Firewall und Netzwerksicherheit

Eine Firewall ist kein Gerät, das man einmal kauft und dann vergisst. Sie ist ein Regelwerk, das mit dem Betrieb mitwachsen muss – und das jemand kennen muss, wenn um zwei Uhr nachts etwas nicht mehr durchkommt. Wir planen, konfigurieren und betreuen Firewalls für Unternehmen in Wien, mit den Systemen, die zum Betrieb passen, und nicht mit denen, an denen wir am meisten verdienen.

Netzwerk prüfen lassen Netzwerktechnik ansehen

Ausgangslage

Der Router vom Anbieter ist keine Firewall

In vielen Betrieben hängt am Internetanschluss das Gerät, das der Anbieter mitgeliefert hat. Es kann NAT, es hat eine Paketfilterfunktion, und damit endet die Ähnlichkeit mit einer Firewall. Was fehlt, ist die Möglichkeit, den internen Verkehr zu trennen, Regeln nachvollziehbar zu dokumentieren und im Nachhinein zu sehen, wer wann wohin verbunden war.

Das fällt nicht auf, solange nichts passiert. Es fällt an dem Tag auf, an dem etwas passiert ist und niemand sagen kann, was.

Was sich geändert hat

Die Gefahr steht längst im eigenen Netz

Früher war das Bild einfach: außen das Internet, innen das Firmennetz, dazwischen die Firewall. Heute hängt im selben Netz die Kasse, der Drucker mit veralteter Firmware, das Notebook des Außendienstes, die Heizungssteuerung und das Gerät des Praktikanten.

Wer nur nach außen absichert, schützt eine Tür und lässt alle Innentüren offen. Wird ein Gerät übernommen, steht der Angreifer im selben Netz wie Ihre Buchhaltung. Deshalb ist Segmentierung heute wichtiger als die Marke auf dem Gehäuse.

Kern der Sache

Segmentierung mit VLAN – die Arbeit, die man nicht sieht

Ein VLAN kostet keine Lizenz und keine zusätzliche Hardware. Es kostet Zeit im Kopf: Wer muss mit wem sprechen, und wer ganz sicher nicht. Genau das ist die Arbeit, die bei günstigen Angeboten wegfällt.

Bereich	Wie wir es lösen	Warum
Arbeitsplätze, Server, Drucker, Gebäudetechnik	Je Aufgabe ein eigenes Segment mit eigenen Regeln	Der Verkehr zwischen den Segmenten ist die Ausnahme und nicht die Voreinstellung. Ein übernommener Drucker steht damit nicht im selben Netz wie die Buchhaltung.
Gäste-WLAN	Vollständig vom Firmennetz getrennt	Ein fremdes Notebook erreicht Ihre Daten nicht – auch nicht versehentlich.
Wartungszugänge von Lieferanten	Befristet freigeschaltet, protokolliert, danach geschlossen	Kein Dauerzugang, den nach drei Jahren niemand mehr zuordnen kann.
Altsysteme ohne Aktualisierungen	Eigenes Segment, kein Internetzugang	Die Steuerung läuft weiter, ohne zum Einfallstor zu werden, und muss nicht getauscht werden. Lässt sie sich doch ablösen, ist Servervirtualisierung meist der sauberere Weg.
Fernzugriff	VPN statt Portfreigabe	Offene Ports auf interne Systeme sind unser häufigster Fund bei Bestandsaufnahmen. Wie es besser geht, steht im Beitrag zu Homeoffice ohne VPN.
Regelwerk	Jede Freigabe mit Kommentar: wofür und für wen	Nach Jahren ist noch nachvollziehbar, welche Regel weg darf. Ohne das entsteht ein Regelwerk, das niemand mehr anzufassen wagt.

Systeme

Womit wir arbeiten – und wann was sinnvoll ist

Es gibt nicht die eine richtige Firewall für KMU. Es gibt eine, die zu Größe, Anforderung und Budget passt, und die betreut werden kann. Wir setzen ein, was wir selbst beherrschen.

OPNsense und pfSense

Quelloffen, ohne Lizenzkosten je Arbeitsplatz und ohne Zwang zu einem Abonnement. Beide beherrschen alles, was ein mittelständischer Betrieb braucht: VLANs, VPN, Paketfilter mit Protokollierung, Mehrfachanbindung. Unsere erste Wahl, wenn Sie Kontrolle über Ihre eigene Infrastruktur behalten wollen. Der Preis dafür ist, dass jemand sie pflegen muss – das übernehmen wir.

FortiGate

Wo Hersteller-Support, zentrale Verwaltung mehrerer Standorte oder ein zertifiziertes Gerät gefordert sind, führt an einer Appliance kein Weg vorbei. FortiGate bringt gepflegte Bedrohungslisten und einen Herstellervertrag mit – dafür bezahlen Sie laufend und binden sich an einen Anbieter. Das ist eine Entscheidung, keine Zwangsläufigkeit, und wir sagen Ihnen, wann sie sich lohnt.

MikroTik

Sehr viel Funktion für sehr wenig Geld, und genau darin liegt die Falle. MikroTik verzeiht keine halbe Konfiguration und ist kein Gerät zum Nebenbei-Einrichten. Richtig aufgesetzt läuft es jahrelang unauffällig – wir setzen es dort ein, wo Routing und VLANs im Vordergrund stehen und die Betreuung geklärt ist.

Betreuung statt Einmalinstallation

Eine Firewall, die seit vier Jahren niemand angesehen hat, ist keine Sicherheit, sondern ein Gefühl. Wir übernehmen Aktualisierungen, prüfen Regeln auf Karteileichen und melden uns, wenn im Protokoll etwas auffällt. Wer die Betreuung selbst machen will, bekommt von uns eine Dokumentation, mit der das auch geht.

Ehrlich gesagt

Wann eine neue Firewall nichts bringt

Wenn alle Geräte in einem flachen Netz hängen und die Sicherungen nicht geprüft sind, ist ein neues Gerät am Internetanschluss die falsche erste Ausgabe. Segmentierung und eine funktionierende Wiederherstellung bringen mehr – nachzulesen in unserem Beitrag zur 3-2-1-Regel für Backups.

Und gegen die häufigste Eintrittstür hilft keine Firewall: eine überzeugend gefälschte E-Mail, auf die jemand klickt. Wie sich Absender technisch absichern lassen, beschreibt unser Beitrag zu SPF, DKIM und DMARC. Einen Überblick über die Grundlagen gibt unser Leitfaden zur IT-Sicherheit im KMU.

Wissen Sie, welche Geräte in Ihrem Netz miteinander sprechen?

Wir sehen uns Ihr Netz an, dokumentieren, was tatsächlich läuft, und sagen Ihnen, wo es hakt. Ohne Verkaufsgespräch: Wenn Ihre bestehende Firewall reicht, hören Sie das von uns.

Bestandsaufnahme anfragen

Aus unserem Ratgeber

Vertiefen Sie das Thema

🔌

Netzwerk · 6 Min. Lesezeit