Eine Firewall kontrolliert den Datenverkehr zwischen Netzwerkzonen anhand von Regeln und lässt nur erlaubte Verbindungen passieren; moderne Systeme prüfen zusätzlich Anwendungen und Identitäten.
Eine Firewall ist die Kontrollinstanz an der Grenze zwischen zwei Netzwerkzonen, klassisch zwischen dem Unternehmensnetz und dem Internet, zunehmend auch zwischen internen Segmenten. Sie entscheidet anhand eines Regelwerks, welche Verbindungen erlaubt sind: nach Quelle, Ziel, Port und Protokoll, bei modernen Next-Generation Firewalls (NGFW) zusätzlich nach Anwendung, Nutzeridentität, Inhalt und Bedrohungsinformationen. Alles, was keine Regel ausdrücklich erlaubt, wird verworfen.
Die Firewall ist eine der ältesten Sicherheitskomponenten und bleibt unverzichtbar. Ihre Rolle hat sich jedoch verschoben: vom Schutzwall an der Außengrenze zum Werkzeug der Netzwerksegmentierung und zur Sensorquelle für die Erkennung.
Funktionsweise und Varianten
- Paketfilter und Stateful Inspection: Prüfung von Adressen und Ports; der Zustand bestehender Verbindungen wird verfolgt, sodass Antworten automatisch erlaubt sind.
- Anwendungserkennung: NGFW identifizieren Anwendungen unabhängig vom Port und können etwa Filesharing blockieren, auch wenn es über Port 443 läuft.
- Inhaltsprüfung: Intrusion Prevention (IPS), URL-Filter, Schadsoftware-Scan, oft mit Aufbrechen verschlüsselter Verbindungen (TLS-Inspektion).
- Identitätsbezug: Regeln auf Basis von Benutzergruppen statt IP-Adressen.
- Spezialformen: Die Web Application Firewall schützt Webanwendungen auf Protokollebene; Host-Firewalls auf Endgeräten setzen Regeln je System durch; Cloud-Sicherheitsgruppen übernehmen die Funktion in virtuellen Netzen.
Bedeutung für Unternehmen
Die Firewall bestimmt, welche Dienste aus dem Internet erreichbar sind, also die externe Angriffsfläche, und wie weit sich ein Angreifer intern bewegen kann. Zugleich ist sie selbst ein Ziel: Laut Mandiant M-Trends 2026 waren Exploits mit 32 Prozent der häufigste Erstzugriff, und Sicherheitslücken in Firewalls und VPN-Gateways gehörten in den vergangenen Jahren zu den am intensivsten ausgenutzten. Eine Firewall ohne zeitnahes Patch-Management wird vom Schutz zum Einstiegspunkt.
Was wir in Einsätzen sehen: Nach außen sind Firewalls meist solide konfiguriert. Nach innen dagegen finden wir historisch gewachsene Regelwerke mit tausenden Einträgen, darunter pauschale Freigaben zwischen Client- und Servernetz, Regeln ohne Eigentümer und Verwaltungsoberflächen, die aus dem gesamten Netz erreichbar sind. Ausgehender Verkehr wird selten eingeschränkt: Beliebige Systeme dürfen beliebige Ziele im Internet erreichen, was die Kommunikation mit einem Command-and-Control-Server erleichtert. Und die Firewall-Logs werden zwar erzeugt, aber nicht ausgewertet.
Praxis: Umsetzung und Prüfung
- Ausgehenden Verkehr einschränken: Server brauchen in der Regel keinen freien Internetzugang. Erlauben Sie nur definierte Ziele über einen Proxy; blockierte ausgehende Verbindungen sind ein starkes Erkennungssignal.
- Regelwerk bereinigen: Jede Regel mit Eigentümer, Zweck und Überprüfungsdatum; ungenutzte Regeln nach Auswertung der Trefferzähler entfernen.
- Verwaltung absichern: Administrationszugang nur aus einem Management-Netz, mit MFA, nie aus dem Internet; Firmware zeitnah aktualisieren.
- Logs nutzen: Abgelehnte Verbindungen zwischen internen Segmenten und ungewöhnliche ausgehende Verbindungen ins SIEM leiten und mit Regeln belegen.
- Beide Richtungen testen: Ein Penetrationstest prüft die Außengrenze und die Firewall selbst auf Schwachstellen. Im Assumed Breach prüfen wir von innen, welche Segmente erreichbar sind und ob unsere Kommunikation nach außen auffällt. Regeln, die auf dem Papier existieren, aber in der Praxis Lücken haben, finden wir auf diesem Weg zuverlässig.