Firewall-Grundkonfiguration: Die wichtigsten Regeln für eine sichere Policy

Eine solide Firewall Grundkonfiguration entscheidet in vielen KMU darüber, ob ein einzelner kompromittierter Rechner ein Sicherheitsvorfall bleibt oder zum Totalausfall wird. In der Praxis sehen wir immer wieder Firewalls, die zwar angeschafft, aber nie sauber nach Grundprinzipien konfiguriert wurden: gewachsene Regelwerke, offene Fernzugriffe, fehlende Segmentierung. Diese Checkliste fasst die wichtigsten Policy-Prinzipien zusammen, unabhängig vom eingesetzten Hersteller, damit Sie den Ist-Zustand Ihrer Firewall systematisch prüfen können. Bewusst geht es dabei um die Konzept- und Policy-Ebene und nicht um ein bestimmtes Produkt, denn die zugrunde liegenden Prinzipien bleiben über Firewall-Generationen hinweg gleich.

Default-Deny als Grundhaltung

Die wichtigste konzeptionelle Entscheidung fällt schon vor der ersten Regel: Soll grundsätzlich alles erlaubt sein, was nicht ausdrücklich verboten ist, oder umgekehrt? Für eine sichere Policy gilt ausschließlich Letzteres.

• Ausgangsregel für jede Zone ist „Deny All“. Jede Ausnahme wird einzeln und begründet freigegeben.
• Ausgehender Datenverkehr (Outbound) wird ebenso restriktiv behandelt wie eingehender, nicht nur nach dem Motto „von innen darf alles raus“.
• Freigaben werden so eng wie möglich gefasst: konkrete Quelle, konkretes Ziel, konkreter Port/Dienst statt „any/any“-Regeln.
• Jede bestehende „any“-Regel wird als Prüfkandidat markiert und schrittweise durch spezifische Regeln ersetzt.

Netzwerksegmentierung als zweite Verteidigungslinie

Default-Deny wirkt nur, wenn es auch innerhalb des Netzes durchgesetzt wird. Ein flaches Netz, in dem sich jedes Gerät mit jedem anderen unterhalten kann, hebelt die beste Firewall-Policy am Perimeter aus.

• Getrennte Zonen/VLANs mindestens für Gäste-WLAN, Produktions-IT (Arbeitsplätze), Server-/Backup-Netz und IoT-/Gebäudetechnik-Geräte.
• Kommunikation zwischen den Zonen läuft ausschließlich über die Firewall und wird dort explizit geregelt, nicht über einen gemeinsamen Switch ohne Kontrolle.
• Backup-Infrastruktur liegt in einem eigenen, besonders restriktiv angebundenen Segment, damit Ransomware im Produktionsnetz nicht auch die Sicherungen erreicht.
• IoT- und Gebäudetechnik-Geräte (Kameras, Sensorik, Drucker mit Netzwerkanschluss) erhalten grundsätzlich keinen direkten Zugriff auf Server- oder Verwaltungsnetze.

Eine geordnete, dokumentierte Regel-Basis

Regelwerke, die über Jahre gewachsen sind, ohne dass sich noch nachvollziehen lässt, wer eine Regel wofür angelegt hat, gehören zu den häufigsten Praxisproblemen im Mittelstand.

• Jede Regel erhält Zweck, Verantwortlichen und Anlagedatum als Kommentar oder in einer begleitenden Dokumentation.
• „Temporäre“ Freigaben (z. B. für einen Dienstleister oder einen Test) bekommen von Anfang an ein Ablaufdatum bzw. einen fest terminierten Rückbau-Termin.
• Änderungen an der Policy laufen über einen definierten Freigabeprozess, nicht über spontane Einzelaktionen im laufenden Betrieb.
• Die Regel-Reihenfolge wird bewusst gepflegt, denn restriktivere Regeln müssen vor allgemeineren stehen, um wirksam zu sein.

Regelmäßiges Regel-Audit statt „einrichten und vergessen“

Auch eine sauber dokumentierte Policy veraltet mit der Zeit. Mitarbeitende verlassen das Unternehmen, Projekte laufen aus, Dienstleisterzugänge werden nicht mehr gebraucht. Die zugehörigen Regeln bleiben aber oft trotzdem bestehen.

• Mindestens halbjährliches Audit aller aktiven Regeln: Wird diese Freigabe noch benötigt, und von wem?
• Ungenutzte, doppelte oder überholte Regeln werden konsequent entfernt, nicht nur deaktiviert und liegen gelassen.
• Auffälligkeiten wie sehr breite Freigaben oder Regeln ohne Dokumentation werden priorisiert nachgearbeitet.
• Das Audit-Ergebnis wird schriftlich festgehalten, damit der Fortschritt über mehrere Zyklen sichtbar bleibt.

Fernzugriffe, Geoblocking und Admin-Absicherung

Der Zugriff von außen zählt zu den häufigsten Angriffsvektoren auf KMU-Netzwerke, gerade weil er aus Bequemlichkeit oft zu offen konfiguriert wird.

• Fernzugriff auf interne Systeme ausschließlich über VPN, keine direkt aus dem Internet erreichbaren Verwaltungsports oder Remote-Desktop-Freigaben.
• Multi-Faktor-Authentifizierung für den administrativen Zugriff auf die Firewall selbst, nicht nur für Endanwender-VPN-Zugänge.
• Geoblocking bzw. Länder-basierte Sperren dort einsetzen, wo geschäftlich kein Bezug zu bestimmten Regionen besteht.
• Administrative Oberflächen der Firewall sind nicht aus dem öffentlichen Internet erreichbar, sondern nur aus einem definierten Management-Netz.

Logging, Monitoring und Managed Detection

Eine Firewall, deren Protokolle niemand auswertet, liefert im Ernstfall zwar Beweise, aber keine Frühwarnung.

• Logging ist für alle relevanten Regeln aktiviert, insbesondere für verworfene Verbindungsversuche und Admin-Zugriffe.
• Protokolle laufen an ein zentrales System oder einen Managed-Security-Dienst, der Auffälligkeiten auswertet, statt lokal ungenutzt zu verfallen. Mehr dazu unter Managed Security.
• Für sicherheitsrelevante Ereignisse (z. B. wiederholte Login-Fehlversuche am Admin-Interface) sind Alarmierungen definiert.
• Aufbewahrungsfristen der Logs orientieren sich an internen Vorgaben und regulatorischen Anforderungen.

Firmware, Patches und Notfallzugang

Die Firewall selbst ist Software mit eigenen Schwachstellen und muss entsprechend gepflegt werden.

• Firmware- und Signatur-Updates werden zeitnah nach Herstellerfreigabe eingespielt, idealerweise nach Test in einem Wartungsfenster.
• Ein dokumentierter Notfallzugang (Out-of-Band-Management, z. B. über eine separate Konsole oder einen physischen Zugang) verhindert, dass sich das Team bei einer Fehlkonfiguration selbst aussperrt.
• Vor größeren Policy-Änderungen wird ein Konfigurations-Backup gezogen, damit ein Rollback jederzeit möglich ist.
• End-of-Life-Termine der eingesetzten Hardware/Software sind bekannt und in die Planung eingepreist, bevor der Hersteller-Support ausläuft.

Wer diese Punkte einmal strukturiert durchgeht, hat in der Regel schon die größten Lücken im Blick. Für die konkrete Umsetzung, vom Regel-Audit bis zur Segmentierung im laufenden Betrieb, lohnt sich häufig ein Blick auf professionelle Firewall-Lösungen, die genau diese Prinzipien von Haus aus unterstützen.

Häufige Fragen

Wie oft sollte ein Firewall-Regel-Audit stattfinden?

Als Richtwert gilt mindestens halbjährlich, bei häufigen Änderungen im Unternehmen wie Personalwechsel, neuen Dienstleistern oder Projektabschlüssen auch quartalsweise. Wichtiger als die exakte Frequenz ist, dass das Audit tatsächlich stattfindet, mit klarem Verantwortlichen versehen und dokumentiert wird, statt eine einmalige Übung nach der Einführung zu bleiben.

Reicht eine einzelne Firewall am Internetübergang für KMU aus?

Der Perimeter-Schutz allein reicht nicht aus, wenn im internen Netz keine Segmentierung existiert. Erst die Kombination aus Default-Deny am Übergang und getrennten Zonen im Inneren verhindert, dass sich ein kompromittiertes Gerät frei im gesamten Netzwerk bewegen und weitere Systeme infizieren kann. Für viele KMU ist genau diese fehlende Innensegmentierung die größere Lücke, nicht die Konfiguration am Internetübergang selbst.

Muss Geoblocking bei jeder Firewall aktiviert werden?

Geoblocking ist sinnvoll, wenn keine geschäftliche Notwendigkeit für Verbindungen aus bestimmten Regionen besteht, ersetzt aber keine der anderen Grundprinzipien. Es reduziert die Angriffsfläche, wirkt jedoch nur als eine von mehreren Maßnahmen innerhalb einer sauberen Policy und sollte regelmäßig gegen tatsächliche Geschäftsbeziehungen geprüft werden, damit legitime Verbindungen nicht versehentlich blockiert werden.

Sie möchten die Firewall-Konfiguration in Ihrem Unternehmen gegen diese Checkliste prüfen lassen? Über die Seite Kontakt erreichen Sie das netzorange-Team für ein unverbindliches Gespräch.