Firewall-Typen im Vergleich für den Betrieb

Für einen kleinen Standort ohne eigene Server und ohne Fernzugriff reicht oft die Firewall-Funktion im Router. Sobald mehrere Netzsegmente, VPN-Zugänge, Kameras oder ein Gästenetz dazukommen, braucht es eine dedizierte Firewall-Appliance, bei erhöhtem Risiko ein UTM- oder Next-Generation-System. Welche Klasse passt, entscheiden weniger das Budget als die Zahl der Segmente, die Kritikalität der Systeme dahinter und die Frage, wer das Regelwerk dauerhaft pflegt.

Die drei Klassen im Überblick

Router mit Firewall-Funktion, dedizierte Firewall-Appliance und UTM- beziehungsweise Next-Generation-Firewall unterscheiden sich nicht in erster Linie durch die Marke, sondern durch das, wofür sie gebaut sind. Ein handelsüblicher Router mit Firewall-Funktion filtert auf Basis von Adressen und Ports, oft in einem einzigen Netz ohne echte Segmentierung. Eine dedizierte Appliance ist speziell für das Filtern und Routen zwischen mehreren Netzsegmenten ausgelegt und bringt dafür eigene Rechenleistung mit. Ein UTM- oder Next-Generation-System baut auf dieser Appliance auf und ergänzt sie um Funktionen wie Intrusion Prevention, Anwendungserkennung oder Web-Filterung in einem gemeinsamen Regelwerk.

• Router mit Firewall-Funktion: einfache Paketfilterung, meist ein Netz, für kleine Standorte mit geringen Anforderungen gedacht
• Dedizierte Firewall-Appliance: eigene Hardware für Routing und Filterung zwischen mehreren Segmenten, ohne die Zusatzfunktionen eines UTM-Systems
• UTM/Next-Generation-Firewall: Appliance plus Intrusion Prevention, Anwendungserkennung, Web-Filterung und zentrales Reporting in einem System

Leistung vs. Funktionsumfang: wo der Unterschied wirklich liegt

Jede zusätzliche Prüfung, die eine Firewall am Datenverkehr vornimmt, kostet Rechenleistung. Reine Paketfilterung nach Adresse und Port ist wenig aufwendig, deshalb schaffen selbst einfache Router hier oft passable Durchsatzwerte. Sobald eine Firewall den Inhalt der Pakete prüft – etwa bei Intrusion Prevention oder Anwendungserkennung in einem UTM-System – steigt der Rechenaufwand deutlich, und der tatsächlich nutzbare Durchsatz kann bei aktivierten Funktionen spürbar unter dem beworbenen Wert liegen. Das ist kein Fehler der Geräte, sondern eine Eigenschaft des Verfahrens: Tiefere Prüfung braucht mehr Rechenleistung, unabhängig vom Hersteller. Bei der Auswahl zählt deshalb weniger ein einzelner Durchsatzwert aus dem Datenblatt, sondern der Durchsatz bei den Funktionen, die tatsächlich aktiv laufen sollen.

Lizenzmodelle: was hinter Abo und Einmalkauf steckt

Ein Router mit Firewall-Funktion wird in der Regel einmalig gekauft, ohne laufende Lizenzkosten – dafür bleiben die Filterfunktionen auf dem Stand der Basisfunktionen. Dedizierte Appliances und UTM-Systeme trennen meist zwischen der Hardware, die einmalig gekauft wird, und den laufenden Diensten, die im Abonnement laufen: Signaturupdates für Intrusion Prevention, aktuelle Kategorien für die Web-Filterung, Bedrohungsdaten für die Anwendungserkennung. Läuft dieses Abonnement aus, bleibt die Hardware zwar funktionsfähig, aber die sicherheitsrelevanten Funktionen veralten – ein Punkt, der bei der Budgetplanung oft übersehen wird, weil er erst nach dem Kauf sichtbar wird.

• Hardware-Kauf einmalig, Sicherheitsdienste (Signaturen, Kategorien, Bedrohungsdaten) meist im laufenden Abonnement
• Abo-Laufzeit und automatische Verlängerung vor dem Kauf klären, nicht erst bei der ersten Rechnung
• Prüfen, welche Funktionen ohne aktives Abonnement noch funktionieren und welche nicht

Wartungsaufwand: wer hält das System aktuell?

Ein einfacher Router braucht selten Pflege, hat dafür aber auch wenig zu pflegen – ein gelegentliches Firmware-Update reicht meist aus. Eine dedizierte Appliance oder ein UTM-System verlangt mehr: regelmäßige Signaturupdates, ein Regelwerk, das mit der Zahl der Segmente wächst, und im Fall von UTM-Funktionen eine gelegentliche Kontrolle, ob Web-Filter oder Anwendungserkennung noch die gewünschten Dienste durchlassen und keine falschen blockieren. Dieser Aufwand lässt sich intern oder über einen Wartungsvertrag abdecken – wichtig ist, dass er tatsächlich eingeplant wird, statt nach der Installation zu verschwinden. Wer neben der Firewall auch Netzwerk und Backup nicht selbst pflegen will, lagert die laufende Betreuung meist sinnvoller als Ganzes aus.

Wer den Wartungsaufwand realistisch einschätzen will, sollte nicht nur an die Erstinstallation denken, sondern an den laufenden Betrieb über mehrere Jahre: Wie oft ändert sich das Netz – neue Standorte, neue Anwendungen, neue Mitarbeitergruppen –, und wie schnell zieht das Regelwerk nach? Ein UTM-System mit vielen Funktionen bringt wenig, wenn nach der Einrichtung niemand mehr hineinschaut. Umgekehrt lohnt sich eine leistungsfähige Appliance nicht, wenn intern die Zeit fehlt, sie zu pflegen – dann ist ein Wartungsvertrag mit einem externen Partner oft die realistischere Lösung als der Griff zur nächstgrößeren Hardware.

Wann reicht eine Router-Firewall?

Für einen einzelnen kleinen Standort ohne eigene Server, ohne Kameras und ohne Fernzugriff für Mitarbeiter kann eine gute Router-Firewall ausreichen – vorausgesetzt, sie wird nicht dauerhaft unangetastet gelassen. Sobald aber ein Gästenetz vom Betriebsnetz getrennt werden soll, eine Kameraanlage dazukommt oder Mitarbeiter per VPN zugreifen, wird eine echte Segmentierung nötig, die ein einfacher Router meist nicht sauber leistet.

Wann braucht es eine dedizierte Appliance oder ein UTM-System?

Mit mehreren Netzsegmenten, mehreren Standorten oder Systemen, die bei einem Ausfall den Betrieb tatsächlich stoppen, wird eine dedizierte Appliance zur sinnvollen Grundlage. Ob zusätzlich die UTM-Funktionen wie Intrusion Prevention oder Web-Filterung gebraucht werden, hängt vom Risiko ab: Wer sensible Kundendaten verarbeitet, mehrere unterschiedliche Nutzergruppen im Netz hat oder regelmäßig Fernzugriffe erlaubt, profitiert von der zusätzlichen Prüfung. Wer dagegen ein reines, klar abgegrenztes Produktionsnetz ohne Internetzugang der Maschinen betreibt, braucht diese Tiefe oft nicht in vollem Umfang – auch das gehört zu einer ehrlichen Einschätzung dazu.

Ein weiterer Anhaltspunkt ist die Zahl der Standorte, die miteinander verbunden werden müssen. Sobald mehrere Niederlassungen über ein eigenes Netz verbunden werden sollen, statt jeder für sich isoliert zu laufen, braucht es Geräte, die diese Verbindungen zentral verwalten und absichern können – das leistet eine einfache Router-Firewall in der Regel nicht mit vertretbarem Aufwand. Auch hier gilt: Die richtige Klasse ergibt sich aus der tatsächlichen Struktur des Betriebs, nicht aus der Frage, was gerade das leistungsfähigste Gerät auf dem Markt ist.

Wie NDVDL die passende Firewall auswählt und betreibt

NDVDL beginnt nicht beim Gerät, sondern bei Ihrem Betrieb: Wir sehen uns vor Ort an, welche Netzsegmente, Standorte, Fernzugänge und kritischen Systeme es gibt. Daraus entsteht ein schriftlicher Vorschlag mit der passenden Geräteklasse, den Abonnements, die dazugehören, und einer Begründung, warum eine größere Klasse nicht nötig ist – oder warum doch.

Nach Installation und Einrichtung der Segmente betreuen wir die Firewall laufend: Updates und Signaturen, Prüfung des Regelwerks, Verlängerung der Abonnements und Auswertung des Monitorings. Alles wird dokumentiert, Sie haben einen festen Ansprechpartner und müssen sich nicht merken, wann welche Lizenz ausläuft.