Firewall-Typen im Vergleich für den Betrieb

Für die meisten Betriebe reicht am Anfang eine Firewall-Funktion im Router. Sobald mehrere Netzsegmente, Fernzugriff, Kameras oder ein Gästenetz dazukommen, stößt diese Lösung an ihre Grenzen, und eine dedizierte Firewall-Appliance oder ein UTM/Next-Gen-System wird sinnvoll. Welche Klasse tatsächlich passt, hängt weniger vom Budget ab als von der Zahl der Netzsegmente, der Kritikalität der Systeme dahinter und davon, wer das Regelwerk pflegt. Dieser Artikel vergleicht die drei Klassen entlang der Punkte, die im Betrieb tatsächlich den Unterschied machen: Leistung, Funktionsumfang, Lizenzmodell und Wartungsaufwand.

Die drei Klassen im Überblick

Router mit Firewall-Funktion, dedizierte Firewall-Appliance und UTM- beziehungsweise Next-Generation-Firewall unterscheiden sich nicht in erster Linie durch die Marke, sondern durch das, wofür sie gebaut sind. Ein handelsüblicher Router mit Firewall-Funktion filtert auf Basis von Adressen und Ports, oft in einem einzigen Netz ohne echte Segmentierung. Eine dedizierte Appliance ist speziell für das Filtern und Routen zwischen mehreren Netzsegmenten ausgelegt und bringt dafür eigene Rechenleistung mit. Ein UTM- oder Next-Generation-System baut auf dieser Appliance auf und ergänzt sie um Funktionen wie Intrusion Prevention, Anwendungserkennung oder Web-Filterung in einem gemeinsamen Regelwerk.

• Router mit Firewall-Funktion: einfache Paketfilterung, meist ein Netz, für kleine Standorte mit geringen Anforderungen gedacht
• Dedizierte Firewall-Appliance: eigene Hardware für Routing und Filterung zwischen mehreren Segmenten, ohne die Zusatzfunktionen eines UTM-Systems
• UTM/Next-Generation-Firewall: Appliance plus Intrusion Prevention, Anwendungserkennung, Web-Filterung und zentrales Reporting in einem System

Leistung vs. Funktionsumfang: wo der Unterschied wirklich liegt

Jede zusätzliche Prüfung, die eine Firewall am Datenverkehr vornimmt, kostet Rechenleistung. Reine Paketfilterung nach Adresse und Port ist wenig aufwendig, deshalb schaffen selbst einfache Router hier oft passable Durchsatzwerte. Sobald eine Firewall den Inhalt der Pakete prüft – etwa bei Intrusion Prevention oder Anwendungserkennung in einem UTM-System – steigt der Rechenaufwand deutlich, und der tatsächlich nutzbare Durchsatz kann bei aktivierten Funktionen spürbar unter dem beworbenen Wert liegen. Das ist kein Fehler der Geräte, sondern eine Eigenschaft des Verfahrens: Tiefere Prüfung braucht mehr Rechenleistung, unabhängig vom Hersteller. Bei der Auswahl zählt deshalb weniger ein einzelner Durchsatzwert aus dem Datenblatt, sondern der Durchsatz bei den Funktionen, die tatsächlich aktiv laufen sollen.

Lizenzmodelle: was hinter Abo und Einmalkauf steckt

Ein Router mit Firewall-Funktion wird in der Regel einmalig gekauft, ohne laufende Lizenzkosten – dafür bleiben die Filterfunktionen auf dem Stand der Basisfunktionen. Dedizierte Appliances und UTM-Systeme trennen meist zwischen der Hardware, die einmalig gekauft wird, und den laufenden Diensten, die im Abonnement laufen: Signaturupdates für Intrusion Prevention, aktuelle Kategorien für die Web-Filterung, Bedrohungsdaten für die Anwendungserkennung. Läuft dieses Abonnement aus, bleibt die Hardware zwar funktionsfähig, aber die sicherheitsrelevanten Funktionen veralten – ein Punkt, der bei der Budgetplanung oft übersehen wird, weil er erst nach dem Kauf sichtbar wird.

• Hardware-Kauf einmalig, Sicherheitsdienste (Signaturen, Kategorien, Bedrohungsdaten) meist im laufenden Abonnement
• Abo-Laufzeit und automatische Verlängerung vor dem Kauf klären, nicht erst bei der ersten Rechnung
• Prüfen, welche Funktionen ohne aktives Abonnement noch funktionieren und welche nicht

Wartungsaufwand: wer hält das System aktuell?

Ein einfacher Router braucht selten Pflege, hat dafür aber auch wenig zu pflegen – ein gelegentliches Firmware-Update reicht meist aus. Eine dedizierte Appliance oder ein UTM-System verlangt mehr: regelmäßige Signaturupdates, ein Regelwerk, das mit der Zahl der Segmente wächst, und im Fall von UTM-Funktionen eine gelegentliche Kontrolle, ob Web-Filter oder Anwendungserkennung noch die gewünschten Dienste durchlassen und keine falschen blockieren. Dieser Aufwand lässt sich intern oder über einen Wartungsvertrag abdecken – wichtig ist, dass er tatsächlich eingeplant wird, statt nach der Installation zu verschwinden.

Wer den Wartungsaufwand realistisch einschätzen will, sollte nicht nur an die Erstinstallation denken, sondern an den laufenden Betrieb über mehrere Jahre: Wie oft ändert sich das Netz – neue Standorte, neue Anwendungen, neue Mitarbeitergruppen –, und wie schnell zieht das Regelwerk nach? Ein UTM-System mit vielen Funktionen bringt wenig, wenn nach der Einrichtung niemand mehr hineinschaut. Umgekehrt lohnt sich eine leistungsfähige Appliance nicht, wenn intern die Zeit fehlt, sie zu pflegen – dann ist ein Wartungsvertrag mit einem externen Partner oft die realistischere Lösung als der Griff zur nächstgrößeren Hardware.

Wann reicht eine Router-Firewall?

Für einen einzelnen kleinen Standort ohne eigene Server, ohne Kameras und ohne Fernzugriff für Mitarbeiter kann eine gute Router-Firewall ausreichen – vorausgesetzt, sie wird nicht dauerhaft unangetastet gelassen. Sobald aber ein Gästenetz vom Betriebsnetz getrennt werden soll, eine Kameraanlage dazukommt oder Mitarbeiter per VPN zugreifen, wird eine echte Segmentierung nötig, die ein einfacher Router meist nicht sauber leistet.

Wann braucht es eine dedizierte Appliance oder ein UTM-System?

Mit mehreren Netzsegmenten, mehreren Standorten oder Systemen, die bei einem Ausfall den Betrieb tatsächlich stoppen, wird eine dedizierte Appliance zur sinnvollen Grundlage. Ob zusätzlich die UTM-Funktionen wie Intrusion Prevention oder Web-Filterung gebraucht werden, hängt vom Risiko ab: Wer sensible Kundendaten verarbeitet, mehrere unterschiedliche Nutzergruppen im Netz hat oder regelmäßig Fernzugriffe erlaubt, profitiert von der zusätzlichen Prüfung. Wer dagegen ein reines, klar abgegrenztes Produktionsnetz ohne Internetzugang der Maschinen betreibt, braucht diese Tiefe oft nicht in vollem Umfang – auch das gehört zu einer ehrlichen Einschätzung dazu.

Ein weiterer Anhaltspunkt ist die Zahl der Standorte, die miteinander verbunden werden müssen. Sobald mehrere Niederlassungen über ein eigenes Netz verbunden werden sollen, statt jeder für sich isoliert zu laufen, braucht es Geräte, die diese Verbindungen zentral verwalten und absichern können – das leistet eine einfache Router-Firewall in der Regel nicht mit vertretbarem Aufwand. Auch hier gilt: Die richtige Klasse ergibt sich aus der tatsächlichen Struktur des Betriebs, nicht aus der Frage, was gerade das leistungsfähigste Gerät auf dem Markt ist.