Firewall im Unternehmen

Aufgaben einer Firewall im Unternehmen

Eine Firewall kontrolliert den Datenverkehr zwischen Netzen mit unterschiedlichem Vertrauensniveau, in kleinen Betrieben vor allem zwischen Internet und internem Netz, zunehmend aber auch zwischen internen Segmenten. Moderne Geräte kombinieren mehrere Funktionen:

• Zustandsbehafteter Paketfilter: prüft Verbindungen anhand von Adressen, Ports und Protokollen und merkt sich den Verbindungszustand.
• Application-Layer-Gateway oder Proxy: prüft Inhalte auf Anwendungsebene, etwa Web- oder E-Mail-Verkehr.
• Zusatzfunktionen: VPN-Endpunkt, Filterung von Webadressen, Erkennung von Angriffsmustern, Virenprüfung. Diese Funktionen sind nützlich, erhöhen aber die Komplexität und den Pflegeaufwand.

Was der IT-Grundschutz verlangt

Der Baustein NET.3.2 «Firewall» beschreibt die Anforderungen. Zu den Basis-Anforderungen gehören unter anderem:

• Sicherheitsrichtlinie (A1) und festgelegte Firewall-Regeln (A2): Die gesamte Kommunikation zwischen den Netzen läuft über die Firewall. Es gibt eindeutige Regeln, welche Verbindungen erlaubt sind, alle anderen werden unterbunden (Allowlist-Ansatz). Zuständige für Entwurf, Umsetzung und Test der Regeln sind benannt, Entscheidungen werden dokumentiert.
• Filterregeln am Paketfilter (A3): grundsätzlich zustandsbehaftet filtern, auch für UDP und ICMP; ICMP und ICMPv6 restriktiv behandeln.
• Sichere Konfiguration (A4): nur zwingend benötigte Dienste, nachvollziehbar dokumentierte Änderungen, geschützte Konfigurationsdateien.
• Schutz der Administrationsschnittstellen (A6) und ein Notfallzugriff (A7).
• Protokollierung (A9) und Betriebsdokumentation (A14).

Als Standard-Anforderungen nennt der Baustein unter anderem eine P-A-P-Struktur (Paketfilter, Application-Layer-Gateway, Paketfilter), die Administration über ein gesondertes Managementnetz, Systemüberwachung sowie Revision und Penetrationstests. Ergänzend verlangt NET.1.1, dass Zonenübergänge zwischen internem Netz, DMZ und Außenanbindungen über eine Firewall abgesichert werden.

Auswahl: worauf es ankommt

Für kleine Betriebe sind sogenannte Next-Generation- oder UTM-Firewalls verbreitet, die viele Funktionen in einem Gerät bündeln. Bei der Auswahl helfen diese Fragen:

Funktionen und Leistung

• Beherrscht das Gerät VLANs und mehrere Zonen, damit Sie intern segmentieren können?
• Bietet es einen VPN-Zugang mit zeitgemäßen Verfahren und starker Anmeldung?
• Reicht der Durchsatz auch dann, wenn Inhaltsprüfung und VPN aktiv sind? Herstellerangaben gelten oft nur ohne diese Funktionen.

Pflege und Lebensdauer

• Wie lange liefert der Hersteller Sicherheitsupdates? Firewalls sind selbst ein häufiges Angriffsziel, Lücken in VPN-Komponenten werden regelmäßig ausgenutzt.
• Sind laufende Lizenzen (etwa für Signaturen) eingeplant? Ohne aktive Lizenz fallen manche Schutzfunktionen weg.
• Wer übernimmt Updates, Überwachung und Regeländerungen? Eine Firewall ohne Zuständigen veraltet schnell.

Regelwerk sauber aufbauen

Grundsätze

• Standard ist «ablehnen»: Erlaubt wird nur, was begründet benötigt wird.
• Eingehend so wenig wie möglich: Jede Portfreigabe ins interne Netz ist ein Risiko. Dienste, die aus dem Internet erreichbar sein müssen, gehören in eine DMZ oder zu einem Anbieter. Fernzugriff läuft über VPN, nicht über offene Ports für Fernwartungs- oder Remote-Desktop-Dienste.
• Ausgehend ebenfalls filtern: Server brauchen selten freien Internetzugang. Eine Begrenzung erschwert Schadsoftware das Nachladen und den Datenabfluss.
• Jede Regel hat einen Zweck: Kommentar mit Grund, Auftraggeber und Datum. Temporäre Regeln bekommen ein Ablaufdatum.

Regelmäßige Prüfung

Regelwerke wachsen mit der Zeit. Planen Sie mindestens jährlich eine Durchsicht ein: Welche Regeln werden nicht mehr genutzt? Welche sind zu weit gefasst? Gibt es Freigaben für Dienstleister, die nicht mehr tätig sind?

Ein Beispiel aus dem Alltag

Ein Betrieb mit zwölf Arbeitsplätzen nutzt eine Fachanwendung auf einem eigenen Server, ein Gäste-WLAN und einen VPN-Zugang für zwei Mitarbeitende im Homeoffice. Ein sinnvolles Regelwerk sieht in Grundzügen so aus: Aus dem Internet ist nur der VPN-Dienst der Firewall erreichbar. Clients dürfen ins Internet über Web- und E-Mail-Protokolle und zum Server über die Ports der Fachanwendung und der Dateifreigabe. Der Server darf nur zu den Update-Servern des Herstellers und zur Lizenzprüfung der Fachanwendung. Gäste kommen ausschließlich ins Internet. Die Verwaltungsoberfläche der Firewall ist nur von einem Administrationsrechner erreichbar. Jede dieser Regeln ist kommentiert, und alles andere wird abgelehnt und protokolliert.

Betrieb

• Updates: Firmware zeitnah aktualisieren, Sicherheitsmeldungen des Herstellers und des CERT-Bund verfolgen.
• Verwaltungszugang: Die Administrationsoberfläche nicht aus dem Internet erreichbar machen, Anmeldung mit Zwei-Faktor-Authentifizierung, wo möglich.
• Protokolle: Abgelehnte und erlaubte Verbindungen protokollieren und zumindest bei Auffälligkeiten auswerten.
• Sicherung der Konfiguration: Nach jeder Änderung eine Konfigurationssicherung ablegen, damit ein Ersatzgerät schnell eingerichtet werden kann.
• Notfall: Klären Sie, wie lange ein Ausfall der Firewall dauern darf und wie schnell Ersatz verfügbar ist. Ohne Firewall steht in vielen Betrieben der gesamte Internetzugang.

Grenzen

Verschlüsselter Verkehr ist für eine Firewall ohne Entschlüsselung weitgehend undurchsichtig. Eine Entschlüsselung (TLS-Inspection, im Baustein als «temporäre Entschlüsselung des Datenverkehrs» geführt) ist technisch möglich, wirft aber Fragen zu Datenschutz und Betriebsvereinbarungen auf und muss sorgfältig geplant werden. Angriffe über legitime Kanäle wie E-Mail oder gestohlene Zugangsdaten erkennt eine Firewall nur eingeschränkt. Sie wirkt am besten zusammen mit Netzsegmentierung, gepflegten Endgeräten und einer Protokollauswertung.