Was ist ein Proxy-Server?

• Server und Infrastruktur
• Aktualisiert: 04.10.2026
• Ca. 10 Min. Lesezeit

Grundbegriffe

1. 1

   Der Unterschied zwischen Forward Proxy und Reverse Proxy

   Der Unterschied liegt darin, in wessen Auftrag der Proxy arbeitet:

   • Forward Proxy: Er geht im Auftrag des Clients (des Browsers, des Rechners) ins Internet. Der Client schickt seine Anfrage an den Proxy, der Proxy verbindet sich mit der Zielseite und bringt die Antwort zurück. Die Zielseite sieht den Proxy, nicht den Client.
   • Reverse Proxy: Er nimmt Anfragen im Auftrag des Servers entgegen. Der Besucher meint, sich mit Ihrer Domain zu verbinden; tatsächlich ist er mit dem Reverse Proxy verbunden, der die Anfrage an den dahinterliegenden Anwendungsserver weitergibt. Die Server im Hintergrund sieht der Besucher nicht.

   Merkmal	Forward Proxy	Reverse Proxy
   In wessen Auftrag arbeitet er?	Im Auftrag des Clients	Im Auftrag des Servers
   Wo steht er?	Vor den Clients; am Ausgang des Firmen- oder Heimnetzes	Vor den Servern; am Einstiegspunkt der Website
   Wer konfiguriert ihn?	Die Client-Seite: der Nutzer oder der Netzwerkadministrator der Organisation	Die Server-Seite: der Betreiber der Website oder der Systemadministrator
   Weiß der Client davon?	In der Regel ja; die Einstellung erfolgt am Client (Ausnahme: transparenter Proxy)	Nein; für den Besucher ist er unsichtbar
   Was sieht die Gegenseite?	Die Zielseite sieht die IP-Adresse des Proxys	Der Besucher sieht die Adresse des Reverse Proxys, nicht die Backend-Server
   Typischer Einsatz	Ausgang des Firmennetzes, Inhaltsfilterung, Caching, Protokollierung	TLS-Terminierung, Lastverteilung, Caching, Schutz des Backends

   : Vergrößern

2. 2

   Wo werden Forward Proxys eingesetzt?

   Einem Forward Proxy begegnen Sie am ehesten in gemeinsam genutzten Netzen, etwa in Unternehmen und Schulen. Die Rechner im Netz erreichen das Internet nicht direkt, sondern über den Proxy; so wird der ausgehende Verkehr an einem Punkt gebündelt.

   • Ausgang des Firmennetzes: Direkte Internetverbindungen der Geräte im internen Netz werden gesperrt; nur der Proxy darf nach außen. Die Firewall-Regeln werden einfacher, und von außen ist eine einzige Ausgangsadresse sichtbar.
   • Inhaltsfilterung: Bestimmte Adressen oder Kategorien werden nach den Regeln der Organisation gesperrt; der Zugriff auf Adressen, die als schädlich bekannt sind, wird unterbunden.
   • Caching: Häufig angeforderte Dateien werden auf dem Proxy gespeichert und ohne erneutes Herunterladen ausgeliefert. Da der größte Teil des Web-Verkehrs inzwischen verschlüsselt ist, ist dieser Nutzen geringer als früher; bei Software-Updates und Paketquellen ist er weiterhin hilfreich.
   • Protokollierung: Es wird festgehalten, welches Gerät sich wann mit welcher Adresse verbunden hat. Diese Aufzeichnungen dienen der Untersuchung von Sicherheitsvorfällen und werden dort genutzt, wo Vorschriften sie verlangen.

   : Vergrößern

3. 3

   Proxy und VPN sind nicht dasselbe

   In beiden Fällen läuft der Verkehr über einen Vermittler, deshalb werden sie oft verwechselt. Der grundlegende Unterschied liegt in der Ebene, auf der sie arbeiten, und in ihrem Umfang:

   • Ein Proxy arbeitet meist auf Anwendungs- oder Protokollebene. Nur der Verkehr derjenigen Anwendung, die für die Nutzung des Proxys eingerichtet wurde, läuft über ihn. Die Verbindung zum Proxy ist nicht von sich aus verschlüsselt; die Verschlüsselung hängt vom verwendeten Protokoll ab.
   • Ein VPN (virtuelles privates Netz) arbeitet auf Netzwerkebene: Es leitet den Netzwerkverkehr des Geräts durch einen verschlüsselten Tunnel, der zwischen dem Gerät und dem VPN-Server aufgebaut wird. Typisch ist der Einsatz, damit sich Beschäftigte von unterwegs oder von zu Hause sicher mit dem Firmennetz verbinden können.

   Keines von beiden macht „unsichtbar“: Der Verkehr läuft weiterhin über den Betreiber am Ende des Tunnels oder des Proxys.

   : Vergrößern

4. 4

   Wie viel von Ihrem Datenverkehr sieht ein Proxy?

   Ein Proxy-Server steht mitten auf dem Weg; wer ihn betreibt, kann die Verbindungen sehen, die über ihn laufen. Wie viel sichtbar ist, hängt davon ab, ob die Verbindung verschlüsselt ist:

   • http:// (unverschlüsselt): Alles lässt sich mitlesen und verändern, einschließlich der Adresse, des Seiteninhalts und Ihrer Formulareingaben.
   • https:// (verschlüsselt): Der Inhalt bleibt zwischen Browser und Website Ende-zu-Ende verschlüsselt. Der Proxy kann dennoch sehen, mit welcher Domain Sie sich verbinden, wann die Verbindung besteht und wie viele Daten übertragen werden.

   Eine Ausnahme gibt es: Organisationen können auch https-Verkehr untersuchen, indem sie auf den von ihnen verwalteten Geräten ein Prüfzertifikat installieren. Auf Firmengeräten ist das ein bekanntes und legitimes Vorgehen; installieren Sie auf Ihrem privaten Gerät kein Zertifikat unbekannter Herkunft.

   : Vergrößern

Wie funktioniert ein Proxy-Server?

Bei einer Verbindung ohne Proxy verbindet sich Ihr Browser direkt mit der Website, und die Website sieht Ihre IP-Adresse. Mit einem Forward Proxy ist der Ablauf wie folgt:

1. Der Browser schickt die Anfrage nicht an die Zielseite, sondern an den Proxy-Server.
2. Der Proxy prüft seine Regeln: Ist diese Adresse erlaubt, liegt die Antwort bereits im Cache?
3. Ist sie erlaubt, verbindet er sich in eigenem Namen mit der Zielseite und erhält die Antwort.
4. Er gibt die Antwort an den Browser weiter und schreibt sie bei Bedarf in den Cache und ins Protokoll.

Bei verschlüsselten Websites (https) kann der Proxy den Inhalt nicht lesen; der Browser bittet den Proxy, einen Tunnel zum Zielserver zu öffnen, und die verschlüsselten Daten fließen durch diesen Tunnel. Der Proxy weiß nur, wohin der Tunnel führt.

Zwei Arten sind verbreitet: der HTTP-Proxy, der nur Web-Verkehr versteht, und der allgemeiner einsetzbare SOCKS-Proxy, der die Verbindungen unterschiedlicher Protokolle weiterreichen kann. In Firmennetzen trifft man am häufigsten auf den HTTP-Proxy.

Der Reverse Proxy im Überblick

Ein Reverse Proxy übernimmt dieselbe Vermittlerrolle auf der Server-Seite. Wenn Besucher Ihre Domain aufrufen, nimmt der Reverse Proxy die Anfrage an und gibt sie an den dahinterliegenden Anwendungsserver weiter. Dem Betreiber der Website bringt das Folgendes:

• Verwaltung des Zertifikats an einer Stelle (TLS-Terminierung),
• Verteilung der Anfragen auf mehrere Server (Lastverteilung),
• Auslieferung fertiger Antworten aus dem Cache,
• Backend-Server, die nicht direkt aus dem Internet erreichbar sind.

Wenn Sie eine Website oder eine Anwendung veröffentlichen, ist dies die Variante, die Sie eigentlich betrifft. Einzelheiten finden Sie in der Anleitung zum Reverse Proxy. Content Delivery Networks sind dieselbe Idee, über die Welt verteilt; das erklärt die Anleitung zum CDN.

Transparenter Proxy

Bei einem gewöhnlichen Forward Proxy wird dem Client die Adresse des Proxys mitgeteilt: Sie wird in den Einstellungen des Browsers oder des Betriebssystems eingetragen und in Organisationen meist zentral verteilt. Bei einem transparenten Proxy gibt es am Client keinerlei Einstellung. Das Gateway des Netzes leitet den ausgehenden Web-Verkehr von selbst zum Proxy um; der Nutzer bemerkt unter Umständen gar nicht, dass ein Proxy dazwischensteht.

Transparente Proxys werden in Firmennetzen und an manchen Internetzugangspunkten zum Filtern, für das Caching und für die Protokollierung eingesetzt. Sie sind leicht zu verwalten, weil die Geräte nicht einzeln eingerichtet werden müssen. Auch ein transparenter Proxy kann bei https-Verkehr den Inhalt nicht sehen, sondern nur die Domain, zu der die Verbindung aufgebaut wird.

Privatsphäre: Ein Proxy macht Sie nicht unsichtbar

Die Nutzung eines Proxy-Servers macht Vertrauen nicht überflüssig; sie verlagert es nur. Die Zielseite sieht statt Ihrer Adresse die des Proxys, dafür sieht nun derjenige Ihren Verkehr, der den Proxy betreibt.

• Der Betreiber kann den Verkehr sehen und aufzeichnen. Bei unverschlüsselten Verbindungen den Inhalt, bei verschlüsselten zumindest die Domains, mit denen Sie sich verbinden, und die Zeitpunkte.
• Proxys, deren Betreiber unbekannt ist, sind riskant. Bei den Servern auf den im Internet kursierenden Listen „kostenloser Proxys“ können Sie nicht wissen, wer sie zu welchem Zweck betreibt; unverschlüsselte Inhalte können verändert, Sitzungsdaten abgegriffen werden.
• Ein Proxy garantiert nicht, dass Ihre Identität verborgen bleibt. Proxys können der Anfrage Header hinzufügen, die die ursprüngliche Client-Adresse enthalten; außerdem erkennen Websites Sie ohnehin über Cookies und die Konten, bei denen Sie angemeldet sind.
• Nutzen Sie https. Ob mit oder ohne Proxy: Die Adresse jeder Seite, auf der Sie ein Passwort oder personenbezogene Daten eingeben, sollte mit https beginnen. Einzelheiten finden Sie in der Anleitung zu SSL.

Befinden Sie sich in einem Firmennetz, legt die IT-Abteilung Ihrer Organisation die Proxy-Einstellungen fest; ändern Sie diese nicht und wenden Sie sich bei Zugriffsproblemen an die IT-Abteilung.

Was brauchen Sie?

Diese Lösungen ersetzen einander nicht; in derselben Organisation werden sie häufig gemeinsam eingesetzt. Eines der verbreitetsten Werkzeuge auf der Webserver-Seite ist Nginx; was das ist, erfahren Sie in der Anleitung zu Nginx.

Häufige Fragen

Verwandte Anleitungen

• Was ist ein Reverse Proxy?Aufgaben eines Reverse Proxys, typische Architekturen, echte Besucher-IP und Header, Verhältnis zum CDN und ein kurzes Nginx-Beispiel.
• Was ist Nginx und wofür wird es eingesetzt?Die Rollen von Nginx, die ereignisgesteuerte Architektur, der Unterschied zu Apache, Konfigurationsblöcke und Grundbefehle.
• Was ist ein CDN (Content Delivery Network)?Was ein CDN ist, wie es in Betrieb geht und worauf bei echter IP, Cache und Sicherheit des Ursprungsservers zu achten ist.
• Was ist SSL? Wozu dient SSL bei Websites und bei E-Mails?Was https und das Schloss-Symbol auf Websites und die SSL-Einstellung im E-Mail-Programm schützen und worin sie sich unterscheiden.