Windows & Server

Windows Firewall (Windows Defender Firewall)

Allgemeine Infos

Die Windows-Firewall ist die in Windows integrierte, standardmäßig aktive Host-Firewall. Sie filtert Datenverkehr nach Quell- und Ziel-IP, Protokoll, Port, Anwendung oder Dienst und ergänzt die Perimeter-Firewall am Netzübergang. Microsoft Learn verwendet inzwischen den Namen „Windows Firewall“, der Dienst heißt weiterhin „Windows Defender Firewall“ (MpsSvc).

Grundverhalten: Eingehender Verkehr wird blockiert, sofern er nicht angefordert ist oder eine Regel ihn erlaubt; ausgehender Verkehr ist erlaubt, sofern keine Regel ihn blockiert. Regeln gelten pro Netzwerkprofil: Domäne (automatisch, wenn ein Domain Controller erreichbar ist), Privat und Öffentlich (Standard für unbekannte Netze).

Abgrenzung: Die Perimeter-Firewall schützt das Netz nach außen, Azure Firewall ist ein Cloud-Dienst für Azure-Netzwerke. Die Windows-Firewall schützt den einzelnen Host auch innerhalb des Netzes und ist damit ein Baustein gegen laterale Bewegung.

Funktionsweise & Details

Die Regelverarbeitung folgt festen Prioritäten:

  1. Explizite Zulassungsregeln überschreiben die Standardblockierung.
  2. Explizite Blockierungsregeln haben Vorrang vor widersprechenden Zulassungsregeln.
  3. Spezifischere Regeln gehen weniger spezifischen vor, außer bei einer expliziten Blockierung; eine eigene Reihenfolge lässt sich nicht festlegen.
  4. Regeln werden zentral per Gruppenrichtlinie (Windows Defender Firewall mit erweiterter Sicherheit) oder per Intune über den Firewall-CSP verteilt; die Einstellung zur Zusammenführung lokaler Regeln entscheidet, ob lokale Admins eigene Regeln ergänzen dürfen.
  5. Verbindungssicherheitsregeln mit IPsec erzwingen bei Bedarf Authentifizierung und Verschlüsselung zwischen Hosts.

Lokal verwaltet wird mit wf.msc oder dem PowerShell-Modul NetSecurity, z. B. New-NetFirewallRule und Get-NetConnectionProfile.

Vorteile & Nutzen

  • Eingehende Verbindungen sind standardmäßig blockiert, das reduziert die Angriffsfläche jedes einzelnen Rechners.
  • Erschwert laterale Bewegung, etwa wenn SMB oder RDP zwischen Clients gesperrt werden.
  • Zentral per GPO oder Intune steuerbar, ohne zusätzliche Software.
  • Profilabhängige Regeln schützen Notebooks in Hotel- oder Heimnetzen strenger als im Firmennetz.
  • IPsec-Regeln ermöglichen die Isolation von Servern ohne eigene Netzwerkhardware.

Praxisbeispiel

Ein IT-Dienstleister mit 150 Mitarbeitenden will nach einem Vorfall bei einem Kunden laterale Bewegung im eigenen Netz erschweren. Die IT sperrt per Intune-Richtlinie eingehendes SMB und RDP zwischen Clients, erlaubt RDP nur von den Admin-Jump-Hosts und deaktiviert die Zusammenführung lokaler Regeln. Vorher wurde per Inventar erfasst, welche Anwendungen eingehende Verbindungen brauchen. Die Server erhalten ihre Regeln rollenabhängig per Gruppenrichtlinie.

Worauf sollte man achten?

  • Stoppe nie den Dienst Windows Defender Firewall (MpsSvc); zum Abschalten nur die Profile deaktivieren, sonst brechen Startmenü, App-Installation und Updates.
  • Erstelle Regeln vor dem ersten Start einer Anwendung, weil ein abgebrochener Firewall-Dialog Blockierungsregeln anlegt.
  • Wenn Du die Zusammenführung lokaler Regeln deaktivierst, brauchst Du ein vollständiges Inventar aller Anwendungen mit eingehendem Verkehr.
  • Ändere die Standardaktion für eingehenden Verkehr nie auf „Zulassen“.
  • Aktiviere auf Servern die Protokollierung verworfener Pakete, das erleichtert Fehlersuche und Angriffserkennung.

Lizenz & Verfügbarkeit

In allen Windows-Editionen und in Windows Server 2016 bis 2025 enthalten, ohne Zusatzlizenz. Die zentrale Verwaltung per Intune setzt eine Intune-Lizenz voraus (z. B. in Microsoft 365 Business Premium, E3 oder E5), per Gruppenrichtlinie genügt Active Directory. Stand: Oktober 2026.

Fazit

Die Windows-Firewall ist ein kostenloser, oft unterschätzter Schutz gegen laterale Bewegung. Lass sie aktiv und verwalte die Regeln zentral statt lokal.

Weiterführende Links

Verwandte Artikel