Es gibt Sätze, die in der IT immer wieder auftauchen. Einer davon lautet: „Wir haben doch einen Router. Da ist doch auch eine Firewall drin.“ Das ist nicht komplett falsch. Aber es ist gefährlich unvollständig.
Ein normaler Internetrouter bringt gewisse Schutzfunktionen mit. Für ein privates Zuhause kann das oft reichen: ein paar Geräte, Streaming, Online-Banking, Smartphone, vielleicht ein Drucker. Ein Unternehmen ist aber kein Wohnzimmer.
In einem Unternehmen hängen Arbeitsplätze, Server, Drucker, Scanner, Kassensysteme, Warenwirtschaft, Zeiterfassung, Telefonanlage, WLAN, Gästezugänge, mobile Geräte, Microsoft 365, VPN-Zugänge, Fernwartung, Backups, manchmal Maschinensteuerungen und oft noch alte Systeme im selben Umfeld. Genau da beginnt das Problem.
Ein Standardrouter verbindet ein Unternehmen mit dem Internet. Eine professionelle Firewall schützt, ordnet, trennt, kontrolliert und dokumentiert den Datenverkehr.
Der Router ist die Haustür. Die Firewall ist das Sicherheitskonzept.
Wenn man es einem Geschäftsführer erklären müsste, dann so: Ein Router ist wie eine Eingangstür mit Schloss. Eine Unternehmensfirewall ist eher wie ein Sicherheitskonzept für das ganze Gebäude: Eingangskontrolle, Zutrittsbereiche, Schlüsselverwaltung, Alarmanlage, Protokollierung, Trennung sensibler Bereiche und klare Regeln, wer wohin darf.
Eine Tür allein macht noch kein sicheres Gebäude. Und genau so macht ein Router allein noch keine sichere Unternehmens-IT.
Viele kleine und mittelständische Unternehmen verlassen sich jahrelang auf Geräte, die ursprünglich nicht für komplexe Unternehmensanforderungen gedacht waren. Nicht aus Bosheit. Nicht aus Geiz. Meistens ist die IT einfach gewachsen: erst drei Arbeitsplätze, dann ein Server, später Microsoft 365, Homeoffice, Gäste-WLAN, Fernwartung, ein externer Dienstleister, VPN und Cloud-Anwendungen. Irgendwann ist aus einer einfachen Umgebung ein kleines Unternehmensnetz geworden. Nur die Absicherung ist oft auf dem Stand von früher geblieben.
Das Problem ist nicht das Gerät. Das Problem ist die falsche Rolle.
Ein guter Standardrouter kann für bestimmte Aufgaben völlig in Ordnung sein. Er stellt die Internetverbindung her, verteilt Adressen, bietet WLAN, manchmal VPN und einfache Filterfunktionen. Für kleine, unkritische Umgebungen kann das reichen.
Aber er ersetzt keine sauber geplante Unternehmensfirewall. Das Problem entsteht, wenn ein Gerät eine Aufgabe übernehmen soll, für die es nicht gedacht ist. Solange Internet da ist, wirkt alles funktionsfähig: Webseiten gehen auf, E-Mails kommen an, Teams funktioniert, der Drucker druckt. Aber eine laufende Verbindung ist kein Sicherheitsnachweis.
Warum eine Firewall mehr leisten muss als „Internet an oder aus“
Eine Unternehmensfirewall entscheidet nicht nur, ob Internet vorhanden ist. Sie regelt, welcher Datenverkehr erlaubt ist, welche Bereiche miteinander sprechen dürfen, welche Zugriffe von außen möglich sind, wie VPN-Verbindungen abgesichert werden, welche Angriffe erkannt werden können und wie verdächtiges Verhalten sichtbar wird.
Das ist wichtig, weil moderne Unternehmens-IT nicht mehr aus einem einzigen Netz besteht. Es gibt Büroarbeitsplätze, Server und zentrale Dienste, Microsoft-365-Zugriffe, WLAN für Mitarbeiter, Gäste-WLAN, Drucker, Telefonie, mobile Geräte, Fernzugriff, Backup-Systeme und technische Geräte, die selten aktualisiert werden.
Wenn alles in einem flachen Netz hängt, kann sich ein Problem schnell ausbreiten: Ein infiziertes Notebook sieht den Server. Ein Gastgerät erreicht interne Systeme. Ein alter Drucker steht im selben Netz wie die Buchhaltung. Ein VPN-Benutzer bekommt mehr Zugriff, als er braucht. Ein kompromittierter Arbeitsplatz kann sich seitlich im Netzwerk bewegen.
Netzwerksegmentierung: Das Wort klingt trocken, die Wirkung ist enorm
Netzwerksegmentierung bedeutet: Nicht alles darf mit allem sprechen. Das klingt technisch, ist aber gesunder Menschenverstand.
Der Gast im Besprechungsraum braucht Internet, aber keinen Zugriff auf Buchhaltungsdaten. Der Drucker muss scannen und drucken, aber nicht frei mit jedem System kommunizieren. Die Kameraanlage hat nichts im Büronetz zu suchen. Ein Serverbereich sollte anders geschützt werden als ein normales Arbeitsplatznetz. Ein externer Dienstleister braucht nicht das ganze Netzwerk, sondern nur den Bereich, für den er zuständig ist.
Genau diese Trennung schafft Sicherheit. Nicht, weil sie jeden Angriff verhindert. Sondern weil sie Schaden begrenzt. Gute IT-Sicherheit fragt nicht nur: „Wie verhindern wir, dass etwas passiert?“ Sie fragt auch: „Was passiert, wenn trotzdem etwas schiefgeht?“
Ransomware liebt flache Netzwerke
Ransomware ist für viele Unternehmen der Moment, in dem sie merken, wie wichtig Netzwerkstruktur wirklich ist. Ein Angriff trifft selten nur einen einzelnen PC. Angreifer suchen Wege weiter ins Netzwerk. Sie prüfen Freigaben, Server, Backup-Systeme, Benutzerrechte und erreichbare Dienste. Je flacher und offener das Netzwerk, desto leichter wird diese Bewegung.
Ein schlecht getrenntes Netzwerk ist wie ein Gebäude ohne Innentüren. Ist jemand einmal drin, kann er sich frei bewegen. Eine sauber konfigurierte Firewall mit klarer Segmentierung ist keine Garantie gegen jeden Angriff. Aber sie kann verhindern, dass ein einzelnes Problem sofort zum Flächenbrand wird.
Fernzugriff ist kein Nebenbei-Thema
Viele Unternehmen nutzen Fernzugriffe: für Homeoffice, Wartung, externe Dienstleister und mobile Arbeit. Das ist sinnvoll und oft notwendig. Aber Fernzugriff ist einer der sensibelsten Punkte in der gesamten IT.
Wenn ein Zugang von außen erreichbar ist, muss er sauber abgesichert sein. Dazu gehören Mehr-Faktor-Authentifizierung, klare Benutzerrechte, VPN statt offener Dienste, Protokollierung, zeitliche und sachliche Begrenzung von Dienstleisterzugängen, regelmäßige Prüfung aktiver Konten und die saubere Abschaltung ehemaliger Benutzer.
Eine Firewall muss gepflegt werden
Eine Firewall ist kein Gerät, das man einmal hinstellt und dann fünf Jahre vergisst. Trotzdem passiert genau das häufig.
Am Anfang ist die Konfiguration sauber. Dann kommen Ausnahmen, Sonderfälle, Portfreigaben, Testzugänge, neue Standorte, Homeoffice und externe Zugriffe. Jahre später sieht niemand mehr auf den ersten Blick, welche Regel noch gebraucht wird und welche nicht.
Eine Firewall ist nur so gut wie ihre Konfiguration und Pflege. Deshalb gehören regelmäßige Prüfungen dazu:
- Welche Regeln sind aktiv?
- Welche Dienste sind von außen erreichbar?
- Welche VPN-Benutzer existieren?
- Welche Ausnahmen wurden eingerichtet?
- Welche davon werden noch gebraucht?
- Sind Updates aktuell?
- Wer bekommt Benachrichtigungen bei Auffälligkeiten?
- Wird protokolliert?
- Wird überhaupt jemand aufmerksam, wenn etwas schiefläuft?
Die häufigsten Denkfehler
In der Praxis begegnen einem immer wieder dieselben Denkfehler.
„Bei uns gibt es nichts zu holen.“
Doch. Es gibt immer etwas zu holen: Kundendaten, E-Mails, Rechnungen, Zugänge, Angebotsunterlagen, Personaldaten, Projektinformationen, Bankkommunikation, Zahlungsprozesse und Lieferantenkontakte. Für Angreifer ist nicht nur Industriegeheimnis interessant. Auch Betriebsunterbrechung ist ein Druckmittel.
„Wir sind zu klein.“
Angreifer suchen nicht nur nach großen Namen. Sie suchen nach erreichbaren Schwachstellen. Automatisiert, massenhaft und geduldig. Wer offen steht, wird gefunden.
„Unsere IT läuft doch.“
Laufen ist nicht dasselbe wie sicher geführt. Ein Netzwerk kann funktionieren und trotzdem schlecht getrennt, schlecht dokumentiert und unnötig riskant sein.
„Das macht alles der Provider.“
Der Internetanbieter stellt in der Regel die Verbindung bereit. Er führt nicht automatisch Ihr internes Sicherheitskonzept, prüft Ihre Benutzerrechte, trennt Ihre Netze oder bewertet Ihre VPN-Zugänge.
„Firewall ist einmalige Anschaffung.“
Nein. Firewall ist Betrieb. Regeln, Updates, Monitoring, Prüfung, Dokumentation und Anpassung gehören dazu.
Was eine professionelle Firewall im Unternehmen leisten sollte
Eine gute Unternehmensfirewall sollte nicht nur mehr Funktionen haben. Sie sollte zur Struktur des Unternehmens passen.
1. Klare Trennung von Netzbereichen
Büro, Server, Gäste-WLAN, Telefonie, Drucker, technische Geräte und Backup sollten nicht wahllos im selben Netz liegen. Die Kommunikation zwischen diesen Bereichen muss bewusst erlaubt oder blockiert werden.
2. Saubere VPN- und Fernzugriffslösung
Fernzugriff muss nachvollziehbar, abgesichert und steuerbar sein. Ein Benutzer soll nur das erreichen, was er wirklich braucht. Mehr-Faktor-Authentifizierung gehört hier zur Grundausstattung.
3. Schutz vor bekannten Angriffsmustern
Moderne Firewalls können je nach Lösung und Lizenz verdächtigen Datenverkehr erkennen, Angriffsversuche blockieren, Webzugriffe filtern, Schadsoftware-Verbindungen erkennen und Protokolle für die Analyse liefern. Funktionen allein bringen aber nichts, wenn sie nicht sauber eingerichtet und überwacht werden.
4. Transparenz über den Datenverkehr
Viele Unternehmen wissen gar nicht, was in ihrem Netzwerk tatsächlich passiert: Welche Geräte kommunizieren nach außen? Welche Dienste sind aktiv? Welche Systeme erzeugen ungewöhnlichen Verkehr? Eine gute Firewall macht solche Dinge sichtbar. Sichtbarkeit ist der erste Schritt zur Kontrolle.
5. Regelmäßige Updates und Pflege
Eine Firewall schützt nur zuverlässig, wenn sie aktuell bleibt. Firmware, Signaturen, Regeln, VPN-Konfigurationen und Benutzer müssen gepflegt werden.
6. Dokumentation
Eine Firewall ohne Dokumentation ist im Ernstfall schwierig. Warum existiert diese Regel? Wer hat diesen Zugriff bekommen? Welcher Dienst steckt dahinter? Was darf gelöscht werden? Gute Dokumentation ist kein Papierkrieg. Sie ist Betriebsfähigkeit.
Gäste-WLAN: klein eingerichtet, groß unterschätzt
Viele Unternehmen bieten Besuchern WLAN an. Das ist normal. Problematisch wird es, wenn dieses Gäste-WLAN nicht sauber getrennt ist. Ein Gastgerät ist nicht kontrollierbar. Niemand weiß, ob es aktuell, infiziert oder sauber konfiguriert ist. Es sollte deshalb niemals Zugriff auf interne Systeme haben.
Drucker, Scanner und Kameras sind auch IT
Viele Sicherheitskonzepte schauen auf Server und PCs. Dabei werden Drucker, Scanner, Telefonanlagen, Kameras, Zeiterfassungsterminals oder andere Netzwerkgeräte gerne vergessen. Diese Geräte haben häufig eigene Weboberflächen, Passwörter, Firmwarestände und Netzwerkverbindungen. Nicht jedes Gerät braucht Zugriff auf alles. Oft reicht gezielte Kommunikation.
Was Geschäftsführer wissen müssen
Als Geschäftsführer müssen Sie keine Firewall-Regel lesen können. Aber Sie sollten ein paar Fragen stellen können:
- Sind unsere internen Netze sauber getrennt?
- Gibt es ein separates Gäste-WLAN?
- Sind Fernzugriffe mit MFA abgesichert?
- Welche Systeme sind von außen erreichbar?
- Wer prüft regelmäßig die Firewall-Regeln?
- Sind alte Zugänge entfernt?
- Gibt es eine Dokumentation?
- Wer bekommt Meldungen bei Auffälligkeiten?
- Wie hängen Firewall, Backup, Server und Microsoft 365 zusammen?
- Was passiert, wenn ein Arbeitsplatz kompromittiert wird?
Warum wir bei EDV Systeme Donner Firewalls anders betrachten
Für uns ist eine Firewall kein einzelnes Gerät im Serverschrank. Sie ist Teil der Unternehmensstruktur. Wir schauen deshalb nicht nur auf Hersteller, Modell und Lizenz. Wir schauen auf den Betrieb.
Wie ist das Netzwerk aufgebaut? Welche Bereiche müssen getrennt werden? Welche Benutzer arbeiten intern, mobil oder extern? Welche Dienste sind wirklich notwendig? Welche Risiken gibt es durch alte Systeme? Welche Datenbereiche sind kritisch? Wie greifen Backup, Microsoft 365, Server, WLAN und Fernzugriff ineinander? Welche Regeln sind nachvollziehbar?
Das ist der Unterschied zwischen „Firewall vorhanden“ und „Firewall sinnvoll betrieben“.
Die beste Firewall nützt wenig, wenn der Rest ungeordnet bleibt
Eine Firewall ist wichtig. Aber sie ist kein Ersatz für Ordnung. Wenn Benutzer überall Administratorrechte haben, Backups nicht getestet sind, Microsoft 365 ohne MFA läuft, alte Konten aktiv bleiben, Dokumentation fehlt und niemand Zuständigkeiten kennt, dann kann auch die beste Firewall nicht alles auffangen.
IT-Sicherheit ist ein Zusammenspiel: Firewall, Backup, Benutzerrechte, Updates, MFA, Dokumentation, Monitoring, Notfallplan, Schulung und saubere Prozesse. Erst daraus entsteht echte Belastbarkeit.
Woran Sie erkennen, dass Ihre Firewall-Struktur überprüft werden sollte
- Sie wissen nicht, welche Firewall-Regeln aktiv sind.
- Ihr Gäste-WLAN ist nicht sauber vom Firmennetz getrennt.
- Fernzugriffe wurden irgendwann eingerichtet, aber nie überprüft.
- Ehemalige Mitarbeiter oder Dienstleister könnten noch Zugänge haben.
- Es gibt Portweiterleitungen, deren Zweck niemand mehr kennt.
- Drucker, Kameras und technische Geräte hängen im normalen Büronetz.
- VPN ist nur mit Benutzername und Passwort geschützt.
- Firewall-Updates werden nicht regelmäßig geprüft.
- Niemand schaut sich Protokolle oder Sicherheitsmeldungen an.
- Es gibt keine aktuelle Netzwerkdokumentation.
Was jetzt sinnvoll ist
Der richtige erste Schritt ist keine spontane Neuanschaffung. Der richtige erste Schritt ist eine Bestandsaufnahme.
Welche Internetzugänge gibt es? Welche Geräte sichern diese Zugänge ab? Welche Netze existieren? Welche Bereiche sollten getrennt sein? Welche Dienste sind von außen erreichbar? Welche VPN-Zugänge gibt es? Welche Benutzer und Dienstleister haben Zugriff? Welche Firewall-Regeln sind dokumentiert? Welche Sicherheitsfunktionen sind aktiv? Wann wurde zuletzt geprüft?
Danach kann man sauber entscheiden, ob die vorhandene Lösung ausreicht, ob sie besser konfiguriert werden muss oder ob eine professionelle Firewall-Struktur notwendig ist. Das ist seriöser als blinder Produktverkauf.
Mein Fazit
Ein Standardrouter kann Internet bereitstellen. Aber er ersetzt kein Sicherheitskonzept für ein Unternehmen.
Sobald ein Betrieb mit mehreren Arbeitsplätzen, Microsoft 365, Servern, VPN, Gäste-WLAN, Druckern, mobilen Geräten, externen Dienstleistern und geschäftskritischen Daten arbeitet, reicht „Internet läuft“ als Maßstab nicht mehr aus.
Die bessere Frage lautet: Ist unser Netzwerk so aufgebaut, dass ein Fehler oder Angriff nicht sofort das ganze Unternehmen trifft?
Wenn Sie diese Frage nicht klar beantworten können, sollten wir sprechen. Nicht, weil alles schlecht ist. Sondern weil gute IT nicht aus Zufall entsteht. Gute IT entsteht durch Struktur, klare Regeln und regelmäßige Prüfung.
Passt Ihre Firewall- und Netzwerkstruktur noch zu Ihrem Unternehmen?
EDV Systeme Donner unterstützt kleine und mittelständische Unternehmen dabei, Netzwerke, Firewalls, Fernzugriffe und Sicherheitsstrukturen sauber aufzubauen und zuverlässig zu betreiben.
Häufige Fragen zu Firewalls im Unternehmen
Reicht ein normaler Router als Firewall für ein Unternehmen?
Für ein privates Zuhause kann ein Standardrouter ausreichen. Ein Unternehmen braucht jedoch meist mehr: Netzwerksegmentierung, sichere Fernzugriffe, Protokollierung, Pflege, Updates und klare Regeln.
Warum ist Netzwerksegmentierung so wichtig?
Segmentierung sorgt dafür, dass nicht jedes Gerät mit jedem anderen Gerät sprechen darf. Dadurch wird Schaden begrenzt, wenn ein einzelnes System kompromittiert wird.
Was macht Fernzugriff so kritisch?
Fernzugriff ist von außen erreichbar und deshalb besonders sensibel. Er sollte über VPN, MFA, klare Rechte, Protokollierung und regelmäßige Prüfung abgesichert werden.
Wie oft sollte eine Firewall geprüft werden?
Firewall-Regeln, VPN-Benutzer, Updates, Ausnahmen und Protokolle sollten regelmäßig überprüft werden. Eine Firewall ist kein einmaliger Kauf, sondern laufender Betrieb.