Firewall für Unternehmen: Auswahl und Konfiguration

„Wir haben doch eine Firewall" – reicht das?

Es ist einer der Sätze, die ich am häufigsten höre: „Wir haben eine Firewall, also sind wir sicher." Meistens stellt sich heraus, dass damit der eingebaute Router vom Internetprovider gemeint ist. Oder eine Hardware-Firewall, die vor fünf Jahren installiert und seitdem nie aktualisiert wurde.

Eine Firewall ist das Fundament Ihrer IT-Sicherheit. Aber nur, wenn sie richtig ausgewählt, konfiguriert und gewartet wird. Und das ist der Punkt, an dem die meisten KMU scheitern.

Was eine Firewall wirklich tut

Stellen Sie sich Ihre Firewall als den Türsteher Ihres Netzwerks vor. Sie entscheidet, welcher Datenverkehr rein darf und welcher draußen bleibt. Aber moderne Firewalls können viel mehr als das:

Paketfilter (die Basis)

Prüft jedes Datenpaket anhand von Regeln: Quell-IP, Ziel-IP, Port, Protokoll. Einfach, schnell, aber leicht zu umgehen.

Stateful Inspection

Verfolgt den Zustand aktiver Verbindungen. Erkennt, ob ein eingehendes Paket zu einer bestehenden, legitimen Verbindung gehört oder ob jemand versucht, sich einzuschleichen.

Next-Generation Firewall (NGFW)

Das ist der aktuelle Standard für Unternehmen. Eine NGFW kann:

• Deep Packet Inspection (DPI): Schaut in den Inhalt der Datenpakete, nicht nur auf die Adressen
• Application Control: Erkennt und steuert Anwendungen unabhängig vom Port
• Intrusion Prevention System (IPS): Erkennt und blockiert bekannte Angriffsmuster
• SSL/TLS-Inspektion: Prüft auch verschlüsselten Datenverkehr
• URL-Filtering: Blockiert Zugriff auf bekannte Phishing- und Malware-Seiten
• Sandbox-Analyse: Verdächtige Dateien werden in einer isolierten Umgebung ausgeführt

Welche Firewall für welches Unternehmen?

Die Wahl der richtigen Firewall hängt von mehreren Faktoren ab:

Für kleine Unternehmen (5-20 Mitarbeiter)

Empfehlung: Hardware-Firewall der Einstiegsklasse mit UTM-Funktionen

Für mittlere Unternehmen (20-100 Mitarbeiter)

Empfehlung: NGFW mit Advanced Threat Protection

Für Unternehmen mit mehreren Standorten

Hier wird es komplexer. Sie brauchen:

• SD-WAN-Integration für die Standortvernetzung
• Zentrales Management für alle Firewalls
• VPN-Tunnel zwischen den Standorten
• Redundanz für Ausfallsicherheit

Konfiguration: Die 10 wichtigsten Regeln

Eine Firewall ist nur so gut wie ihre Konfiguration. Hier sind die Grundregeln, die jedes KMU umsetzen sollte:

1. Default Deny – Alles sperren, dann freigeben

Die Grundregel: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Beginnen Sie mit einer leeren Regel-Liste und fügen Sie nur die Verbindungen hinzu, die wirklich benötigt werden.

2. Netzwerksegmentierung

Trennen Sie Ihr Netzwerk in Zonen:

• DMZ für öffentlich erreichbare Server
• Internes LAN für Arbeitsplätze
• Server-VLAN für interne Server
• Gäste-WLAN komplett isoliert vom Firmennetz
• IoT-Netzwerk für Drucker, Kameras etc.

3. Outbound-Filterung nicht vergessen

Die meisten denken nur an eingehenden Datenverkehr. Aber ausgehende Verbindungen filtern ist genauso wichtig: Malware, die „nach Hause telefoniert", Datenexfiltration oder Command-and-Control-Kommunikation – all das passiert outbound.

4. DNS-Filterung aktivieren

Blockieren Sie den Zugriff auf bekannte bösartige Domains. Dienste wie Quad9 (9.9.9.9) oder Cloudflare for Teams bieten das kostenlos.

5. Geo-Blocking einrichten

Wenn Ihr Unternehmen keine Geschäftsbeziehungen nach Russland, China oder Nordkorea hat, blockieren Sie den Datenverkehr aus diesen Regionen. Das eliminiert einen Großteil der automatisierten Angriffe.

6. IPS-Signaturen aktuell halten

Das Intrusion Prevention System erkennt nur Angriffe, deren Muster es kennt. Tägliche Signatur-Updates sind Pflicht.

7. SSL/TLS-Inspektion konfigurieren

Über 90% des Webtraffics ist verschlüsselt. Ohne SSL-Inspektion ist Ihre Firewall für diesen Traffic blind. Aber Achtung: Banking-Seiten und Gesundheitsportale sollten Sie davon ausnehmen (Datenschutz!).

8. Logging und Alerting einrichten

Was Sie nicht sehen, können Sie nicht schützen. Konfigurieren Sie:

• Alle blockierten Verbindungen protokollieren
• Alerts bei ungewöhnlichen Mustern (z.B. Port-Scans, Brute-Force)
• Regelmäßige Log-Analyse (mindestens wöchentlich)

9. Firmware regelmäßig aktualisieren

Firewall-Hersteller veröffentlichen regelmäßig Sicherheitsupdates. Installieren Sie diese zeitnah – idealerweise innerhalb von 48 Stunden nach Veröffentlichung.

10. Regelmäßige Regel-Audits

Alle 6 Monate sollten Sie alle Firewall-Regeln überprüfen:

• Werden sie noch benötigt?
• Sind sie zu weit gefasst?
• Gibt es Überschneidungen oder Widersprüche?

Häufige Fehler bei der Firewall-Konfiguration

In meiner Beratungspraxis sehe ich diese Fehler immer wieder:

1. „Any-to-Any"-Regeln: Erlaubt alles von überall nach überall – macht die Firewall nutzlos
2. Kein Outbound-Filtering: Nur eingehender Datenverkehr wird geprüft
3. Veraltete Firmware: Bekannte Sicherheitslücken werden nicht gepatcht
4. Standard-Passwort nicht geändert: Ja, das passiert noch immer
5. Kein VPN für Remote-Zugriff: Stattdessen offene RDP-Ports (Einfallstor Nr. 1 für Ransomware!)
6. Keine Redundanz: Fällt die Firewall aus, steht das Unternehmen still

Was eine professionelle Firewall-Lösung kostet

Transparenz bei den Kosten:

Klingt nach viel? Ein einziger Ransomware-Angriff über einen offenen RDP-Port kostet im Schnitt das 20- bis 50-fache.

Fazit: Die Firewall ist Pflicht – aber kein Allheilmittel

Eine professionell konfigurierte Firewall ist das Fundament Ihrer IT-Sicherheit. Aber sie ist nur ein Baustein. Kombinieren Sie sie mit Endpoint Protection, regelmäßigen Updates, Mitarbeiter-Schulungen und einem durchdachten Backup-Konzept.

Brauchen Sie Unterstützung bei der Auswahl oder Konfiguration Ihrer Unternehmens-Firewall? Wir beraten herstellerunabhängig und finden die Lösung, die zu Ihrem Unternehmen passt.