Deep Packet Inspection (DPI): Bedeutung, Funktionsweise und Grenzen

Was ist Deep Packet Inspection?

Daten reisen im Netz in kleinen Paketen. Jedes Paket hat einen Kopf (Header) mit Absender, Empfänger und Port. Dahinter steckt der eigentliche Inhalt, die Nutzdaten.

Ein einfacher Paketfilter liest nur den Kopf. Das ist wie ein Pförtner, der nur die Adresse auf dem Umschlag prüft. Deep Packet Inspection, auf Deutsch tiefe Paketprüfung, öffnet den Umschlag und liest auch den Inhalt.

So erkennt DPI zum Beispiel, ob sich hinter einer harmlos wirkenden Webverbindung Schadsoftware, ein Angriff oder eine verbotene Anwendung verbirgt.

Hinweis: Die Abkürzung DPI steht auch für dots per inch, die Auflösung von Druckern und Bildschirmen. In der IT-Sicherheit ist immer Deep Packet Inspection gemeint.

Paketfilter, Stateful Inspection und DPI

• Paketfilter: prüft jedes Paket einzeln nach Adresse und Port. Schnell, aber blind für den Inhalt.
• Stateful Packet Inspection: merkt sich offene Verbindungen und lässt nur Pakete durch, die zu einer erlaubten Verbindung gehören.
• Deep Packet Inspection: analysiert zusätzlich die Nutzdaten bis auf Anwendungsebene, also zum Beispiel einzelne Webanfragen oder Dateien.

Moderne Firewalls, oft Next-Generation-Firewalls genannt, kombinieren alle drei Ansätze.

So funktioniert DPI

1. Erfassen: Das System liest den Datenverkehr an einer zentralen Stelle mit, etwa am Übergang ins Internet.
2. Zusammensetzen: Pakete einer Verbindung werden wieder zusammengefügt, damit der Inhalt lesbar wird.
3. Protokoll erkennen: Das System bestimmt, ob es sich um Web, E-Mail, Dateiübertragung oder eine bestimmte Anwendung handelt.
4. Analysieren: Der Inhalt wird mit Signaturen bekannter Angriffe verglichen und auf ungewöhnliches Verhalten geprüft.
5. Handeln: Je nach Regel wird die Verbindung erlaubt, blockiert, umgeleitet oder protokolliert.

Ein Beispiel: Ein Mitarbeiter öffnet eine Webseite. Die Verbindung läuft wie gewohnt über Port 443. DPI erkennt jedoch, dass die Seite eine bekannte Schadsoftware ausliefert, und bricht den Download ab.

Einsatzbereiche

Netzwerksicherheit

DPI ist ein Kernbaustein von Systemen zur Angriffserkennung. Ein Intrusion Detection System (IDS) meldet verdächtigen Verkehr, ein Intrusion Prevention System (IPS) blockiert ihn sofort.

Schutz vor Datenabfluss

Lösungen gegen Datenverlust (DLP) prüfen, ob vertrauliche Daten wie Kundenlisten oder Kreditkartennummern das Unternehmen verlassen.

Anwendungen steuern

Unternehmen können festlegen, welche Anwendungen erlaubt sind, etwa Videokonferenzen ja, private Dateitauschdienste nein. Auch die Bandbreite lässt sich je Anwendung steuern.

Netzbetrieb

Netzbetreiber nutzen DPI, um Engpässe zu erkennen und Störungen zu finden.

Zensur und Überwachung

Manche Staaten setzen DPI ein, um Inhalte zu sperren oder Kommunikation zu überwachen. Das ist der umstrittenste Einsatz der Technik.

DPI und verschlüsselter Datenverkehr

Heute ist der größte Teil des Webverkehrs mit TLS verschlüsselt. Ohne Weiteres sieht DPI dann nur Metadaten: Ziel, Datenmenge, Zeitpunkt und einige Merkmale des Verbindungsaufbaus.

Um auch den Inhalt zu prüfen, setzen Unternehmen TLS-Inspection ein, auch SSL-Inspection genannt. Die Firewall baut die verschlüsselte Verbindung auf, prüft den Inhalt und verschlüsselt ihn neu. Dafür muss auf allen Geräten ein eigenes Zertifikat des Unternehmens installiert sein.

Das hat Nachteile. Die Firewall wird zum besonders lohnenden Ziel, Fehler in der Umsetzung können die Sicherheit schwächen, und manche Anwendungen funktionieren nicht mehr. Viele Unternehmen nehmen daher sensible Bereiche wie Onlinebanking oder Gesundheitsseiten aus. Neue Verfahren wie Encrypted Client Hello verbergen zudem immer mehr Metadaten.

Vorteile

• Bessere Erkennung: Angriffe, die sich hinter erlaubten Ports verstecken, werden sichtbar.
• Feine Regeln: Anwendungen lassen sich einzeln erlauben oder sperren.
• Datenabfluss stoppen: Vertrauliche Inhalte werden erkannt, bevor sie das Netz verlassen.
• Mehr Überblick: Die IT sieht, welche Anwendungen im Netz wirklich genutzt werden.

Grenzen und Risiken

• Datenschutz: DPI kann sehr persönliche Inhalte sichtbar machen.
• Leistung: Die tiefe Prüfung kostet Rechenleistung und kann den Verkehr bremsen.
• Verschlüsselung: Ohne TLS-Inspection bleibt der Inhalt verborgen.
• Falschmeldungen: Regeln müssen gepflegt werden, sonst blockiert DPI auch harmlose Verbindungen.
• Neues Angriffsziel: Ein DPI-System sieht alles und muss daher selbst besonders geschützt werden.

Rechtliche Rahmenbedingungen

Unternehmen dürfen ihr Netz schützen. Werden dabei Inhalte von Beschäftigten ausgewertet, gelten aber die DSGVO und das Mitbestimmungsrecht des Betriebsrats. Ist die private Nutzung von Internet und E-Mail erlaubt, wird es noch heikler. Klare Regeln, eine Betriebsvereinbarung und eine Datenschutz-Folgenabschätzung schaffen hier Rechtssicherheit.

Für Internetanbieter in der EU gelten die Regeln zur Netzneutralität. Sie dürfen Datenverkehr nur eng begrenzt nach Inhalten unterscheiden, etwa zur Abwehr von Angriffen.

Fazit

Deep Packet Inspection prüft nicht nur, wohin Daten gehen, sondern auch, was sie enthalten. Das macht Angriffe und Datenabfluss sichtbar, die einfache Filter übersehen. Bei verschlüsseltem Verkehr stößt DPI an Grenzen, und der Einsatz muss rechtlich sauber geregelt sein. Richtig eingesetzt ist DPI ein wichtiger Baustein moderner Netzwerksicherheit.