Was eine moderne Firewall können muss.

Der Großteil der Webverbindungen läuft heute verschlüsselt über HTTPS. Das ist ein großer Gewinn für Datenschutz und Sicherheit, stellt ältere Firewalls aber vor ein Problem: Sie erkennen zwar, dass Daten übertragen werden, sehen aber nicht mehr zuverlässig, was darin steckt. Schadsoftware nutzt genau diesen geschützten Kanal, um sich unbemerkt einzuschleusen.

Moderne Firewalls, zum Beispiel Geräte der Sophos-XGS-Serie, beherrschen deshalb TLS-Inspection. Dabei werden verschlüsselte Verbindungen kontrolliert geöffnet, der Inhalt geprüft und anschließend wieder verschlüsselt weitergeleitet. Dank eigener Hardware-Beschleunigung geschieht das so, dass das Netzwerk im Alltag nicht spürbar ausgebremst wird. Die UTM-Firewalls von Securepoint, deren Software in Deutschland entwickelt wird, bringen TLS-Interception, Content-Filter und VPN ebenfalls mit und lassen sich zentral über die cloudbasierte Unified Security Console verwalten. UTM steht für Unified Threat Management und bezeichnet Firewalls, die mehrere Schutzfunktionen in einem Gerät bündeln.

• Angriffserkennung (IPS): Ein Intrusion-Prevention-System erkennt Angriffsmuster im Datenstrom und stoppt sie, bevor sie ein internes System erreichen. Das ist besonders wichtig für Dienste, die von außen erreichbar sind.
• Schutz vor unbekannter Schadsoftware: Verdächtige Dateien werden in einer isolierten Umgebung, einer sogenannten Sandbox, geöffnet und analysiert, bevor sie zugestellt werden. So lassen sich auch Bedrohungen erkennen, für die es noch keine bekannte Signatur gibt.
• Content-Filter und App-Kontrolle: Die Firewall regelt, welche Webseiten-Kategorien erlaubt sind und welche Anwendungen ins Netz dürfen. In Schulen dient das vor allem dem Jugendschutz, in Unternehmen dem Schutz vor Schatten-IT und unerwünschten Diensten.
• VPN für Homeoffice und Standorte: Verschlüsselte Zugänge für Mitarbeitende von unterwegs und feste Tunnel zwischen Standorten gehören heute zur Grundausstattung. Sie sollten zentral verwaltet werden, statt für jedes Gerät einzeln improvisiert zu sein.
• Netztrennung (VLAN): Die Firewall setzt die Regeln zwischen den Netzbereichen durch: Gäste gelangen nicht an die Kasse, Schülerinnen und Schüler nicht in die Verwaltung und Produktionsanlagen nicht unkontrolliert ins Büronetz.

Eine Firewall kauft man nicht, weil sie möglichst viele Funktionen hat. Man setzt sie ein, damit im Alltag genau das passiert, was das Regelwerk erlaubt, und alles andere zuverlässig blockiert wird.

Wie real der Druck ist, zeigt der aktuelle Lagebericht des BSI: Rund 280.000 neue Schadprogramm-Varianten werden pro Tag bekannt. Gleichzeitig wurden im aktuellen Berichtszeitraum weltweit durchschnittlich 119 neue Schwachstellen täglich gemeldet, rund 24 Prozent mehr als im vorherigen Berichtszeitraum. Bei den angezeigten Ransomware-Angriffen standen besonders kleine und mittlere Unternehmen im Fokus. Rund 80 Prozent der im Berichtszeitraum angezeigten Angriffe zielten auf KMU.

Für die Firewall bedeutet das zweierlei. Erstens: Signaturen allein reichen bei dieser Menge neuer Varianten nicht mehr aus. Deshalb sind Verhaltensanalyse, Sandboxing und moderne Angriffserkennung keine Spielerei, sondern eine notwendige Antwort auf ein Mengenproblem.

Zweitens: Die Firewall muss selbst gepflegt werden. Auch sie ist Software, und auch sie kann Sicherheitslücken haben. Ein Gerät, dessen Firmware seit Monaten nicht aktualisiert wurde, wird vom Schutzwall schnell zum Einfallstor.

Genau dafür ist eine zentrale Verwaltung wichtig, zum Beispiel über Sophos Central: Geräte, Updates, Sicherheitsmeldungen und Auffälligkeiten werden an einer Stelle überwacht, statt jeden Standort einzeln per Turnschuh-Administration abzufahren.

Für kleine bis mittlere Betriebe liegt eine ordentliche Firewall-Lösung inklusive Einrichtung meist im vierstelligen Bereich. Hinzu kommt eine jährliche Lizenz für die Schutzfunktionen, üblicherweise mit Laufzeiten von einem bis drei Jahren. Das klingt zunächst nach viel, relativiert sich aber schnell, wenn man es gegen einen einzigen Tag Betriebsstillstand rechnet.

Genauso wichtig wie das Gerät selbst ist die laufende Pflege: Updates, regelmäßige Prüfungen des Regelwerks und ein Blick auf Protokolle und Sicherheitsmeldungen. Eine Firewall, deren Regelwerk seit drei Jahren niemand mehr geprüft hat, vermittelt vielleicht ein Sicherheitsgefühl, bietet aber keine verlässliche Sicherheit.

Deshalb gehört bei uns die Firewall-Wartung fest in den Wartungsvertrag. Wir halten Systeme aktuell, prüfen Regeln und erkennen Auffälligkeiten frühzeitig, bevor daraus ein echter Vorfall wird.

Damit aus dem Datenblatt gelebte Sicherheit wird, läuft ein Firewall-Projekt bei uns in vier Schritten:

1. Bestandsaufnahme: Welche Geräte, Dienste und Zugriffe von außen gibt es wirklich? Fast immer finden sich dabei vergessene Freigaben oder alte Regeln, die niemand mehr erklären kann.
2. Regelwerk auf dem Papier: Erst wird entschieden, was erlaubt sein soll, dann wird konfiguriert. Ein Regelwerk, das sich irgendwann aus der Praxis „ergeben“ hat, ist kein belastbares Sicherheitskonzept.
3. Umstellung ohne Stillstand: Die neue Firewall wird vorbereitet und in einem geplanten Wartungsfenster umgestellt, zum Beispiel abends oder am Wochenende. Am nächsten Arbeitstag läuft der Betrieb in der Regel normal weiter.
4. Betrieb im Wartungsvertrag: Firmware-Updates, Regelwerksprüfungen und der Blick auf Protokolle und Sicherheitsmeldungen erfolgen anschließend regelmäßig. Wenn uns etwas auffällt, melden wir uns.

Ein Beispiel aus dem Alltag: Wenn ein Betrieb Homeoffice einführt, ist das mit einem sauberen Fundament oft in kurzer Zeit erledigt: VPN-Profile anlegen, Rechte zuweisen, testen. Ohne Vorbereitung wird daraus schnell ein Wochenende voller Einzelarbeit an jedem Rechner.

Genau diese Ersparnis bei späterem Aufwand sieht man auf keinem Preisschild. Sie ist aber einer der größten Vorteile einer richtig geplanten und sauber betriebenen Firewall.

Nein. Nicht jeder kleine Betrieb braucht TLS-Inspection, Sandboxing und den vollen Funktionsumfang einer großen Firewall-Lösung. Für kleinere Umgebungen gibt es solide Lösungen, die ein vernünftiges Grundschutz-Niveau herstellen, ohne das Budget unnötig zu belasten.

Welche Lösungen dafür infrage kommen und wo ihre Grenzen liegen, beleuchten wir gesondert im Beitrag „Muss es immer die große Firewall sein?“. Entscheidend ist, dass die Firewall zur jeweiligen Umgebung passt: Wer Kassensysteme, Patientendaten oder die IT eines Rathauses schützt, hat andere Anforderungen als ein Büro mit fünf Laptops.

Genau diese Einordnung ist der Kern unserer Beratung: nicht der Katalog, sondern die Frage, welche Lösung zur tatsächlichen Nutzung, zum Risiko und zum Budget passt.

Wenn Sie wissen möchten, was Ihre aktuelle Firewall kann und wo ihre Grenzen liegen, schauen wir sie uns gerne an: mit klarer Empfehlung statt Verkaufsdruck. Erstgespräch vereinbaren.