Infra & Netzwerk

Firewall

Overview

Eine Firewall kontrolliert den Datenverkehr zwischen Netzen mit unterschiedlichem Vertrauensniveau, typischerweise zwischen Internet und LAN, aber genauso zwischen internen Zonen wie Server-, Client-, Gäste- und Produktionsnetz. Sie lässt nur Verbindungen durch, die eine Regel ausdrücklich erlaubt.

Unterschieden werden Paketfilter (prüfen Header-Daten wie IP-Adresse und Port), Stateful-Inspection-Firewalls (kennen den Verbindungszustand), Application-Level-Gateways bzw. Proxys und Next-Generation Firewalls (NGFW). Eine NGFW erkennt zusätzlich Anwendungen und Benutzer und bringt meist IPS, URL-Filter und TLS-Inspection mit.

Abgrenzung: Die hostbasierte Windows-Firewall (eigener Glossareintrag) schützt ein einzelnes Gerät, die Azure Firewall ist ein verwalteter Cloud-Dienst. Dieser Eintrag beschreibt die Netzwerk-Firewall als Gerät oder virtuelle Appliance. Das BSI behandelt das Thema im IT-Grundschutz-Baustein NET.3.2, das NIST in SP 800-41 Rev. 1.

How it works

Eine Firewall arbeitet ein Regelwerk von oben nach unten ab, die erste passende Regel entscheidet:

  1. Ein Paket trifft auf einer Schnittstelle ein und wird einer Zone zugeordnet (z. B. WAN, LAN, DMZ).
  2. Gehört es zu einer bereits erlaubten Verbindung, lässt die Zustandstabelle es direkt passieren (Stateful Inspection).
  3. Bei einer neuen Verbindung prüft die Firewall Quelle, Ziel, Protokoll und Port, bei einer NGFW zusätzlich Anwendung, Benutzer und Reputation.
  4. Optional untersucht ein IPS den Inhalt auf Angriffsmuster, bei aktivierter TLS-Inspection auch verschlüsselten Verkehr.
  5. Am Ende steht eine Default-Deny-Regel, die alles verwirft, was nicht ausdrücklich erlaubt ist. Treffer werden protokolliert.

Zusätzlich übernehmen Firewalls oft NAT, VPN-Terminierung und Routing zwischen VLANs.

Benefits

  • Begrenzt die Angriffsfläche, weil von außen nur freigegebene Dienste erreichbar sind
  • Bremst Lateral Movement, wenn auch interne Zonen über die Firewall getrennt sind
  • Schafft Nachvollziehbarkeit, da Verbindungsversuche und Regeltreffer protokolliert werden
  • Bündelt VPN, NAT und Inter-VLAN-Routing auf einer zentral verwalteten Komponente

Practical example

Ein Maschinenbauer mit 180 Mitarbeitenden betreibt Büro-IT und Fertigungsanlagen bisher in einem flachen Netz hinter einem einfachen Router. Nach einem Ransomware-Vorfall bei einem Zulieferer setzt die IT ein Firewall-Cluster als zentralen Übergang ein und trennt Büro, Server, Produktion und Gäste in eigene Zonen. Die Steuerungsrechner dürfen nur noch mit dem Update-Server und der Fernwartungs-Plattform des Herstellers sprechen. Im Ergebnis sind die Anlagen aus dem Büronetz nicht mehr direkt erreichbar und jeder Zugriff taucht im Log auf.

Things to keep in mind

  • Regelwerk nach dem Prinzip Default Deny aufbauen und jede Regel mit Zweck, Verantwortlichem und Datum dokumentieren
  • Regeln mindestens jährlich rezertifizieren, verwaiste Any-Any-Regeln und abgelaufene Ausnahmen entfernen
  • Firewall-Management nur aus einem eigenen Admin-Netz und mit MFA zulassen, Firmware zeitnah patchen
  • TLS-Inspection mit Betriebsrat und Datenschutz abstimmen und Ausnahmen für Banking- oder Gesundheitsseiten definieren
  • Für Hochverfügbarkeit einen Aktiv-Passiv-Cluster einplanen, damit ein Geräteausfall nicht das ganze Unternehmen vom Netz trennt

Licensing & availability

Open-Source-Lösungen wie OPNsense oder pfSense CE sind kostenlos nutzbar, kommerzieller Support ist optional. Kommerzielle NGFW-Hersteller (z. B. Fortinet, Sophos, Palo Alto Networks, Check Point) kombinieren meist Hardware oder virtuelle Appliance mit zeitlich befristeten Subscriptions für Security-Dienste wie IPS, Web-Filter und Sandboxing. Stand: Oktober 2026.

Conclusion

Die Firewall bleibt die Grundlage jeder Netzwerksicherheit, wirkt aber erst mit sauberer Segmentierung und gepflegtem Regelwerk. Plane sie als zentrale Kontrollinstanz zwischen allen Zonen und am Internetübergang.

Further reading

Related articles