Reicht der Router vom Provider oder braucht es eine echte Firewall?

Der Router, der mit dem Internetanschluss mitgeliefert wird, bringt eine Firewall-Funktion mit, die eingehenden Datenverkehr nach Adresse und Port filtert und unaufgeforderte Verbindungen von außen blockiert. Für ein einzelnes flaches Netz, in dem alle Geräte einander vertrauen dürfen, reicht dieser Schutz gegen die naheliegendsten Angriffe von außen aus.

Was die meisten Provider-Router nicht können, ist Datenverkehr zwischen mehreren eigenen Netzbereichen zu kontrollieren – sie sind für ein Netz gebaut, nicht für mehrere getrennte Bereiche mit eigenen Regeln. Auch eine Prüfung, welche Anwendung tatsächlich hinter einer Verbindung steckt, oder eine Erkennung ungewöhnlicher Muster im Datenverkehr gehört meist nicht zum Funktionsumfang. Das ist keine Einschränkung durch billige Geräte, sondern der Zweck, für den ein Provider-Router konstruiert ist: einen Internetanschluss bereitstellen, keine Sicherheitsarchitektur betreiben.

Sobald ein Betrieb mehr als eine Nutzergruppe im Netz hat – etwa Büro-Arbeitsplätze, eine Kameraanlage, Produktionssteuerungen oder ein Gäste-WLAN für Kunden –, wird die Trennung dieser Bereiche zur zentralen Aufgabe. Eine dedizierte Firewall kann mehrere Netzbereiche (VLANs) definieren und exakt festlegen, welcher Bereich mit welchem anderen sprechen darf und welcher nicht.

Ein Provider-Router bietet oft eine einfache Gastnetz-Funktion an, die Gäste vom Hauptnetz trennt – für ein reines WLAN-Gästenetz kann das genügen. Sobald aber mehrere interne Bereiche mit unterschiedlichem Schutzbedarf entstehen, etwa weil eine Kameraanlage oder Fertigungssteuerung nicht im selben Netz wie die Bürorechner hängen soll, reicht eine einfache Gastnetz-Funktion nicht mehr aus.

Wenn Mitarbeiter von zuhause oder unterwegs auf das Firmennetz zugreifen sollen, braucht es einen VPN-Zugang, der Verbindungen verschlüsselt und kontrolliert, wer sich anmelden darf. Manche Provider-Router bringen eine einfache VPN-Funktion mit, die für einzelne, seltene Zugriffe funktionieren kann.

Für mehrere gleichzeitige Homeoffice-Zugänge, für eine differenzierte Rechtevergabe oder für Protokolle, die im Ernstfall zeigen, wer wann worauf zugegriffen hat, ist eine dedizierte Firewall die verlässlichere Grundlage. Sie führt Protokolle über einen längeren Zeitraum, lässt sich mit Nutzerverwaltung verbinden und erlaubt, Zugriffsrechte einzelner Personen oder Gruppen gezielt einzuschränken – Funktionen, die ein Provider-Router in der Regel nicht oder nur eingeschränkt bietet.

Provider-Router werden in der Regel für die Laufzeit des Internetvertrags bereitgestellt und danach nicht zwingend weiter mit Sicherheitsupdates versorgt. Fällt ein solches Gerät aus, ist der Ersatz meist vom Zeitplan des Providers abhängig – ein Betrieb, der auf funktionierenden Internetzugang angewiesen ist, hat darauf wenig Einfluss.

Eine dedizierte Firewall wird bewusst beschafft, mit einem geplanten Update-Zyklus und, je nach Vereinbarung, mit einem Ersatzgerät oder einem definierten Reaktionszeitraum im Ausfallfall. Wie lange ein Gerät noch mit Sicherheitsupdates versorgt wird und was im Ausfallfall passiert, sollte vor dem Kauf feststehen – nicht erst, wenn der Ausfall bereits eingetreten ist.