Fragt man in einem Betrieb nach der Firewall, zeigt die Antwort oft auf das blinkende Kastl vom Internetanbieter: „Da ist doch eine drin.“ Das stimmt sogar – im technischen Kleingedruckten. Nur trennt zwischen dieser eingebauten Basisfunktion und dem, was ein Unternehmen heute an der Netzwerkgrenze braucht, ungefähr so viel wie zwischen einem Türschnapper und einer Sicherheitstür mit Alarmanlage. In diesem Beitrag erklären wir, was eine Firewall eigentlich leistet, warum der Provider-Router dafür nicht gebaut ist, welche Funktionen eine richtige Unternehmens-Firewall mitbringt – und woran Sie erkennen, dass es bei Ihnen Zeit für einen Blick auf dieses Thema ist.
Was der Provider-Router kann – und wo er endet
Zunächst Ehrenrettung, wo sie angebracht ist: Das Modem-Router-Kombigerät des Internetanbieters erfüllt seinen Zweck – es stellt die Verbindung her, verteilt Adressen im Heimnetz und blockiert durch die Adressumsetzung (NAT) unaufgeforderte Zugriffe von außen. Für einen Privathaushalt ist das eine brauchbare Grundsicherung. Für ein Unternehmen ist es aus mehreren Gründen zu wenig – und die Gründe liegen weniger in dem, was das Gerät tut, als in dem, was es nicht tut.
Erstens schaut es nicht in den Verkehr hinein. Die Basisfunktion prüft, wohin Datenpakete wollen – nicht, was sie enthalten. Der Großteil des heutigen Datenverkehrs ist zudem verschlüsselt, und die eigentlichen Bedrohungen kommen nicht als plumper Angriff von außen, sondern verpackt in ganz normalen Verbindungen: der Schadcode im Download, die Verbindung des infizierten Rechners zu seinem Steuerserver, der Datenabfluss nach draußen. Von alledem bemerkt der Provider-Router nichts – auffälliger ausgehender Verkehr, das klassische Anzeichen einer bereits erfolgten Infektion, ist für ihn unsichtbar und uninteressant.
Zweitens kennt er keine Struktur. Für das Kombigerät ist das Netz ein einziger Topf: Server, Arbeitsplätze, das WLAN, der smarte Fernseher im Besprechungsraum, die Netzwerkkameras, die Kassa – alles gleichberechtigt nebeneinander. Dass ein Unternehmensnetz in Zonen gehören würde – Gäste getrennt von der Firma, kritische Systeme getrennt vom Bürobetrieb –, haben wir im WLAN-Beitrag ausführlich behandelt; das Gerät des Providers kann diese Trennung meist gar nicht oder nur rudimentär abbilden.
Drittens fehlen Protokolle und Transparenz: Was gestern Nacht an der Netzwerkgrenze passiert ist, welche Verbindungen aufgebaut wurden, ob jemand systematisch angeklopft hat – dazu liefert das Gerät bestenfalls kryptische Bruchstücke. Ohne Aufzeichnungen gibt es keine Auffälligkeiten, ohne Auffälligkeiten keine Früherkennung, und im Vorfall keine Nachvollziehbarkeit – die spätestens mit Meldepflichten nach DSGVO und künftig NISG 2026 auch formal gebraucht wird. Und viertens die Wartungsrealität: Firmware-Stände, Sicherheitsupdates, Konfiguration – all das liegt beim Provider oder in werksseitiger Voreinstellung, auf die Sie wenig Einfluss haben. Für das kritischste Gerät zwischen Ihrem Betrieb und dem Internet ist das eine unbequeme Abhängigkeit.
Was eine Unternehmens-Firewall auszeichnet
Eine richtige Firewall – die Geräteklasse läuft unter Begriffen wie UTM (Unified Threat Management) oder Next-Generation Firewall – ist kein besserer Router, sondern eine andere Gerätegattung: ein Sicherheitssystem, das den gesamten Verkehr zwischen Ihrem Netz und der Außenwelt kontrolliert, versteht und protokolliert. Die wichtigsten Fähigkeiten im Überblick – bewusst ohne Marketing-Vokabular.
Da ist zunächst die inhaltliche Prüfung des Datenverkehrs: Die Firewall erkennt, welche Anwendungen und Dienste kommunizieren, gleicht Verkehr gegen bekannte Angriffs- und Schadcode-Muster ab (Stichwort Intrusion Prevention) und kann – wo sinnvoll und sauber konfiguriert – auch verschlüsselte Verbindungen kontrolliert aufbrechen und prüfen. Dazu kommen Webfilter, die den Zugriff auf bekannte Betrugs-, Phishing- und Schadseiten blockieren – eine stille zweite Verteidigungslinie für den Moment, in dem doch jemand auf den falschen Link geklickt hat.
Zweitens die Netzstruktur: Eine Unternehmens-Firewall ist die Zentrale für die Zonentrennung – Firmennetz, Gäste, Server, Telefonie, Haustechnik und Kassensysteme werden in getrennte Segmente gelegt, zwischen denen nur explizit erlaubter Verkehr fließt. Das begrenzt im Ernstfall den Schaden drastisch: Der kompromittierte Bürorechner kommt dann eben nicht ungehindert zum Server und schon gar nicht zur Sicherung – jene Ausbreitung, von der Ransomware-Angriffe leben, wird strukturell erschwert.
Drittens der Fernzugriff: Moderne Firewalls sind zugleich das VPN-Gateway des Unternehmens – Homeoffice und Außendienst verbinden sich verschlüsselt und mit Mehrfaktor-Authentifizierung, statt dass irgendwo eine direkt erreichbare Fernwartung offensteht. Dass genau solche offenen Fernzugänge zu den häufigsten Einfallstoren gehören, haben wir im Ransomware-Beitrag beschrieben; die Firewall ist der Ort, an dem dieses Thema sauber gelöst wird.
Und viertens Sichtbarkeit und Betrieb: Protokolle und Auswertungen zeigen, was an der Netzgrenze tatsächlich passiert; Alarme melden Auffälligkeiten, bevor sie zum Vorfall werden. Womit wir beim entscheidenden Punkt wären.
Die unbequeme Wahrheit: Eine Firewall ist kein Gerät, sondern ein Betrieb
Hier trennt sich in der Praxis Sicherheit von Sicherheitsgefühl: Eine Firewall ist so gut wie ihre Konfiguration und ihre Pflege – nicht wie ihr Datenblatt. Das teuerste Gerät nützt wenig, wenn es mit einer „Erlaube alles nach draußen“-Pauschalregel läuft, wenn die Ausnahme, die vor zwei Jahren für ein Projekt geöffnet wurde, nie wieder geschlossen wurde, oder wenn seit der Installation kein Firmware-Update mehr eingespielt worden ist. Der letzte Punkt ist besonders ernst: Sicherheitslücken in Firewalls und VPN-Gateways selbst gehören seit Jahren zu den am aggressivsten ausgenutzten überhaupt – ein ungepatchtes Sicherheitsgerät wird vom Wächter zum Einfallstor, und zwar zu einem mit besten Zugriffsrechten.
Zum ordentlichen Betrieb gehören daher: ein Regelwerk nach dem Prinzip „verboten, was nicht ausdrücklich erlaubt ist“ – in beide Richtungen, also auch für ausgehenden Verkehr; die Dokumentation jeder Regel samt Grund und Verantwortlichem; zeitnahe Updates des Geräts selbst; die regelmäßige Durchsicht von Regeln und Protokollen; und ein Auge, das auf Alarme tatsächlich reagiert. Für die meisten KMU ist die realistische Antwort darauf ein Managed-Modell: Die Firewall steht im Betrieb, aber Konfiguration, Updates, Überwachung und Anpassungen übernimmt der IT-Partner als laufende Dienstleistung. Das ist keine Bequemlichkeit, sondern die Anerkennung einer Tatsache – ein Sicherheitssystem, um das sich niemand kümmert, ist Theater mit Statusleuchten.
Woran Sie erkennen, dass Handlungsbedarf besteht
Ein kurzer Selbsttest zum Abschluss. Prüfen Sie, wie viele dieser Aussagen auf Ihren Betrieb zutreffen: Zwischen Internet und Firmennetz steht ausschließlich das Gerät des Providers. Gäste-WLAN, private Handys oder smarte Geräte hängen im selben Netz wie Server und Arbeitsplätze. Es existiert ein Fernzugriff – Fernwartung, Heimarbeit –, aber niemand kann sagen, wie er genau absichert ist und ob Mehrfaktor-Authentifizierung aktiv ist. Niemand könnte auf Anhieb beantworten, wann die Firewall (so vorhanden) zuletzt ein Update bekommen hat oder welche Regeln konfiguriert sind. Und es gibt keine Stelle, an der auffälliger Netzwerkverkehr auffallen würde.
Schon zwei Ja-Antworten bedeuten: Die Netzwerkgrenze Ihres Betriebs verdient einen professionellen Blick. Das Ergebnis muss keine große Investition sein – die Geräteklasse ist für KMU längst erschwinglich, und der eigentliche Wert liegt ohnehin in Konzept und Betrieb: Zonen definieren, Regeln aufsetzen, Fernzugriffe absichern, Überwachung etablieren. Einmal sauber gemacht, ist das ein Fundament, das jahrelang trägt – und auf das jede weitere Sicherheitsmaßnahme aufbaut.
Fazit
Der Provider-Router verbindet Ihren Betrieb mit dem Internet – schützen im unternehmerischen Sinn tut er ihn nicht. Eine richtige Firewall prüft Inhalte statt nur Adressen, strukturiert das Netz in Zonen, sichert die Fernzugriffe und macht sichtbar, was an der wichtigsten Grenze Ihres Unternehmens passiert. Entscheidend ist dabei weniger das Gerät als sein Betrieb: konfiguriert nach dem Minimalprinzip, aktuell gehalten, überwacht. Wer heute noch mit dem Kastl vom Anbieter als einziger Verteidigungslinie arbeitet, hat keine Firewall – er hat eine Hoffnung mit Netzwerkanschluss.
