anonymous Proxy — hält die IP-Adresse Ihres Geräts vor den besuchten Websites verborgen. Das kann helfen, Identitätsdiebstahl zu vermeiden, und ermöglicht anonymes Surfen; allerdings geben sich anonyme Proxys weiterhin als Proxy-Server zu erkennen, und manche Websites verweigern Ihnen daraufhin womöglich den Zugang. Es gibt eine Variante des Anonymous Proxy mit hoher Anonymitätsstufe: Dieser Modus ergänzt die Rotation der ausgehenden IP, sodass sich Ihr Gerät nach außen mit im Laufe der Zeit wechselnden IP-Adressen präsentiert. Dieser zweite Typ des anonymen Proxys gibt sich nach außen nicht als Proxy zu erkennen, was das „Verwischen“ Ihrer digitalen Spuren gewährleistet und ihn zu einem der sichersten Proxy-Server-Typen macht.
Risiken oder nur Vorteile?
Natürlich gibt es kein System, das nicht auch Risiken mit sich bringt. Es kann etwa vorkommen, dass der Proxy-Server den Webverkehr nicht verschlüsselt: Dieser Punkt ist zweifellos grundlegend und folgenreich für Ihre Privatsphäre und kann Sie dem Diebstahl von Passwörtern und anderen sensiblen Daten aussetzen.
Es ist zwar keine gängige Praxis, aber es kann auch passieren, dass manche kostenlosen Open-Proxy-Dienste die Informationen der Nutzer erfassen und verkaufen (E-Mail, Name, Browserverlauf usw.): Informieren Sie sich also, bevor Sie einen Proxy verwenden — und generell gilt stets die erste Regel der IT-Sicherheit: „Nicht vertrauen!“. Etwas völlig anderes ist selbstverständlich die Nutzung eines unternehmenseigenen Proxy-Servers — auch wenn das Unternehmen in diesem Fall die Aktivitäten der Nutzer aus berechtigten Sicherheitsgründen protokollieren könnte; die Nutzer sollten über diese Aktivität jedoch informiert werden.
Ein sichereres System
Ein VPN (Virtual Private Network) bietet einen deutlich besseren Schutz. Ob Sie von zu Hause, aus der Pizzeria oder aus dem Unternehmen surfen: Ihren Verkehr durch ein VPN zu leiten ist zweifellos die sicherere Wahl.
Aus Sicht der Privatsphäre ist der Unterschied gar nicht so spürbar: Der „Kanal“ des Transits ist zwar sicherer (der Verkehr ist in beide Richtungen stets verschlüsselt), doch auch der Betreiber des VPN-Servers muss unser Vertrauen genießen — ein Grund, warum VPNs häufig im Unternehmensumfeld eingesetzt werden, wo es wichtig ist, unerwünschte und nicht vertrauenswürdige Nutzer fernzuhalten.
Nichts hindert uns daran, in Kategorien eines „doppelten“ Schutzes zu denken, also eines Proxy-Servers, der ausschließlich über ein VPN erreichbar ist. Für den Privatanwender wäre das sicher keine geeignete Konfiguration; für ein Unternehmen, das seine Nutzer auch dann schützen will, wenn diese Laptops oder andere mobile Geräte verwenden, kann sie dagegen die Sicherheit eines verschlüsselten Transits vom Gerät des Nutzers zum VPN-Server bieten — und von dort aus ein geschütztes, vom Proxy geregeltes Surfen. Solche Perimeter zu entwerfen — und ihre Belastbarkeit wirklich zu überprüfen — ist eines der Handwerke der Sicherheit.
Artikel ursprünglich im Blog von VPS GREEN erschienen, dem VPS-Dienst auf unserer grünen Private Cloud.
