> Wie die WAF Akamai Web Application Protector Anfragen prüft, welche Cookies sie setzt, die Sicherheitspflicht nach Art. 32 DSGVO und US-Datentransfers. > > Canonical: https://www.flowconsent.com/de/services/sicherheit/akamai-web-application-protector Sicherheit # Akamai Web Application Protector Notwendig · [Offizielle Website](https://www.akamai.com/us/en/products/security/web-application-protector-enterprise-waf-firewall-ddos-protection.jsp) Akamai Web Application Protector (WAP) ist die Einstiegs, Web Application Firewall im Akamai, Sicherheitsportfolio. Sie läuft als Reverse Proxy auf dem globalen Akamai, Edge, inspiziert jede HTTP, Anfrage vor Erreichen des Origins, blockt OWASP Top 10, wendet Rate Limiting und Bot, Mitigation an. Als Sicherheitslayer, nicht Tracker, verarbeitet sie Metadaten (IP, User, Agent, URL) auf Basis berechtigten Interesses; die ggf. gesetzten Cookies (AKA\_A2, \_abck, bm\_sz) sind unbedingt erforderlich. [Akamai Web Application Protector bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=security) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [Sicherheit](https://www.flowconsent.com/de/services/sicherheit) - Einwilligung Notwendig - Vorherige Einwilligung Nicht erforderlich - Dokumentierte Cookies 4 - Drittanbieter-Domains 4 - Server Akamai global edge network (United States headquartered, with European points of presence) Überblick ## Was macht Akamai Web Application Protector? ## **Was Web Application Protector tut** Akamai Web Application Protector (WAP) ist die einfachste WAF im Akamai, Sicherheits, Portfolio. Sie läuft als Reverse Proxy auf dem globalen Akamai, Edge vor dem Publisher, Origin. Jede eingehende HTTP, Anfrage wird gegen signatur, und verhaltensbasierte Regeln zu OWASP Top 10 (SQLi, XSS, RCE, LFI) geprüft und durchgelassen, herausgefordert oder geblockt. WAP enthält zudem Basis, Bot, Mitigation, Rate Limiting und DDoS, Schutz. ## **Verarbeitete Daten** WAP verarbeitet mindestens die Verbindungs, Metadaten: IP, TLS, Handshake, User, Agent, HTTP, Header, URL und Methode. Wenn die Regel es verlangt, wird auch der Request, Body (Formulardaten, JSON, Payload) inspiziert. Bot, Mitigation setzt kurzlebige Cookies (AKA\_A2, \_abck, bm\_sz, akacd\_\*) als Challenge, Tokens. Logs werden in das Akamai, Sicherheits, SOC gestreamt und können über Akamai DataStream in das SIEM des Publishers exportiert werden. ## **Art. 32 DSGVO und ePrivacy** Der Betrieb einer WAF ist eine Lehrbuch, Umsetzung von Art. 32 DSGVO (geeignete TOMs). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f) zur Sicherheit, ergänzt durch lit. c, wenn NIS2 oder DORA WAF, Fähigkeiten ausdrücklich verlangen. Die Bot, Detection, Cookies sind unbedingt erforderlich für die implizit gewünschte Sicherheitsleistung und nach Art. 5 Abs. 3 ePrivacy einwilligungsfrei.',' ## **US, Transfers und Akamai, AVV** Europäischer Traffic terminiert in der Regel an europäischen PoPs, Akamai sitzt jedoch in Massachusetts und betreibt globale SOCs. Metadaten und Incident, Logs können daher in den USA verarbeitet werden. Der Akamai, AVV enthält die SCC und referenziert die EU, US Data Privacy Framework, Zertifizierung. Ein TIA wird von EU, Aufsichtsbehörden erwartet.',' ## **Compliance, Checkliste** Akamai, WAF im Verarbeitungsverzeichnis als Sicherheits, Auftragsverarbeiter dokumentieren. AVV abschliessen. Akamai Technologies Inc. und USA in der Datenschutzerklärung benennen, Art. 32, Interessenabwägung anhängen. Kurze Aufbewahrung der Incident, Logs. WAP nicht mit Marketing, Analytics im selben Modul mischen, damit der Status unbedingt erforderlich der WAF, Cookies eindeutig bleibt.',' Datenschutz ## Akamai Web Application Protector und die DSGVO - Rechtsgrundlage Legitimate interest (Art. 6(1)(f) GDPR) for site security and fraud prevention; legal obligation (Art. 6(1)(c) GDPR) for the publisher's Article 32 GDPR duty to implement appropriate security measures - Risikostufe medium - Anwendbare Vorschriften GDPR, ePrivacy Directive, NIS2, DORA (financial sector), national security baselines ### Datenschutz-Folgenabschätzung (DSFA) Akamai WAP ist eine Sicherheitsschicht, die Verbindungsmetadaten zur Angriffsabwehr verarbeitet. Wesentliche Aspekte: (1) der WAF inspiziert Header, URLs und ggf. Request, Bodies, die personenbezogene Daten enthalten können; Aufbewahrung von Samples begrenzen; (2) Akamai, Cookies (AKA\_A2, \_abck, bm\_sz) sind Bot, Detection, Tokens und nach Art. 5 Abs. 3 ePrivacy unbedingt erforderlich; (3) Akamai ist US, Unternehmen; Logs werden global verarbeitet; Stützung auf Akamai, AVV, SCC und EU, US Data Privacy Framework; (4) aggregierte Threat Intelligence wird kundenuebergreifend geteilt, berechtigtes Interesse, in der Datenschutzerklärung benennen; (5) Incident, Logs können IPs legitimer Besucher enthalten, die fälschlich klassifiziert wurden; Auskunftsrechte entsprechend behandeln. DSFA empfohlen, wenn die Request, Body, Inspection aktiv ist. ### Beispieltext für Ihr Banner > Diese Website wird durch Akamai Web Application Protector (Akamai Technologies Inc., USA) geschützt, eine Web Application Firewall auf dem globalen Akamai, Edge. Akamai inspiziert jede eingehende Anfrage (IP, Header, URL), um Angriffe zu blocken und kann technische Logs sowie kurzlebige Bot, Detection, Cookies (AKA\_A2, \_abck, bm\_sz) speichern. Diese Verarbeitung ist zur Sicherheit der Website erforderlich und benötigt keine Einwilligung. Cookies und Tracker ## Was Akamai Web Application Protector setzt und kontaktiert - Tracking-Methode Reverse proxy WAF on the Akamai edge (HTTP layer, transparent to the browser) - Serverstandort Akamai global edge network (United States headquartered, with European points of presence) - Cookieloser Modus verfügbar Ja - Datenübermittlung außerhalb der EU Akamai Technologies Inc. is headquartered in Cambridge, Massachusetts. Web Application Protector runs on the Akamai global edge network. European traffic is normally terminated at European points of presence, but request metadata (IP, User Agent, URL, response code) is processed by Akamai under its global security operations. Transfers to the United States rely on Standard Contractual Clauses signed in the Akamai DPA and on Akamai's EU, US Data Privacy Framework certification. ### Gesetzte Cookies (4) | Name | Typ | Laufzeit | Zweck | | --------- | ------------------ | -------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | AKA\_A2 | Strictly necessary | 1 hour | Akamai bot detection token issued by Web Application Protector and Bot Manager to verify that the request is coming from a real browser, not from an automated client. | | \_abck | Strictly necessary | 1 year | Akamai Bot Manager cookie that stores the result of the bot challenge so subsequent requests do not have to be challenged again. | | bm\_sz | Strictly necessary | 4 hours | Akamai Bot Manager session cookie used to track the integrity of a browser session and detect anomalies suggesting automation. | | akacd\_\* | Strictly necessary | Session | Akamai cookie that ties the visitor to a specific Akamai edge server for sticky routing during the security analysis. | ### Kontaktierte Drittanbieter-Domains (4) - `akamai.com` - `akamaihd.net` - `akamaized.net` - `akamaitechnologies.com` Fragen ## Häufige Fragen zu Akamai Web Application Protector Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Welche Cookies setzt Akamai WAP? AKA\_A2 (1 Std.), \_abck (1 Jahr), bm\_sz (4 Std.) und akacd\_\* (Session). Alles kurz, bis mittelfristige Bot, Detection, oder Sticky, Routing, Cookies auf Akamai, oder Publisher, Domains. ### Brauche ich Einwilligung für diese Cookies? Nein. Sie sind unbedingt erforderlich für den nach Art. 32 DSGVO geforderten Sicherheitsdienst und einwilligungsfrei nach Art. 5 Abs. 3 ePrivacy. ### Welche Rechtsgrundlage gilt? Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) für die Sicherheitsverarbeitung, plus rechtliche Verpflichtung (lit. c) wenn NIS2 oder DORA WAF, Fähigkeiten fordern. Interessenabwägung im Verzeichnis dokumentieren. ### Werden Daten in die USA übertragen? Ja. Akamai hat US, Sitz, Metadaten und Incident, Logs können die USA passieren. SCC und EU, US Data Privacy Framework, Zertifizierung anwendbar. TIA wird erwartet. ### Ist eine DSFA erforderlich? Empfohlen, wenn die Request, Body, Inspection aktiv ist (mögliche Personenbezug in Payloads) oder WAP automatisierte Entscheidungen für Nutzer treibt (Konto, Sperre). ### Wie implementiere ich Akamai WAP compliant? Akamai, AVV abschließen. Interessenabwägung zu Art. 32 dokumentieren. Akamai Technologies Inc. und USA in der Datenschutzerklärung nennen. Kurze Aufbewahrung. WAF, Cookies nicht mit Marketing, Cookies mischen. ### Welche europäischen Alternativen gibt es? OVHcloud WAF, Cloudflare WAF (USA, mit EU, Regionen), Imperva (USA), F5 Distributed Cloud WAF oder selbst gehostetes ModSecurity/Coraza auf EU, Origins. Akamai bleibt Leader für sehr hohe Volumen mit Edge, WAF, Bedarf. ### Wie aktualisiere ich die Cookie, Richtlinie? AKA\_A2, \_abck, bm\_sz und akacd\_\* als unbedingt erforderlich mit Domain, Laufzeit und Sicherheitszweck listen. Akamai Technologies Inc. in die Empfaengerliste, USA als Empfängerland für die Security, Logs nennen. Gleiche Kategorie ## Weitere Dienste: Sicherheit [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/sicherheit) ### [Apereo CAS](https://www.flowconsent.com/de/services/sicherheit/apereo-cas) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/apereo-cas) · ### [Confiant](https://www.flowconsent.com/de/services/sicherheit/confiant) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/confiant) · ### [Lunio](https://www.flowconsent.com/de/services/sicherheit/lunio) [Marketing](https://www.flowconsent.com/de/services/sicherheit/lunio) · ### [Sqreen](https://www.flowconsent.com/de/services/sicherheit/sqreen) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/sqreen) · ### [Qualva](https://www.flowconsent.com/de/services/sicherheit/qualva) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/qualva) · ### [NTLM](https://www.flowconsent.com/de/services/sicherheit/ntlm) [Notwendig](https://www.flowconsent.com/de/services/sicherheit/ntlm) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)