The RealReal ist der weltweit größte Online-Marktplatz für authentifizierte Luxusartikel aus zweiter Hand mit mehr als 40 Millionen Mitgliedern. Die Website gestaltet das Einstellen, die optimale Preisgestaltung und den Versand für Verkäufer mühelos, während ein strenger Authentifizierungsprozess dafür sorgt, dass Käufer exklusive Modemarken, edlen Schmuck und Kunst mit Vertrauen kaufen können. The RealReal setzt auf die Nachhaltigkeit des Wiederverkaufsmarktes: Stand 2025 schätzt das Unternehmen, dass seine Nutzer durch die Verlängerung der Lebensdauer sorgfältig gefertigter Artikel 90.000 Tonnen CO2-Emissionen und 4,9 Milliarden Liter Wasser eingespart haben.

Sicherheit ohne Hindernisse: Wie RealReal Nutzer schützt, ohne Entwickler auszubremsen

Die Herausforderung

Der Luxusgütermarkt basiert auf Vertrauen: Verbraucher erwarten, dass jedes Glied in der Lieferkette – die Materialien, das Design, die Handwerker, die Verkäufer – von höchster Qualität ist. Egal, ob das Interesse des Käufers dem Markenstatus oder der überragenden Handwerkskunst gilt, Vertrauen ist alles. Als Online-Reseller steht The RealReal vor der zusätzlichen Herausforderung, sicherzustellen, dass das Nutzererlebnis durchgehend einwandfrei und die Nutzerdaten sicher sind. Für eine große E-Commerce-Plattform, die monatlich etwa 31.000 Angriffen ausgesetzt ist, gibt es absolut keinen Raum für Fehler. Bösartige Akteure und störende Bots müssen effektiv blockiert werden, während gleichzeitig ein nahtloser Zugriff für legitime Kunden gewährleistet wird. Entwickler benötigen die Flexibilität, Updates und Änderungen sofort zu deployen, damit die Website agil bleibt. Gleichzeitig müssen diese Schutzmaßnahmen implementiert werden, ohne das Sicherheitsteam zu belasten oder zu überfordern.

Unsere Lösung

The RealReal implementierte das Fastly CDN, die Next-Gen WAF und das Bot-Management, um die für einen namhaften Einzelhändler erforderliche Sicherheit, Auslieferung und Benutzerfreundlichkeit zu bieten. In erster Linie konnte The RealReal die sofortige Blockierung nutzen, ohne befürchten zu müssen, legitime Nutzer auszubremsen. „Wenn ein Kunde einen hochpreisigen Artikel kaufen möchte, wollen wir den Verkauf nicht aufgrund von False Positives verlieren. Wir sind sehr zuversichtlich, dass der Traffic, der heute von Fastly blockiert wird, von böswilligen Nutzern stammt“, berichtet Alex Wang, Staff Security Engineer bei The RealReal. Ebenso wichtig ist, dass das Sicherheitsteam diese Ergebnisse mit einer Lösung erzielt, die einfach zu bedienen ist und seine CI/CD-Pipeline unterstützt.

Intuitives Design sorgt dafür, dass Sicherheitsteams sofort arbeiten können

Sofortige Nutzerfreundlichkeit war von Haus aus ein wichtiges Unterscheidungsmerkmal zwischen der Fastly Next-Gen WAF und anderen WAF-Lösungen. The RealReal erlebte im Jahr 2024 einen vollständigen Wechsel seines Infosec-Teams, was eine schnelle Einarbeitung neuer Entwickler erforderte, ohne die Sicherheitsabläufe zu stören.  Kevin Ponds, Director of Cybersecurity Engineering bei The RealReal, schreibt es Fastly zu, dass das Team auf Kurs bleiben konnte. „Ein komplett neues Team aufzubauen, war eine ziemliche Herausforderung, aber Fastly hat es uns leicht gemacht“, so Ponds. „Die Next-Gen WAF ist eine sehr intuitive Plattform und ein sehr gut konzipiertes Tool“, berichtet Ponds.

Dank der abstimmungsfreien Erkennungsfunktionen der SmartParse-Erkennungsengine der WAF müssen keine RegEx-basierten Regeln geschrieben werden. Das Team nutzte außerdem den Rule Builder von Fastly, um bösartigen Traffic schnell zu blockieren. „Der Rule Builder machte es einem neuen Team ohne Fastly-spezifisches Rebuilding-Know-how leicht, einzusteigen“, so Wang. „Wir konnten direkt loslegen, die WAF einfach nutzen und verstehen, wie alle erforderlichen Konfigurationen oder zusätzlichen Feinabstimmungen vorgenommen werden.“

Transparenz bietet Einblicke für schnelle Antworten

Sowohl Wang als auch Ponds schreiben es der in der Next-Gen WAF integrierten Transparenz zu, dass das Sicherheitsteam von Anfang an einsatzbereit war. Der signalbasierte Ansatz macht es einfach, nicht nur gängige Angriffe und anomale Traffic-Anfragen zu identifizieren, sondern auch benutzerdefinierte Signale für spezifische geschäftliche Anwendungsfälle zu erstellen. „Durch die signalbasierte Klarheit, die Fastly bietet, können wir anhand der Anfragen leicht erkennen, welche Art von Angriff wir vor uns haben, wie zum Beispiel Cross-Site-Scripting oder SQL-Injection“, so Wang.

Darüber hinaus bieten systemgenerierte Dashboards schnelle Transparenz und Einblicke in Dutzende von Sicherheitsfaktoren wie Traffic-Anomalien, Bot-Aktivitäten oder kompromittierte Zugangsdaten. „Diese Transparenz hilft uns zu diagnostizieren, ob es sich tatsächlich um ein Sicherheitsproblem handelt oder nicht“, so Ponds. „Anhand der Dashboards können wir bestätigen, dass wir die richtigen Dinge blockieren und keine der falschen.“

Integrierte Lösungen halten Entwickler und Sicherheit synchron

Die Zusammenarbeit von Entwicklern und dem InfoSec-Team führt manchmal zu einem Tauziehen um Prioritäten. Für The RealReal hat die Nutzung sowohl des CDN als auch der Sicherheitslösungen von Fastly dazu beigetragen, die Teams besser zusammenzubringen, sodass man nicht zwischen Agilität und Sicherheit wählen muss.  Ponds führt aus: „Die Kombination der WAF- und CDN-Komponenten macht Fastly zu einer äußerst guten Wahl für uns.“ Das Sicherheitsteam arbeitet eng mit dem DevOps-Team von The RealReal zusammen und teilt Traffic-Informationen, die sowohl sicherheitsbezogenen als auch betrieblichen Wert haben.

Was am wichtigsten ist: Entwickler können mehrmals täglich aktiv neuen Code in die Produktivumgebung deployen. Wang führt aus: „Wir haben eine reibungslose Beziehung zu unseren Entwicklern. Ich war bereits bei anderen Organisationen, bei denen man nicht schnell deployen kann, ohne ein Wartungsfenster beantragen zu müssen und dann bis 22:00 Uhr wach zu bleiben. Wir müssen das nicht tun, weil wir von den Fähigkeiten von Fastly überzeugt sind, unsere Anwendungen zu schützen.“ The RealReal nutzt zudem native Integrationen, um Transparenz zu gewährleisten. „Viele Sicherheitstools sind wie eine Blackbox für alle, die nicht zum Sicherheitsteam gehören. Mit Fastly nutzen wir GitHub und den Terraform Provider, sodass jeder Entwickler die Konfiguration und die von uns eingerichteten Regeln einsehen kann“, sagte Wang.

Fazit

The RealReal sorgt für die gewohnt hochwertige Plattform der Nutzer, indem Lösungen eingesetzt werden, die Performance und Sicherheit nahtlos miteinander verbinden, ohne das Sicherheitsteam zu überlasten. Die zuverlässigen Blockierungsfunktionen, intuitiven Tools und Echtzeittransparenz der Fastly Next-Gen WAF sorgen dafür, dass Käufer und Verkäufer von Luxusgütern ein vertrauenswürdiges, einwandfreies Erlebnis genießen, das sie immer wieder zurückkehren lässt. Da Fastly sowohl die Auslieferung als auch die Sicherheit unterstützt, können die Engineers und Entwickler von The RealReal Code auf Abruf bereitstellen, schneller innovativ sein und Kunden bei jeder Interaktion aufs Neue begeistern.