Firewall für Unternehmen: Warum eine FRITZ!Box allein kein Sicherheitskonzept ersetzt

Fast jedes Unternehmen benötigt heute eine Verbindung zum Internet. Gleichzeitig befinden sich im internen Netzwerk immer mehr Systeme, die für den laufenden Betrieb wichtig sind: Arbeitsplätze, Server, Drucker, Kassensysteme, Telefonie, WLAN, Kameras, Maschinen oder cloudbasierte Dienste.

Für kleine und einfache Umgebungen kann ein klassischer Internetrouter vollkommen ausreichend sein. Sobald jedoch mehrere Netzwerkbereiche, Server, externe Zugriffe, VPN-Verbindungen oder geschäftskritische Anwendungen hinzukommen, steigen die Anforderungen deutlich.

Eine professionelle Netzwerkinfrastruktur besteht deshalb nicht nur aus einem Internetanschluss und einem Router. Die Firewall wird zu einem zentralen Bestandteil des Sicherheits- und Netzwerkkonzepts.

Ist eine FRITZ!Box unsicher?

Nein. Eine FRITZ!Box ist nicht grundsätzlich unsicher und erfüllt in vielen privaten oder kleinen Umgebungen ihren Zweck sehr gut.

Das eigentliche Problem entsteht, wenn von einem klassischen Router Funktionen erwartet werden, für die professionelle Unternehmensfirewalls entwickelt wurden.

Dabei geht es weniger darum, ein bestimmtes Gerät als gut oder schlecht einzustufen. Entscheidend ist vielmehr, ob die vorhandene Lösung zu den Anforderungen des Unternehmens passt.

Ein kleiner Betrieb mit wenigen Arbeitsplätzen und ohne lokale Server hat beispielsweise andere Anforderungen als ein Unternehmen mit mehreren VLANs, VPN-Verbindungen, geschäftskritischen Servern und mehreren Standorten.

Router und Firewall erfüllen unterschiedliche Aufgaben

Ein Internetrouter stellt in erster Linie die Verbindung zwischen dem lokalen Netzwerk und dem Internet her. Dazu übernimmt er typischerweise Routing, NAT, DHCP und weitere grundlegende Netzwerkfunktionen.

Eine Unternehmensfirewall geht darüber hinaus. Sie ermöglicht wesentlich detaillierter zu definieren, welche Systeme miteinander kommunizieren dürfen und welche Verbindungen blockiert oder überwacht werden sollen.

Damit wird die Firewall nicht nur zum Übergang ins Internet, sondern zu einem zentralen Kontrollpunkt innerhalb der gesamten IT-Infrastruktur.

Netztrennung ist einer der wichtigsten Unterschiede

In einem modernen Unternehmensnetzwerk sollten nicht automatisch alle Geräte miteinander kommunizieren können.

Ein Arbeitsplatz benötigt beispielsweise normalerweise keinen direkten Zugriff auf Management-Schnittstellen von Switches, Access Points oder Serverhardware.

Ebenso sollten Geräte wie Kameras, Drucker, Gäste-WLAN oder technische Systeme nicht unkontrolliert Zugriff auf geschäftskritische Server erhalten.

Dafür werden unterschiedliche Netzwerkbereiche eingerichtet und häufig über VLANs voneinander getrennt.

Mehr zu diesem Thema erklären wir ausführlich im Beitrag VLANs und Netztrennung in Unternehmen.

Eine Firewall kontrolliert die Kommunikation zwischen VLANs

VLANs allein sorgen zunächst dafür, dass unterschiedliche Netzwerkbereiche logisch voneinander getrennt werden.

Die Firewall entscheidet anschließend, welche Kommunikation zwischen diesen Bereichen erlaubt wird.

Ein Unternehmen könnte beispielsweise folgende Netze betreiben:

• Server-Netzwerk
• Arbeitsplätze
• Management-Netzwerk
• VoIP-Telefonie
• Drucker und sonstige Geräte
• Gäste-WLAN
• IoT- oder technische Geräte

Anschließend werden gezielt nur jene Verbindungen erlaubt, die tatsächlich benötigt werden.

Das Gäste-WLAN darf beispielsweise das Internet erreichen, aber keine internen Server. Arbeitsplätze dürfen bestimmte Dienste eines Servers verwenden, benötigen aber keinen vollständigen Zugriff auf dessen gesamte Netzwerkumgebung.

Das Prinzip des geringstmöglichen Zugriffs

Eine gute Firewall-Konfiguration folgt möglichst dem Prinzip, nur jene Kommunikation zuzulassen, die für den Betrieb tatsächlich notwendig ist.

Damit wird vermieden, dass ein kompromittiertes oder fehlerhaftes Gerät automatisch ungehindert auf alle anderen Systeme im Netzwerk zugreifen kann.

Dieses Prinzip wird häufig als Least Privilege bezeichnet und spielt nicht nur bei Benutzerrechten, sondern auch bei Netzwerken eine wichtige Rolle.

Je kleiner die erlaubte Kommunikationsfläche zwischen unterschiedlichen Systemen ist, desto besser lassen sich mögliche Sicherheitsprobleme begrenzen.

Eine Firewall kann wesentlich detailliertere Regeln abbilden

Professionelle Unternehmensfirewalls erlauben Regeln anhand unterschiedlicher Kriterien.

Dazu können beispielsweise gehören:

• Quell- und Zielnetzwerk
• einzelne IP-Adressen oder Systeme
• Ports und Protokolle
• VPN-Verbindungen
• bestimmte Netzwerkzonen
• teilweise Anwendungen oder Kategorien
• zeitliche Einschränkungen

Welche dieser Funktionen tatsächlich notwendig sind, hängt immer vom jeweiligen Unternehmen ab.

Eine Firewall wird nicht dadurch besser, dass möglichst viele Funktionen aktiviert werden. Entscheidend ist eine nachvollziehbare Konfiguration, die zur vorhandenen Infrastruktur passt.

VPN-Zugänge müssen kontrolliert werden

Viele Unternehmen benötigen Zugriff auf interne Systeme von außerhalb des Standorts. Dafür werden häufig VPN-Verbindungen eingesetzt.

Eine professionelle Firewall kann dabei als zentraler VPN-Endpunkt dienen und genau steuern, welche externen Benutzer oder Standorte auf welche internen Systeme zugreifen dürfen.

Dabei sollte ein VPN nicht als pauschaler Zugang zum gesamten Unternehmensnetz betrachtet werden.

Auch hier gilt: Ein Benutzer sollte nur jene Systeme erreichen können, die für seine Aufgabe benötigt werden.

Standortvernetzung ist mehr als ein einfacher Fernzugriff

Unternehmen mit mehreren Standorten benötigen häufig dauerhaft verschlüsselte Verbindungen zwischen unterschiedlichen Netzwerken.

Über Site-to-Site-VPNs können beispielsweise zwei Niederlassungen miteinander verbunden werden.

Die Firewall übernimmt dabei nicht nur die Verschlüsselung, sondern auch Routing und Zugriffskontrolle zwischen den jeweiligen Netzwerken.

Gerade bei mehreren Standorten wird deshalb eine strukturierte Netzwerkplanung wichtig.

Logging hilft bei der Fehlersuche

Eine Firewall ist nicht nur ein Sicherheitsprodukt. Sie kann auch ein wichtiges Werkzeug für die technische Fehlersuche sein.

Wenn eine Anwendung einen bestimmten Server nicht mehr erreicht, kann anhand von Firewall-Logs beispielsweise geprüft werden, ob eine Verbindung blockiert wurde oder überhaupt an der Firewall angekommen ist.

Das kann insbesondere bei komplexeren Umgebungen erheblich Zeit sparen.

Ohne nachvollziehbare Protokollierung bleibt bei vielen Netzwerkproblemen dagegen nur die Vermutung, welche Komponente eine Verbindung verhindert.

Monitoring macht Probleme sichtbar, bevor sie zum Totalausfall werden

Bei geschäftskritischen Netzwerkkomponenten reicht es nicht immer aus, erst dann zu reagieren, wenn Mitarbeiter keine Verbindung mehr haben.

Je nach eingesetzter Infrastruktur können Firewall, Internetanbindung, VPN-Tunnel oder andere zentrale Dienste überwacht werden.

Dadurch lassen sich bestimmte Probleme früher erkennen und gezielter analysieren.

Eine solche laufende Überwachung ist auch Bestandteil einer Managed-Infrastructure-Strategie, bei der besonders kritische Systeme regelmäßig kontrolliert und gewartet werden.

Die Firewall sollte regelmäßig aktualisiert werden

Eine Firewall ist direkt oder indirekt mit externen Netzwerken verbunden und gehört damit zu den besonders wichtigen Komponenten einer Unternehmensinfrastruktur.

Firmware- und Sicherheitsupdates sollten deshalb nicht jahrelang ignoriert werden. Gleichzeitig müssen Änderungen kontrolliert durchgeführt werden, insbesondere wenn VPN-Verbindungen, Routing oder andere geschäftskritische Funktionen davon abhängig sind.

Zur laufenden Wartung einer IT-Infrastruktur gehört deshalb auch die Pflege zentraler Netzwerkkomponenten.

Auch die Konfiguration einer Firewall muss gesichert werden

Ein Hardwaredefekt lässt sich niemals vollständig ausschließen.

Wenn eine zentrale Firewall ausfällt, kann davon unmittelbar die Internetverbindung, Standortvernetzung, VPN oder Kommunikation zwischen verschiedenen Netzwerkbereichen betroffen sein.

Deshalb sollten aktuelle Sicherungen der Konfiguration vorhanden sein.

Im Idealfall ist außerdem dokumentiert, welche Internetzugänge, VLANs, VPN-Verbindungen und besonderen Regeln auf dem System eingerichtet sind.

Solche Informationen gehören auch in einen IT-Notfallplan für Unternehmen.

Was passiert bei einem Firewall-Ausfall?

Da die Firewall häufig zwischen mehreren zentralen Bereichen des Netzwerks steht, kann ein Ausfall große Teile der Unternehmens-IT beeinträchtigen.

Je nach Aufbau können beispielsweise folgende Funktionen gleichzeitig betroffen sein:

• Internetzugang
• VPN für externe Mitarbeiter
• Standortvernetzung
• Routing zwischen VLANs
• Zugriff auf Cloud-Dienste
• VoIP-Telefonie

Bei entsprechend kritischen Umgebungen sollte deshalb bereits vor einem Ausfall geklärt sein, wie schnell Ersatzhardware verfügbar ist und wie eine vorhandene Konfiguration wiederhergestellt werden kann.

Mehr Funktionen bedeuten nicht automatisch mehr Sicherheit

Moderne Firewalls können zahlreiche zusätzliche Sicherheitsfunktionen bereitstellen. Dazu können je nach Hersteller und Produkt beispielsweise Angriffserkennung, Webfilterung oder weitere Analysefunktionen gehören.

Solche Funktionen können sinnvoll sein, ersetzen jedoch keine saubere Grundarchitektur.

Eine schlecht strukturierte Infrastruktur wird nicht automatisch sicher, nur weil eine teure Firewall davorsteht.

Netztrennung, sichere Benutzerkonten, regelmäßige Updates, Backups und nachvollziehbare Berechtigungen bleiben weiterhin notwendig.

Weitere Informationen zu diesem Gesamtbereich finden Sie unter IT-Sicherheit & Backup.

Auch eine professionelle Firewall muss richtig konfiguriert werden

Ein häufig unterschätzter Punkt ist die Konfiguration selbst.

Eine leistungsfähige Unternehmensfirewall bringt wenig, wenn beispielsweise alle Netzwerkbereiche pauschal miteinander kommunizieren dürfen oder dauerhaft unnötige Freigaben eingerichtet sind.

Firewall-Regeln sollten deshalb nachvollziehbar aufgebaut und regelmäßig überprüft werden.

Nicht mehr benötigte Freigaben sollten entfernt und neue Regeln möglichst konkret definiert werden.

Eine Firewall ersetzt keine Endpoint-Sicherheit

Die Firewall ist nur eine Sicherheitsschicht innerhalb einer gesamten IT-Umgebung.

Sie ersetzt weder aktuelle Betriebssysteme noch sichere Benutzerkonten, Mehr-Faktor-Authentifizierung oder eine geeignete Absicherung der Endgeräte.

Gerade bei cloudbasierten Diensten verlassen Daten und Benutzer regelmäßig das klassische Unternehmensnetzwerk.

Deshalb muss Netzwerksicherheit mit weiteren Sicherheitsmaßnahmen kombiniert werden.

Bei Microsoft 365 spielt beispielsweise die Absicherung der Identitäten eine besonders wichtige Rolle. Mehr dazu erklären wir im Beitrag Microsoft 365 mit MFA und Passkeys absichern.

Eine Firewall ersetzt auch kein Backup

Selbst die beste Netzwerksicherheit kann technische Defekte, Bedienfehler oder jede Form eines Sicherheitsvorfalls nicht vollständig verhindern.

Geschäftskritische Daten müssen deshalb zusätzlich durch ein unabhängiges Datensicherungskonzept geschützt werden.

Firewall und Backup erfüllen unterschiedliche Aufgaben: Die Firewall kontrolliert Kommunikation, während ein Backup die Wiederherstellung von Daten und Systemen ermöglichen soll.

Warum auch redundante Speichersysteme keine Datensicherung ersetzen, erklären wir im Beitrag RAID ist kein Backup.

Wann reicht ein einfacher Router für ein Unternehmen aus?

Nicht jedes kleine Unternehmen benötigt automatisch eine umfangreiche Enterprise-Firewall.

Bei sehr einfachen Umgebungen mit wenigen Geräten, ohne lokale Server, ohne komplexe Netztrennung und ohne besondere Anforderungen kann ein klassischer Router durchaus eine sinnvolle Lösung sein.

Technik sollte immer zur tatsächlichen Anforderung passen.

Eine unnötig komplexe Firewall-Infrastruktur verursacht zusätzliche Kosten und Wartungsaufwand, ohne automatisch einen entsprechenden Mehrwert zu liefern.

Wann wird eine Unternehmensfirewall sinnvoll?

Eine professionelle Firewall wird besonders interessant, sobald mehrere geschäftskritische Systeme oder unterschiedliche Netzwerkbereiche vorhanden sind.

Typische Anforderungen können beispielsweise sein:

• lokale Server oder virtuelle Maschinen
• mehrere VLANs
• Gäste-WLAN
• VPN für Mitarbeiter
• mehrere Standorte
• Kassensysteme
• VoIP-Telefonie
• technische oder IoT-Geräte
• erweiterte Protokollierung
• zentrale Überwachung

Spätestens dann geht es nicht mehr nur darum, einen Internetanschluss bereitzustellen. Es geht darum, unterschiedliche Systeme kontrolliert miteinander zu verbinden.

Hotels stellen besonders hohe Anforderungen an Netztrennung

In Hotels treffen besonders viele unterschiedliche Geräte und Benutzergruppen auf derselben Infrastruktur zusammen.

Gäste-WLAN, Rezeption, Hotelsoftware, Kassensysteme, Mitarbeitergeräte, Server, Telefonie und technische Systeme sollten nicht einfach in einem gemeinsamen Netzwerk betrieben werden.

Eine geeignete Firewall und konsequente VLAN-Struktur ermöglichen es, diese Bereiche voneinander zu trennen und nur notwendige Kommunikation freizugeben.

Mehr zu solchen Umgebungen finden Sie unter Hotel-IT sowie im Beitrag Hotel-WLAN richtig planen.

Die Firewall ist Teil eines Sicherheitskonzepts – nicht das gesamte Sicherheitskonzept

Eine professionelle Unternehmensfirewall kann einen wichtigen Beitrag zur Netzwerksicherheit leisten. Sie sollte jedoch niemals isoliert betrachtet werden.

Server, Arbeitsplätze, Identitäten, Netzwerkstruktur, Updates, Backup und Dokumentation müssen ebenfalls berücksichtigt werden.

Genau deshalb ist die Frage nicht einfach, ob eine FRITZ!Box gut oder schlecht ist. Die entscheidende Frage lautet:

Welche Anforderungen hat das Unternehmen und welche technische Lösung bildet diese Anforderungen zuverlässig ab?

EDV Tropper plant und betreut Netzwerkinfrastrukturen für Unternehmen und Hotels – von Switches und VLANs über WLAN und VPN bis zu Firewall, Netztrennung und laufender Betreuung.