Probleme · Sicherheit, Backup & Datenschutz
Welche Firewall braucht ein KMU?
Kurz gesagt
Eine, die zu deinem Netz und deinem Betrieb passt, nicht die mit dem grössten Datenblatt. Kläre zuerst, welche Verbindungen es gibt und welche Bereiche getrennt sein müssen. Vergleiche die Leistung mit aktiven Schutzdiensten. Entscheidend ist danach der Betrieb: lesbare, befristete Regeln, persönliche Adminkonten mit MFA, Updates, Konfigurations-Backups und Warnungen, die jemand ansieht.
Für wen das gilt
Für KMU, die eine Firewall neu beschaffen, ersetzen oder nach einem Wechsel des IT-Partners verstehen wollen. Spätestens wenn die Telefonie stockt, ein Dienstleister Fernzugriff braucht oder das Gäste-WLAN plötzlich Drucker sieht, zeigt sich: Entscheidend ist nicht allein das Gerät. Eine Firewall regelt den Übergang zwischen Internet, internen Netzen, Cloud-Diensten und Standorten.
Ein Büro mit Cloud-Anwendungen und Homeoffice hat andere Anforderungen als ein Betrieb mit Kasse, Werkstatt, Kameras und Gästen. Auch in einem kleinen Büro kann ein alter Fernwartungszugang, ein gemeinsames Konto oder ein offenes Gäste-WLAN im Störfall viel Zeit kosten.
Die Auswahl in vier Punkten
| Punkt | Worauf du achtest |
|---|---|
| Netz verstehen | Internetanschlüsse, Switches, WLANs, Server, Drucker, Telefonie, mobile Geräte, externe Zugriffe; auch Kassen, Produktionsgeräte, Kameras |
| Bereiche trennen | Gäste nur ins Internet, Arbeitsplätze, Server und Administration eingeschränkt, technische Geräte separat |
| Leistung realistisch prüfen | Durchsatz mit aktiven Schutzdiensten, Reserven für Wachstum, gleichzeitige Verbindungen, Upload für Backups und Videokonferenzen |
| Betrieb sichern | Adminzugang, Regelpflege, Updates, Konfigurations-Backups, Warnungen |
Das Netz vor dem Gerät verstehen
Frag die Fachpersonen vor Ort: Welches Gerät darf bei einem Ausfall nicht stillstehen? Welcher Zugriff eines Lieferanten wird tatsächlich gebraucht? Kassensysteme, Videoanlagen oder Verwaltungsoberflächen werden leicht vergessen, weil sie scheinbar einfach funktionieren.
Getrennte Bereiche statt eines flachen Netzes
Für eine erste Trennung reichen oft wenige Zonen: Gäste-WLAN nur mit Internet, Arbeitsplätze, Server und Administration mit eingeschränkten Zugängen. Eine Kasse, ein WLAN-Drucker oder eine Kamera muss nicht mit jedem Notebook sprechen. Eine Kamera braucht allenfalls die Aufzeichnung, nicht das ganze Büronetz. So bleibt ein kompromittiertes Gerät auf seinen Bereich begrenzt.
Leistung mit typischem Lastbild vergleichen
Wie viele Mitarbeitende arbeiten gleichzeitig in der Cloud? Welche Standorte sind verbunden? Wie viele VPN-Verbindungen sind realistisch? Welche Schutzfunktionen sollen wirklich laufen? Ein IT-Partner kann diese Werte einordnen, die Prioritäten müssen aber von dir kommen.
Aus der Praxis
Wie belastbar eine Konfiguration ist, zeigt sich nach einem Partnerwechsel oder Geräteausfall. Gibt es nur ein gemeinsames Adminkonto, unklare Ausnahmen und Regeln ohne Zweck, wird jede Anpassung zum Risiko.
Nach grösseren Änderungen machen wir einen Rundgang mit den betroffenen Mitarbeitenden. Ein Test direkt am Arbeitsplatz zeigt eher, dass ein Scanner, ein Tablet oder eine Spezialanwendung eine Verbindung braucht, als eine Prüfung in der Administrationsoberfläche. Geprüft wird zum Beispiel:
- Erreicht die Buchhaltung den benötigten Drucker?
- Bleibt das Gäste-WLAN vom Betriebsnetz isoliert?
- Erreicht das Lager nur die nötige Anwendung?
- Funktioniert der VPN-Login mit MFA?
- Lässt sich eine Konfiguration testweise wiederherstellen?
Ehrlich gesagt: wann es sich nicht lohnt
Eine grosse Lösung ohne klare Anforderungen ist ebenso unpassend wie ein knapp dimensioniertes Gerät. Und eine Firewall ohne Betrieb schützt wenig: Sie wirkt nicht, weil sie im Rack blinkt, sondern weil Grenzen, Identitäten und Pflege nachvollziehbar sind. Wer keine Zeit für Updates und Regelpflege hat, braucht zuerst eine Zuständigkeit, nicht ein grösseres Gerät.
Auch zu strenge Trennung hat einen Preis: Erreicht ein Tablet im Lager seine Anwendung nicht, wird die Regel umgangen oder der Betrieb wartet.
So gehst du vor
- Netzübersicht zeichnen, inklusive aller Geräte und externen Zugriffe.
- Zonen festlegen und mit den Personen testen, die die Verbindungen nutzen.
- Lastbild beschreiben und Angebote mit aktiven Schutzdiensten vergleichen.
- Adminzugang absichern: persönliche Konten, MFA, kleiner Kreis, Verwaltung nicht offen im Internet.
- Regeln dokumentieren: Quelle, Ziel, Dienst, Zweck, Verantwortliche, Ablaufdatum für Ausnahmen.
- Betrieb regeln: Wartungsfenster für Updates, Konfigurations-Backups, Rückfallweg, Zuständigkeit für Warnungen.
- Regelmässig prüfen: Testzugänge, frühere Dienstleister und abgelöste Anwendungen entfernen; bei Ein- und Austritten Konten und Zugriffe anpassen.
Updates nicht mitten im Arbeitstag einzuspielen, ist verständlich. Sie lange aufzuschieben, macht bekannte Risiken aber nicht kleiner. Für Fernwartung von Maschinen gibt es einen eigenen Ablauf: Wie organisiere ich Fernwartung in der Produktion sicher?. Wie du das Gäste-WLAN sauber trennst, steht in Wie richte ich ein sicheres Gäste-WLAN ein?. Mehr unter Sicherheit, Backup & Datenschutz, unsere Festpreise auf der Preisseite.
Häufige Fragen
Sind Durchsatzangaben im Datenblatt verlässlich?
Nur, wenn klar ist, welche Funktionen dabei aktiv sind. Verschlüsselter Verkehr, Angriffserkennung, Webfilter, Malware-Prüfung und VPN brauchen Rechenleistung. Ein Gerät kann auf dem Papier schnell sein und mit aktiven Schutzdiensten zum Flaschenhals werden.
Warum ist eine Regel «any to any» ein Problem?
Eine Freigabe von überall nach überall löst akute Probleme schnell, schafft aber dauerhafte blinde Flecken. Jede Regel sollte Quelle, Ziel, Dienst, Zweck und verantwortliche Stelle nennen; Lieferanten- und Testzugriffe bekommen ein Ablaufdatum.
Reicht ein VPN für den Fernzugriff?
Nein, nicht wenn Zugangsdaten geteilt werden oder alle dieselben Ressourcen erreichen. Fernzugriffe gehören an persönliche Identitäten mit Mehrfaktor-Authentisierung und möglichst geringen Rechten.
Darf die Verwaltung der Firewall aus dem Internet erreichbar sein?
Sie sollte nicht ungeschützt aus dem Internet erreichbar sein. Verwaltet wird mit persönlichen Konten, MFA und einem kleinen Kreis berechtigter Personen, nicht mit einem gemeinsamen Administrationspasswort.
