Firewall: Netzwerkabsicherung von Paketfilter bis Next Generation

Die Firewall ist in fast jedem Unternehmensnetz vorhanden, wird aber selten so betrieben, wie es der Schutzbedarf erfordert. Sie entscheidet, welche Verbindungen zwischen Netzsegmenten, Standorten und dem Internet zustande kommen dürfen. Wie wirksam dieser Schutz ist, hängt weniger vom Gerät ab als von der Pflege des Regelwerks.

Was eine Firewall tatsächlich leistet

Eine Firewall ist ein Kontrollpunkt an der Grenze zwischen Netzbereichen. Sie prüft Verbindungen anhand eines Regelwerks und lässt sie zu oder verwirft sie. Klassische Paketfilter betrachten dabei nur Quell- und Zieladresse, Protokoll und Port. Stateful-Inspection-Firewalls führen zusätzlich eine Verbindungstabelle und erkennen, ob ein eingehendes Paket zu einer zuvor von innen aufgebauten Sitzung gehört. Das ist die Grundlage dafür, dass ausgehende Verbindungen funktionieren, ohne dass eingehend pauschal geöffnet werden muss.

Moderne Geräte, meist als Next Generation Firewall bezeichnet, gehen darüber hinaus: Sie erkennen Anwendungen unabhängig vom verwendeten Port, binden Benutzerkonten aus dem Verzeichnisdienst ein, prüfen Datenverkehr auf bekannte Angriffsmuster und können verschlüsselte Verbindungen aufbrechen, um deren Inhalt zu untersuchen. Damit verschiebt sich die Regellogik von reinen Adressen und Ports hin zu Aussagen wie "diese Benutzergruppe darf diese Anwendung nutzen".

Typische Bauformen und Funktionen

Welche Funktionen Sie tatsächlich benötigen, hängt von Netzgröße, Standortstruktur und Schutzbedarf ab. Verbreitet sind:

• Paketfilter mit Zustandsverfolgung als Basisschutz am Internetübergang
• Anwendungserkennung, um etwa Cloud-Speicherdienste oder Fernwartungswerkzeuge gezielt zu erlauben oder zu sperren
• Intrusion Prevention zur Erkennung bekannter Angriffsmuster im durchlaufenden Verkehr
• TLS-Inspektion, bei der verschlüsselte Verbindungen zur Prüfung aufgebrochen und neu verschlüsselt werden
• VPN-Terminierung für Standortkopplungen und mobile Arbeitsplätze
• Web- und DNS-Filterung anhand von Kategorien und Reputationsdaten

Ergänzend arbeiten Host-Firewalls direkt auf Servern und Arbeitsplatzrechnern. Sie sind kein Ersatz für die Netzwerk-Firewall, begrenzen aber die seitliche Ausbreitung im Netz, wenn ein einzelnes System kompromittiert wurde.

Warum das Thema für mittelständische Unternehmen relevant ist

In Unternehmen mit 10 bis 250 Mitarbeitern ist die Firewall häufig das einzige zentrale Sicherheitssystem im Netz. Sie terminiert die VPN-Zugänge des Außendienstes, koppelt Filialen und schützt Server, die weiterhin lokal betrieben werden. Fällt sie aus oder ist sie falsch konfiguriert, betrifft das den gesamten Betrieb. Gleichzeitig ist sie das System, das von außen dauerhaft sichtbar und damit direkt angreifbar ist. Schwachstellen in VPN-Komponenten von Firewalls gehören seit Jahren zu den regelmäßig ausgenutzten Einstiegswegen in Unternehmensnetze.

Hinzu kommt die organisatorische Seite: Wer eine Zertifizierung anstrebt oder Anforderungen von Kunden und Versicherern erfüllen muss, wird nach Netzsegmentierung, Protokollierung und dokumentierten Änderungen gefragt. Beides läuft in der Praxis über die Firewall.

Worauf es im Betrieb ankommt

Die Beschaffung ist der kleinere Teil der Aufgabe. Entscheidend ist der laufende Betrieb:

• Regelwerk minimal halten: Nur explizit benötigte Verbindungen zulassen, alles andere verwerfen. Jede Regel braucht einen Zweck, einen Verantwortlichen und ein Datum.
• Netz segmentieren: Server, Arbeitsplätze, Gästenetz, Produktions- und Gebäudetechnik gehören in getrennte Zonen mit kontrolliertem Übergang.
• Firmware aktuell halten: Sicherheitsupdates für Firewalls sind zeitkritisch, insbesondere bei aus dem Internet erreichbaren VPN-Portalen.
• Protokolle auswerten: Logdaten nützen nur, wenn sie zentral gesammelt, aufbewahrt und regelmäßig angesehen werden.
• Ausfall einplanen: Redundanz, getestete Konfigurationssicherung und ein bekannter Wiederanlaufweg gehören zum Konzept.

Grenzen und typische Fehler

Eine Firewall schützt nicht gegen Angriffe, die über zugelassene Wege laufen. Eine Phishing-Mail, ein manipuliertes Dokument oder gestohlene Zugangsdaten passieren den Perimeter auf regulären, erlaubten Verbindungen. Auch die Verlagerung von Anwendungen in Cloud-Dienste verringert die Aussagekraft des klassischen Netzübergangs, weil ein großer Teil des Verkehrs ohnehin ins Internet geht.

Häufige Fehler in der Praxis sind über Jahre gewachsene Regelwerke mit hunderten Einträgen, deren Zweck niemand mehr kennt; weit gefasste Freigaben, die zur schnellen Problemlösung angelegt und nie zurückgenommen wurden; ungenutzte Zusatzfunktionen, die zwar lizenziert, aber nie aktiviert wurden; sowie Fernwartungszugänge ohne zweiten Faktor. Ebenfalls verbreitet ist eine flache Netzstruktur, in der die Firewall zwar außen filtert, sich ein Angreifer intern aber frei bewegen kann.

• Eine Firewall ist ein Regelwerk im Betrieb, kein einmal beschafftes Gerät.
• Stateful Inspection ist Grundlage, Anwendungs- und Benutzerbezug machen Regeln nachvollziehbar.
• Segmentierung begrenzt die seitliche Ausbreitung nach einem erfolgreichen Angriff.
• Firmwarestand und abgesicherte VPN-Zugänge sind die kritischsten Betriebsthemen.
• Phishing, gestohlene Zugangsdaten und Cloud-Nutzung umgehen den Perimeterschutz strukturell.