Muss es immer die große Firewall sein?

Die Securepoint Black Dwarf UTM-Firewall wird einmalig angeschafft und liegt je nach Modell im mittleren dreistelligen Bereich. Sicherheits-Updates, Schutzfunktionen und Support laufen über eine laufende Lizenz (Subskription). Dafür bekommt man eine kompakte Sicherheitsplattform “Made in Germany”, die den grundlegenden Schutz zuverlässig abdeckt:

• Zonenbasierte Firewall und VLANs: Gäste-WLAN, Kasse und Büro lassen sich über physische Schnittstellen und logische Netzwerke strikt trennen und über zielgerichtete Firewall-Regeln absichern, das Kernstück jeder datenschutzkonformen Netzstruktur.
• UTM-Schutz je nach Modell und Lizenz: Basis ist ein sauberer Paketfilter. Je nach Modell kommen über die Lizenz Content-Filter (Webfilter), Virenscan im Datenstrom und ein Intrusion Prevention System (IPS) hinzu, die bekannte Angriffe blockieren, bevor sie das Netzwerk erreichen.
• Sicheres VPN für Homeoffice und Standorte: Hochsichere VPN-Einwahlen über OpenVPN oder IPsec (inklusive kostenloser Securepoint Client-Software) mit nativer Unterstützung für Zwei-Faktor-Authentifizierung (2FA) sichern den mobilen Zugriff.
• Zentrale Cloud-Verwaltung: Über das Securepoint-Sicherheits-Dashboard behalten Administratoren den Status der Firewall im Blick. Durch das Ökosystem lassen sich zudem Antiviren-Software und E-Mail-Archivierung nahtlos anbinden.

Für eine Kanzlei mit acht Arbeitsplätzen, ein Gasthaus mit Kasse und Gäste-WLAN oder ein kleines Büro ist das ein verlässliches Grundschutz-Niveau, professionell eingerichtet wohlgemerkt: Auch das beste Gerät schützt nur so gut wie sein Regelwerk.

Ein Wort zur Einordnung des Herstellers: Securepoint ist ein deutscher IT-Sicherheitshersteller mit Sitz in Lüneburg. Das Unternehmen hat sich im inhabergeführten Mittelstand, bei Ärzten und Kanzleien einen Namen gemacht, da die Produkte nach Herstellerangabe ohne verdeckte Zugänge (Backdoors) entwickelt werden und auf DSGVO-konformen Betrieb ausgelegt sind. Der Fokus liegt auf konsequenter IT-Sicherheit nach deutschen Qualitätsstandards bei gleichzeitig einfacher, mittelstandsgerechter Bedienung.

Es gibt Anforderungen, bei denen die kleine Klasse an ihre Grenzen kommt, und genau hier beginnt das Revier der Enterprise-Firewalls wie der Sophos-XGS-Serie:

• TLS-Inspection: Verschlüsselten Datenverkehr im großen Stil aufbrechen und prüfen können die kleinen Geräte praktisch nicht. Der Großteil der Schadsoftware reist aber genau dort.
• Sandbox und Zero-Day-Analyse: Unbekannte Dateien in einer isolierten Umgebung testen, bevor sie ein System erreichen, bleibt den großen Enterprise-Plattformen vorbehalten.
• Zentrale Sicherheits-Verwaltung mit Support: Feste Update-Zyklen, Hersteller-Support mit Reaktionszeiten und die Verzahnung mit dem Endgeräteschutz. Bei Sophos tauschen sich Firewall und Virenschutz aus und isolieren befallene Rechner automatisch.
• Volle Bedrohungsabwehr (DPI / IPS) in hoher Bandbreite: Durch die dedizierte Xstream-Architektur mit speziellen Krypto-Prozessoren werden Datenströme, inklusive SSL/TLS-Entschlüsselung, Deep Packet Inspection (DPI) und Zero-Day-Angriffsdatenbanken, in Echtzeit gescannt und blockiert, und das bei sehr hohem Durchsatz.
• Compliance-Anforderungen: Wer Patientendaten, Fachverfahren einer Verwaltung oder kritische Anlagen betreibt, bewegt sich in Pflichtenkatalogen, für die ein anderes Gerät schlicht nicht gedacht ist.

Die Frage ist hier nicht unbedingt, was die Firewall kostet. Sondern was der Tag kostet, an dem sie nicht reicht.

Sophos legt außerdem regelmäßig Aktionen mit attraktiven Konditionen auf, die wir im Blick behalten.

Aus unserer Beratungspraxis lässt sich die Wahl fast immer über drei Fragen treffen:

(Und eine Vorfrage, die oft vergessen wird: Ist das, was heute als “Firewall” läuft, überhaupt eine? Der Provider-Router mit Standardkonfig zählt nicht. Wer den betreibt, verbessert sich mit JEDER der beiden o. g. Klassen deutlich.)

1. Was ist von außen erreichbar? Nichts außer dem Router: kleine Klasse denkbar. Eigene Server, Fernzugänge für Dritte, Kopplungen zu Partnern: ab der Enterprise-Klasse.
2. Welche Daten liegen im Netz? Übliche Bürodaten: Grundschutz reicht oft. Gesundheits-, Sozial- oder Verwaltungsdaten, laufende Produktion: Enterprise-Klasse plus Wartungsvertrag.
3. Wer pflegt das Gerät? Eine Firewall ohne Pflege verfällt, egal welcher Preisklasse. Wenn niemand Updates und Regelwerk betreut, ist der Wartungsvertrag wichtiger als die Hardware-Frage.

Ausführlich haben wir die Fähigkeiten der großen Klasse im Beitrag Was eine moderne Firewall können muss beschrieben; die Bedrohungslage dahinter, vom Fließband-Phishing bis zur gezielten Erpressung, liefert der Blick auf Ransomware.

Weil Preisschilder nur die halbe Wahrheit sagen, hier die typische Gegenüberstellung über eine realistische Laufzeit von fünf Jahren:

• Kleine Klasse: Gerät einmalig im mittleren dreistelligen Bereich, Schutzfunktionen über eine laufende Lizenz, dazu die Einrichtung mit sauberem Regelwerk. Laufende Kosten entstehen vor allem durch die Pflege: Updates einspielen, Regeln aktuell halten, gelegentlich prüfen.
• Enterprise-Klasse: Hardware einmalig im vierstelligen Bereich plus laufende Schutzlizenz. Dafür arbeiten TLS-Inspection, Sandbox und Herstellersupport mit, und die Sicherheitsfunktionen wachsen per Lizenz-Update mit der Bedrohungslage.

Über fünf Jahre liegt zwischen beiden Welten typischerweise ein Faktor drei bis fünf.

Zur groben Orientierung: In der kleinen Klasse reden wir über eine Gesamtinvestition im niedrigen vierstelligen Bereich inklusive Einrichtung, in der Enterprise-Klasse je nach Umgebung über das Drei- bis Fünffache, verteilt auf Anschaffung und jährliche Lizenzen. Das klingt nach viel, relativiert sich aber an zwei Stellen: Erstens skaliert der Schaden nicht mit der Firmengröße nach unten, ein verschlüsselter Betrieb mit acht Arbeitsplätzen steht genauso still wie einer mit achtzig. Zweitens stecken die wahren Kostenunterschiede selten im Gerät, sondern im Betrieb: Eine ungepflegte Enterprise-Firewall ist tendenziell unsicherer als eine gewartete kleine. Deshalb gilt bei uns für beide Klassen dasselbe Prinzip: Einrichtung mit dokumentiertem Regelwerk und Pflege im Wartungsvertrag, nur der Unterbau unterscheidet sich.

Wir sind Partner von Sophos und Securepoint, und trotzdem, oder gerade deshalb, gehört zur ehrlichen Beratung auch der Satz: Für diese Umgebung reicht das kostengünstigere Gerät. Wer heute passend startet, kann später wachsen, die Netzstruktur (VLANs, Zonen, Verkabelung) bleibt dieselbe, nur die Zentrale wird getauscht. Was nicht funktioniert, ist der umgekehrte Weg: jahrelang mit einem überforderten Gerät fahren und hoffen, dass es gut geht.

Im Rahmen unserer Leistung Netzwerk & Firewall schauen wir uns Ihre Umgebung an und sagen Ihnen, welche Klasse passt, mit Begründung statt Katalogseiten. Erstgespräch anfragen.