Eine Firewall entscheidet, welcher Datenverkehr zwischen Firmennetz und Internet erlaubt ist. Ihre Wirkung steht und fällt mit der Konfiguration: Ist sie falsch oder unvollständig eingerichtet — etwa ein offener Port im Router, über den ein privater Laptop ohne VPN direkt aufs Firmennetz zugreift —, sind Kundendaten, Angebote und interne Dokumente ungeschützt erreichbar, oft ohne dass es jemandem auffällt. Um solche Lücken zu schließen, muss man verstehen, was eine Firewall leistet — und was sie nicht leistet, wenn sie nur halb eingerichtet ist.

Eine Firewall ist kein Schloss —
sie ist ein Türsteher mit Regelbuch

Eine Firewall, das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt es so, ist Hard- und Software, die den Datenfluss zwischen dem internen Netzwerk und dem externen Netzwerk kontrolliert — in beide Richtungen (, Zugriff 2026-07-08). Vereinfacht gesagt: Kein Datenpaket passiert die Grenze zwischen Internet und Firmennetz, ohne dass die Firewall es gegen ihr Regelwerk geprüft hat.

Das Regelwerk entscheidet anhand konkreter Parameter: Woher kommt das Paket — welche IP-Adresse, welches Protokoll, welcher Port? Ist der Absender auf der Positivliste? Passt die Anfrage zu einer bestehenden Verbindung? Erst wenn alle Prüfpunkte erfüllt sind, wird das Paket durchgelassen. Alles andere wird verworfen.

Drei Punkte sind entscheidend, um Missverständnisse zu vermeiden: Eine Firewall prüft Verbindungsversuche, keinen Inhalt — zumindest in ihrer Grundform. Sie ist kein Virenschutz und kein Ersatz für verschlüsselte Verbindungen. Und sie schützt nur das, was hinter ihr liegt — ein Laptop, der direkt mit dem Mobilfunknetz verbunden ist, ist für die Büro-Firewall unsichtbar. Das BSI formuliert es nüchtern: „IT-Sicherheit kann nicht durch eine einzelne Software erreicht werden, sondern ist immer nur durch ein Zusammenspiel von verschiedenen Faktoren möglich."

Welcher Firewall-Typ
für welchen Zweck

Nicht jede Firewall ist gleich leistungsfähig. Die Wahl des richtigen Typs hängt davon ab, welche Bedrohungen ein Unternehmen abwehren will und welche IT-Ressourcen dafür bereitstehen. Die folgende Tabelle gibt einen Überblick über die gängigen Typen und ihre Eignung für KMU — geordnet von einfach nach leistungsfähig.

(Quelle: Cisco)

Zwei Begriffe tauchen in Kaufentscheidungen für KMU besonders häufig auf. Der erste: UTM-Geräte, also Unified-Threat-Management-Firewalls. Sie bündeln — lose gekoppelt — Stateful-Inspection-Firewall, Angriffserkennung (Intrusion Prevention) und Virenschutz in einem Gerät, oft mit Cloud-Verwaltung. Für Organisationen ohne spezialisiertes Security-Team gilt so ein Paket in der Beratungspraxis als praxisgerechte Lösung — es reduziert die Zahl der zu wartenden Einzelsysteme. Der zweite: NGFW, Next-Generation-Firewalls. Sie gehen einen Schritt weiter — statt nur Ports und Protokolle zu prüfen, identifizieren sie Anwendungen (Unterschied zwischen „HTTPS zu LinkedIn" und „HTTPS zu einer bekannten Schadsoftware-Domain"), filtern URLs nach Kategorien und integrieren aktuelle Bedrohungsdaten. Vereinfacht gesagt: Die UTM schaut auf Verbindungen, die NGFW schaut auf Inhalte und Absichten.

Hardware, Software oder Cloud —
was passt für welches KMU

Bevor der Typ gewählt wird, ist die Betriebsform zu klären. Cisco unterscheidet in seiner KMU-Praxisempfehlung drei grundlegende Varianten:

Die ideale KMU-Lösung kombiniert eine Hardware-Firewall am Netzwerkrand mit Software-Firewalls auf mobilen Geräten und integriert VPN-Unterstützung, Virenschutz, Spam-Schutz und Content-Filterung in einem Paket. Das reduziert die Anzahl der Systeme, die ein Koordinator im Blick halten muss.

Einrichtung in sechs Schritten —
kein Schritt ist optional

Der folgende Ablauf folgt dem Cisco-Leitfaden für KMU (, aufbereitet in) und ergänzt die BSI-Empfehlungen zur Konfiguration. Er gilt für Hardware-Firewalls und UTM-Geräte gleichermaßen.

Typische Konfigurationsfehler, die Schutz zunichte machen

Dass eine Firewall vorhanden ist, bedeutet nicht, dass sie schützt. Die häufigsten Fehler in der Praxis sind keine Exoten — sie sind struktureller Natur.

Der Koordinator ist kein Firewall-Administrator —
aber er muss fragen können

Datenschutzkoordinatoren konfigurieren Firewalls in der Regel nicht selbst. Das ist Aufgabe des IT-Dienstleisters oder der internen IT. Die Aufgabe des Koordinators ist eine andere: zu verstehen, was eine Firewall leistet und was nicht — und die richtigen Fragen zu stellen.

Konkret bedeutet das: Gibt es eine Hardware-Firewall, die das gesamte Firmennetz schützt? Ist das Regelwerk dokumentiert? Wann wurden die Logs zuletzt ausgewertet? Gibt es eine Zonentrennung zwischen internen Systemen und Systemen, die aus dem Internet erreichbar sind? Sind Homeoffice-Verbindungen über VPN abgesichert — nicht über offene Ports?

Wer diese Fragen stellen und die Antworten einordnen kann, trägt zur Datensicherheit bei. Nicht weil Koordinatoren Technik betreiben, sondern weil niemand sonst im Unternehmen systematisch nachfragt.

Am Ende schützt eine Firewall genau das, was man ihr erklärt hat

Zurück zum offenen Port aus dem Einstieg. Das Problem war kein technischer Defekt — es war eine Lücke im Regelwerk. Der Port war offen, weil irgendwann jemand ihn geöffnet hatte und niemand ihn je geschlossen hatte. Die Firewall hat genau das getan, wofür sie konfiguriert war: den Verkehr durchgelassen.

Eine Firewall ist so gut wie das Regelwerk, das sie durchsetzt. Und das Regelwerk ist so gut wie die Menschen, die es pflegen.