Azure

Azure Firewall

Overview

Azure Firewall ist ein cloudnativer Firewall-Dienst, den Microsoft betreibt, skaliert und hochverfügbar hält. Die Firewall prüft Verkehr in Nord-Süd-Richtung (Internet, On-Premises) und in Ost-West-Richtung (zwischen VNets und Subnetzen) anhand von Netzwerk-, Anwendungs- und DNAT-Regeln.

Typischer Einsatzort ist das Hub-VNet einer Hub-and-Spoke-Topologie oder ein gesicherter Hub in Azure Virtual WAN. Alle Spokes leiten ihren ausgehenden Verkehr per benutzerdefinierter Route (UDR) über die Firewall, damit Regeln und Protokolle an einer Stelle liegen.

Abgrenzung: Network Security Groups (NSG) filtern zustandsbehaftet auf Layer 3/4 direkt an Subnetz oder NIC, kennen aber keine FQDN-Regeln und keine Threat Intelligence. Die Web Application Firewall (WAF) auf Application Gateway oder Front Door schützt eingehende Webanwendungen auf Layer 7. Azure Firewall ergänzt beide als zentrale Kontrollinstanz.

Es gibt drei SKUs: Basic für kleine Umgebungen, Standard für Unternehmens-Workloads und Premium für Umgebungen mit hohem Schutzbedarf. Die Regeln verwaltest Du heute in Firewall-Richtlinien (Firewall Policy), die auch der Azure Firewall Manager nutzt.

How it works

Die Firewall läuft in einem eigenen Subnetz und wird über Richtlinien gesteuert:

  1. Du legst im Hub-VNet das Subnetz AzureFirewallSubnet an (mindestens /26). Basic und Szenarien mit Forced Tunneling brauchen zusätzlich ein AzureFirewallManagementSubnet.
  2. Die Firewall erhält eine öffentliche IP für ausgehenden SNAT- und eingehenden DNAT-Verkehr sowie eine private IP als Next Hop.
  3. UDRs in den Spoke-Subnetzen setzen 0.0.0.0/0 und private Präfixe auf die private Firewall-IP.
  4. Eine Firewall-Richtlinie enthält Regelsammlungsgruppen mit DNAT-, Netzwerk- und Anwendungsregeln, die in dieser Reihenfolge ausgewertet werden.
  5. Diagnoseeinstellungen schreiben Protokolle in einen Log-Analytics-Workspace, wo Du sie mit KQL oder Workbooks auswertest.

Laut Microsoft skaliert Basic bis etwa 250 Mbit/s mit fester Instanzzahl und Threat Intelligence nur im Warnmodus. Standard skaliert automatisch bis 30 Gbit/s, filtert FQDNs und Webkategorien und blockiert bekannte schädliche IPs und Domains. Premium skaliert bis 100 Gbit/s und ergänzt ausgehende TLS-Inspektion, ein signaturbasiertes IDPS und URL-Filterung auf Pfadebene.

Benefits

  • Zentrale Regelbasis für alle Spokes, weil der gesamte Verkehr über einen Kontrollpunkt läuft und Ausnahmen dokumentiert an einer Stelle liegen.
  • Keine eigene Hardware oder NVA-Pflege, da Microsoft Verfügbarkeit, Skalierung und Updates übernimmt.
  • FQDN-Regeln und Webkategorien (ab Standard) erlauben Freigaben nach Zielnamen statt nach wechselnden IP-Adressen, etwa für Windows Update oder SaaS-Dienste.
  • Threat Intelligence aus dem Microsoft-Feed blockiert bekannte Command-and-Control-Ziele, ohne dass Du eigene Listen pflegst.
  • Premium mit IDPS und TLS-Inspektion erfüllt Anforderungen an Netzwerkdetektion, wie sie etwa NIS2-Risikoanalysen für kritische Systeme fordern.

Practical example

Ein Maschinenbauer mit 400 Mitarbeitenden betreibt in Azure ein Hub-VNet und drei Spokes für ERP, Fileservices und Testsysteme. Bisher hatten einzelne VMs öffentliche IPs und eigene NSG-Regeln, ein Überblick über ausgehende Verbindungen fehlte. Die IT setzt Azure Firewall Standard im Hub ein, leitet per UDR allen Spoke-Verkehr dorthin und erlaubt ausgehend nur definierte FQDNs wie Update- und Herstellerportale. Die Protokolle landen in Log Analytics, ein Workbook zeigt blockierte Ziele pro Spoke. Nach der Umstellung haben die VMs keine öffentlichen IPs mehr und jede Freigabe ist nachvollziehbar.

Things to keep in mind

  • Die Firewall kostet pro Bereitstellungsstunde plus verarbeitete Datenmenge, auch ohne Last. Für Testumgebungen lohnt sich das Stoppen (Deallocate) per PowerShell oder Automation.
  • Plane das Routing vollständig: Asymmetrische Pfade entstehen, wenn Rückverkehr die Firewall umgeht, etwa bei Peering ohne UDR oder bei VPN-Gateways mit eigenen Routen.
  • Wähle die SKU nach Bedarf: Ein Wechsel von Basic auf Standard oder Premium ist möglich, Basic reicht aber nicht, wenn Du FQDN-Filter über alle Protokolle oder Webkategorien brauchst.
  • Verwende Firewall-Richtlinien statt klassischer Regeln, damit Du Regeln über Firewall Manager vererben und per Infrastructure as Code versionieren kannst.
  • Aktiviere die strukturierten Protokolle und lege Aufbewahrung sowie Alarme fest, sonst fehlen Dir im Incident die Verbindungsdaten.

Licensing & availability

Azure-Dienst mit nutzungsabhängiger Abrechnung: Grundgebühr pro Bereitstellungsstunde je nach SKU (Basic, Standard, Premium) plus Gebühr pro verarbeitetem GB. Firewall-Richtlinien werden laut Preisseite des Firewall Managers pro Richtlinie und Region berechnet. Keine Microsoft-365-Lizenz nötig, Abrechnung über das Azure-Abonnement. Stand: Oktober 2026.

Conclusion

Azure Firewall ist die zentrale Netzwerkkontrolle für Hub-and-Spoke-Umgebungen in Azure. Plane Routing, SKU und laufende Kosten vorab und nutze Standard als Einstieg, Premium nur bei echtem IDPS- oder TLS-Inspektionsbedarf.

Further reading

Related articles