Eine Firewall gehört zu den wichtigsten Sicherheitskomponenten eines Unternehmensnetzwerks.

Trotzdem wird sie gerade in kleinen Unternehmen häufig unterschätzt.

Der Internetanbieter liefert einen Router, der Internetzugang funktioniert und Windows besitzt ebenfalls eine integrierte Firewall. Deshalb stellt sich schnell die Frage:

Braucht ein kleines Unternehmen überhaupt noch eine zusätzliche Firewall?

In vielen Fällen lautet die Antwort:

Ja – insbesondere dann, wenn mehrere Mitarbeiter, Server, NAS-Systeme, VPN-Zugänge, VoIP, Gäste-WLAN oder verschiedene Netzwerkbereiche vorhanden sind.

Eine professionelle Firewall schützt nicht nur den Internetzugang. Sie kann zusätzlich Netzwerkbereiche voneinander trennen, VPN-Verbindungen bereitstellen, mehrere Internetanschlüsse verwalten und Angriffe beziehungsweise verdächtigen Netzwerkverkehr erkennen.

Doch welche Firewall ist für kleine Unternehmen sinnvoll?

Reicht ein UniFi Gateway? Wann lohnt sich pfSense oder OPNsense? Und wann sollte eine klassische Next-Generation-Firewall wie Sophos oder Fortinet eingesetzt werden?

In diesem Ratgeber erklären wir die wichtigsten Unterschiede.

Was ist eine Firewall?

Eine Firewall kontrolliert den Netzwerkverkehr zwischen verschiedenen Netzwerken.

Der klassische Einsatz befindet sich zwischen:

Internet

↓

Firewall

↓

Unternehmensnetzwerk

Die Firewall entscheidet anhand definierter Regeln, welcher Datenverkehr erlaubt beziehungsweise blockiert wird.

Beispielsweise:

Intern → Internet

erlaubt

aber:

Internet → interner Server

blockiert

Eine moderne Unternehmensfirewall übernimmt häufig noch wesentlich mehr Aufgaben.

Dazu können gehören:

• Stateful Firewall
• NAT
• VLAN-Routing
• Netzwerksegmentierung
• VPN
• Site-to-Site-VPN
• IDS/IPS
• Webfilter
• DNS-Filter
• Application Control
• Traffic Management
• Multi-WAN
• SD-WAN
• Logging
• Monitoring
• High Availability

Je nach Firewall unterscheiden sich diese Funktionen deutlich.

Braucht ein kleines Unternehmen wirklich eine Firewall?

Fast jeder Router besitzt bereits eine grundlegende Firewallfunktion.

Für ein sehr kleines Büro mit:

• einem oder zwei Computern,
• keinen Servern,
• keinem NAS,
• keinem VPN,
• ausschließlich Cloudanwendungen

kann die integrierte Router-Firewall technisch zunächst ausreichend sein.

Sobald die Infrastruktur jedoch wächst, ändern sich die Anforderungen.

Beispielsweise:

• mehrere Mitarbeiter
• Server
• NAS
• VoIP
• Kameras
• Gast-WLAN
• IoT-Geräte
• Homeoffice
• mehrere Standorte
• VPN
• Cloud-Backups

Dann sollte das Netzwerk strukturiert aufgebaut und über eine geeignete Business-Firewall kontrolliert werden.

Router oder Business-Firewall?

Ein Router und eine Firewall erfüllen teilweise ähnliche Aufgaben.

Ein typischer Internetrouter übernimmt:

• Internetverbindung
• NAT
• DHCP
• WLAN
• einfache Firewallfunktionen

Eine Business-Firewall bietet darüber hinaus häufig wesentlich umfangreichere Funktionen.

Beispielsweise:

• mehrere VLANs
• detaillierte Firewallregeln
• verschiedene VPN-Verfahren
• Multi-WAN
• IDS/IPS
• detailliertes Logging
• zentrale Verwaltung
• High Availability
• erweiterte Sicherheitsfunktionen

Der Unterschied besteht deshalb weniger darin, ob eine Firewall vorhanden ist, sondern wie viel Kontrolle und Sicherheit sie bietet.

Stateful Firewall – was bedeutet das?

Moderne Firewalls arbeiten normalerweise zustandsorientiert beziehungsweise „stateful“.

Das bedeutet:

Die Firewall betrachtet nicht einfach jedes Datenpaket isoliert.

Sie merkt sich bestehende Verbindungen.

Wenn ein Mitarbeiter beispielsweise eine Webseite öffnet:

PC → Webseite

kennt die Firewall anschließend die dazugehörige Verbindung.

Die Antwortpakete:

Webseite → PC

können entsprechend dieser bestehenden Verbindung akzeptiert werden.

Neue, unerwartete Verbindungen aus dem Internet werden dagegen normalerweise blockiert.

Warum eine Firewall allein nicht reicht

Eine Firewall ist wichtig.

Aber sie ist nur ein Bestandteil eines Sicherheitskonzepts.

Zusätzlich werden beispielsweise benötigt:

• Endpoint Security
• Updates
• MFA
• Backup
• sichere Benutzerrechte
• Passwort-Manager
• E-Mail-Sicherheit
• Mitarbeiterschulung

Eine Firewall kann beispielsweise verhindern, dass unerlaubter Netzwerkverkehr bestimmte Systeme erreicht.

Sie kann jedoch nicht jeden Phishingangriff verhindern.

Klickt ein Mitarbeiter auf eine gefälschte Microsoft-365-Anmeldeseite und gibt dort seine Zugangsdaten ein, reicht eine klassische Netzwerkfirewall allein möglicherweise nicht aus.

Deshalb sollte IT-Sicherheit immer mehrstufig aufgebaut sein.

Welche Arten von Firewalls gibt es?

Für kleine Unternehmen kommen unterschiedliche Ansätze infrage.

1. UniFi Gateway / UniFi Firewall

UniFi Gateways kombinieren Routing, Firewall, VPN und zentrale Netzwerkverwaltung.

Sie eignen sich besonders gut, wenn bereits:

• UniFi Switches
• UniFi Access Points
• UniFi VLANs

eingesetzt werden.

2. pfSense

pfSense ist eine leistungsfähige Firewall- und Routerplattform.

Sie eignet sich besonders für individuelle Netzwerkumgebungen und umfangreichere Firewall-, Routing- und VPN-Anforderungen.

3. OPNsense

OPNsense verfolgt einen ähnlichen Ansatz wie pfSense und bietet eine flexible Firewallplattform auf eigener beziehungsweise geeigneter Appliance-Hardware.

4. Klassische Next-Generation-Firewall

Dazu gehören beispielsweise Lösungen von:

• Sophos
• Fortinet
• Palo Alto Networks
• WatchGuard

Diese Systeme bieten häufig zusätzliche Sicherheitsdienste wie:

• Deep Packet Inspection
• Webfilter
• Application Control
• Malwareanalyse
• Sandboxing
• zentrale Security-Auswertung

Dafür fallen häufig zusätzliche Lizenz- beziehungsweise Subscriptionkosten an.

Was ist eine Next-Generation-Firewall?

Eine klassische Firewall konzentriert sich vor allem auf:

• IP-Adressen
• Ports
• Protokolle
• Verbindungszustände

Eine Next-Generation-Firewall – NGFW erweitert dieses Konzept um zusätzliche Analyse- und Schutzfunktionen.

Beispielsweise:

• Intrusion Prevention
• Anwendungsanalyse
• Webfilter
• TLS Inspection
• Malwareerkennung
• Zero-Day-Analyse
• Benutzeridentifikation

Sophos kombiniert beispielsweise IPS, Web Protection, Application Control und Antivirus in seiner Deep-Packet-Inspection-Engine und bietet zusätzlich Funktionen wie TLS Inspection, Sandboxing und SD-WAN.

Was ist UTM?

UTM steht für:

Unified Threat Management

Der Begriff beschreibt Firewalls, die mehrere Sicherheitsfunktionen in einem System zusammenfassen.

Beispielsweise:

Firewall
+
VPN
+
IPS
+
Webfilter
+
Antivirus
+
Application Control

Inzwischen werden die Begriffe UTM und Next-Generation-Firewall teilweise überschneidend verwendet.

Für ein kleines Unternehmen ist weniger der Marketingbegriff entscheidend.

Wichtiger ist:

Welche Funktionen werden tatsächlich benötigt?

UniFi als Firewall für kleine Unternehmen

UniFi ist besonders interessant für Unternehmen, die ihr Netzwerk vollständig auf der UniFi-Plattform aufbauen möchten.

Eine mögliche Infrastruktur könnte beispielsweise aussehen:

Internet

↓

UniFi Gateway

↓

UniFi Switch

↓

UniFi Access Points

Dadurch können:

• Gateway
• Switches
• WLAN
• VLANs
• Firewall

zentral über die UniFi-Plattform verwaltet werden.

Zone-Based Firewall bei UniFi

Aktuelle UniFi Gateways verwenden eine Zone-Based Firewall.

Dabei werden Netzwerkbereiche in verschiedene Zonen eingeteilt.

Beispielsweise:

External

Internet

Internal

Unternehmensnetzwerk

VPN

Remote- beziehungsweise Site-to-Site-VPN

Hotspot

Gästenetz

DMZ

öffentlich erreichbare Systeme

Zusätzlich können eigene Zonen definiert werden.

Firewallregeln können anschließend zwischen diesen Zonen erstellt werden.

UniFi erlaubt dabei Regeln unter anderem nach IP-Adressen, Protokollen, Anwendungen und Benutzern.

Beispiel für eine UniFi-Netzwerksegmentierung

Ein Unternehmen könnte beispielsweise folgende Netzwerke besitzen:

VLAN 10 – Mitarbeiter

VLAN 20 – Server

VLAN 30 – VoIP

VLAN 40 – Gäste

VLAN 50 – IoT

Anschließend werden Regeln definiert.

Beispielsweise:

Mitarbeiter → Server

bestimmte Dienste erlaubt

Gäste → Server

blockiert

IoT → Mitarbeiter

blockiert

IoT → Internet

eingeschränkt erlaubt

Dadurch wird verhindert, dass automatisch jedes Gerät mit jedem anderen Gerät kommunizieren kann.

Für wen eignet sich eine UniFi Firewall?

UniFi eignet sich besonders gut für:

• kleine und mittelständische Unternehmen
• bereits vorhandene UniFi-Infrastruktur
• mehrere VLANs
• Gäste-WLAN
• Homeoffice-VPN
• mehrere Standorte
• zentrale Netzwerkverwaltung

Der große Vorteil liegt in der Integration.

Firewall, Switch und WLAN können gemeinsam verwaltet werden.

Das reduziert den administrativen Aufwand erheblich.

Ist UniFi eine vollwertige Next-Generation-Firewall?

Das hängt davon ab, was unter „vollwertig“ verstanden wird.

UniFi bietet inzwischen zahlreiche moderne Netzwerk- und Sicherheitsfunktionen.

Eine hoch spezialisierte Security-Appliance von beispielsweise Sophos, Fortinet oder Palo Alto kann jedoch deutlich umfangreichere Funktionen bei:

• Malwareanalyse
• TLS Inspection
• Application Security
• Sandboxing
• Security Reporting
• zentraler Threat Intelligence

bieten.

Deshalb sollte man UniFi nicht allein anhand einer Featureliste mit einer klassischen Enterprise-Security-Plattform vergleichen.

Für viele kleine Unternehmen kann UniFi dennoch völlig ausreichend sein.

pfSense als Firewall für Unternehmen

pfSense ist eine sehr flexible Firewallplattform.

Zu den wesentlichen Funktionen gehören unter anderem:

• Firewallregeln
• NAT
• VLANs
• Multi-WAN
• VPN
• Traffic Shaping
• High Availability
• Monitoring
• Logging
• Routing

Netgate dokumentiert pfSense ausdrücklich als Firewall- und Routerplattform mit VLAN-, Multi-WAN-, VPN-, Traffic-Shaping-, Monitoring- und HA-Funktionen.

Vorteile von pfSense

Die Stärke von pfSense liegt besonders in der Flexibilität.

Komplexe Netzwerkumgebungen lassen sich sehr detailliert konfigurieren.

Beispielsweise:

• mehrere WAN-Verbindungen
• mehrere VLANs
• komplexe Routingregeln
• Policy Routing
• verschiedene VPN-Technologien
• High Availability
• individuelle Firewallregeln

Dadurch eignet sich pfSense auch für deutlich anspruchsvollere Umgebungen.

VPN mit pfSense

pfSense unterstützt verschiedene VPN-Technologien.

Dazu gehören unter anderem:

• IPsec
• OpenVPN
• WireGuard

Netgate empfiehlt IPsec insbesondere für interoperable Site-to-Site-Verbindungen, da es von sehr vielen Firewallprodukten unterstützt wird. OpenVPN und WireGuard können ebenfalls für Remote- und Site-to-Site-Szenarien eingesetzt werden.

WireGuard wird bei pfSense über ein zusätzliches Paket bereitgestellt und ist insbesondere auf einfache Konfiguration und hohe Performance ausgelegt.

pfSense und Multi-WAN

Ein Unternehmen kann beispielsweise zwei Internetleitungen besitzen:

WAN 1

Glasfaser

WAN 2

5G oder DSL

pfSense kann Gateway-Gruppen verwenden, um Failover zwischen mehreren Internetverbindungen umzusetzen.

Fällt die bevorzugte Verbindung aus, kann automatisch eine andere Verbindung verwendet werden.

Das kann beispielsweise wichtig sein für:

• Cloudanwendungen
• VoIP
• Microsoft 365
• Terminalserver
• VPN

pfSense High Availability

Bei geschäftskritischen Standorten kann eine einzelne Firewall selbst zum Ausfallrisiko werden.

pfSense unterstützt deshalb High Availability mit zwei Firewallknoten.

Dabei kann bei Ausfall des primären Systems ein zweites System übernehmen.

Netgate beschreibt dafür stateful Failover sowie Synchronisierung zwischen den Firewallknoten.

Für ein Büro mit fünf Mitarbeitern ist das normalerweise überdimensioniert.

Bei einem Unternehmen, das vollständig von seiner Netzwerkverbindung abhängig ist, kann es dagegen sinnvoll sein.

Nachteile von pfSense

Die Flexibilität bringt einen Nachteil mit sich:

pfSense ist komplexer.

Eine falsch konfigurierte Firewall kann Sicherheitsprobleme verursachen.

Beispielsweise:

• unnötig offene Regeln
• falsch konfigurierte NAT-Regeln
• ungeschützte Managementzugänge
• falsche VLAN-Regeln
• unsichere VPN-Konfiguration

Deshalb ist pfSense besonders dann sinnvoll, wenn entsprechendes Netzwerk-Know-how vorhanden ist beziehungsweise die Firewall professionell betreut wird.

OPNsense als Firewall

OPNsense ist ebenfalls eine flexible Open-Source-Firewallplattform.

Grundsätzlich ähnelt der Einsatzbereich pfSense.

Auch hier können beispielsweise:

• Firewallregeln
• VLANs
• VPN
• Multi-WAN
• IDS/IPS
• Routing

umgesetzt werden.

Ob pfSense oder OPNsense sinnvoller ist, hängt häufig weniger von der reinen Funktionsliste ab als von:

• Erfahrung des Administrators
• vorhandener Infrastruktur
• gewünschtem Support
• Hardware
• eingesetzten Erweiterungen

Für ein Unternehmen sollte vor allem entscheidend sein, welche Plattform langfristig zuverlässig administriert und unterstützt werden kann.

Sophos Firewall für kleine Unternehmen

Sophos bietet mit der XGS-Serie spezielle Firewall-Appliances auch für kleine und verteilte Standorte an.

Die aktuellen Desktopmodelle unterstützen unter anderem:

• Multi-Gigabit-Netzwerk
• IPS
• VPN
• Threat Protection
• TLS Inspection
• optionale Mobilfunkredundanz

Die aktuellen XGS-Desktopmodelle sind ausdrücklich für KMU und Zweigstellen positioniert.

Vorteile klassischer Security-Firewalls

Lösungen wie Sophos können besonders interessant sein, wenn zusätzliche Security-Funktionen wichtig sind.

Beispielsweise:

• Webfilter
• Application Control
• TLS Inspection
• Malwareanalyse
• Sandboxing
• DNS Protection
• ZTNA
• Security Reporting

Sophos kombiniert diese Funktionen zusätzlich mit zentraler Verwaltung über Sophos Central.

Nachteile klassischer Next-Generation-Firewalls

Die umfangreichen Sicherheitsfunktionen haben ihren Preis.

Neben der Hardware können laufende Kosten entstehen für:

• Security-Abonnements
• Threat Protection
• Web Protection
• Sandboxing
• Support
• zentrale Managementfunktionen

Für ein kleines Büro mit fünf Mitarbeitern kann eine solche Lösung deshalb unnötig komplex sein.

Für ein Unternehmen mit hohen Sicherheitsanforderungen kann sie dagegen genau richtig sein.

Welche Firewall ist für 3 bis 5 Mitarbeiter sinnvoll?

Bei sehr kleinen Unternehmen würde ich zunächst die tatsächliche Infrastruktur betrachten.

Beispielsweise:

• 5 Mitarbeiter
• Microsoft 365
• ein NAS
• UniFi WLAN
• keine lokalen Server
• Homeoffice

Hier kann ein geeignetes UniFi Gateway bereits eine sehr gute Lösung darstellen.

Damit lassen sich:

• VLANs
• Gastnetz
• VPN
• Firewallregeln
• Netzwerkverwaltung

zentral umsetzen.

Eine komplexe Enterprise-UTM wäre hier möglicherweise unnötig.

Welche Firewall ist für 10 bis 25 Mitarbeiter sinnvoll?

Ab ungefähr zehn Mitarbeitern steigen häufig die Anforderungen.

Beispielsweise:

• mehrere VLANs
• Server
• NAS
• VoIP
• VPN
• Homeoffice
• mehrere Internetleitungen
• Gäste-WLAN

Hier können sowohl:

• UniFi
• pfSense
• OPNsense
• Sophos

sinnvoll sein.

Die Entscheidung hängt stärker vom gewünschten Sicherheitsniveau und der Netzwerkkomplexität ab.

Welche Firewall ist für 25 bis 50 Mitarbeiter sinnvoll?

Bei 25 bis 50 Mitarbeitern sollte die Firewall bereits genauer dimensioniert werden.

Relevant werden unter anderem:

• Internetgeschwindigkeit
• Anzahl gleichzeitiger Verbindungen
• VPN-Nutzer
• Site-to-Site-VPN
• IDS/IPS
• TLS Inspection
• mehrere Standorte
• 2,5-/10-Gigabit-Netzwerk
• High Availability

Hier kann eine leistungsfähigere pfSense-Appliance oder eine klassische Next-Generation-Firewall sinnvoll sein.

Auch UniFi kann weiterhin passen, sofern dessen Funktionsumfang den Anforderungen entspricht.

Firewall nach Mitarbeiterzahl auswählen?

Die Mitarbeiterzahl allein reicht nicht.

Ein Unternehmen mit fünf Mitarbeitern kann höhere Anforderungen haben als eines mit 30 Mitarbeitern.

Beispielsweise:

Unternehmen A

5 Mitarbeiter
mehrere Server
10 Gbit/s internes Netzwerk
mehrere Standorte
VPN
große Datenmengen

Unternehmen B

30 Mitarbeiter
Microsoft 365
Browseranwendungen
keine Server
kein VPN

Unternehmen A kann die leistungsfähigere Firewall benötigen.

Deshalb sollte eine Firewall nie ausschließlich nach Mitarbeiteranzahl ausgewählt werden.

Firewall nach Internetgeschwindigkeit auswählen

Ein besonders wichtiger Faktor ist die Internetleitung.

Angenommen:

Das Unternehmen besitzt:

1 Gbit/s Glasfaser

Die Firewall schafft zwar:

2 Gbit/s normalen Firewall-Durchsatz

aber nur:

400 Mbit/s mit aktiviertem IDS/IPS.

Dann reduziert die Sicherheitsfunktion möglicherweise effektiv die nutzbare Internetgeschwindigkeit.

Deshalb sollte nicht nur der theoretische Firewall-Durchsatz betrachtet werden.

Wichtig sind beispielsweise:

• Firewall Throughput
• IPS Throughput
• Threat Protection Throughput
• VPN Throughput
• TLS Inspection Throughput

Hersteller veröffentlichen teilweise sehr unterschiedliche Messverfahren.

Deshalb sollten Zahlen verschiedener Hersteller nicht ungeprüft direkt miteinander verglichen werden.

Brauche ich IDS und IPS?

IDS steht für:

Intrusion Detection System

IPS steht für:

Intrusion Prevention System

Ein IDS erkennt verdächtige beziehungsweise bekannte Angriffsmuster.

Ein IPS kann zusätzlich versuchen, entsprechenden Datenverkehr zu blockieren.

Das kann beispielsweise helfen, bekannte Exploits oder verdächtige Netzwerkaktivitäten zu erkennen.

IDS/IPS kann sinnvoll sein.

Es ersetzt jedoch nicht:

• Endpoint Security
• Patchmanagement
• MFA
• sichere Konfiguration

Ein ungepatchter Server wird nicht dadurch sicher, dass lediglich ein IPS davorsteht.

Webfilter – sinnvoll oder unnötig?

Ein Webfilter kann bestimmte Kategorien von Webseiten blockieren.

Beispielsweise:

• Malware
• Phishing
• bekannte gefährliche Domains
• bestimmte Inhaltskategorien

In Unternehmen mit höheren Sicherheitsanforderungen kann das sinnvoll sein.

Allerdings läuft heute sehr viel Internetverkehr verschlüsselt über HTTPS.

Eine tiefere Analyse kann deshalb zusätzliche Maßnahmen wie TLS Inspection erfordern.

Diese bringt wiederum technische, datenschutzrechtliche und organisatorische Fragen mit sich.

DNS-Filter

Eine weitere Möglichkeit besteht darin, gefährliche beziehungsweise unerwünschte Domains bereits auf DNS-Ebene zu blockieren.

Beispielsweise:

Mitarbeiter öffnet:

gefährliche-domain.example

↓

DNS-Anfrage wird geprüft

↓

Domain wird blockiert

DNS-Filter können eine zusätzliche Sicherheitsschicht darstellen.

Sie ersetzen aber ebenfalls keine vollständige Firewall beziehungsweise Endpoint Security.

Netzwerksegmentierung ist wichtiger als viele denken

Eine der wichtigsten Aufgaben einer Business-Firewall ist die Trennung verschiedener Netzwerkbereiche.

Ein Unternehmen könnte beispielsweise besitzen:

VLAN 10 – Mitarbeiter

VLAN 20 – Server

VLAN 30 – VoIP

VLAN 40 – Gäste

VLAN 50 – Kameras

VLAN 60 – IoT

Ohne entsprechende Firewallregeln bringt die reine Erstellung der VLANs allerdings wenig.

Die Firewall muss anschließend festlegen, welche Kommunikation erlaubt ist.

Beispiel für Firewallregeln

Eine mögliche vereinfachte Regelstruktur:

Mitarbeiter → Internet

erlauben

Mitarbeiter → Server

nur benötigte Dienste erlauben

Gäste → Internet

erlauben

Gäste → interne Netze

blockieren

Kameras → Clients

blockieren

IoT → Server

nur definierte Verbindungen erlauben

Damit entsteht das Prinzip:

Nicht automatisch alles erlauben, sondern nur benötigte Kommunikation freigeben.

Was bedeutet „Default Deny“?

Ein Sicherheitsprinzip lautet:

Standardmäßig blockieren und nur explizit benötigte Verbindungen erlauben.

Das wird häufig als:

Default Deny

bezeichnet.

Das Gegenmodell wäre:

Alles erlauben und einzelne problematische Verbindungen blockieren.

Für sensible Netzwerksegmente ist Default Deny in vielen Fällen die sicherere Strategie.

Gast-WLAN unbedingt trennen

Gäste sollten niemals einfach Zugang zum normalen Unternehmensnetzwerk erhalten.

Ein Gastnetz sollte normalerweise:

Internetzugang

haben,

aber keinen Zugriff auf:

• Server
• NAS
• Drucker
• Clients
• Kameras
• Telefonanlage

Die Firewall beziehungsweise Netzwerkplattform setzt diese Trennung technisch durch.

IoT-Geräte separat betreiben

Auch Geräte wie:

• Fernseher
• Kameras
• Lautsprecher
• Türsysteme
• Smart-Home-Komponenten

sollten nicht zwangsläufig im gleichen Netzwerk wie Unternehmenscomputer betrieben werden.

Gerade IoT-Geräte erhalten teilweise über Jahre weniger Sicherheitsupdates.

Ein eigenes VLAN reduziert das mögliche Schadensausmaß, falls ein Gerät kompromittiert wird.

VPN für Homeoffice

Mitarbeiter benötigen möglicherweise Zugriff auf:

• Server
• NAS
• interne Anwendungen
• Terminalserver

Dafür kann ein VPN eingerichtet werden.

Der Mitarbeiter verbindet sich:

Homeoffice-PC

↓

verschlüsselter VPN-Tunnel

↓

Firewall

↓

Unternehmensnetz

Moderne Firewalls unterstützen dafür beispielsweise:

• WireGuard
• OpenVPN
• IPsec

Welche Lösung sinnvoll ist, hängt von Infrastruktur und Anforderungen ab.

VPN ist nicht automatisch sicher

Ein VPN verschlüsselt die Verbindung.

Das bedeutet aber nicht, dass jeder VPN-Benutzer automatisch Zugriff auf das gesamte Netzwerk erhalten sollte.

Beispielsweise kann eine Firewallregel lauten:

VPN-Mitarbeiter

→ Terminalserver

erlaubt

aber:

VPN-Mitarbeiter

→ Managementnetz

blockiert

Auch VPN-Zugänge sollten nach dem Least-Privilege-Prinzip aufgebaut werden.

Site-to-Site VPN

Unternehmen mit mehreren Standorten können ihre Netzwerke über VPN verbinden.

Beispielsweise:

Büro Augsburg

↓

IPsec VPN

↓

Büro München

Die Mitarbeiter können anschließend entsprechend definierter Regeln auf Ressourcen am jeweils anderen Standort zugreifen.

IPsec ist besonders verbreitet für herstellerübergreifende Site-to-Site-Verbindungen. Netgate bezeichnet IPsec aufgrund seiner breiten Unterstützung ausdrücklich als häufig beste Wahl für interoperable Standortverbindungen.

SD-WAN

Bei mehreren Standorten kann zusätzlich SD-WAN interessant werden.

Damit lassen sich Standortverbindungen zentraler und intelligenter verwalten.

Je nach Plattform können mehrere Internetleitungen anhand von Kriterien wie:

• Latenz
• Paketverlust
• Verfügbarkeit

automatisch genutzt beziehungsweise gewechselt werden.

Für ein einzelnes kleines Büro ist SD-WAN häufig nicht notwendig.

Für mehrere Niederlassungen kann es dagegen sehr interessant sein.

Braucht eine Firewall eine feste IP-Adresse?

Nicht zwingend.

Für bestimmte Szenarien ist eine feste öffentliche IP-Adresse jedoch hilfreich.

Beispielsweise:

• Site-to-Site VPN
• externe Dienste
• feste Gegenstellen
• bestimmte Whitelisting-Szenarien

Remote-Access-VPN kann abhängig von der eingesetzten Lösung teilweise auch mit dynamischen Adressen beziehungsweise anderen Mechanismen betrieben werden.

Was ist Multi-WAN?

Multi-WAN bedeutet, dass eine Firewall mehrere Internetverbindungen besitzt.

Beispielsweise:

WAN 1

Glasfaser

WAN 2

DSL

oder:

WAN 2

5G

Fällt WAN 1 aus, kann automatisch WAN 2 verwendet werden.

Das wird als:

Failover

bezeichnet.

Gerade wenn:

• Telefonie
• Microsoft 365
• Cloudanwendungen
• Kassensysteme
• VPN

vom Internet abhängen, kann das sehr sinnvoll sein.

Firewall und VoIP

Eine moderne IP-Telefonanlage ist ebenfalls vom Netzwerk abhängig.

Die Firewall sollte deshalb korrekt für VoIP konfiguriert sein.

Dabei können relevant sein:

• SIP
• RTP
• NAT
• QoS
• VLANs
• Failover

Eine falsch konfigurierte Firewall kann beispielsweise zu:

• einseitiger Sprachübertragung
• Gesprächsabbrüchen
• fehlender Registrierung

führen.

Firewall und Microsoft 365

Auch bei Unternehmen, die fast vollständig Microsoft 365 verwenden, bleibt eine Firewall sinnvoll.

Microsoft schützt zwar seine eigenen Cloudplattformen.

Das Unternehmen besitzt jedoch weiterhin:

• PCs
• Drucker
• WLAN
• IoT
• Gäste
• NAS
• Netzwerkgeräte

Diese Infrastruktur muss ebenfalls geschützt und segmentiert werden.

Cloud bedeutet deshalb nicht:

Keine Firewall mehr notwendig.

Hardware-Firewall oder virtuelle Firewall?

Eine Firewall kann auf eigener Hardware laufen.

Beispielsweise:

dedizierte Appliance

Sie kann aber auch virtualisiert betrieben werden.

Beispielsweise:

Proxmox Host

↓

pfSense VM

Das kann in Rechenzentren oder bestimmten Serverumgebungen sinnvoll sein.

Bei einem normalen Bürostandort bevorzuge ich häufig eine dedizierte Firewall-Appliance.

Warum?

Wenn der Virtualisierungshost:

• neu gestartet wird,
• ausfällt,
• gewartet wird,

fällt sonst möglicherweise gleichzeitig die gesamte Netzwerkverbindung aus.

Firewall im Rechenzentrum

In virtualisierten Rechenzentrumsumgebungen kann eine Firewall als virtuelle Maschine dagegen sehr sinnvoll sein.

Beispielsweise:

Internet

↓

virtuelle pfSense Firewall

↓

Server VLANs

Damit können verschiedene Serverbereiche voneinander getrennt werden.

Hier sollte allerdings darauf geachtet werden, dass:

• Management
• Netzwerkinterfaces
• Virtualisierung
• Firewall

sauber voneinander getrennt aufgebaut sind.

High Availability – zwei Firewalls?

Bei besonders kritischen Unternehmen können zwei Firewalls eingesetzt werden.

Beispielsweise:

Firewall 1 – aktiv

Firewall 2 – Standby

Fällt Firewall 1 aus, übernimmt Firewall 2.

pfSense unterstützt beispielsweise ein solches HA-Konzept mit Stateful Failover.

Ob das sinnvoll ist, hängt davon ab, wie teuer ein Netzwerkausfall für das Unternehmen wäre.

Für ein kleines Büro mit fünf Mitarbeitern lohnt sich HA häufig nicht.

Für einen Produktionsbetrieb oder einen Standort mit 50 Mitarbeitern möglicherweise schon.

Firewall und Backup-Internet zusammen betrachten

Zwei Firewalls bringen wenig Ausfallsicherheit, wenn trotzdem nur eine einzige Internetleitung vorhanden ist.

Umgekehrt bringt eine zweite Internetleitung wenig, wenn die einzige Firewall ausfällt.

Ein vollständiges Hochverfügbarkeitskonzept betrachtet deshalb:

• Firewall
• Switch
• Internet
• Strom
• Provider
• interne Server

gemeinsam.

Welche Anschlüsse sollte eine Firewall besitzen?

Bei Neuanschaffungen sollte auf zukünftige Netzwerkgeschwindigkeiten geachtet werden.

Mögliche Schnittstellen sind:

• 1 Gbit/s RJ45
• 2,5 Gbit/s RJ45
• 10 Gbit/s RJ45
• SFP
• SFP+

Bei einem neuen Glasfaseranschluss mit mehr als 1 Gbit/s bringt beispielsweise eine reine Gigabit-Firewall möglicherweise einen unnötigen Flaschenhals.

Auch aktuelle KMU-Firewalls werden zunehmend mit Multi-Gigabit-Schnittstellen ausgestattet; Sophos verbaut bei seinen XGS-Desktopmodellen der zweiten Generation beispielsweise 2,5-GbE-Ports.

10-Gigabit-Firewall für kleine Unternehmen?

Nicht jedes Unternehmen benötigt 10 Gbit/s.

Wenn jedoch:

• mehrere Gigabit Internet
• schnelle Server
• Standortvernetzung
• große Datenmengen
• 10-Gigabit-Netzwerke

verwendet werden, kann eine Firewall mit entsprechenden Schnittstellen sinnvoll sein.

Dabei darf erneut nicht nur die Portgeschwindigkeit betrachtet werden.

Ein:

10-Gbit/s-Port

bedeutet nicht automatisch:

10 Gbit/s IDS/IPS-Durchsatz.

Firewall-Performance richtig dimensionieren

Bei der Auswahl sollten mindestens geprüft werden:

• Internetgeschwindigkeit
• Anzahl der Benutzer
• Anzahl VLANs
• VPN
• VPN-Nutzer
• Site-to-Site-Tunnel
• IDS/IPS
• Webfilter
• TLS Inspection
• Anzahl der Verbindungen
• geplantes Wachstum

Die Firewall sollte nicht bereits am ersten Tag an ihrer Leistungsgrenze arbeiten.

Firewall ohne laufende Lizenz?

Das hängt von der Plattform ab.

Lösungen wie pfSense oder OPNsense können sehr viele Netzwerkfunktionen ohne klassisches Security-Abonnement bereitstellen.

Bei klassischen Next-Generation-Firewalls sind zusätzliche Security-Dienste häufig an laufende Subscriptions gebunden.

Beispielsweise:

• Threat Intelligence
• Webfilter
• Sandboxing
• Antivirus
• Support

Deshalb sollte beim Preisvergleich nicht nur der Kaufpreis der Hardware betrachtet werden.

Was kostet eine Firewall für kleine Unternehmen?

Die Kosten bestehen typischerweise aus mehreren Bestandteilen:

Hardware

Firewall-Appliance

Einrichtung

• Internet
• VLANs
• Firewallregeln
• VPN
• Multi-WAN
• Dokumentation

Lizenzen

gegebenenfalls:

• Security Subscription
• Support
• Cloudmanagement

Laufende Betreuung

• Updates
• Monitoring
• Änderungen
• Konfigurationsbackup
• Support

Eine günstige Firewall, die jahrelang niemand aktualisiert, ist keine gute Sicherheitslösung.

Muss eine Firewall gewartet werden?

Ja.

Eine Firewall ist ein Netzwerkcomputer mit Betriebssystem und Software.

Sie benötigt:

• Sicherheitsupdates
• Firmwareupdates
• Konfigurationsbackups
• Überwachung
• regelmäßige Überprüfung der Regeln

Auch alte Regeln sollten kontrolliert werden.

Ein Port, der vor fünf Jahren für einen ehemaligen Server freigeschaltet wurde, sollte nicht unbegrenzt bestehen bleiben.

Managementoberfläche niemals offen ins Internet?

Die Managementoberfläche einer Firewall sollte grundsätzlich nicht unnötig direkt aus dem Internet erreichbar sein.

Besser sind beispielsweise:

• Management über VPN
• dediziertes Managementnetz
• eingeschränkte Admin-IP-Adressen
• MFA, wenn unterstützt

Die Firewall ist eine der kritischsten Komponenten im gesamten Netzwerk.

Ihr Administrationszugang sollte entsprechend geschützt werden.

Portfreigaben möglichst vermeiden

Eine klassische Portfreigabe macht einen internen Dienst aus dem Internet erreichbar.

Beispielsweise:

Internet

→ Port 3389

→ Windows Server

Gerade Remote Desktop sollte normalerweise nicht einfach direkt über das Internet veröffentlicht werden.

Besser sind beispielsweise:

• VPN
• Remote Desktop Gateway
• ZTNA
• andere abgesicherte Remotezugriffslösungen

Jede Portfreigabe sollte bewusst begründet werden.

Muss eine Firewall protokollieren?

Logging ist wichtig, um Probleme nachvollziehen zu können.

Beispielsweise:

• Warum wird eine Verbindung blockiert?
• Welches Gerät erzeugt ungewöhnlich viel Datenverkehr?
• Hat ein VPN-Tunnel Probleme?
• Welche Regel greift?

Allerdings können Logdaten ebenfalls personenbezogene Informationen enthalten.

Speicherdauer und Zugriff sollten deshalb sinnvoll geregelt werden.

Firewall-Regeln dokumentieren

Eine gute Firewallkonfiguration sollte nachvollziehbar sein.

Beispielsweise:

Allow_Client_to_Server_HTTPS

ist besser als:

Rule 17

Bei komplexeren Umgebungen sollten dokumentiert werden:

• Quelle
• Ziel
• Port
• Zweck
• verantwortliches System
• Datum

Damit lässt sich später nachvollziehen, warum eine Regel überhaupt existiert.

Häufige Firewall-Fehler in kleinen Unternehmen

Alles im selben Netzwerk

Clients, Server, Kameras und Gäste können miteinander kommunizieren.

„Any to Any“-Regeln

VLANs existieren zwar, aber die Firewall erlaubt trotzdem alles zwischen ihnen.

Management aus dem Internet erreichbar

Ein unnötiges Sicherheitsrisiko.

Keine Updates

Die Firewall läuft jahrelang mit veralteter Software.

Zu schwache Hardware

IDS/IPS reduziert die Internetgeschwindigkeit massiv.

Keine Konfigurationssicherung

Bei einem Hardwaredefekt muss die Firewall komplett neu aufgebaut werden.

VPN-Benutzer dürfen alles

Remote-Benutzer erhalten unnötigen Zugriff auf das gesamte Netzwerk.

Zu viele Portfreigaben

Interne Systeme werden direkt aus dem Internet erreichbar gemacht.

Keine Dokumentation

Niemand weiß später, warum bestimmte Regeln existieren.

UniFi oder pfSense – was ist besser?

Beide Systeme verfolgen unterschiedliche Schwerpunkte.

UniFi

Besonders interessant für:

• einfache zentrale Verwaltung
• UniFi Switches
• UniFi WLAN
• übersichtliche VLAN-Strukturen
• kleine und mittelständische Unternehmen

pfSense

Besonders interessant für:

• komplexes Routing
• umfangreiche VPN-Szenarien
• Multi-WAN
• individuelle Firewallregeln
• High Availability
• anspruchsvolle Netzwerkumgebungen

Es gibt deshalb keinen generellen Gewinner.

Ein Unternehmen mit fünf Mitarbeitern und komplettem UniFi-Netzwerk kann mit einem UniFi Gateway besser bedient sein als mit einer komplexen pfSense-Installation.

Ein Unternehmen mit mehreren Providern, zahlreichen VPN-Tunneln und komplexem Routing kann dagegen stark von pfSense profitieren.

UniFi oder Sophos?

Auch hier hängt es von den Anforderungen ab.

UniFi punktet besonders bei:

• Integration
• Netzwerkverwaltung
• WLAN
• Switches
• einfacher Administration

Sophos legt deutlich mehr Schwerpunkt auf zusätzliche Security-Funktionen wie:

• Deep Packet Inspection
• TLS Inspection
• Sandboxing
• Web Protection
• Application Control
• Threat Intelligence

Diese Funktionen sind allerdings mit zusätzlichen Kosten und höherer Komplexität verbunden.

Welche Firewall würde ich für ein kleines Unternehmen wählen?

Als grobe Orientierung:

3–10 Mitarbeiter

Bei normalem Büro, Microsoft 365, NAS und UniFi WLAN:

UniFi Gateway häufig sehr sinnvoll

10–25 Mitarbeiter

Bei mehreren VLANs, Servern, VPN und mehreren Leitungen:

UniFi, pfSense oder OPNsense abhängig von Anforderungen

25–50 Mitarbeiter

Bei komplexeren Netzwerken:

leistungsfähiges UniFi Gateway, pfSense/OPNsense oder NGFW

Höhere Sicherheitsanforderungen

Beispielsweise bei:

• sensiblen Daten
• umfangreichem Webfilter
• TLS Inspection
• zentralem Threat Management

klassische NGFW wie Sophos/Fortinet prüfen

Das ist jedoch nur eine Orientierung.

Die tatsächliche Auswahl sollte anhand der Infrastruktur erfolgen.

Checkliste: Welche Firewall braucht mein Unternehmen?

Vor der Auswahl sollten folgende Fragen beantwortet werden:

Internet

• Welche Geschwindigkeit besitzt die Internetleitung?
• Ist Glasfaser vorhanden?
• Gibt es eine zweite Leitung?
• Wird mehr als 1 Gbit/s benötigt?

Benutzer

• Wie viele Mitarbeiter gibt es?
• Wie viele Geräte verwenden das Netzwerk?
• Wie viele arbeiten im Homeoffice?

Netzwerk

• Wie viele VLANs gibt es?
• Gibt es Gäste-WLAN?
• Gibt es IoT-Geräte?
• Gibt es Kameras?

Server

• Gibt es lokale Server?
• Gibt es ein NAS?
• Gibt es Terminalserver?

VPN

• Remote Access?
• Site-to-Site?
• Wie viele Benutzer?
• Wie viele Standorte?

Sicherheit

• IDS/IPS?
• Webfilter?
• DNS-Filter?
• Application Control?
• TLS Inspection?

Verfügbarkeit

• Multi-WAN?
• 5G-Fallback?
• High Availability?

Management

• Wer wartet die Firewall?
• Wie werden Updates installiert?
• Gibt es Monitoring?
• Gibt es Konfigurationsbackups?

Erst danach sollte das konkrete Modell gewählt werden.

Fazit: Firewall für kleine Unternehmen

Eine professionelle Firewall ist für kleine Unternehmen spätestens dann sinnvoll, wenn die IT-Infrastruktur über einige wenige einfache Arbeitsplatzgeräte hinausgeht.

Besonders relevant wird sie bei:

• mehreren Mitarbeitern
• Servern
• NAS
• VLANs
• Gäste-WLAN
• VoIP
• Homeoffice
• VPN
• mehreren Standorten
• mehreren Internetleitungen

Dabei gibt es nicht die eine perfekte Firewall.

UniFi eignet sich besonders gut für integrierte und übersichtlich verwaltbare Unternehmensnetzwerke.

pfSense und OPNsense bieten sehr hohe Flexibilität für anspruchsvollere Netzwerk- und VPN-Szenarien.

Sophos, Fortinet und andere Next-Generation-Firewalls bieten zusätzliche Security-Funktionen für Unternehmen mit höheren Schutzanforderungen.

Entscheidend ist deshalb nicht:

Welche Firewall hat die längste Featureliste?

Sondern:

Welche Firewall passt zu Netzwerk, Sicherheitsanforderungen und Administrationsaufwand des Unternehmens?

Firewall für Ihr Unternehmen planen und einrichten

Sie möchten Ihr Unternehmensnetzwerk absichern oder Ihre bestehende Router-/Firewalllösung ersetzen?

Unetifi unterstützt kleine und mittelständische Unternehmen bei der Planung, Einrichtung und laufenden Betreuung professioneller Firewall- und Netzwerklösungen.

Dazu können unter anderem gehören:

• UniFi Gateways
• pfSense
• OPNsense
• VLAN-Konzeption
• Netzwerksegmentierung
• Firewallregeln
• VPN
• Site-to-Site-VPN
• Homeoffice
• Multi-WAN
• Internet-Failover
• 5G-Fallback
• IDS/IPS
• Standortvernetzung
• Monitoring
• Konfigurationsbackup
• laufende Wartung

Dabei betrachten wir die Firewall nicht isoliert, sondern gemeinsam mit Netzwerk, WLAN, Servern, NAS, Microsoft 365 und den Anforderungen Ihrer Mitarbeiter.

So entsteht eine Firewallkonfiguration, die nicht nur sicher ist, sondern auch langfristig administrierbar bleibt.

Häufig gestellte Fragen zu Firewalls für kleine Unternehmen

Braucht ein kleines Unternehmen eine Firewall?

In den meisten Unternehmensnetzwerken ja. Ein Internetrouter besitzt zwar bereits grundlegende Firewallfunktionen, eine Business-Firewall ermöglicht jedoch deutlich bessere Netzwerksegmentierung, VPN, VLANs, Logging und zusätzliche Sicherheitsfunktionen.

Welche Firewall eignet sich für kleine Unternehmen?

Das hängt von der Infrastruktur ab. UniFi eignet sich besonders für Unternehmen mit UniFi-Netzwerkkomponenten. pfSense und OPNsense sind sehr flexibel für komplexere Netzwerke. Next-Generation-Firewalls wie Sophos bieten zusätzliche Security-Funktionen.

Reicht die Firewall im Router?

Für sehr kleine und einfache Netzwerke kann sie ausreichend sein. Sobald Server, NAS, VPN, Gast-WLAN, verschiedene VLANs oder mehrere Standorte vorhanden sind, ist eine professionelle Firewall häufig sinnvoller.

Ist UniFi eine gute Firewall für Unternehmen?

Für viele kleine und mittelständische Unternehmen ja. UniFi bietet Firewall-, VLAN-, VPN- und Netzwerkfunktionen in einer zentral verwalteten Plattform. Bei sehr hohen Security-Anforderungen kann eine spezialisierte Next-Generation-Firewall jedoch zusätzliche Funktionen bieten.

Ist pfSense für Unternehmen geeignet?

Ja. pfSense unterstützt unter anderem VLANs, Multi-WAN, IPsec, OpenVPN, WireGuard und High Availability und eignet sich deshalb auch für anspruchsvolle Unternehmensnetzwerke.

Was ist besser – UniFi oder pfSense?

UniFi ist häufig einfacher zu verwalten und besonders attraktiv, wenn bereits UniFi Switches und Access Points vorhanden sind. pfSense bietet mehr Flexibilität bei komplexem Routing, VPN, Multi-WAN und High Availability.

Braucht ein Unternehmen IDS/IPS?

Nicht zwingend, aber es kann eine zusätzliche Sicherheitsschicht darstellen. IDS/IPS erkennt beziehungsweise blockiert bekannte verdächtige Netzwerkaktivitäten. Es ersetzt jedoch weder Endpoint Security noch Patchmanagement oder MFA.

Brauche ich VPN trotz Microsoft 365?

Wenn ausschließlich Microsoft-365-Cloudanwendungen verwendet werden, möglicherweise nicht. Für Zugriff auf interne Server, NAS-Systeme oder andere lokale Anwendungen kann ein VPN weiterhin erforderlich sein.

Sollte das Gast-WLAN ein eigenes VLAN haben?

Ja. Gäste sollten normalerweise ausschließlich Internetzugang erhalten und keinen Zugriff auf interne Clients, Server oder NAS-Systeme besitzen.

Was ist Multi-WAN?

Bei Multi-WAN besitzt die Firewall mehrere Internetanschlüsse. Fällt beispielsweise die Glasfaserleitung aus, kann eine zweite DSL- oder 5G-Verbindung übernehmen.

Wie leistungsfähig muss eine Firewall sein?

Das hängt nicht nur von der Mitarbeiterzahl ab. Besonders wichtig sind Internetgeschwindigkeit, IDS/IPS, VPN, TLS Inspection, Anzahl der Verbindungen und geplantes Wachstum.

Braucht eine Firewall regelmäßige Updates?

Ja. Firewallsoftware sollte regelmäßig aktualisiert werden. Zusätzlich sollten Konfiguration, Firewallregeln, VPN-Zugänge und Backups regelmäßig überprüft werden.