Azure

Azure Firewall Manager

Allgemeine Infos

Azure Firewall Manager ist die Verwaltungsebene für Azure Firewall. Du erstellst dort Firewall-Richtlinien (Firewall Policy) und weist sie einer oder mehreren Firewalls zu, unabhängig von Region und Abonnement.

Der Manager unterstützt zwei Architekturen: Hub-VNets (klassisches Hub-and-Spoke) und gesicherte virtuelle Hubs in Azure Virtual WAN. Im gesicherten Hub konfigurierst Du über den Manager auch Routing Intent, also welche privaten und Internetverbindungen über die Firewall laufen. Zusätzlich lassen sich DDoS-Protection-Pläne zuordnen und Sicherheitspartner (SaaS-Anbieter für Internetverkehr) einbinden.

Abgrenzung: Der Firewall Manager ist kein eigenes Prüfsystem und filtert keinen Verkehr. Er verteilt Konfiguration. Für Network Security Groups gibt es mit Azure Virtual Network Manager ein eigenes Werkzeug für zentrale Sicherheitsadministratorregeln.

Funktionsweise & Details

Kern ist das hierarchische Richtlinienmodell:

  1. Eine Basisrichtlinie (Parent Policy) enthält die unternehmensweiten Regeln, etwa Sperren für bekannte schädliche Ziele oder Freigaben für zentrale Dienste.
  2. Untergeordnete Richtlinien (Child Policies) erben diese Regeln und ergänzen sie um standort- oder anwendungsspezifische Regeln. Geerbte Regeln haben Vorrang und lassen sich unten nicht überschreiben.
  3. Regeln sind in Regelsammlungsgruppen und Regelsammlungen organisiert (DNAT, Netzwerk, Anwendung), jeweils mit Priorität.
  4. Die Richtlinie wird einer Firewall im Hub-VNet oder einem gesicherten Virtual-WAN-Hub zugeordnet. Änderungen wirken auf alle zugeordneten Firewalls.
  5. Optional wertet Policy Analytics die Regelnutzung aus und zeigt ungenutzte oder sich überschneidende Regeln.

Richtlinien sind Azure-Ressourcen und lassen sich mit Bicep, ARM-Templates oder Terraform versionieren.

Vorteile & Nutzen

  • Einheitliche Grundregeln für alle Standorte, weil die Basisrichtlinie zentral gepflegt und automatisch vererbt wird.
  • Klare Rollentrennung: Das Sicherheitsteam verwaltet die Basisrichtlinie, Fachteams pflegen nur ihre untergeordneten Richtlinien.
  • Weniger Fehler bei mehreren Firewalls, da Änderungen nicht pro Instanz nachgezogen werden müssen.
  • Routing Intent für Virtual WAN wird an derselben Stelle gepflegt wie die Regeln, was Fehlkonfigurationen im Hub reduziert.

Praxisbeispiel

Ein Logistikdienstleister mit Rechenzentren in Deutschland und Polen betreibt je eine Azure Firewall in Germany West Central und Poland Central. Bisher pflegte jedes Team seine Regeln einzeln, Sperrlisten wichen voneinander ab. Die IT legt im Firewall Manager eine Basisrichtlinie mit Threat-Intelligence-Einstellungen und gemeinsamen Sperren an und leitet für jede Region eine eigene Richtlinie ab. Ein Audit zeigt anschließend für beide Standorte identische Grundregeln, regionale Ausnahmen sind dokumentiert und per Pull Request nachvollziehbar.

Worauf sollte man achten?

  • Halte die Hierarchie flach (Basis plus eine Ebene), weil tiefe Vererbung die Fehlersuche erschwert.
  • Beschränke Schreibrechte auf die Basisrichtlinie per Azure RBAC, sonst kann eine einzelne Änderung alle Standorte betreffen.
  • Teste Regeländerungen zuerst an einer Richtlinie, die nur einer Testfirewall zugeordnet ist.
  • Richtlinien kosten selbst Geld (pro Richtlinie und Region), deshalb lohnt sich das Aufräumen verwaister Richtlinien.
  • Für den Wechsel von klassischen Regeln auf Richtlinien bietet Microsoft eine Migration an. Prüfe danach die Regelreihenfolge.

Lizenz & Verfügbarkeit

Der Firewall Manager selbst ist kostenlos. Laut Preisseite werden Firewall-Richtlinien pro Richtlinie und Region berechnet, Policy Analytics optional pro Stunde. Firewalls und gesicherte Hubs werden separat nach Bereitstellungsstunden und Datenmenge abgerechnet. Stand: Oktober 2026.

Fazit

Der Firewall Manager lohnt sich ab zwei Firewalls oder bei Virtual WAN mit gesicherten Hubs. Halte die Richtlinienstruktur einfach und versioniere sie als Code.

Weiterführende Links

Verwandte Artikel