Zwischen Ihrem Firmennetz und dem Internet liegt eine Grenze, und an dieser Grenze entscheidet ein Gerät, welcher Verkehr durchgelassen wird und welcher nicht. Das BSI beschreibt den Einsatzort einer Firewall genau so: Sie wird „am Übergang zwischen unterschiedlich vertrauenswürdigen Netzen eingesetzt“. Was dort geregelt ist, muss später nicht aufgeräumt werden.
In vielen mittelständischen Netzen erledigt diese Aufgabe der Router, den der Internetanbieter mitgeliefert hat. Der kann das grundsätzlich – aber er kennt Ihre Abläufe nicht, er unterscheidet keine Zonen, er meldet nichts, und niemand sieht nach, ob seine Regeln noch zur heutigen Lage passen. Genau das ist der Unterschied zwischen einem Gerät und einer betreuten Lösung.
Welcher Hersteller dort steht, ist eine Folgefrage. Wir sind Partner von Securepoint und setzen dessen Geräte ein, wenn wir neu planen. Firewalls von Sophos, Fortinet und WatchGuard betreuen wir herstellerunabhängig, ohne Partnerstatus: Läuft ein solches Gerät gut und erhält es noch Unterstützung vom Hersteller, bleibt es. Gewechselt wird nur, wenn sich ein Grund benennen lässt.
Die Hersteller, die wir betreuen
Jede Herstellerseite beschreibt, was wir an diesen Geräten übernehmen, welche Herstellerwerte für die Auswahl zählen und wo die Grenzen der Geräte liegen. Eine Rangliste der Hersteller gibt es nicht: Die Datenblätter messen unterschiedlich und sind nicht vergleichbar.
- SecurepointPartner. Elf Baugrößen von 10 bis 2.000 Nutzern, jede mit eigener Seite, dazu der Konfigurator für eine erste Empfehlung.Ansehen →
- Sophos Firewall (XGS)Betreuung vorhandener und neuer XGS-Geräte. Warum der Wert für die TLS-Prüfung meist den Ausschlag gibt.Ansehen →
- Fortinet FortiGateBetreuung vorhandener und neuer FortiGates. Welche Zahl im Datenblatt zählt und was beim Fernzugriff zu klären ist.Ansehen →
- WatchGuard FireboxBetreuung von Firebox-Geräten in Zentrale und Filialen. Tunnelzahl, HTTPS-Prüfung und der Richtwert des Herstellers.Ansehen →
Firewall-Konfiguratoren
Arbeitsplätze, Standorte, Anschluss und Funktionen angeben, das passende Modell mit Begründung erhalten: im Firewall Konfigurator für alle vier Hersteller zugleich oder im Konfigurator eines Herstellers. Gerechnet wird mit den Werten des jeweiligen Herstellers und mit Reserve; danach können Sie den Preis anfordern oder sich beraten lassen.
- Firewall KonfiguratorEine Eingabe, je Hersteller das passende Modell – Securepoint, Sophos, Fortinet und WatchGuard nebeneinander.Ansehen →
- Securepoint Firewall KonfiguratorElf Securepoint-Modelle von 10 bis 2.000 Nutzern, mit Lizenzlaufzeit.Ansehen →
- Sophos Firewall KonfiguratorAcht XGS-Modelle, bemessen nach Threat Protection und TLS Inspection.Ansehen →
- Fortinet Firewall KonfiguratorFünf FortiGate-Modelle, bemessen nach Threat Protection und SSL Inspection.Ansehen →
- WatchGuard Firewall KonfiguratorSechs Firebox-Modelle, bemessen nach Full Scan, HTTPS-Prüfung, Tunneln und Nutzer-Richtwert.Ansehen →
Weitere Hersteller in Betreuung
Neben diesen vier Herstellern betreuen wir auch Firewalls von LANCOM, Palo Alto Networks und Check Point. Für sie gibt es keine eigene Seite. Wir übernehmen Regelwerk, Aktualisierungen und Störfall nach derselben Arbeitsweise, die auf dieser Seite beschrieben ist. Was im Einzelfall dazugehört, klären wir bei der Bestandsaufnahme.
Weiterbetreiben oder ersetzen: so entscheiden wir
Die Frage nach dem Hersteller steht nicht am Anfang. Zuerst klären wir, ob das vorhandene Gerät weiterlaufen kann.
- Läuft das vorhandene Gerät weiter?Wir prüfen vier Punkte: Unterstützung durch den Hersteller, aktive Lizenz, ausreichende Leistung und ein Regelwerk, das sich erklären lässt. Sind alle vier erfüllt, übernehmen wir die Betreuung ohne Tausch.
- Ist ein Hersteller gesetzt?Gibt es eine Vorgabe, einen Bestand mit mehreren Geräten oder Wissen im eigenen Haus, bleiben wir bei diesem Hersteller. Sonst planen wir neu, in der Regel mit Securepoint.
- Bedarf aufnehmenArbeitsplätze und gleichzeitige Nutzer, Standorte, Bandbreite des Anschlusses, Fernzugriffe, Umfang der Inhalts- und TLS-Prüfung, benötigte Anschlüsse, Ausfallsicherheit und absehbares Wachstum.
- Reichen die Angaben?Fehlt etwas Wesentliches, nennen wir kein Modell, sondern die Liste dessen, was noch zu klären ist. Ein geratenes Gerät ist teurer als eine Rückfrage.
- Empfehlung mit BegründungSie erhalten Modell, Begründung, die Annahmen dahinter, die Grenzen und eine Alternative. Gerät, Lizenz, Einrichtung und Betreuung stehen getrennt im Angebot.
Wo die Grenze einer Firewall liegt
Diesen Abschnitt finden Sie auf Händlerseiten selten, und er ist der wichtigste auf dieser Seite. Eine Firewall ist ein Baustein, keine Rundumsicherung – und wer sie für mehr hält, spart am falschen Ende.
Das BSI grenzt seinen Baustein „NET.3.2 Firewall“ ausdrücklich ab: Die Sicherheitsaspekte der UTM-Zusatzfunktionen – VPN, Angriffserkennung, Virenschutz, Spam-Filter, Anwendungserkennung – sind dort „nicht Gegenstand des vorliegenden Bausteins“, sondern in eigenen Bausteinen geregelt. Jede dieser Funktionen ist also ein eigenes Thema mit eigenen Anforderungen, auch wenn sie im selben Gehäuse steckt.
Zweitens ist ein Regelwerk umgehbar. Das BSI nennt als Gefährdung ausdrücklich die „Umgehung der Firewall-Regeln“: Angreifende können grundlegende Mechanismen der Netzprotokolle nutzen, etwa Fragmentierungsangriffe, „um in einen durch die Firewall geschützten Bereich einzudringen“.
Drittens sieht eine Firewall in verschlüsselten Verkehr nur hinein, wenn sie ihn aufbricht. Das BSI formuliert das als Soll-Anforderung: Verschlüsselte Verbindungen in nicht vertrauenswürdige Netze „SOLLTEN temporär entschlüsselt werden, um das Protokoll zu verifizieren und die Daten auf Schadsoftware zu prüfen“. Ohne diese Prüfung passiert der größte Teil des heutigen Webverkehrs die Grenze ungesehen.
Und viertens folgt aus dem Einsatzort selbst eine Grenze – das ist unsere Schlussfolgerung, kein Zitat: Ein Gerät, das an der Grenze zwischen zwei Netzen steht, sieht nicht, was innerhalb eines Netzes geschieht. Ein Rechner, der über einen infizierten Anhang oder einen USB-Stick befallen wird, arbeitet hinter der Firewall. Deshalb gehört zur Firewall etwas, das auf den Geräten selbst hinsieht – bei uns die laufende Angriffserkennung mit MXDR.
Was wir übernehmen – bei jedem Hersteller
Eine Firewall ist erst dann Schutz, wenn jemand sie pflegt. Diese Arbeit liegt bei uns, unabhängig davon, wessen Gerät am Netzübergang steht.
- Bestandsaufnahme vor dem AngebotWir sehen uns an, was heute am Netzübergang steht, welche Dienste von außen erreichbar sind, wie viele Standorte zusammenhängen und wer von unterwegs arbeitet. Kommt dabei heraus, dass Ihr vorhandenes Gerät noch trägt, sagen wir das.
- Regelwerk, das jemand begründen kannJede Regel wird schriftlich festgehalten: was sie erlaubt, für wen und warum. Das ist die Arbeit, die in der Praxis fehlt – und der Grund, warum Regelwerke nach Jahren niemand mehr anzufassen wagt.
- Zonen statt eines flachen NetzesServer, Arbeitsplätze, Gäste und Geräte wie Drucker oder Maschinensteuerungen kommen in getrennte Bereiche. Erlaubt ist nur, was zwischen ihnen nötig ist.
- Standorte und FernzugriffVerbindungen zwischen Standorten und der Zugang von unterwegs laufen über VPN. Welches Verfahren passt, hängt an den Gegenstellen und am Gerät.
- Pflege statt VergessenWir spielen Aktualisierungen in vereinbarten Fenstern ein, sehen die Protokolle durch und passen die Regeln an, wenn sich etwas ändert – eine neue Anwendung, ein neuer Standort, ein Mitarbeiter, der geht.
- Ein Ansprechpartner im StörfallSie rufen uns an, rund um die Uhr. Wir sehen in das Gerät und gehen den Weg zum Hersteller, wenn der Fall es verlangt.
Wer was macht
Der Netzübergang lässt sich sauber abgrenzen – auch wenn ein anderer Dienstleister die übrige IT betreut. Voraussetzung ist, dass festgelegt ist, wer Änderungen vornimmt.
| Aufgabe | DAVINCI | Ihr Haus | Anderer Dienstleister |
|---|---|---|---|
| Regelwerk am Netzübergang | ändert und dokumentiert | gibt Änderungen frei | meldet Bedarf, ändert nicht parallel |
| Aktualisierungen | plant und spielt ein | vereinbart das Fenster | – |
| Fälle beim Hersteller | führt sie | stellt Vertragsdaten bereit | – |
| Interne Netze und Switches | je nach Vertrag | – | je nach Absprache |
Wie die Firewall in die übrige Sicherheit greift
Der Netzübergang ist eine von mehreren Stellen, an denen etwas schiefgehen kann. Sinnvoll wird er im Zusammenspiel: Die Firewall regelt, was herein- und hinausdarf. Die laufende Angriffserkennung mit MXDR sieht auf den Geräten selbst hin, also dort, wo die Firewall nichts mehr sieht. Die Datensicherung ist die Ebene, die trägt, wenn beides versagt. Und die Netzwerktechnik dahinter entscheidet, ob eine Zonentrennung überhaupt möglich ist.
Dass diese Bausteine einzeln geregelt sind, ist keine Erfindung von uns: Das BSI führt für Firewall, VPN und Schadsoftwareschutz getrennte Bausteine, gerade weil jeder eigene Anforderungen hat. Wer alles einem Gerät überlässt, hat drei Aufgaben an eine Stelle delegiert.
Für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, kommt hinzu: § 30 Absatz 2 BSIG zählt auf, was Risikomanagementmaßnahmen umfassen müssen – darunter „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“, Konzepte „für die Zugriffskontrolle“ sowie „gesicherte Sprach-, Video- und Textkommunikation“. Ein betreuter Netzübergang mit dokumentiertem Regelwerk und verschlüsselter Standortvernetzung ist eine der Stellen, an denen diese Punkte praktisch umgesetzt werden. Ob Ihr Haus überhaupt betroffen ist, ordnen wir vorher ein.
Was am Netzübergang ansetzt – und was daneben
Die Firewall ist ein Baustein. Diese Seiten behandeln die Stellen, an denen sie aufhört und etwas anderes anfängt.
- Angriffserkennung mit MXDRSieht auf den Geräten selbst hin – dort, wo eine Firewall am Netzübergang nichts mehr sieht. Rund um die Uhr besetzt.Ansehen →
- Netzwerk & SystemtechnikVerkabelung, Switches, WLAN und die Zonentrennung dahinter. Ohne sie lässt sich ein Regelwerk nicht durchsetzen.Ansehen →
- Backup & DatensicherungDie Ebene, die trägt, wenn Grenze und Erkennung versagt haben. Alle 30 Minuten gesichert, offline vorgehalten, im Ernstfall geprüft.Ansehen →
- Cybersecurity im ÜberblickWie die einzelnen Bausteine zusammengehören und in welcher Reihenfolge sie sich lohnen – ohne Produktliste.Ansehen →
- Support & BetreuungWer die Geräte pflegt, die Protokolle liest und abnimmt, wenn etwas nicht mehr geht. Der Teil, der aus Technik Schutz macht.Ansehen →
- Störung meldenEtwas geht nicht mehr durch, eine Verbindung bricht ab, ein Zugriff wird abgewiesen: Der Leitfaden nimmt es strukturiert auf.Ansehen →
Häufige Fragen
- Welcher Firewall-Hersteller ist der beste?
- Das lässt sich ohne Ihre Umgebung nicht sagen, und die Datenblätter der Hersteller messen unterschiedlich. Entscheidend sind Ihr Anschluss, der Umfang der Prüfung, die Fernzugriffe, die nötige Ausfallsicherheit und wer das Gerät betreibt.
- Welche Hersteller betreuen Sie?
- Securepoint als Partner, dazu herstellerunabhängig Sophos, Fortinet, WatchGuard, LANCOM, Palo Alto Networks und Check Point. Partnerschaften bestehen nur mit den Herstellern, die wir ausdrücklich als Partner nennen.
- Müssen wir unsere Firewall tauschen, wenn wir zu Ihnen wechseln?
- Nein, wenn sie noch Unterstützung vom Hersteller erhält und zur Umgebung passt. Einen Wechsel schlagen wir nur vor, wenn er einen Grund hat, den wir benennen können.
- Wir haben doch einen Router vom Internetanbieter. Reicht das nicht?
- Für einen einzelnen Standort ohne besondere Anforderungen kann er genügen. Sobald Sie Standorte verbinden, Dienste von außen erreichbar machen, Netze trennen oder nachweisen müssen, welche Regeln gelten, endet sein Zuständigkeitsbereich. Der entscheidende Unterschied ist weniger die Technik als die Frage, wer das Regelwerk kennt und pflegt.
- Was bedeutet Managed Firewall bei Ihnen?
- Regelwerk, Aktualisierungen, Protokolldurchsicht, Anpassungen und der Störfall liegen bei uns. Sie geben Änderungen frei und haben einen festen Ansprechpartner.
- Was kostet eine Firewall bei Ihnen?
- Das hängt an der Baugröße, an der Zahl der Standorte und daran, welche Funktionen mitlaufen sollen. Wir nennen Ihnen nach der Bestandsaufnahme einen festen Rahmen für Gerät, Einrichtung und laufende Betreuung – bevor Kosten entstehen. Eine Pauschale wäre geraten, und das hilft niemandem.
- Ersetzt eine UTM-Firewall unseren Virenschutz auf den Rechnern?
- Nein. Die Firewall prüft Verkehr, der über den Netzübergang läuft – und verschlüsselten Verkehr nur, wenn sie ihn dafür aufbricht. Ein Rechner, der über einen USB-Stick oder ein privates Gerät befallen wird, arbeitet hinter der Firewall. Deshalb bleibt der Schutz auf den Geräten selbst nötig, ebenso die Erkennung dessen, was schon drinnen ist.
- Betreuen Sie die Firewall auch, wenn ein anderer Dienstleister unsere IT macht?
- Ja. Der Netzübergang lässt sich sauber abgrenzen. Wir brauchen dafür eine klare Absprache, wer welche Änderungen vornimmt – sonst widersprechen sich zwei Regelwerke, und im Störfall sucht jeder beim anderen.
Hersteller auf dieser Seite
Securepoint GmbH – Hersteller der UTM-Firewalls, die wir auswählen, einrichten und betreiben.
Quellen und Nachweise
- IT-Grundschutz-Baustein NET.3.2: Firewall · BSIamtlich
- IT-Grundschutz-Baustein NET.3.3: VPN · BSIamtlich
- BSIG § 30 – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen · Bundesamt für Justizamtlich