← Alle Artikel

Was ist SSRF (Server-Side Request Forgery) und wie verhindert man es?

7. September 2026

Was ist SSRF (Server-Side Request Forgery) und wie verhindert man es?

Server-Side Request Forgery (SSRF) liegt vor, wenn eine Anwendung eine aus Nutzereingaben abgeleitete URL serverseitig abruft und der Angreifer diese URL kontrollieren kann. Die Folge: Zugriff mit der Identität des Servers auf ein normalerweise nach außen geschlossenes internes Netz, auf Cloud-Metadatendienste oder auf lokale Dienste.

Wie es entsteht

Anwendungen rufen häufig eine URL ab: Remote-Bildvorschauen, Webhook-Validierung, PDF-Erzeugung, eine “Aus URL importieren”-Funktion. Beschränkt die Anwendung die abgerufene Adresse nicht ausreichend, kann ein Angreifer sie auf interne Ziele lenken:

https://ihreapp.de/vorschau?url=http://169.254.169.254/latest/meta-data/

Hier zielt der Angreifer statt auf ein externes Bild auf den Metadaten-Endpunkt des Cloud-Anbieters. In fehlkonfigurierten Umgebungen kann das sensible Informationen wie temporäre Zugriffsschlüssel über den Server preisgeben.

Auswirkungen

  • Erkundung und Zugriff im internen Netz: aus dem Internet geschlossene Admin-Panels, Datenbanken und interne APIs können über den Server erreichbar werden.
  • Cloud-Metadaten-Leck: Identitäts-/Zugriffsdaten, besonders bei älteren Metadaten-Mechanismen ohne Sitzungs-Token.
  • Lokale Dienste und Datei-Schemata: http://localhost und teils file:// können interne Ressourcen erreichen.

Abwehr

SSRF-Abwehr sollte Allowlist-basiert sein; eine Denylist wird mit IP-Kodiertricks und Weiterleitungen umgangen.

  1. Das Ziel per Allowlist beschränken auf die Domains/Endpunkte, die die App legitim benötigt.
  2. Interne IP-Bereiche und die Metadaten-IP blockieren (10/8, 172.16/12, 192.168/16, 127/8, 169.254.169.254).
  3. Auf Weiterleitungen und DNS-Rebinding achten. Die IP bei jedem Sprung erneut prüfen oder Weiterleitungen deaktivieren.
  4. Sicheren Metadaten-Modus erzwingen (nur Token-basierter Zugriff).
  5. Nur benötigte Schemata erlauben (https); file, gopher, ftp ablehnen.

Zusammenfassung

Die Ursache von SSRF ist, dass der Server einer vom Nutzer kontrollierten Adresse vertraut. Die stärkste Abwehr ist, das Ziel per Allowlist zu beschränken, interne/Metadaten-IPs zu blockieren und Weiterleitungen bei jedem Sprung erneut zu prüfen. Der sichere Cloud-Metadaten-Modus ist eine kritische zweite Schicht.

Quellen: OWASP SSRF Prevention Cheat Sheet, PortSwigger: SSRF, CWE-918.

Sind Ihre URL-abrufenden Endpunkte für SSRF anfällig? Die Active Verification von CyberTestify führt harmlose SSRF-/Parameter-Prüfungen an erkannten Eintrittspunkten durch.