Leitfaden zur Hardware-Firewall
Eine Hardware-Firewall ist ein dediziertes physisches Gerät, das den eingehenden und ausgehenden Netzwerkverkehr basierend auf bestimmten Sicherheitsregeln kontrolliert und die erste Verteidigungslinie zwischen dem internen Netzwerk und der Außenwelt darstellt. Moderne Hardware-Firewalls sind fortschrittliche Sicherheitsplattformen, die Paketfilterung, Intrusion Prevention (IPS), Inspektion von verschlüsseltem Verkehr und Anwendungssteuerung in einem Gerät kombinieren. Ohne eine Firewall sind Netzwerke anfällig für Hackerangriffe, und die Auswahl des richtigen Modells erfordert Kenntnisse über technische Parameter, Lizenzmodelle und spezifische Anwendungsfälle.
Dieser Leitfaden richtet sich an IT-Abteilungen, Infrastrukturmanager und Personen, die für den Einkauf von Netzwerkhardware in Unternehmen verantwortlich sind. Sie finden darin einen Überblick über die Arten von Firewalls, wichtige Hersteller, die im Angebot von Senetic erhältlich sind, sowie praktische Tipps, die Ihnen helfen, eine Lösung auszuwählen, die auf die Größe der Organisation und die Sicherheitsanforderungen abgestimmt ist.
Wozu dient eine Hardware-Firewall?
Eine Hardware-Firewall (Hardware-Firewall, Hardware-Netzwerkfirewall, manchmal auch als Firewall bezeichnet) ist ein physisches Netzwerkgerät, das an der Grenze zwischen dem lokalen Netzwerk und dem Internet arbeitet. Die Hardware-Firewall vergleicht den Verkehr mit einer definierten Regel-Liste und lässt Verbindungen basierend darauf zu oder blockiert sie. Im Gegensatz zu einer Software-Firewall – also einer auf einem Computer oder Server installierten Software, die Ressourcen des Betriebssystems gemeinsam nutzt – arbeitet die Hardware-Firewall auf einem eigenen, dedizierten System (z. B. FortiOS) und verfügt über spezialisierte Prozessoren (ASIC, NPU), die für die Analyse des Netzwerkverkehrs optimiert sind.
Die grundlegenden Funktionsprinzipien einer Hardware-Firewall umfassen:
- Paketfilterung – Analyse der Paket-Header (IP-Adressen, Ports, Protokolle) und Entscheidung über deren Zulassung oder Blockierung von Verkehr, der nicht mit der Sicherheitsrichtlinie übereinstimmt. Paketfilter sind die einfachste Art von Firewalls.
- Stateful Inspection – Verfolgung aktiver Verbindungen und Überprüfung, ob ein bestimmtes Paket zu einer etablierten Sitzung gehört.
- Deep Packet Inspection (DPI) – Analyse des Inhalts von Paketen auf Bedrohungen, Malware und verdächtige Aktivitäten.
- Anwendungssteuerung – Identifizierung und Filterung von Inhalten auf Anwendungsebene, unabhängig von Ports und Protokollen.
- Network Address Translation (NAT) – Übersetzung von IP-Adressen, Maskierung der Struktur des internen Netzwerks.
Die Vorteile der Verwendung einer Hardware-Firewall in einer Organisation sind vor allem:
- Vorhersehbare Leistung – Dedizierte Hardware-Ressourcen gewährleisten eine stabile Bandbreite, selbst bei hoher Auslastung.
- Zentrale Verwaltung – Die Hardware-Firewall bietet eine zentrale Verwaltung der Netzwerksicherheit, was die Administration in Multi-Standort-Umgebungen vereinfacht.
- Unabhängigkeit von der Plattform – Das Gerät ist nicht vom Betriebssystem des Hosts abhängig, was Angriffsvektoren eliminiert, die typisch für Software-Firewalls sind.
- Netzwerksegmentierung – Die Hardware-Firewall ermöglicht die Segmentierung des Netzwerks, was die Sicherheit sensibler Bereiche erhöht. Die Netzwerksegmentierung ist eines der Grundprinzipien des Zero Trust-Ansatzes.
Die Hardware-Firewall ist die erste Verteidigungslinie im Netzwerk, aber gute Ergebnisse beim Schutz des Netzwerks erzielt man durch die Kombination von Hardware- und Software-Firewalls – ein schichtweises Vorgehen, bei dem die Hardware-Firewall den Perimeter schützt und Software-Firewalls die einzelnen Hosts absichern.
Arten von Hardware-Firewalls
Hardware-Firewalls umfassen eine breite Palette von Geräten – von kompakten Modellen für kleine Büros bis hin zu leistungsstarken Plattformen für Rechenzentren. Die Auswahl hängt von der Anzahl der Benutzer, der erforderlichen Bandbreite und den fortschrittlichen Schutzfunktionen ab.
Firewalls für kleine und mittlere Unternehmen
SOHO (Small Office / Home Office) und SMB-Lösungen sind Geräte, die mit mehreren RJ-45-Ports und grundlegenden Sicherheitsfunktionen ausgestattet sind. Sie sind für Unternehmen gedacht, bei denen Einfachheit der Konfiguration und ein attraktiver Preis im Vordergrund stehen. Diese Firewalls überwachen den Netzwerkverkehr in Echtzeit und bieten effektiven Schutz vor typischen Cyber-Bedrohungen.
Enterprise-Firewalls mit Wi-Fi
In Umgebungen, die ein einheitliches Management von kabelgebundenem und drahtlosem Netzwerk erfordern, sind Modelle mit integriertem Wi-Fi-Modul ideal. Die FortiWiFi-Serie (z. B. FortiWiFi-40F) kombiniert fortschrittliche NGFW-Firewall-Funktionen mit der Funktionalität eines Access Points, wodurch die Notwendigkeit eines separaten Geräts entfällt. Diese Lösung ist besonders nützlich in kleinen Niederlassungen, Verkaufsstellen und Standorten ohne umfangreiche Netzwerk-Infrastruktur. Einige Modelle bieten auch ein integriertes WWAN-Modul (3G/4G/LTE), das die Konnektivität an Orten ohne festen Internetzugang gewährleistet.
Hochleistungsfirewalls
Für große Organisationen, Rechenzentren und Umgebungen mit kritischen Verfügbarkeitsanforderungen sind Geräte mit einer Bandbreite von 10–15 Gbit/s und mehr bis hin zu mehreren Dutzend Gbit/s vorgesehen. Next-Generation-Firewalls in dieser Klasse kombinieren verschiedene Ansätze zum Schutz – IPS, Inhaltsfilterung, Sandbox, Anwendungssteuerung – und bieten proaktive Maßnahmen gegen raffinierte Bedrohungen.
Hersteller
Das Angebot von Senetic umfasst Hardware-Firewalls von führenden Herstellern, von denen jeder unterschiedliche Bedürfnisse und Budgets anspricht.
Fortinet ist Marktführer. Die Serien FortiGate und FortiWiFi umfassen Modelle von kompakten über Mittelklasse bis hin zu Hochdurchsatzgeräten. Ein zentrales Element des Fortinet-Ökosystems sind die Lizenzen:
- FortiGuard – ein Abonnement, das Updates für IPS-Signaturen, Antivirus, URL/DNS-Filterung, Schutz vor fortgeschrittenen Bedrohungen und Sandbox bietet.
- FortiCare – technischer Support, SLA, Firmware-Updates.
Senetic bietet sowohl die Geräte selbst als auch Pakete „Gerät + FortiGuard / FortiCare-Lizenzen" an.
Zyxel mit der Serie USG FLEX ist eine Lösung für kleine und mittlere Unternehmen, die ein gutes Verhältnis von Funktionalität zu Preis suchen. Modelle wie USG FLEX 100HP bieten SPI-Firewall-Durchsatz, VPN-Durchsatz sowie Enterprise Protection-Pakete mit erweiterten Schutzfunktionen (IPS, Inhaltsfilterung, Antivirus, Anti-Spam). Die Spezifikation berücksichtigt die maximale Anzahl von TCP-Sitzungen, die Anzahl der IPSec VPN-Tunnel und die Anzahl der SSL VPN-Benutzer, was die Auswahl des Modells an die Anzahl der Mitarbeiter und entfernten Standorte erleichtert.
Ubiquiti
Ubiquiti mit der Linie UniFi Cloud Gateways zeichnet sich durch die Integration in das Netzwerkmanagement-Ökosystem – Switches, Access Points und UniFi-Controller – aus. Die Geräte bieten eine zonenbasierte Firewall, Cloud-Management und einen attraktiven Preis. Diese Lösung eignet sich für Umgebungen, in denen Einfachheit der Implementierung und Flexibilität des Managements im Vordergrund stehen, obwohl das Niveau der fortschrittlichen Inspektionsfunktionen niedriger ist als bei Fortinet-Plattformen.
Cisco Meraki GO
Cisco Meraki GO ist ein Angebot für kleine Unternehmen, die Wert auf einfache Implementierung und Management aus der Cloud legen. Die Modelle bieten eine intuitive Benutzeroberfläche, automatische Updates und Integration in das Meraki GO-Ökosystem. Dies ist ein Service, der die Netzwerk-Infrastruktur schützt, ohne dass Sicherheitsspezialisten eingestellt werden müssen – ideal für Unternehmen, die keine umfangreiche IT-Abteilung haben.
Häufig gestellte Fragen
Was ist der Unterschied zwischen einer Hardware- und einer Software-Firewall?
Eine Hardware-Firewall ist ein physisches Gerät, das ausschließlich zur Analyse und Filterung des Netzwerkverkehrs bestimmt ist, während eine Software-Firewall eine auf einem Computer oder Server installierte Software ist, die Ressourcen mit anderen Anwendungen teilt.
Welche Bandbreite sollte die Firewall für ein Unternehmen haben?
Bei der Auswahl der Bandbreite der Firewall sollte nicht nur der aktuelle Netzwerkverkehr, sondern auch das prognostizierte Wachstum für 2–3 Jahre berücksichtigt werden. Richtwerte:
- Kleine Unternehmen (bis zu 50 Benutzer): 1–5 Gbit/s
- Mittlere Organisationen (50–500 Benutzer): 5–20 Gbit/s
- Große Unternehmen und Rechenzentren: von 20 bis 70+ Gbit/s
Benötigt die Firewall eine Lizenz?
Ja – die Hardware allein ist nur die Basis. Die volle Funktionalität der Firewall, einschließlich Updates für IPS-Signaturen, Antivirus, Inhaltsfilterung, Schutz vor Malware und Sandbox, erfordert ein aktives Abonnement.
Kann die Firewall den Router ersetzen?
Teilweise ja – viele Hardware-Firewalls fungieren als Router und unterstützen L3-Routing, NAT, Routing-Richtlinien sowie mehrere WAN-Verbindungen mit Failover-Funktion. Firewalls verbessern die Netzwerkleistung, indem sie unerwünschten Verkehr blockieren und gleichzeitig Pakete zwischen Segmenten leiten. Allerdings können die fortschrittlichen Funktionen von Backbone-Routern – wie die Unterstützung des BGP-Protokolls in großen Betreiberumgebungen – in Firewalls eingeschränkt sein oder zusätzliche Lizenzen erfordern.
Was bedeutet SSL/TLS-Inspektion und warum verringert sie die Leistung?
Die SSL/TLS-Inspektion besteht darin, den verschlüsselten HTTPS-Verkehr zu dekodieren, ihn auf Bedrohungen (Malware, Phishing, Datenlecks) zu scannen und ihn dann erneut zu verschlüsseln und weiterzuleiten. Über 90 % des modernen Internetverkehrs ist verschlüsselt, sodass die Firewall ohne SSL-Inspektion nur die Header analysiert – Hacker können bösartige Payloads in verschlüsselten Verbindungen verstecken. Das Problem ist, dass kryptografische Operationen sehr rechenintensiv sind. Geräte mit dedizierten Hardware-Beschleunigern (ASIC/NPU, wie in der FortiGate-Serie) schneiden deutlich besser ab als Modelle, die ausschließlich auf allgemeine CPU basieren. Bei aktivierter SSL-Inspektion kann die Bandbreite um das Mehrfache sinken – daher ist es sinnvoll, den Parameter „SSL-Inspektionsdurchsatz“ in der Spezifikation zu vergleichen.
Kann die Firewall remote verwaltet werden?
Ja – die überwiegende Mehrheit der modernen Firewalls überwacht und kontrolliert den Verkehr über eine Weboberfläche (GUI), API oder eine dedizierte Cloud-Plattform.
