Wie funktioniert eine Firewall und worauf kommt es bei der Konfiguration an?

Eine Firewall ist ein System aus Hard- und Software, das den Datenverkehr zwischen Netzen mit unterschiedlichem Schutzbedarf kontrolliert und nur die Verbindungen durchlässt, die eine vorher festgelegte Sicherheitsrichtlinie erlaubt. Alles, was nicht ausdrücklich erlaubt ist, blockiert sie. Bei der Konfiguration kommt es vor allem auf ein klares, möglichst genaues Regelwerk an. Dazu gehören: nicht benötigte Dienste abschalten, Verwaltungszugänge schützen und Protokolle laufend auswerten. Typisch steht eine Firewall zwischen Internet und Firmennetz; sie trennt aber auch interne Netze, etwa das Büronetz vom Netz der Personalabteilung.

Stand: 22. Oktober 2026. Diesen herstellerneutralen Leitfaden veröffentlicht der Marktplatz IT-Sicherheit des Instituts für Internet-Sicherheit – if(is), gestützt auf den IT-Grundschutz-Baustein NET.3.2 „Firewall“ des Bundesamts für Sicherheit in der Informationstechnik (BSI), die Firewall-Richtlinie SP 800-41 des US-Standardinstituts NIST und das BSI-Gesetz.

Definition: Was ist eine Firewall?

Das BSI beschreibt eine Firewall als „System aus soft- und hardwaretechnischen Komponenten, das dazu eingesetzt wird, IP-basierte Datennetze sicher zu koppeln“. Sie schränkt den technisch möglichen Informationsfluss auf die Kommunikation ein, die in einer Sicherheitsrichtlinie vorher als sicher festgelegt wurde. Sicher heißt hier: Nur die erwünschten Zugriffe und Datenströme zwischen den Netzen werden zugelassen.

NIST definiert Firewalls ähnlich als Geräte oder Programme, die den Netzverkehr zwischen Netzen oder Rechnern mit unterschiedlichem Sicherheitsniveau steuern. Firewalls stehen dabei nicht nur am Netzrand: Sie schützen auch einzelne Rechner und mobile Geräte, die direkt mit fremden Netzen verbunden sind.

Wie funktioniert eine Firewall?

Grundlage sind Regeln, die festlegen, welche Verbindungen und Datenströme erlaubt sind, etwa von welchen Adressen über welche Ports und Protokolle. Alle anderen Verbindungen unterbindet die Firewall; das BSI nennt das den Allowlist-Ansatz. Das gilt in beide Richtungen: Von außen dürfen keine unerlaubten Verbindungen ins geschützte Netz aufgebaut werden, aus dem geschützten Netz heraus ebenfalls nicht.

Paketfilter müssen nach BSI grundsätzlich immer zustandsbehaftet filtern (Stateful Inspection), auch bei UDP und ICMP: Sie berücksichtigen den Zustand einer Verbindung und lassen so etwa Antwortpakete nur zu bestehenden Verbindungen durch. Abgewiesene Verbindungen, fehlgeschlagene Anmeldungen und Konfigurationsänderungen protokolliert die Firewall, damit Angriffe und Fehler auffallen.

Welche Arten von Firewalls gibt es?

Die Grenzen sind fließend: Viele Produkte vereinen Paketfilter, Proxys und Zusatzfunktionen. Weil sich die Umsetzungen zwischen den Produkten unterscheiden, empfiehlt das BSI, die Anwendungserkennung je nach Einsatzszenario einzeln zu betrachten.

Firewall-Architektur: Was ist eine P-A-P-Struktur?

Für Unternehmensnetze reicht ein einzelnes Gerät oft nicht. Der IT-Grundschutz des BSI empfiehlt als Stand der Technik eine Struktur aus Paketfilter, Application-Level-Gateway und einem zweiten Paketfilter (P-A-P). Sie besteht aus mehreren Komponenten mit jeweils geeigneter Hard- und Software; die wichtigsten Protokolle wie HTTP, SMTP und DNS laufen über eigene Sicherheitsproxys. Verwaltet werden sollte die Firewall nur über ein separates Managementnetz.

Bei erhöhtem Schutzbedarf nennt das BSI weitere Maßnahmen: hochverfügbare Auslegung mit zwei unabhängigen Internetzugängen, verschiedene Produkte für äußere und innere Firewalls sowie Produkte mit einer Sicherheitsevaluierung nach Common Criteria mindestens der Stufe EAL4.

Was ist eine DMZ?

Eine DMZ (demilitarisierte Zone) ist ein eigener Netzbereich an der Firewall, in dem meist öffentlich erreichbare Server wie Web- und Mailserver stehen. Verkehr zwischen der DMZ und dem internen Netz läuft weiterhin über die Firewall und unterliegt ihren Regeln. Eine einheitliche technische Definition gibt es laut NIST nicht.

Was eine Firewall nicht leisten kann

• Angriffe auf Anwendungsebene: Laut NIST haben sich Bedrohungen zunehmend auf die Anwendungsebene verlagert. Das senkt die Wirksamkeit klassischer Firewalls; nötig bleiben sie trotzdem gegen Angriffe auf den unteren Netzwerkschichten.
• Verkehr innerhalb des Netzes: Angriffe von einem internen Rechner auf einen anderen laufen oft gar nicht über die Firewall am Netzrand. Dagegen helfen interne Firewalls und eine Aufteilung des Netzes in Zonen.
• Verschlüsselte Verbindungen: Um Schadsoftware in verschlüsseltem Verkehr zu erkennen, muss er zeitweise entschlüsselt werden. Das BSI empfiehlt dies für Verbindungen in nicht vertrauenswürdige Netze, unter Beachtung der rechtlichen Rahmenbedingungen.
• Die Firewall selbst als Ziel: Wer unberechtigt auf eine Firewall oder ihre Verwaltungsoberfläche zugreift, kann Regeln ändern, Verbindungen mitschneiden oder Schadsoftware installieren. Fehlkonfigurationen können interne Dienste ungewollt erreichbar machen oder benötigte Dienste blockieren.

Worauf kommt es bei der Konfiguration einer Firewall an?

1. Eine Sicherheitsrichtlinie für Firewalls erstellen und regelmäßig prüfen, ob sie umgesetzt wird.
2. Den gesamten Verkehr zwischen den Netzen über die Firewall leiten und nur ausdrücklich erlaubte Verbindungen zulassen.
3. Zuständige benennen, die Regeln entwerfen, umsetzen und testen; jede Änderung mit Begründung dokumentieren.
4. Nicht benötigte Dienste und Zusatzfunktionen abschalten, Zugangsdaten sicher speichern.
5. Verwaltungszugänge auf wenige Adressen beschränken und nur sichere Protokolle oder ein eigenes Managementnetz nutzen.
6. Einen Notfallzugang vorsehen, damit die Firewall auch bei einem Netzausfall lokal administriert werden kann.
7. Abgewiesene Verbindungen, fehlgeschlagene Zugriffe und Konfigurationsänderungen protokollieren und die Protokolle laufend auswerten.
8. Updates des Herstellers zügig einspielen und die Firewall-Struktur regelmäßig per Revision und Penetrationstest prüfen.

Welche Grundeinstellungen verlangt der IT-Grundschutz?

Zu den Basis-Anforderungen des BSI-Bausteins NET.3.2 gehört, dass der Paketfilter alle ungültigen TCP-Flag-Kombinationen verwirft, auch UDP und ICMP zustandsbehaftet filtert und ICMP sowie ICMPv6 restriktiv filtert. Schutzmechanismen gegen Fragmentierungsangriffe über IPv4 und IPv6 müssen aktiv sein. Dynamisches Routing muss abgeschaltet sein, sofern der Paketfilter nicht als Perimeter-Router dient. Informationen über den internen Konfigurations- und Betriebszustand müssen nach außen bestmöglich verborgen bleiben.

Wie pflegt man das Regelwerk einer Firewall?

NIST empfiehlt, Regeln so genau wie möglich auf den Verkehr zuzuschneiden, den sie steuern. Änderungen an Regeln und Richtlinie sollen über ein formales Änderungsverfahren laufen. Das Regelwerk soll regelmäßig geprüft oder getestet werden, ob es noch der Richtlinie entspricht. Kommen neue Anwendungen oder Rechner hinzu, müssen die Regeln unter Umständen angepasst werden. Prüft eine Firewall die Regeln der Reihe nach, verbessert es die Leistung, die am häufigsten zutreffenden Regeln möglichst weit oben einzuordnen.

Ist eine Firewall Pflicht?

Gesetze schreiben in der Regel keine bestimmte Technik vor. Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSI-Gesetz (BSIG) aber geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, die den Stand der Technik einhalten sollen. Eine Orientierung, was das für Firewalls bedeutet, gibt der IT-Grundschutz-Baustein NET.3.2: Seine Basis-Anforderungen sind vorrangig zu erfüllen; zusammen mit den Standard-Anforderungen entsprechen sie laut BSI dem Stand der Technik für diesen Baustein. Welche Unternehmen unter das BSI-Gesetz fallen, erklärt der Leitfaden Was ist IT-Sicherheit?.

Worauf sollten Unternehmen beim Kauf einer Firewall achten?

• Vor dem Kauf eine Anforderungsliste aus der eigenen Sicherheitsrichtlinie ableiten und die Produkte daran messen.
• Welche Netzbereiche geschützt werden müssen und welche Firewall-Arten dafür passen; dazu Leistungsbedarf, Einbindung in vorhandene Netze und künftige Pläne wie VPN.
• Gleichwertige Unterstützung von IPv6 und IPv4, einschließlich der Prüfung von IPv6-Erweiterungsheadern.
• Protokollierung, Überwachung und zentrale Verwaltung, Hochverfügbarkeit bei Bedarf.
• Verlässliche Sicherheitsupdates des Herstellers über die gesamte Einsatzdauer.
• Bei erhöhtem Schutzbedarf: Evaluierung nach Common Criteria (mindestens EAL4).

Hersteller und Dienstleister mit Sitz, Angebot und Schwerpunkten nennt die Übersicht Firewall-Anbieter im Überblick.

Häufige Fragen

Was macht eine Firewall, einfach erklärt?

Eine Firewall ist wie eine Pforte zwischen zwei Netzen. Sie prüft jede Verbindung anhand fester Regeln und lässt nur durch, was ausdrücklich erlaubt ist, zum Beispiel den Abruf von Webseiten aus dem Firmennetz. Unerwünschte Zugriffe aus dem Internet weist sie ab und protokolliert sie.

Was ist der Unterschied zwischen Paketfilter und Next Generation Firewall?

Ein Paketfilter entscheidet anhand von Adressen, Ports, Protokollen und dem Verbindungszustand. Eine Next Generation Firewall erkennt zusätzlich Anwendungen und bündelt oft weitere Schutzfunktionen wie VPN, Angriffserkennung, Virenscanner und Spam-Filter. Die Anwendungserkennung sollte man laut BSI je nach Einsatzszenario einzeln betrachten, weil sich die Produkte unterscheiden. Zusatzfunktionen müssen laut BSI begründet und dokumentiert werden; nicht benötigte sind abzuschalten.

Hardware- oder Software-Firewall: Was ist der Unterschied?

Netz-Firewalls sind laut der NIST-Richtlinie von 2009 fast immer eigene Geräte mit mehreren Netzanschlüssen und schützen ganze Netzbereiche. Host-basierte und Personal Firewalls sind Software auf einem einzelnen Rechner und schützen nur diesen. Sie bilden eine zusätzliche Schutzschicht, auch gegen Angriffe von Rechnern im selben internen Netz, die keine Netz-Firewall passieren.

Reicht die Firewall im Internet-Router?

Internet-Router bringen häufig einfache Filterfunktionen mit. Ob das genügt, hängt vom Schutzbedarf ab. Für Unternehmensnetze empfiehlt der IT-Grundschutz des BSI eine P-A-P-Struktur aus mehreren Komponenten: Paketfilter, Application-Level-Gateway und zweiter Paketfilter. Die wichtigsten Protokolle sollen über eigene Sicherheitsproxys laufen.

Was ist eine Web Application Firewall?

Eine Web Application Firewall (WAF) schützt Webanwendungen wie Shops oder Portale. Sie wird etwa als Reverse Proxy vorgeschaltet und prüft die Anfragen an die Anwendung. Eine WAF ersetzt keine Netz-Firewall, sondern ergänzt sie.

Muss eine Firewall zertifiziert sein?

Nicht grundsätzlich. Bei erhöhtem Schutzbedarf empfiehlt das BSI im IT-Grundschutz Firewalls mit einer Sicherheitsevaluierung nach Common Criteria, mindestens der Stufe EAL4. Zudem kann nach § 30 Absatz 6 BSIG eine Rechtsverordnung besonders wichtigen und wichtigen Einrichtungen vorschreiben, bestimmte IKT-Produkte nur mit einer europäischen Cybersicherheitszertifizierung zu verwenden.

Schützt eine Firewall vor Phishing und Ransomware?

Nur teilweise. Eine Firewall kann Verbindungen zu bekannten Schadservern oder unerwünschte Zugriffe blockieren, aber keine Person davon abhalten, auf eine Phishing-Mail hereinzufallen. Wirksam ist sie im Zusammenspiel mit Multi-Faktor-Authentisierung, schnellen Updates, Schulungen und getesteten Backups.

Weitere Leitfäden des Marktplatzes IT-Sicherheit: Was ist IT-Sicherheit? · 3-2-1-Backup-Regel · Security-Awareness-Training aufbauen · Incident-Response-Plan

Quellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium, Baustein NET.3.2 Firewall, Edition 2023, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/09_NET_Netze_und_Kommunikation/NET_3_2_Firewall_Edition_2023.pdf?__blob=publicationFile&v=4
• National Institute of Standards and Technology (NIST): SP 800-41 Revision 1, Guidelines on Firewalls and Firewall Policy, September 2009, https://csrc.nist.gov/pubs/sp/800/41/r1/final
• BSI-Gesetz (BSIG), § 30 Risikomanagementmaßnahmen, https://www.gesetze-im-internet.de/bsig_2025/__30.html