„Wir haben doch eine Firewall, die ist im Router drin.“ Diesen Satz hören wir oft, wenn wir in kleinen Unternehmen zum ersten Mal das Netzwerk anschauen. Technisch stimmt das sogar: Fast jeder Internetrouter filtert eingehende Verbindungen. Ob das als Firewall für KMU genügt, ist aber eine andere Frage. Wir erklären, welche Funktionen eine Firewall im kleinen Betrieb wirklich braucht, welche nett, aber verzichtbar sind, und warum die beste Hardware nichts nützt, wenn sie niemand pflegt.
Router oder echte Firewall?
Ein handelsüblicher Router trennt Ihr internes Netz vom Internet und lässt von außen grundsätzlich nichts herein, was nicht ausdrücklich freigegeben ist. Für ein Zwei-Personen-Büro ohne Server und mit allen Daten in Cloud-Diensten kann das ausreichen, wenn der Router aktuell gehalten wird. Sobald aber einer dieser Punkte zutrifft, lohnt sich eine eigene Firewall:
- Sie betreiben einen Server, eine Telefonanlage oder Kameras im Haus.
- Mitarbeitende arbeiten von zu Hause oder unterwegs und brauchen Zugriff auf interne Systeme.
- Es gibt Bereiche, die voneinander getrennt sein sollten, etwa Büro, Produktion, Gäste-WLAN und Kassensysteme.
- Sie müssen gegenüber Kunden, Versicherern oder Auditoren nachweisen, wie Ihr Netzwerk geschützt ist.
Was eine Firewall für KMU können muss
Die folgenden Funktionen betrachten wir bei Kunden als Pflicht. Moderne Geräte für kleine Unternehmen bringen sie in aller Regel mit, oft unter dem Namen „Next Generation Firewall“ oder „UTM“.
| Funktion | Wozu? | Pflicht oder Kür |
|---|---|---|
| Zustandsbehaftete Paketfilterung | Grundschutz: Nur erlaubte Verbindungen kommen durch | Pflicht |
| Netzsegmentierung (VLANs, Zonen) | Gäste, Produktion, Büro und Server trennen | Pflicht |
| VPN für Fernzugriff | Sicherer Zugriff aus dem Homeoffice | Pflicht, sobald jemand von außen arbeitet |
| Regelmäßige Firmware-Updates | Sicherheitslücken in der Firewall selbst schließen | Pflicht |
| Protokollierung und Warnmeldungen | Erkennen, dass etwas nicht stimmt | Pflicht |
| Intrusion Prevention (IPS) | Bekannte Angriffsmuster blockieren | dringend empfohlen |
| Web- und DNS-Filter | Bekannte Schadseiten blockieren | empfohlen |
| Anwendungserkennung | Regeln nach Anwendung statt nach Port | sinnvoll |
| Hochverfügbarkeit mit zweitem Gerät | Betrieb läuft weiter, wenn eine Firewall ausfällt | Kür, je nach Ausfallrisiko |
Segmentierung: Der unterschätzte Hebel
Wenn wir nur einen Tipp geben dürften, wäre es dieser: Trennen Sie Ihr Netz in Bereiche. Das Gäste-WLAN hat im Büronetz nichts verloren, die Kaffeemaschine mit App-Anbindung nichts im Servernetz und die Maschine in der Werkstatt mit ihrem veralteten Steuerungs-PC schon gar nichts in der Buchhaltung. Wird ein Gerät kompromittiert, bleibt der Schaden auf seinen Bereich begrenzt. Viele Angriffe mit Verschlüsselungstrojanern wären deutlich glimpflicher verlaufen, wenn sich die Schadsoftware nicht ungehindert im ganzen Netz hätte ausbreiten können.
VPN: Sicher, aber bitte mit zweitem Faktor
Fernzugriff gehört über ein VPN abgewickelt, nicht über freigegebene Ports für den Remote-Desktop. Und das VPN gehört mit einem zweiten Faktor abgesichert, etwa einer App auf dem Smartphone. Zugangsdaten werden gestohlen, erraten oder in Phishing-Mails abgefischt. Ein zweiter Faktor macht sie für Angreifer weitgehend wertlos.
Woran es in der Praxis hapert
Die meisten Probleme, die wir sehen, liegen nicht an fehlenden Funktionen, sondern am Betrieb:
- Keine Updates: Firewalls sind selbst ein beliebtes Angriffsziel. In den vergangenen Jahren gab es bei mehreren großen Herstellern kritische Lücken in VPN-Komponenten. Wer Updates nicht zeitnah einspielt, öffnet Angreifern die Tür, die eigentlich geschlossen sein sollte.
- Abgelaufene Lizenzen: Viele Funktionen wie IPS und Webfilter laufen über Abonnements. Läuft die Lizenz aus, arbeitet die Firewall oft weiter, aber ohne aktuelle Signaturen. Das merkt niemand, bis es zu spät ist.
- Regel-Wildwuchs: Jede Ausnahme, die vor Jahren „nur kurz zum Testen“ angelegt wurde, ist noch da. Ein jährlicher Regel-Check gehört zur Pflege.
- Niemand schaut in die Protokolle: Warnungen gehen an ein Postfach, das niemand liest. Legen Sie fest, wer Meldungen bekommt und was dann passiert.
- Standardpasswort für die Verwaltung: Kommt seltener vor als früher, aber es kommt vor.
Checkliste: Ist Ihre Firewall in Form?
- Wissen Sie, welches Modell im Einsatz ist und bis wann der Hersteller es mit Updates versorgt?
- Ist die aktuelle Firmware installiert?
- Laufen alle Sicherheitslizenzen noch mindestens drei Monate?
- Ist das Gäste-WLAN vom Firmennetz getrennt?
- Erfolgt der Fernzugriff ausschließlich über VPN mit zweitem Faktor?
- Ist die Verwaltungsoberfläche nur aus dem internen Netz erreichbar?
- Gibt es eine aktuelle Sicherung der Konfiguration?
- Bekommt eine verantwortliche Person Warnmeldungen, und liest sie diese?
- Wurden die Regeln im letzten Jahr überprüft und alte Ausnahmen entfernt?
Wenn Sie mehr als zwei Fragen mit „Nein“ oder „weiß nicht“ beantworten, lohnt sich ein genauerer Blick.
Und was ist mit NIS2?
Die europäische NIS2-Richtlinie soll in Deutschland mit einem eigenen Gesetz umgesetzt werden, das derzeit im Bundestag beraten wird. Ob Ihr Betrieb direkt betroffen ist, hängt von Branche und Größe ab. Unabhängig davon verlangen große Kunden zunehmend Nachweise über IT-Sicherheitsmaßnahmen von ihren Zulieferern. Eine gut gepflegte Firewall mit dokumentierter Konfiguration ist dafür eine solide Grundlage.
Wir helfen Ihnen gerne
Sie möchten wissen, ob Ihre Firewall noch zu Ihrem Betrieb passt, oder brauchen eine neue Lösung samt Einrichtung und Pflege? Das IT-Team der Mittelstandsoptimierer prüft Ihre bestehende Konfiguration, empfiehlt eine passende Firewall für KMU und übernimmt auf Wunsch Updates und Überwachung. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
