Firewall einfach erklärt
Jede Verbindung zwischen Ihrem Firmennetz und dem Internet läuft über die Firewall. Sie gleicht jede Anfrage mit ihrem Regelwerk ab: Wer möchte mit wem sprechen, über welchen Port und mit welchem Protokoll? Passt die Anfrage zu einer erlaubten Regel, darf sie passieren. Alles andere wird verworfen und auf Wunsch protokolliert.
Ein gängiger Grundsatz lautet, dass gesperrt bleibt, was nicht ausdrücklich erlaubt ist. Von außen nach innen gibt eine Firewall deshalb nur frei, was gezielt gebraucht wird, zum Beispiel die Einwahl ins Firmennetz. Antworten auf Anfragen, die ein Arbeitsplatz selbst gestellt hat, lässt sie dagegen automatisch zurück. Dafür merkt sie sich den Zustand jeder laufenden Verbindung. Dieses Verfahren heißt „Stateful Inspection“.
Vom Paketfilter zur Next-Generation-Firewall
Frühe Firewalls haben nur Adressen und Ports geprüft. Das reicht heute nicht mehr, weil viele Anwendungen über dieselben Standardports kommunizieren. Eine Next-Generation-Firewall erkennt deshalb die Anwendung selbst, unabhängig vom Port. Sie kann Webseiten nach Kategorien sperren, Downloads auf Schadcode untersuchen und bekannte Angriffsmuster im Datenstrom blockieren.
Hinzu kommen Funktionen, die mit dem Filtern nur indirekt zu tun haben. Viele Geräte stellen verschlüsselte Zugänge per VPN bereit, etwa für das Homeoffice oder für Außenstellen. Manche können außerdem verschlüsselten Datenverkehr aufbrechen und prüfen. Ob und in welchem Umfang das sinnvoll ist, klären Sie am besten vorher mit Ihrer Datenschutzberatung und gegebenenfalls mit dem Betriebsrat.
Neben dem zentralen Gerät am Internetanschluss gibt es weitere Formen: die Software-Firewall auf jedem Windows-Rechner und virtuelle Firewalls für Server in der Cloud. Diese Ebenen ersetzen einander nicht, sie ergänzen sich.
Was eine Firewall nicht leistet
- Sie stoppt keinen Schadcode, der über erlaubten Datenverkehr kommt, etwa im Anhang einer E-Mail.
- Sie schützt nicht vor gestohlenen Passwörtern, mit denen sich jemand regulär anmeldet.
- Sie sieht nichts von dem, was innerhalb eines ungeteilten Netzes passiert. Dafür braucht es eine Netzwerksegmentierung, bei der die Firewall auch zwischen internen Bereichen filtert.
Neue Firewall für Hauptsitz und Außenlager
Angenommen, ein Getränkehandel mit rund dreißig Arbeitsplätzen hat Büro und Verkaufsraum am Hauptsitz und ein kleines Lager einige Kilometer entfernt. Bisher hängt alles am Router des Internetanbieters. Für die Fernwartung der Kühlanlage ist seit Jahren ein Port nach außen geöffnet, an den sich niemand mehr erinnert. Das Gast-WLAN liegt im selben Netz wie die Buchhaltung.
Mit einer eigenen Firewall ändert sich das Bild. Verwaltung, Kassen und Gäste bekommen getrennte Netzbereiche, zwischen denen nur festgelegter Verkehr erlaubt ist. Der offene Port entfällt.
Der Kältetechnik-Dienstleister erhält stattdessen einen eigenen, abschaltbaren VPN-Zugang. Das Lager wird über einen verschlüsselten Tunnel angebunden, wie es bei der Standortvernetzung über Firewalls und VPN üblich ist. Für die Mitarbeitenden ändert sich im Alltag kaum etwas.
Warum die Firewall laufende Pflege braucht
Eine Firewall wird nicht einmal eingerichtet und dann vergessen. Regelwerke wachsen mit jeder Ausnahme, die für ein Projekt oder einen Dienstleister angelegt wurde. Ohne regelmäßige Durchsicht können solche Freigaben bestehen bleiben, lange nachdem sie gebraucht wurden.
Weil sie direkt am Internet hängt, ist die Firewall selbst ein lohnendes Ziel. Wird eine Schwachstelle in ihrer Firmware öffentlich, kann es schnell gehen, bis Täter gezielt nach Geräten ohne Update suchen. Firmware-Updates stehen deshalb ganz oben auf der Pflegeliste. Ebenso wichtig sind eine gesicherte und dokumentierte Konfiguration, ausgewertete Protokolle und aktive Lizenzen für Schutzfunktionen wie den Virenscan.
Vier Fragen helfen bei einer ersten Einschätzung:
- Wann wurde die Firmware zuletzt aktualisiert?
- Gibt es Freigaben, deren Zweck niemand mehr erklären kann?
- Sind Gäste, Produktion und Verwaltung voneinander getrennt?
- Wer bemerkt es, wenn die Firewall ungewöhnliche Zugriffe meldet?
Unverzichtbar bleibt die Firewall trotzdem. Der Gedanke von Zero Trust zeigt aber, warum ein geschützter Rand allein nicht genügt: Auch Zugriffe von innen werden geprüft, statt ihnen pauschal zu vertrauen.
Wie ProNet unterstützt
Wir planen, konfigurieren und pflegen Firewalls für kleine und mittlere Unternehmen. Dazu gehören ein nachvollziehbares Regelwerk, VPN-Zugänge für mobile Mitarbeitende, die Anbindung von Außenbüros sowie Updates und regelmäßige Kontrollen. Wie wir dabei vorgehen, beschreibt unsere Seite zur Firewall für Unternehmen.