Was ist eine Firewall? Funktionsweise, Typen und was Unternehmen brauchen
Eine Firewall entscheidet, welcher Netzwerkverkehr passieren darf. Was das technisch bedeutet, worin sich Paketfilter und Next-Generation-Firewalls unterscheiden und warum die beste Hardware nichts nützt, wenn niemand das Regelwerk pflegt.
Das Wichtigste in Kürze
- Eine Firewall trennt Netzbereiche und entscheidet regelbasiert, welche Verbindungen erlaubt sind.
- Der praktische Unterschied liegt weniger im Gerät als in der Frage, wie sorgfältig das Regelwerk gepflegt wird.
- Eine Firewall schützt nicht vor Phishing, gestohlenen Passwörtern oder Schadsoftware auf USB-Sticks.
„Wir haben doch eine Firewall“ ist einer der häufigsten Sätze im ersten Gespräch über IT-Sicherheit. Er stimmt fast immer – und sagt fast nichts aus. Denn zwischen dem Paketfilter im DSL-Router und einer segmentierten Umgebung mit gepflegtem Regelwerk liegen Welten. Dieser Beitrag erklärt, was eine Firewall tatsächlich tut, welche Bauformen es gibt und woran ihre Wirkung in der Praxis meistens scheitert.
Das Grundprinzip: erlauben oder verwerfen
Eine Firewall sitzt zwischen zwei Netzbereichen – typischerweise zwischen Ihrem Unternehmensnetz und dem Internet – und prüft jedes Datenpaket, das die Grenze überqueren will. Für jedes Paket beantwortet sie eine einzige Frage: Passt das zu einer Regel, die es erlaubt?
Entscheidend ist die Grundhaltung. Ein sinnvoll konfiguriertes System arbeitet mit einer Default-Deny-Regel: Alles ist verboten, außer dem, was ausdrücklich erlaubt wurde. Der umgekehrte Ansatz – alles erlauben und einzelne Dinge sperren – lässt sich nicht sauber pflegen, weil man neue Risiken erst kennen muss, um sie zu blockieren.
Eine Regel besteht klassisch aus fünf Angaben: Quelle, Ziel, Protokoll, Port und Aktion. Moderne Systeme ergänzen das um Benutzer, Anwendung und Zeitraum.
Die vier Typen im Überblick
| Typ | Arbeitsweise | Typischer Einsatz |
|---|---|---|
| Paketfilter | Prüft einzelne Pakete anhand von Adresse, Protokoll und Port – ohne Zusammenhang | Einfache Router, interne Zugriffslisten |
| Stateful Inspection | Merkt sich bestehende Verbindungen und lässt nur zugehörige Antwortpakete durch | Heutiger Standard in jedem ernstzunehmenden Gerät |
| Application Layer / Proxy | Versteht das jeweilige Protokoll und bewertet dessen Inhalt | Web- und Mail-Filterung, abgeschottete Bereiche |
| Next-Generation-Firewall | Stateful plus Anwendungserkennung, Benutzerbezug, TLS-Prüfung, Angriffserkennung | Unternehmensperimeter, Standortkopplung |
In der Praxis ist die Unterscheidung weniger scharf, als die Tabelle nahelegt: Aktuelle Systeme beherrschen alle vier Ebenen, es ist eine Frage der Lizenz und der Konfiguration, welche davon aktiv sind.
Was eine Next-Generation-Firewall zusätzlich kann
Der Begriff ist Marketing, die Fähigkeiten dahinter sind es nicht. Drei davon machen im Alltag den Unterschied:
- Anwendungserkennung. Klassische Regeln arbeiten mit Ports. Da praktisch jeder Dienst heute über Port 443 läuft, sagt „443 erlaubt“ nichts mehr aus. Eine NGFW erkennt, ob dahinter ein Videokonferenzdienst, ein Cloud-Speicher oder ein Fernwartungstool steckt.
- Benutzerbezug. Regeln lassen sich an Personen und Gruppen knüpfen statt an IP-Adressen. Das ist die Voraussetzung dafür, dass Berechtigungen dem Menschen folgen und nicht dem Gerät.
- Angriffserkennung (IPS). Bekannte Angriffsmuster werden im Datenstrom erkannt und unterbrochen – nützlich vor allem für Systeme, die sich nicht zeitnah aktualisieren lassen, etwa Produktionsanlagen.
Verschlüsselten Verkehr aufzubrechen, um hineinzusehen, ist technisch möglich und datenschutzrechtlich heikel – erst recht, wenn private Nutzung geduldet ist. Wo sie eingesetzt wird, gehören Betriebsrat oder Mitarbeitervertretung und eine dokumentierte Ausnahmenliste dazu, etwa für Online-Banking und Gesundheitsportale.
Wovor eine Firewall nicht schützt
Eine Firewall kontrolliert Verbindungen. Alles, was nicht über eine kontrollierte Verbindung hereinkommt, sieht sie nicht:
- Eine Phishing-Mail, die eine Mitarbeiterin selbst öffnet und deren Anhang sie freiwillig ausführt.
- Ein gestohlenes Passwort, mit dem sich jemand ganz regulär am VPN anmeldet – deshalb ist ein zweiter Faktor so wirkungsvoll.
- Schadsoftware auf einem USB-Stick oder einem privaten Notebook im Firmennetz.
- Ein Angriff, der von einem bereits übernommenen internen Gerät ausgeht – hier hilft nur Segmentierung.
Die Firewall ist damit eine notwendige, aber keine hinreichende Maßnahme. Sie gehört in eine Kette, nicht an deren Ende.
Die fünf häufigsten Fehler in der Praxis
Fast alles, was wir bei Bestandsaufnahmen finden, lässt sich auf diese fünf Punkte zurückführen:
- Regeln, die nie zurückgebaut wurden. Für ein Projekt geöffnet, nach Projektende vergessen. Nach fünf Jahren weiß niemand mehr, wofür Regel Nummer 34 gedacht war.
- Firmware auf altem Stand. Ausgerechnet das Gerät an der Netzgrenze wird selten aktualisiert, weil ein Neustart auffällt. Genau deshalb sind Firewall-Schwachstellen ein beliebtes Angriffsziel.
- Verwaltungsoberfläche aus dem Internet erreichbar. Bequem für den Dienstleister – und ein Zugang, der dauerhaft unter Beschuss steht.
- Keine Protokollauswertung. Die Firewall protokolliert seit Jahren gewissenhaft, nur liest es niemand. Ohne Auswertung fehlt im Ernstfall die Nachvollziehbarkeit.
- Ein flaches Netz dahinter. Die Firewall trennt außen von innen, aber innen liegen Buchhaltung, Gäste-WLAN und Maschinensteuerung im selben Segment.
Welches Gerät passt?
Die ehrliche Antwort: Für die meisten mittelständischen Umgebungen ist die Auswahl des Herstellers zweitrangig. Wichtiger sind drei Fragen:
- Wer pflegt das System? Ein leistungsfähiges Gerät ohne Betreuung ist schwächer als ein einfaches, das jemand aktuell hält.
- Wie viele Standorte und Fernzugriffe gibt es? Das bestimmt den tatsächlichen Bedarf mehr als die Mitarbeiterzahl.
- Welche Lizenzen laufen mit? Angriffserkennung und Filterdienste sind fast immer Abonnements – ohne sie fällt ein Teil der Funktionen weg.
Wir arbeiten herstellerneutral mit Fortigate, OPNsense, pfSense und OpenWrt und wählen nach Anforderung aus. Was das im Detail heißt, steht unter Netzwerk & Security; die passende Standortanbindung über VPN oder ZTNA gehört dort ebenfalls dazu.
Fazit
Eine Firewall ist kein Produkt, das man kauft und abhakt, sondern ein System, das gepflegt werden muss. Zwei Stunden Regelwerksprüfung im Jahr, ein aktueller Firmware-Stand und eine saubere Trennung der internen Netze bringen mehr Sicherheit als der Wechsel auf ein größeres Modell.
Wenn Sie nicht sagen können, welche Regeln Ihre Firewall heute enthält und warum: Das ist kein ungewöhnlicher Zustand – aber ein guter Anlass, einmal hineinzusehen. Passend dazu auch VPN funktioniert nicht, wo viele Ursachen ebenfalls im Regelwerk liegen.
