Next-Generation-Firewall erklärt: Was KMU wirklich brauchen

Was ist eine Next-Generation-Firewall?

Eine Next-Generation-Firewall (NGFW) entscheidet nicht nur anhand von IP-Adressen und Ports, sondern auch nach Anwendung, Benutzer und Inhalt. Sie erkennt zum Beispiel, ob eine Verbindung zu Microsoft Teams, einem privaten Cloud-Speicher oder bekannter Schadsoftware gehört, und wendet die passenden Regeln an. Typische Funktionen sind Applikationskontrolle, Intrusion Prevention (IPS), URL- und DNS-Filter, VPN und die Anbindung an Benutzerkonten.

In kleinen und mittleren Unternehmen ist die Firewall meist der zentrale Kontrollpunkt zwischen Internet, Büronetz, Servern, Gäste-WLAN und Homeoffice. Für die meisten KMU zählt dabei weniger die längste Funktionsliste als eine saubere Grundausstattung: Segmentierung, VPN mit MFA, IPS, Web- und DNS-Filter und regelmäßige Updates.

Stateful-Paketfilter und NGFW: der Unterschied

Eine klassische Stateful-Firewall verfolgt Verbindungen und entscheidet anhand von Quelle, Ziel, Port und Protokoll, ob Datenverkehr erlaubt ist. Das ist bis heute das Fundament jeder Firewall. Ihre Grenze: Ein Großteil der Anwendungen nutzt inzwischen dieselben Web-Ports 80 und 443, und ein erlaubter Port sagt nichts darüber aus, ob der Inhalt harmlos ist.

Die wichtigsten NGFW-Funktionen im Überblick

Applikationskontrolle

Die Firewall erkennt Anwendungen an Merkmalen ihres Datenverkehrs, unabhängig vom Port. So lassen sich Regeln umsetzen wie: Die Kollaborationswerkzeuge des Unternehmens sind erlaubt, private Filesharing-Dienste oder nicht freigegebene Fernwartungstools werden blockiert.

Intrusion Prevention (IPS)

Ein IPS prüft den Datenverkehr auf Muster bekannter Angriffe, etwa auf Exploits gegen Webserver, VPN-Gateways oder veraltete Systeme, und blockiert sie. Besonders nützlich ist es vor Diensten, die aus dem Internet erreichbar sind, und zwischen Netzsegmenten. Es braucht aktuelle Signaturen und gelegentliche Feinabstimmung gegen Fehlalarme.

URL- und DNS-Filter

Web- und DNS-Filter sperren bekannte Phishing- und Malware-Seiten sowie Kategorien, die das Unternehmen nicht zulassen möchte. DNS-Filter wirken auch bei Geräten und Anwendungen ohne Browser. Beides ersetzt keine Schulung, kann aber viele Angriffe früh stoppen.

Benutzerbezug und VPN

Angebunden an Active Directory oder Microsoft Entra ID wendet die Firewall Regeln auf Benutzer und Gruppen statt auf IP-Adressen an: Die Buchhaltung erreicht den Finanzserver, alle anderen nicht. Zudem stellt sie VPN für Standorte und Homeoffice bereit. Fernzugriff sollte immer mit Multi-Faktor-Authentifizierung geschützt sein, und das VPN-Gateway selbst muss aktuell bleiben, weil Systeme am Internetrand ein häufiges Angriffsziel sind.

Sandboxing

Verdächtige Dateien werden in einer isolierten Umgebung ausgeführt, oft in der Cloud des Herstellers, bevor sie den Benutzer erreichen. Das hilft gegen neue Schadsoftware, die Signaturen noch nicht erkennen. Prüfen Sie, wo die Dateien analysiert werden und ob das zu Ihren Datenschutzanforderungen passt.

TLS-Inspektion: Nutzen, Grenzen und Betriebsrat

Der Großteil des Webverkehrs ist heute verschlüsselt. Ohne TLS-Inspektion (oft noch SSL-Inspection genannt) sieht die Firewall im Wesentlichen Metadaten wie Zieladresse und Servername, IPS und Malware-Prüfung erreichen den Inhalt nicht. Mit TLS-Inspektion entschlüsselt die Firewall den Verkehr, prüft ihn und verschlüsselt ihn wieder. Dafür muss auf allen Firmengeräten ein Stammzertifikat der Firewall als vertrauenswürdig hinterlegt sein.

Technisch gilt: Manche Anwendungen verweigern geprüfte Verbindungen und brauchen Ausnahmen, und die Inspektion kostet viel Rechenleistung. Schwerer wiegt der organisatorische Aspekt, denn entschlüsselter Verkehr kann personenbezogene und private Daten von Mitarbeitenden enthalten. Kategorien wie Online-Banking und Gesundheitsdienste werden daher üblicherweise ausgenommen, und der Zugriff auf Protokolle wird eingeschränkt.

Dimensionierung: Durchsatz mit aktivierten Funktionen

Datenblätter nennen meist zuerst den reinen Firewall-Durchsatz, gemessen unter Idealbedingungen ohne Schutzfunktionen. Mit aktiviertem IPS, Applikationskontrolle und Malware-Schutz liegen die Werte deutlich darunter, mit TLS-Inspektion bleibt oft nur ein Bruchteil. Für die Dimensionierung zählen diese realistischen Werte, oft als Threat-Protection- oder TLS-Inspection-Durchsatz angegeben.

• Internetanbindung: Die Firewall sollte die volle Bandbreite mit allen geplanten Funktionen bewältigen.
• Verkehr zwischen Segmenten: Routet die Firewall auch zwischen VLANs, etwa zu Servern oder Kameras, kommt dieser Verkehr hinzu.
• VPN: Zahl der gleichzeitigen Homeoffice-Nutzer und Standorttunnel sowie der benötigte verschlüsselte Durchsatz.
• Sitzungen und Schnittstellen: gleichzeitige Verbindungen und Ports mit ausreichender Geschwindigkeit, etwa 2,5 oder 10 Gbit/s.
• Reserve: Eine Firewall läuft meist mehrere Jahre, planen Sie mehr Benutzer, schnellere Leitungen und neue Funktionen ein.

Hochverfügbarkeit und Lizenzen

Hochverfügbarkeit bedeutet, dass zwei identische Firewalls als Cluster arbeiten, meist im Aktiv-Passiv-Betrieb. Fällt eine aus, übernimmt die zweite, im Idealfall ohne bestehende Verbindungen zu trennen. Das lohnt sich, wenn ein Ausfall teuer wird, etwa im Handel, in der Logistik oder in Arztpraxen mit Cloud-Software. Voll wirksam ist es nur mit einer zweiten Internetleitung, denn ein Cluster gleicht keine ausgefallene Leitung aus. Für kleinere Unternehmen kann ein Hardware-Austauschservice mit kurzer Lieferzeit und gesicherter Konfiguration die günstigere Alternative sein.

NGFW-Funktionen hängen meist an Abonnements für Signaturen, Filter und Sandboxing. Läuft die Lizenz aus, arbeitet die Hardware meist weiter, Signaturen und Filter werden aber nicht mehr aktualisiert. Planen Sie die Lizenzkosten über die gesamte Nutzungsdauer und prüfen Sie, wie der Hersteller das zweite Gerät im Cluster lizenziert.

Verwaltung und Protokollierung

Eine Firewall braucht Pflege. Firmware-Updates, vor allem Sicherheitsupdates für VPN und Verwaltungsoberfläche, sollten zeitnah eingespielt werden. Die Verwaltungsoberfläche sollte nie aus dem Internet erreichbar sein, Admin-Zugänge gehören in ein eigenes Managementnetz mit persönlichen Konten und MFA. Regeln sollten dokumentiert, regelmäßig geprüft und bereinigt werden, auch temporäre Regeln, die nie entfernt wurden.

Protokolle zeigen blockierte Angriffe, ungewöhnliche Verbindungen und Konfigurationsänderungen. Speichern Sie sie zentral, etwa auf einem Syslog-Server oder in einem SIEM, und sorgen Sie dafür, dass jemand die Alarme tatsächlich ansieht. Aufbewahrungsfristen und Zugriffsrechte legen Sie gemeinsam mit dem Datenschutz fest. Fehlen intern die Kapazitäten, ist eine laufende Betreuung durch einen Dienstleister eine Option.

Was KMU wirklich brauchen

Nicht jedes Unternehmen braucht jede Funktion. Für die meisten KMU ist diese Checkliste eine sinnvolle Grundlage:

• Unverzichtbar: Stateful-Firewall mit klaren Regeln, Trennung von Büro, Servern, Gästen und IoT per VLANs, VPN mit MFA, regelmäßige Updates.
• Dringend empfohlen: IPS, URL- und DNS-Filter, Applikationskontrolle für riskante Kategorien, zentrale Protokollierung.
• Je nach Situation: TLS-Inspektion für ausgewählte Kategorien nach Abstimmung mit dem Betriebsrat und rechtlicher Prüfung, Sandboxing, Hochverfügbarkeit.

Eine Firewall ist eine wichtige Schutzschicht, aber nicht die ganze Verteidigung. In einem Zero-Trust-Ansatz werden Identitäten, Geräte und Zugriffsrechte unabhängig vom Netzwerkstandort geprüft. Wenn Sie Ihre bestehende Firewall bewerten oder eine neue planen möchten, unterstützt Sie Q-entra mit Cyber Security und Netzwerk-Infrastruktur von der Anforderungsanalyse bis zum Betrieb.