Traefik Ingress Sicherheit: Schutz vor IngressNightmare

Stand: 15.10.2026

Traefik Ingress Sicherheit bedeutet, den Kubernetes-Einstiegspunkt bewusst klein zu halten: aktuelle Software, minimale Rechte, TLS und klar begrenzte Routen. CVE-2025-1974 betraf den Validating Admission Controller von ingress-nginx, nicht Traefik. Ein Wechsel allein macht ein Cluster jedoch nicht sicher – entscheidend ist die Konfiguration.

Traefik Ingress Sicherheit auf einen Blick

• CVE-2025-1974 erlaubte unter bestimmten Bedingungen Code-Ausführung im ingress-nginx-Controller und hatte CVSS 9.8.
• Traefik verwendet eine andere Implementierung; daraus folgt keine automatische Sicherheit für jede Traefik-Installation.
• Beschränke Schreibrechte auf Routing-Objekte, aktiviere TLS und halte Controller sowie Plugins aktuell.
• Ingress NGINX erhält nach März 2026 keine weiteren Releases oder Sicherheitsupdates mehr.

Was war IngressNightmare beziehungsweise CVE-2025-1974?

Die Sicherheitsmeldung vom 24. März 2025 betraf den Validating Admission Controller von ingress-nginx. Laut Kubernetes konnte ein nicht authentifizierter Angreifer mit Zugriff auf das Pod-Netzwerk unter bestimmten Bedingungen beliebigen Code im Kontext des Controllers ausführen. Dadurch konnten auch Secrets offengelegt werden, auf die der Controller Zugriff hatte.

Die Kennung CVE-2025-1974 erhielt den CVSS-Wert 9.8 („Critical“). Betroffen waren ingress-nginx 1.11.4 und älter sowie 1.12.0. Die Projektmeldung nennt 1.11.5, 1.12.1 oder spätere Versionen als Korrektur. Als kurzfristige Minderung konnte der Validating Admission Controller deaktiviert werden; ein Update war dennoch der richtige Weg.

Wichtig ist die Einordnung: Es ging nicht allgemein um jedes Kubernetes-Ingress-Objekt und auch nicht um beliebige NGINX-Server. Es ging um eine konkrete Komponente von ingress-nginx. Übertreibungen wie „jede Annotation führt zur Reverse Shell“ helfen bei der Risikoanalyse nicht weiter.

Warum war Traefik nicht von dieser CVE betroffen?

Traefik und ingress-nginx sind unterschiedliche Controller. Die genannte Schwachstelle lag im Admission Controller von ingress-nginx. Deshalb war Traefik nicht von CVE-2025-1974 betroffen. Traefik kann Kubernetes-Routen über den Kubernetes-Ingress-Provider und über eigene CRDs wie IngressRoute und Middleware verarbeiten.

Strukturierte Ressourcen sind dabei ein Vorteil: Regeln, Services und Middlewares werden als Kubernetes-Objekte verwaltet. Trotzdem entscheidet RBAC, wer diese Objekte erstellen oder ändern darf. Wer eine Route oder eine Authentifizierungs-Middleware schreiben kann, hat Einfluss auf den eingehenden Datenverkehr. Traefik Ingress Sicherheit beginnt daher bei Berechtigungen und nicht beim Produktnamen.

Traefik und ingress-nginx im Sicherheitsvergleich

Die Tabelle ist keine pauschale Produktempfehlung. Beide Lösungen brauchen ein gepflegtes Cluster, sichere Images und einen kontrollierten Bereitstellungsprozess. Wenn du noch ingress-nginx einsetzt, sollte die fehlende weitere Wartung nach März 2026 jedoch in die Migrationsplanung einfließen.

Wie richtest du Traefik sicher ein?

1. Controller und Chart aktuell halten: Prüfe Release Notes und Sicherheitsmeldungen vor jedem Upgrade. Pinne Image-Tags statt latest und teste Änderungen zuerst in einer Staging-Umgebung.
2. RBAC aufteilen: Gib nur vertrauenswürdigen Deployments Rechte für IngressRoute, Middleware, Secrets und den Traefik-Namespace. Eine Anwendung benötigt selten Cluster-Admin-Rechte.
3. Namespace-Grenzen schützen: Traefiks CRD-Provider erlaubt standardmäßig keine namespaceübergreifenden Referenzen. Behalte diese Vorgabe bei, sofern es keinen dokumentierten Bedarf gibt.
4. TLS erzwingen: Leite HTTP auf HTTPS um, verwalte Zertifikate automatisiert und setze für sensible Dienste eindeutige Hosts. Das Dashboard gehört nicht ungeschützt ins Internet.
5. Middlewares gezielt einsetzen: Rate Limits, Forward Auth und Security Header können Schutzschichten ergänzen. Teste dabei, ob Login-Flows, Webhooks und echte Client-IP-Adressen weiterhin korrekt funktionieren.
6. Plugins wie Code behandeln: Prüfe Herkunft, Wartung und Berechtigungen eines Plugins vor dem Einsatz. Ein Plugin erweitert die Angriffsfläche des Proxys.

Für kleine Installationen lässt sich die Angriffsfläche zusätzlich über Provider-Optionen senken. Die folgenden Einstellungen sind ein Beispiel, kein universelles Rezept:

providers:
  kubernetesCRD:
    allowCrossNamespace: false
    allowExternalNameServices: false
    disableClusterScopeResources: true

allowCrossNamespace und allowExternalNameServices stehen in der Traefik-Dokumentation standardmäßig auf false. disableClusterScopeResources: true kann benötigte Cluster-Rechte reduzieren, schränkt aber Funktionen wie IngressClass-Referenzen und NodePortLB ein. Prüfe deshalb vor der Aktivierung, welche Funktionen dein Setup tatsächlich nutzt.

Welche Kubernetes-Schutzmaßnahmen gehören zusätzlich dazu?

Ein Ingress-Controller ist nur eine Grenze. Isoliere Workloads mit NetworkPolicies, vermeide unnötige Service-Account-Rechte und halte Secrets aus Images sowie Git-Repositories heraus. Außerdem sollten Logs und Metriken auffällige Fehler, ungewöhnliche Routen und fehlgeschlagene Authentifizierungen sichtbar machen.

Wenn du deine Grundlagen auffrischen möchtest, hilft der Vergleich Kubernetes vs. Docker Swarm. Für die praktische Absicherung von Containern lies auch Docker Security Tipps. Eine bestehende Traefik-2-Installation bringst du mit der Anleitung zur Traefik-v3-Migration schrittweise auf den aktuellen Hauptversionsstand.

Wann ist eine Migration von ingress-nginx sinnvoll?

Wenn ingress-nginx noch produktiv läuft, inventarisiere zuerst Hosts, TLS-Secrets, Ingress-Klassen, Annotationen und Sonderfälle wie TCP/UDP-Dienste. Danach überträgst du einen wenig kritischen Dienst, prüfst Zertifikate, Redirects, Authentifizierung und Monitoring und migrierst erst dann weitere Routen. So bleibt der Rückweg klar.

Wie prüfst du die Konfiguration vor dem Go-live?

Lege für jeden extern erreichbaren Dienst einen kurzen Abnahmetest fest. Rufe die gewünschte HTTPS-URL auf, kontrolliere die Weiterleitung von HTTP und prüfe, ob ein unbekannter Host nicht versehentlich bei einer Anwendung landet. Prüfe außerdem, ob Zertifikatskette, Ablaufdatum und Name des Zertifikats passen.

Danach testest du die Schutzfunktionen mit realistischen Anfragen: Eine nicht angemeldete Anfrage muss an der vorgesehenen Stelle enden, ein erlaubter Nutzer muss weiterhin Zugriff erhalten und ein Rate Limit darf keine legitimen Integrationen blockieren. Kontrolliere dabei die Traefik-Logs und die Metriken des Controllers. So erkennst du Fehler, bevor sie im Betrieb zu Ausfällen führen.

Auch Änderungen gehören in diesen Test: Neue Middlewares, CRDs, Zertifikate und Plugins sollten per Git oder einem anderen nachvollziehbaren Deployment-Prozess ausgerollt werden. Ein Vier-Augen-Review für Änderungen am Einstiegspunkt reduziert Fehlkonfigurationen deutlich. Sichere außerdem die Konfiguration und die Zertifikatsabläufe, damit eine Wiederherstellung nicht vom Wissen einer einzelnen Person abhängt.

Für Traefik musst du nicht zwingend sofort alle Ingresses in CRDs umschreiben. Der Kubernetes-Ingress-Provider kann ein sanfter Einstieg sein. Wo du komplexere Regeln brauchst, sind IngressRoute und Middleware oft nachvollziehbarer. Dokumentiere dabei jedes Privileg und jede Ausnahme – das macht Traefik Ingress Sicherheit langfristig überprüfbar.

Fazit

CVE-2025-1974 war ein kritischer Fehler in ingress-nginx, nicht in Traefik. Daraus folgt: Betroffene ingress-nginx-Installationen mussten gepatcht werden und benötigen nach dem Wartungsende eine belastbare Zukunftsplanung. Traefik ist eine sinnvolle Option, wenn du ihn mit minimalen Rechten, aktuellen Updates, TLS und kontrollierten CRDs betreibst. Traefik Ingress Sicherheit ist ein fortlaufender Betriebsprozess, keine einmalige Migration.

Quellen

• Kubernetes: Ingress-nginx CVE-2025-1974
• Kubernetes Security Response: CVE-2025-1974
• ingress-nginx: Retirement-Hinweis
• Traefik: Kubernetes-CRD-Provider-Konfiguration

Häufige Fragen