Firewall im Unternehmen: Aufgabe und Grenzen

Fast jeder kennt das Wort. Doch was eine Firewall wirklich tut, ist vielen unklar. Kurz gesagt: Eine Firewall kontrolliert den Datenverkehr zwischen zwei Netzen. Sie lässt erlaubte Verbindungen durch und blockt den Rest. Damit trennt sie das interne Netz vom offenen Internet. Deshalb gilt sie seit Jahrzehnten als Grundschutz. Denn ohne diese Kontrolle stünde jedes Gerät offen im Netz.

Dieser Beitrag erklärt die Firewall verständlich. Zunächst geht es um die Funktionsweise. Danach um die wichtigsten Typen. Zudem zeigen wir, was das Thema für ein österreichisches KMU bedeutet. Vor allem aber ordnen wir die Grenzen ein. Denn eine Firewall schützt viel, aber nicht alles. Wer das versteht, trifft bessere Entscheidungen für die eigene IT-Sicherheit.

Was eine Firewall ist und wie sie arbeitet

Eine Firewall ist ein Filter zwischen Netzen. Zunächst prüft sie jedes Datenpaket, das ein- oder ausgeht. Dabei folgt sie festen Regeln. Passt ein Paket zur Regel, darf es passieren. Andernfalls verwirft sie es. Das US-Institut NIST beschreibt das System als Gateway, das den Zugang zwischen Netzen nach einer Sicherheitsrichtlinie begrenzt. Die offizielle Definition finden Sie zudem im NIST-Glossar zum Begriff Firewall.

Ein Bild aus dem Alltag

Stellen Sie sich einen Portier vor. Er steht an der Tür eines Bürohauses. Jeder Besucher nennt zunächst Ziel und Anliegen. Danach gleicht der Portier das mit einer Liste ab. Steht der Besucher darauf, darf er hinein. Andernfalls bleibt die Tür zu. Genau so arbeitet der Filter. Er prüft jedoch keine Menschen, sondern Datenpakete. Zudem ist seine Liste das Regelwerk, das die IT vorgibt.

Der Weg vom einfachen Filter zum smarten Wächter

Die ersten Systeme waren simpel. Sie schauten nämlich nur auf Absender, Ziel und Port. Heute prüfen moderne Geräte viel mehr. Zunächst erkennen sie Anwendungen und verdächtige Muster. Zudem stoppen sie bekannte Angriffe im Datenstrom. Damit wird aus dem Portier ein aufmerksamer Wächter. Dennoch bleibt das Grundprinzip gleich. Die Technik entscheidet anhand von Regeln, was erlaubt ist. Deshalb steht und fällt ihr Nutzen mit der Qualität dieser Regeln.

Wichtig ist jedoch die richtige Einordnung. Eine Firewall ist ein Teil der Informationssicherheit, nicht deren Ersatz. Zunächst schützt sie die Grenze des Netzes. Was innerhalb dieser Grenze passiert, sieht sie hingegen nur bedingt. Genau deshalb braucht es weitere Bausteine. Zunächst aber lohnt der Blick auf die verschiedenen Typen. Denn nicht jedes System kann das Gleiche. Zudem sind die Unterschiede für die Auswahl entscheidend.

Die wichtigsten Firewall-Typen im Überblick

Es gibt nicht die eine Firewall. Vielmehr existieren mehrere Typen mit klaren Unterschieden. Manche prüfen nur oberflächlich. Andere schauen hingegen tief in den Datenverkehr. Zudem laufen die Systeme an verschiedenen Stellen im Netz. Ein kurzer Überblick hilft daher, die Begriffe zu sortieren. Denn wer die Typen kennt, versteht Angebote und Produkte besser.

Von Paketfilter bis Next-Generation-Firewall

Der Paketfilter ist die einfachste Form. Er prüft nämlich nur Absender, Ziel und Port. Eine Stateful-Variante geht hingegen weiter. Sie merkt sich zudem den Zustand einer Verbindung. Damit erkennt sie, ob eine Antwort zu einer gestellten Anfrage passt. Die Next-Generation-Firewall, kurz NGFW, kann noch mehr. Zunächst erkennt sie Anwendungen auf der obersten Netzwerkebene. Zudem bringt sie Angriffserkennung und Inhaltsprüfung mit. Deshalb ist die NGFW heute der Standard für viele Betriebe.

Host, Netzwerk und die Web Application Firewall

Die Systeme unterscheiden sich auch nach ihrem Ort. Eine Host-Variante läuft direkt auf einem Gerät, etwa auf jedem PC. Eine Netzwerk-Variante sitzt hingegen zentral am Übergang zum Internet. Beide ergänzen sich. Denn die eine schützt das ganze Netz, die andere das einzelne Gerät. Ein Sonderfall ist zudem die Web Application Firewall, kurz WAF. Sie schützt Webanwendungen vor Angriffen wie SQL-Injection. Wie eine WAF arbeitet, erklärt darüber hinaus die OWASP-Seite zur Web Application Firewall.

Die Wahl hängt vom Bedarf ab. Ein kleiner Betrieb kommt oft mit einer Stateful- oder Next-Generation-Variante aus. Wer Webanwendungen betreibt, braucht hingegen zusätzlich eine WAF. Zudem profitiert jedes Notebook von einem aktiven Host-Schutz. Welche Kombination passt, klärt schließlich eine kurze Bestandsaufnahme. Genau das leisten wir in einem IT-Security-Audit. Denn ohne Überblick kauft man leicht am Bedarf vorbei. Die Grenzen zwischen den Typen verschwimmen zudem. Vielmehr vereinen moderne Geräte mehrere Funktionen in einem Kasten. Für ein KMU zählt daher weniger das Etikett als der tatsächliche Funktionsumfang.

Was eine Firewall für ein KMU bedeutet

Für ein KMU ist die Firewall der erste sichtbare Schutz. Zunächst steht sie am Rand des Netzes und filtert den Verkehr von außen. Damit wehrt sie einen Großteil der automatischen Angriffe ab. Denn das Internet ist voll von Scannern, die offene Ports suchen. Eine gut eingestellte Konfiguration macht diese Suche zudem wertlos. Zudem trennt sie Gäste-WLAN und internes Netz. Somit erfüllt sie gleich mehrere Aufgaben auf einmal.

Perimeterschutz und Segmentierung

Der klassische Job ist der Perimeterschutz. Zunächst bewacht die Firewall die Außengrenze des Netzes. Doch moderne Betriebe denken weiter. Vielmehr teilen sie das interne Netz in Zonen auf. Buchhaltung, Produktion und Gäste liegen dann getrennt. Der Filter regelt anschließend den Verkehr zwischen diesen Zonen. Somit kann sich ein Schadprogramm nicht frei ausbreiten. Warum das so wirkt, zeigt zudem unser Beitrag zur Netzwerksegmentierung. Die passende sichere Netzwerkarchitektur liefert dafür den Rahmen.

Home-Office als neue Herausforderung

Früher endete das Netz an der Büromauer. Heute arbeiten viele hingegen von zu Hause. Damit verschiebt sich die Grenze. Das zentrale System im Büro schützt den Heimarbeitsplatz nämlich nicht mehr direkt. Deshalb braucht es zusätzliche Bausteine. Ein VPN im Unternehmen holt den entfernten Rechner sicher ins Firmennetz. Zudem gehört auf jedes Notebook ein aktiver Host-Schutz. Somit bleibt die Absicherung erhalten, egal wo der Mitarbeiter sitzt.

Die Kosten eines Vorfalls machen den Nutzen greifbar. Fällt das Netz nach einem Angriff aus, steht der Betrieb still. Zudem kostet jeder Tag ohne Auftragsannahme Umsatz. Dazu kommen Kosten für die Wiederherstellung. Oft summiert sich das schnell auf hohe Beträge. Eine gute Konfiguration senkt dieses Risiko hingegen deutlich. Sie ist damit keine reine Ausgabe, sondern eine Investition. Wie sich Cybersicherheit im KMU rechnet, lesen Sie zudem im Beitrag zur Cybersicherheit für KMU. Zudem verlangen immer mehr Kunden und Versicherer einen Nachweis über den Grundschutz. Eine dokumentierte Firewall gehört daher zum guten Ton.

Die Grenzen einer Firewall kennen

Eine Firewall schützt die Grenze, nicht das ganze Haus. Das ist ihre wichtigste Einschränkung. Zunächst prüft sie den Verkehr an der Außenmauer. Was jemand innerhalb der Mauer tut, sieht sie hingegen kaum. Deshalb ist das Bild vom digitalen Bollwerk falsch. Denn viele Angriffe umgehen das System vollständig. Sie kommen nämlich nicht durch die Tür, sondern werden hereingebeten.

Phishing und der Faktor Mensch

Das beste Beispiel ist Phishing. Zunächst erhält ein Mitarbeiter eine täuschend echte E-Mail. Danach klickt er auf einen Link und gibt seine Zugangsdaten ein. Der Filter sieht dabei nur normalen Web-Verkehr. Somit kann er den Betrug nicht erkennen. Genau deshalb greifen so viele Angriffe hier an. Vielmehr ist der Mensch das Ziel, nicht die Technik. Warum das so ist, zeigt zudem unser Beitrag zum Faktor Mensch in der IT-Sicherheit. Wie Sie das Team schulen, lesen Sie hingegen unter Social Engineering erkennen.

Innentäter und verschlüsselter Verkehr

Auch gegen Innentäter hilft die Technik wenig. Wer bereits im Netz ist, bewegt sich hinter der Mauer. Ein frustrierter Mitarbeiter oder ein gekapertes Konto fällt dem System nämlich nicht auf. Zudem ist heute fast der gesamte Verkehr verschlüsselt. Der Filter sieht dann nur den Umschlag, nicht den Inhalt. Manche Geräte können den Verkehr zwar aufbrechen und prüfen. Doch das ist aufwendig und wirft rechtliche Fragen auf. Deshalb bleibt eine Lücke, die andere Maßnahmen schließen müssen. Die Zugriffsrechte regeln Sie zudem über eine saubere Zugriffskontrolle.

Diese Grenzen sind jedoch kein Argument gegen den Einsatz. Vielmehr zeigen sie, wo weitere Schutzschichten nötig sind. Eine Firewall ohne Backups ist nämlich riskant. Ebenso riskant ist sie ohne geschulte Mitarbeiter. Das deutsche BSI betont daher stets ein Bündel an Maßnahmen. Ebenso stellt die EU-Agentur ENISA dazu Leitfäden bereit. Für den privaten Bereich hilft zudem die Initiative onlinesicherheit.gv.at mit verständlichen Tipps. Die Botschaft ist überall dieselbe. Eine einzelne Technik reicht folglich nicht gegen die heutige Bedrohungslage.

Firewall richtig konfigurieren und pflegen

Eine Firewall ist nur so gut wie ihre Konfiguration. Frisch ausgepackt schützt sie hingegen kaum. Denn Standardregeln passen selten zum eigenen Betrieb. Deshalb beginnt die Arbeit mit dem Einrichten. Zudem endet sie nicht mit der Inbetriebnahme. Denn das System braucht laufende Pflege. Wer es einmal einstellt und dann vergisst, verliert den Schutz schleichend.

Das Prinzip der minimalen Rechte

Die wichtigste Regel lautet: Erlaube nur das Nötige. Alles andere ist verboten. Dieses Prinzip nennt man zudem Whitelisting oder minimale Rechte. Zunächst wirkt das streng. Doch es ist der sicherste Weg. Denn was nicht erlaubt ist, kann nicht schaden. Vielmehr ist jede offene Verbindung ein mögliches Einfallstor. Deshalb prüfen Sie jede Regel kritisch. Brauchen wir diesen Port wirklich? Muss dieser Dienst von außen erreichbar sein? Meist lautet die Antwort nein.

Updates, Protokolle und regelmäßige Prüfung

Das System braucht zudem aktuelle Software. Hersteller schließen nämlich laufend Lücken per Update. Wer diese Updates verschläft, lässt bekannte Fehler offen. Zudem sollten Sie die Protokolle im Blick behalten. Sie zeigen ungewöhnliche Zugriffsversuche frühzeitig. Ebenso gehört das Regelwerk regelmäßig auf den Prüfstand. Denn alte Regeln sammeln sich mit der Zeit an. Manche passen nicht mehr, andere sind hingegen gefährlich. Ein Penetrationstest deckt solche Schwächen auf. Wie Sie Systeme grundsätzlich absichern, zeigt zudem unser Beitrag zur IT-Härtung.

Die Konfiguration gehört in erfahrene Hände. Denn ein falsch gesetztes Häkchen öffnet das Netz oder legt den Betrieb lahm. Gerade in kleinen Firmen fehlt dafür oft die Zeit. Genau hier unterstützen wir. Zunächst prüfen wir die bestehende Firewall und härten die Konfiguration. Zudem testen wir sie aus Sicht eines Angreifers. So sehen Sie schwarz auf weiß, wo Lücken bleiben. Denn ein System, das niemand prüft, gibt eine trügerische Sicherheit. Halten Sie zudem fest, wer Änderungen an den Regeln vornehmen darf. Somit bleibt das Regelwerk nachvollziehbar und sauber.

Die Firewall im Gesamtkonzept einordnen

Die Firewall ist ein Baustein unter vielen. Erst im Zusammenspiel mit anderen Maßnahmen entsteht echter Schutz. Fachleute sprechen zudem von tiefengestaffelter Verteidigung. Das heißt: mehrere Schutzschichten hintereinander. Fällt eine Schicht, fängt die nächste den Angriff ab. Dabei ist der Filter die erste Linie. Doch er steht nie allein.

Vom Einzelschutz zum System

Ein durchdachtes Sicherheitskonzept verbindet Technik, Prozesse und Menschen. Zunächst filtert die Firewall den Verkehr. Danach stoppt ein Virenschutz Schadsoftware auf dem Gerät. Zudem sichern Backups die Daten für den Notfall. Ebenso erkennen geschulte Mitarbeiter Betrugsversuche. Erst zusammen ergibt das ein stimmiges Bild. Wer nur auf ein einzelnes System setzt, hat hingegen Lücken. Genau diese Zusammenhänge ordnet ein ISMS nach ISO 27001 systematisch.

Struktur statt Stückwerk

Viele KMU kaufen Sicherheit in Einzelteilen. Hier ein Filter, dort ein Virenscanner. Oft fehlt jedoch der rote Faden. Ein Managementsystem für Informationssicherheit schafft diesen Faden. Zunächst legt es fest, welche Risiken zählen und welche Maßnahmen greifen. Zudem regelt es, wer wofür verantwortlich ist. Damit wird aus Stückwerk ein System. Die Firewall findet darin schließlich ihren klaren Platz. Somit schützt sie die Netzgrenze, während andere Bausteine den Rest abdecken.

Wie SecTec dabei unterstützt

SecTec begleitet österreichische KMU auf diesem Weg. Zunächst prüfen wir den Ist-Zustand mit einem IT-Security-Audit. Dabei sehen wir, ob das System passt und richtig eingestellt ist. Danach ordnen wir es in ein Gesamtkonzept ein. Zudem arbeiten wir herstellerunabhängig und beraten sachlich. Somit erhalten Sie keine Produktempfehlung, sondern eine Lösung für Ihren Bedarf. Der erste Schritt ist ein Gespräch. Nehmen Sie dazu einfach über unsere Kontaktseite mit uns Kontakt auf. So klären wir gemeinsam, wo Ihre Firewall steht und was sie noch braucht.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was macht eine Firewall genau?

Eine Firewall prüft den Datenverkehr zwischen zwei Netzen. Sie lässt erlaubte Verbindungen durch und blockt den Rest. Damit trennt sie das interne Netz vom Internet. Zudem kann sie interne Zonen voneinander abschirmen. So verhindert sie, dass sich ein Angriff frei ausbreitet.

Reicht eine Firewall als Schutz aus?

Nein. Eine Firewall schützt die Netzgrenze, aber nicht alles dahinter. Gegen Phishing oder Innentäter hilft sie kaum. Deshalb braucht es weitere Schichten wie Virenschutz, Backups und geschulte Mitarbeiter. Erst das Zusammenspiel ergibt echten Schutz.

Welche Firewall braucht ein kleines Unternehmen?

Für die meisten KMU passt eine Stateful- oder Next-Generation-Firewall am Netzübergang. Wer Webanwendungen betreibt, ergänzt eine Web Application Firewall. Zusätzlich gehört auf jedes Notebook eine aktive Host-Firewall. Die richtige Kombination klärt eine kurze Bestandsaufnahme.

Was ist eine Next-Generation-Firewall?

Eine Next-Generation-Firewall erkennt nicht nur Ports, sondern auch Anwendungen. Zudem bringt sie Angriffserkennung und Inhaltsprüfung mit. Damit stoppt sie mehr als ein klassischer Paketfilter. Für viele Betriebe ist sie heute der Standard am Netzübergang.

Schützt eine Firewall vor Phishing?

Kaum. Bei Phishing klickt ein Mitarbeiter selbst auf einen Link. Die Firewall sieht dabei nur normalen Web-Verkehr. Deshalb setzen Angreifer gezielt beim Menschen an. Gegen Phishing helfen Schulungen und eine wachsame Belegschaft mehr als jede Technik.

Wie oft muss man eine Firewall prüfen?

Eine Firewall braucht laufende Pflege. Updates gehören zeitnah eingespielt. Das Regelwerk sollten Sie mindestens einmal im Jahr prüfen. Zudem empfiehlt sich ein regelmäßiger Test aus Angreifersicht. So erkennen Sie Lücken, bevor sie jemand ausnutzt.

Was kostet der Ausfall durch einen Angriff?

Das hängt vom Betrieb ab, ist aber oft hoch. Steht das Netz still, fällt Umsatz aus. Dazu kommen Kosten für Wiederherstellung und Beratung. Meist übersteigt der Schaden die Ausgaben für eine gute Firewall deutlich. Vorsorge ist daher fast immer günstiger.

Fazit: Die Firewall ist ein Baustein, kein Bollwerk

Eine Firewall gehört in jedes Unternehmen. Sie kontrolliert die Netzgrenze und wehrt viele automatische Angriffe ab. Zudem trennt sie interne Zonen und schützt vor der Ausbreitung von Schadsoftware. Damit ist sie ein wichtiger Grundschutz. Doch sie ist eben nur ein Baustein. Gegen Phishing, Innentäter oder verschlüsselte Angriffe hilft sie kaum.

Deshalb zählt das Gesamtbild. Eine gut eingestellte Firewall, ein aktueller Virenschutz, saubere Backups und geschulte Mitarbeiter ergeben zusammen ein stimmiges Konzept. SecTec hilft österreichischen KMU, die Firewall richtig einzuordnen und zu härten. Der erste Schritt ist ein Blick auf den Ist-Zustand. Denn wer seine Grenzen kennt, schließt sie gezielt.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren