Was ist DPI?

Deep Packet Inspection (DPI) ist ein Verfahren zur Klassifizierung des Datenverkehrs, bei dem der Inhalt eines Pakets über den Header hinaus untersucht wird – indem Nutzdatenmuster mit bekannten Anwendungssignaturen abgeglichen werden –, um die Anwendung, das Protokoll oder den Inhaltstyp zu identifizieren, die bzw. der eine Sitzung erzeugt, sodass Netzwerk- und Sicherheitsgeräte Richtlinien entsprechend der tatsächlichen Art des Datenverkehrs anwenden können.

Die wichtigsten Erkenntnisse

• DPI überprüft nicht nur die Header, sondern auch die Paketnutzdaten, um Anwendungen zu identifizieren.
• Es bildet die Grundlage für anwendungsorientierte Firewalls, IPS, CASB und SD-WAN-Steuerung.
• Signatur-, Protokoll- und heuristischer Abgleich sind die wichtigsten DPI-Verfahren.
• VOS nutzt DPI, um mehr als 3.000 Anwendungen automatisch zu erkennen.
• Verschlüsselter Datenverkehr schränkt die DPI-Analyse ein und zwingt Anbieter dazu, SSL/TLS-Entschlüsselung einzusetzen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DPI & Versa · Häufig gestellte Fragen

Warum ist die DPI wichtig?

Bei der reinen Header-Prüfung werden einem Gerät lediglich eine IP-Adresse, ein Port und eine Protokollnummer mitgeteilt – nicht jedoch, worum es sich bei dem Datenverkehr tatsächlich handelt. Über Port 443 werden sowohl Videostreaming als auch Dateisynchronisierung und Geschäftsanwendungen übertragen, und moderne Anwendungen nutzen routinemäßig HTTPS-Tunnel, um grobe Filterung zu umgehen. DPI schließt diese Lücke: Durch das Auslesen der Nutzdaten kann ein Gerät ein Sicherheitsupdate von einem Versuch der Datenexfiltration auf demselben Port unterscheiden, selbst wenn beide auf Schicht 4 identisch aussehen.

Genau diese Transparenz macht anwendungsorientierte Richtlinien erst möglich. Firewalls setzen Regeln pro Anwendung statt pro Port durch. Intrusion-Prevention-Systeme vergleichen den Datenverkehr mit Angriffssignaturen, die in der Nutzlast verborgen sind. Cloud Access Security Broker unterscheiden zwischen genehmigter SaaS-Nutzung und Schatten-IT. SD-WAN-Fabrics leiten den Datenverkehr wertvoller Anwendungen auf den optimalen Pfad um. Ohne DPI verkommen diese Kontrollmechanismen zu bloßen Vermutungen, die allein auf IP-Adressen und Ports basieren.

Was ist DPI?

DPI arbeitet inline und untersucht die Nutzdaten jedes Pakets, anstatt sich auf den Layer-3/4-Header zu beschränken. Die gängigste Technik ist der Signaturabgleich: Die Engine vergleicht Byte-Muster in den Nutzdaten mit einer Bibliothek bekannter Anwendungs- und Protokollsignaturen – ähnlich wie Antivirensoftware Malware-Signaturen abgleicht. Ergänzt wird dies durch eine Analyse der Protokollkonformität, bei der überprüft wird, ob sich der Datenverkehr an einem bestimmten Port tatsächlich so verhält, wie es das angegebene Protokoll vorsieht, wodurch ausweichende oder fehlerhafte Sitzungen erkannt werden.

Die Klassifizierung erfolgt in der Regel schrittweise. Die ersten Pakete einer neuen Sitzung enthalten möglicherweise nur Header-Informationen; sobald Nutzdaten eintreffen, verfeinert die Engine ihre Übereinstimmung und erstellt eine anwendungsspezifische ID pro Datenfluss, wobei diese Zuordnung häufig zwischengespeichert wird, damit spätere Sitzungen zum selben Ziel schneller klassifiziert werden können. Da DPI den Inhalt der Nutzdaten ausliest, erfordern verschlüsselte Sitzungen eine SSL/TLS-Entschlüsselung, bevor aussagekräftige Daten zur Überprüfung vorliegen.

Arten von DPI

DPI-Implementierungen unterscheiden sich darin, wie sie den Datenverkehr klassifizieren. Signaturbasiertes DPI gleicht Byte-Muster der Nutzdaten mit einer gepflegten Bibliothek von Anwendungs- und Protokoll-Fingerabdrücken ab – präzise, aber nur so aktuell wie die Signaturdatenbank. Protokollanomalien-basiertes DPI überprüft, ob der Datenverkehr der Spezifikation des Protokolls entspricht, das er angeblich verwendet, und erkennt so Umgehungsversuche, die beim reinen Signaturabgleich übersehen würden. Heuristische und verhaltensbasierte DPI klassifiziert den Datenverkehr anhand statistischer Merkmale – Paketgröße, Timing und Flussmuster – statt anhand des Nutzdateninhalts, was bei verschlüsseltem Datenverkehr nützlich ist. Entschlüsselnde DPI bricht die SSL/TLS-Verbindung an einem Proxy ab, überprüft den Klartext und verschlüsselt ihn vor der Weiterleitung erneut, wobei Latenz gegen vollständige Transparenz in ansonsten undurchsichtigen Sitzungen eingetauscht wird.

DPI & Versa

Versa Das Betriebssystem (VOS) integriert DPI in den Single-Pass-Layer-7-Stack, anstatt es separat anzufügen. Die Anwendungserkennung von VOS nutzt DPI zusammen mit URL-, Protokoll- und Ziel-IP-Signalen, um automatisch mehr als 3.000 Anwendungen zu erkennen und so im selben Durchlauf die Richtlinien für Next-Generation-Firewall, Secure Web Gateway und Inline-CASB zu steuern. In SD-WAN-Bereitstellungen bestimmt die DPI-basierte Erkennung auch die Datenverkehrssteuerung: Der lokale Internet-Breakout für eine bestimmte Anwendung wird erst wirksam, sobald DPI die Sitzung klassifiziert hat. Aus diesem Grund steuern Produktionsnetzwerke den Datenverkehr zuverlässiger als Laboraufbauten.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DPI und Stateful Packet Inspection?

Die zustandsorientierte Überprüfung erfasst den Verbindungsstatus – Quelle, Ziel, Port und Reihenfolge –, ohne über den Header hinauszuschauen. Bei der DPI wird der Inhalt der Nutzdaten ausgelesen, um die tatsächliche Anwendung oder das Protokoll zu identifizieren. Dies ermöglicht anwendungsbezogene Richtlinien anstelle von portbasierten Richtlinien.

Kann DPI verschlüsselten Datenverkehr überprüfen?

Nicht direkt. Durch die Verschlüsselung wird die Nutzlast verborgen, die DPI abgleichen muss. Um verschlüsselte Sitzungen zu überprüfen, muss ein Gerät den Datenverkehr zunächst an einem SSL/TLS-Proxy entschlüsseln oder auf eine heuristische Klassifizierung zurückgreifen, die sich an der Paketgröße und dem Zeitpunkt statt am Inhalt orientiert.

Gibt es bei DPI Bedenken hinsichtlich des Datenschutzes?

Ja. Da DPI den Inhalt von Datenpaketen auslesen kann, hat seine Nutzung – insbesondere durch Internetdienstanbieter oder Regierungen und nicht durch Unternehmen, die ihr eigenes Netzwerk überprüfen – zu kritischen Fragen hinsichtlich Überwachung und Netzneutralität geführt. Aus diesem Grund beschränken Unternehmen den Einsatz von DPI in der Regel auf den Datenverkehr in Netzwerken, die sich im Besitz der Organisation befinden und von ihr betrieben werden.

Ist DPI dasselbe wie ein Intrusion-Prevention-System?

Nein. DPI ist eine Überprüfungstechnik; ein IPS ist eine Sicherheitsfunktion, die unter anderem DPI nutzt, um den Datenverkehr mit Angriffssignaturen abzugleichen und Übereinstimmungen zu blockieren. DPI liefert zudem Daten an Firewalls, CASB und SD-WAN-Steuerung.

Beeinträchtigt DPI die Netzwerkleistung?

Die Überprüfung von Nutzdaten ist ressourcenintensiver als das Filtern allein anhand von Headern, sodass DPI zu einer erhöhten Latenz führen kann, insbesondere wenn eine SSL/TLS-Entschlüsselung im Datenpfad stattfindet. Speziell entwickelte DPI-Engines und das Anwendungs-Caching pro Datenfluss minimieren dies in der Praxis, sodass die zusätzliche Verzögerung nach der Klassifizierung einer Sitzung kaum noch wahrnehmbar ist.

Mehr zum Thema DPI

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit DPI beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.