IT-Sicherheit
IDS & IPS
Ein IDS erkennt Angriffe und alarmiert passiv; ein IPS sitzt inline und blockiert aktiv. Beide gibt es netzbasiert (NIDS) und hostbasiert (HIDS).
- Angriffserkennung und -abwehr
- IDS passiv / IPS inline
- NIDS (Netz) und HIDS (Host)
- Signatur + Anomalie
- Ereignisse fürs SIEM
IDS und IPS erkennen Angriffe, die eine Firewall durchlässt. Der Unterschied liegt in der Reaktion: Ein IDS (Intrusion Detection System) arbeitet passiv und alarmiert, ein IPS (Intrusion Prevention System) sitzt inline im Datenpfad und kann Verkehr aktiv blockieren. Beide gibt es netzbasiert (NIDS) und hostbasiert (HIDS).
Dieser Artikel erklärt den Unterschied zwischen IDS und IPS, zwischen NIDS und HIDS, die Erkennungsmethoden, die Platzierung im Netz, die Risiken des Inline-Betriebs, die Grenze durch Verschlüsselung sowie das Zusammenspiel mit SIEM und die regulatorische Einordnung.
1. IDS oder IPS, NIDS oder HIDS
Vier Begriffe sind zu trennen. Ein IDS empfängt eine Kopie des Verkehrs (über einen Spiegelport oder Netz-TAP) und erzeugt nur Alarme, der Angriff läuft technisch weiter. Ein IPS sitzt im aktiven Pfad und kann Pakete verwerfen oder Verbindungen zurücksetzen. Quer dazu steht die Platzierung: Ein NIDS analysiert den Netzwerkverkehr (etwa Suricata oder Zeek), ein HIDS läuft als Agent auf dem einzelnen System und überwacht Logs, Dateiintegrität und Prozesse (etwa Wazuh). NIDS und HIDS sind komplementär, keines ersetzt das andere.
2. Erkennungsmethoden
Drei Ansätze ergänzen sich:
- Signaturbasiert vergleicht den Verkehr mit bekannten Angriffsmustern (z. B. Emerging-Threats- oder Talos-Regeln). Präzise bei Bekanntem, blind für Zero-Days.
- Anomaliebasiert erkennt Abweichungen von einer Normal-Baseline und damit potenziell auch Unbekanntes, aber mit höherer Fehlalarmquote.
- Protokoll-/heuristikbasiert prüft, ob der beobachtete Protokollablauf dem erwarteten entspricht, und erkennt so Protokollmissbrauch auch ohne Signatur.
3. Platzierung und Inline-Risiken
Ein NIDS wird an Aggregationspunkten platziert: am Perimeter, an internen Segmentgrenzen und in der DMZ, gespeist über einen Spiegelport (kann unter Last Pakete verlieren) oder einen passiven Netz-TAP (exakte, vollständige Kopie). Beim Inline-IPS ist die Kehrseite zu bedenken: Es fügt Latenz hinzu und ist ein möglicher Single Point of Failure. Fällt es aus, muss entschieden sein, ob der Pfad blockiert (fail-close) oder ungeprüft durchlässt (fail-open), beides hat Konsequenzen.
Ein IPS, dessen Ausfallverhalten nicht bewusst gewählt ist, ist eine Wette. Fail-open opfert Schutz, fail-close opfert Verfügbarkeit, beides muss eine Entscheidung sein, kein Zufall.
4. Die Grenze: Verschlüsselung
Verschlüsselter Verkehr (TLS) verbirgt den Inhalt vor IDS und IPS. Ohne Entschlüsselung bleiben nur Metadaten sichtbar: Zieladressen, Zertifikate, der Servername (SNI) und TLS-Fingerabdrücke wie JA3, mit denen sich Malware-typische Clients teils auch verschlüsselt erkennen lassen. Mit ECH (Encrypted Client Hello) schrumpft selbst diese Sicht. Wer in den Inhalt will, braucht TLS-Inspektion (Querverweis Firewall/NGFW), mit allen dortigen Grenzen.
5. Tuning, SIEM und Regulatorik
Der größte Betriebsaufwand ist das Tuning: In vielen Umgebungen ist ein erheblicher Teil der Alarme falsch positiv, was zu Alarm-Müdigkeit führt. Regelpflege (tägliche bis wöchentliche Updates) und das Unterdrücken bekannt-guter Muster sind Daueraufgaben. Ihren vollen Wert entfalten IDS/IPS erst, wenn ihre Ereignisse in ein SIEM fließen (eigener Artikel) und dort über Quellen hinweg korreliert werden. Betreiber kritischer Anlagen sind gesetzlich zu „Systemen zur Angriffserkennung“ verpflichtet, und der BSI-Grundschutz (DER.1) empfiehlt Detektion auch darüber hinaus, IDS/IPS sind die typische technische Umsetzung.
6. Abgrenzung
Die NGFW (eigener Artikel) hat ein IPS bereits integriert, eine separate IPS-Appliance ist dann oft entbehrlich. Ein HIDS überschneidet sich mit EDR (Endpoint Detection and Response, eigener Artikel): Beide laufen als Agent auf dem Endgerät, EDR bietet aber tiefere Reaktion (Isolation, forensische Analyse). Open-Source-HIDS wie Wazuh nähern sich EDR-Funktionen an, ersetzen kommerzielle EDR aber nicht vollständig.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Detektionstiefe über reines Filtern hinaus | Regelpflege und Tuning sind Daueraufgaben |
| Signaturen erkennen Bekanntes zuverlässig | Zero-Days haben noch keine Signatur |
| Anomalie-Analyse erkennt potenziell Unbekanntes | höhere Fehlalarmquote, Alarm-Müdigkeit |
| IPS blockiert in Echtzeit; HIDS sieht den Host | Inline-IPS: Latenz, Single Point of Failure |
| liefert Ereignisse fürs SIEM, erfüllt Regulatorik | verschlüsselter Verkehr begrenzt die Sicht |
Häufige Fragen zu IDS & IPS
Ein IDS (Intrusion Detection System) erkennt Angriffe und alarmiert, greift aber nicht ein, es arbeitet passiv auf einer Kopie des Verkehrs. Ein IPS (Intrusion Prevention System) sitzt inline im Datenpfad und kann Verkehr aktiv blockieren oder Verbindungen zurücksetzen. Das IPS schützt unmittelbar, bringt aber Latenz und ein Ausfallrisiko mit (fail-open oder fail-close); das IDS ist risikolos im Pfad, verhindert aber nichts von selbst.
Den Inhalt nicht ohne Entschlüsselung. Bei TLS bleiben nur Metadaten sichtbar: Zieladresse, Zertifikat, Servername (SNI) und TLS-Fingerabdrücke wie JA3, mit denen sich verdächtige Clients teils auch verschlüsselt erkennen lassen. Mit Encrypted Client Hello (ECH) schrumpft selbst diese Sicht. Für die Inhaltsprüfung braucht es TLS-Inspektion über eine NGFW, mit den dort beschriebenen Grenzen.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
IDS & IPS im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.