Managed Firewall: Leistungen, Zuständigkeiten und Auswahlkriterien

Was gehört zu einer Managed Firewall?

Eine Firewall sitzt am Übergang zwischen Netzen, denen du unterschiedlich stark vertraust. Sie lässt nur die Verbindungen durch, die im Regelwerk ausdrücklich erlaubt sind, und blockiert alles andere. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt diesen Grundsatz im IT-Grundschutz-Baustein NET.3.2. Der Übergang muss nicht zum Internet führen: Auch zwei interne Netze mit unterschiedlichem Schutzbedarf lassen sich so trennen.

„Managed“ heißt hier, dass ein Hoster den Betrieb dieser Firewall vertraglich übernimmt. Zu einem vollständigen Dienst gehören vier Aufgaben:

• Einrichten: Der Anbieter entwirft das Regelwerk passend zu deinen Diensten und testet es vor dem Einsatz.
• Pflegen: Er setzt neue Regeln um, entfernt überflüssige und dokumentiert jede Änderung.
• Überwachen: Er kontrolliert Firewall und Protokolle und wird bei Fehlern oder Auffälligkeiten alarmiert.
• Aktualisieren: Er spielt Firmware- und Sicherheitsupdates der Firewall ein.

Abgrenzung zu Server-Firewall, Cloud-Firewall, DDoS-Schutz und WAF

Eine Managed Firewall wird oft mit anderen Schutzschichten verwechselt, die jeweils etwas anderes leisten:

• Firewall auf dem Server: Die Windows-Firewall ist in allen Windows-Editionen enthalten und standardmäßig aktiv. Unter Linux übernimmt das nftables, der Nachfolger von iptables im Kernel. So eingesetzt schützen beide nur den jeweiligen Server, nicht das Netz davor.
• Selbst verwaltete Cloud-Firewall: Manche Hoster stellen eine Firewall bereit, deren Regeln du selbst in der Verwaltungsoberfläche festlegst. Für Fehler im Regelwerk bist du dann allein verantwortlich.
• DDoS-Schutz: Die Abwehr von Überlastungsangriffen ist eine eigene Schutzschicht und gehört nicht automatisch zum Firewall-Dienst.
• Web Application Firewall (WAF): Sie prüft den HTTP-Verkehr einer Webanwendung, etwa auf eingeschleuste SQL-Befehle (SQL-Injection) oder Schadskripte (Cross-Site-Scripting). Ihre Regeln müssen nach jeder größeren Änderung der Anwendung angepasst werden.

Typische Funktionen

Den Kern bildet ein Paketfilter mit Zustandsprüfung (Stateful Inspection). Er merkt sich den Zustand jeder Verbindung und lässt Antwortpakete nur durch, wenn sie zu einer erlaubten Verbindung gehören. Das gilt auch für die verbindungslosen Protokolle UDP und ICMP.

Ein Beispiel für Segmentierung: Webserver, Datenbank und Verwaltungsrechner stehen in drei getrennten Netzen. Die Firewall erlaubt dem Webserver nur den Datenbankport, aus dem Internet ist die Datenbank gar nicht erreichbar. Fällt der Webserver einem Angriff zum Opfer, kommt der Angreifer nicht ohne Weiteres an die Verwaltungsrechner.

Die Protokollierung muss nach dem IT-Grundschutz mindestens abgewiesene Verbindungen mit Adressen, Ports und Zeitpunkt sowie alle Konfigurationsänderungen erfassen. VPN-Zugänge sowie Angriffserkennung und -abwehr (IDS/IPS) sind Zusatzfunktionen, die nicht jede Firewall mitbringt.

Wie Änderungen im Betrieb ablaufen

Angenommen, ein externer Dienstleister braucht drei Wochen lang per VPN Zugriff auf einen Server. Bei einer Managed Firewall stellst du dafür eine Anfrage, etwa per Ticket oder über ein Kundenportal. Der Anbieter prüft sie technisch, richtet den Zugang ein und dokumentiert den Grund. Entscheidend ist, was danach passiert: Der Anbieter muss den Zugang zum vereinbarten Datum wieder schließen.

Der IT-Grundschutz des BSI verlangt, dass festgelegt ist, wer Filterregeln entwirft, umsetzt und ändern darf. Entscheidungen und ihre Gründe müssen nachvollziehbar dokumentiert sein. Die Dienste unterscheiden sich vor allem darin, wie sie dringende Änderungen außerhalb der Geschäftszeiten umsetzen und ob eine zweite Person jede Änderung prüft, bevor sie wirksam wird.

Wer ist wofür zuständig?

Auch wenn der Anbieter die Technik betreut, bleiben Entscheidungen bei dir. Eine klare Aufteilung kann so aussehen:

Für wen sich eine Managed Firewall lohnt

Der Dienst passt zu Unternehmen, die mehrere Server oder getrennte Netze betreiben, aber niemanden mit Netzwerkerfahrung im Team haben. Betreibst du nur einen einzelnen Server, kann die Firewall auf dem Server genügen. Bei einem Managed Server oder Managed Cloud-Server solltest du dann fragen, ob der Hoster auch die Regeln dieser Server-Firewall betreut.

Ein weiterer Anlass sind Prüfungen durch Kunden oder Auditoren. Dann zählt, ob du Regeländerungen und abgewiesene Zugriffe belegen kannst. Je nach Branche und Unternehmensgröße kann auch NIS-2 gelten, in Deutschland umgesetzt im BSI-Gesetz. Es verlangt geeignete technische und organisatorische Maßnahmen und deren Dokumentation, schreibt aber keine bestimmte Technik vor. Eine verwaltete Firewall kann also Teil deiner Maßnahmen sein. Ob alle Maßnahmen zusammen ausreichen, musst du weiterhin selbst bewerten. Zu den Pflichten zählt auch die Sicherheit der Lieferkette, also der Umgang mit Dienstleistern wie deinem Hoster.

Worauf du beim Vergleich achten solltest

• Nennt die Leistungsbeschreibung Einrichtung, Pflege, Überwachung und Updates einzeln?
• Wie viele Regeländerungen sind im Monat enthalten, und was kostet jede weitere?
• Welche Frist gilt für die Umsetzung einer normalen Änderungsanfrage, unabhängig von der Reaktionszeit bei Störungen?
• Wird die Firewall rund um die Uhr überwacht oder nur zu Geschäftszeiten?
• Wie lange werden Protokolle aufbewahrt? Der IT-Grundschutz legt dafür keine Frist fest.
• In welchem Land liegen die Protokolldaten?
• Bekommst du bei einem Anbieterwechsel einen Export deiner Konfiguration?

Der Preis hängt vom vereinbarten Leistungsumfang ab und wird teils erst nach einer Analyse deiner Umgebung festgelegt. Vergleiche deshalb den Leistungsumfang, bevor du Beträge nebeneinanderstellst.

Häufige Fragen zur Managed Firewall