Eine Firewall ist kein Router mit schönerem Namen

Warum in einem Unternehmensnetz manchmal beide Geräte gebraucht werden - obwohl eines davon eigentlich weg sollte.

Am Anfang stand keine neue Firewall.

Am Anfang stand eine Sicherheitsanalyse.

Bei einem Neukunden hatten wir die vorhandene IT im Rahmen eines IT-Risikochecks untersucht. Dabei ging es nicht nur um einzelne Schwachstellen, sondern auch um die grundsätzliche Frage: Wie ist die IT heute aufgebaut - und wie sollte sie künftig aussehen?

Aus den Ergebnissen entstand gemeinsam mit dem Kunden eine ziemlich klare Entscheidung:

Die Infrastruktur sollte aktualisiert, sicherer und gleichzeitig einfacher werden.

Über solche IT-Risikochecks und die manchmal überraschenden Ergebnisse habe ich bereits in „105 Schwachstellen. Und jetzt?“ berichtet.

Diesmal geht es darum, was danach passierte.

Im Zuge des Projekts wurden die gefundenen Schwachstellen beseitigt und gleichzeitig der Betrieb vereinfacht. Ein Baustein der neuen Infrastruktur war eine professionelle Firewall.

Und eigentlich wollte ich den Router loswerden.

Möglichst einfach

Der Internetanschluss des Kunden wurde im Zuge der Umstellung auf Glasfaser modernisiert.

Mein Zielbild für die neue Struktur war entsprechend einfach:

Glasfaser → Firewall → internes Netzwerk.

Wenig Geräte, klare Zuständigkeiten und möglichst wenig Technik dazwischen.

So weit der Plan.

Die Firewall konnte die Glasfaserverbindung allerdings technisch nicht direkt übernehmen. Also musste der Glasfaser-Router vor der Firewall bleiben.

Nicht meine Wunschlösung, aber auch kein Drama.

Wenn ein Gerät schon bleiben muss, sollte es wenigstens nur das tun, wofür es noch gebraucht wird. Nicht benötigte Funktionen wurden abgeschaltet und der Router weitgehend auf seine Aufgabe als Zugang zum Internet reduziert.

Damit sah die Struktur nun so aus:

Glasfaser → Router → Firewall → internes Netzwerk.

„Eine Firewall haben wir ja schon.“

Dann kam vom Kunden ein Satz, den ich tatsächlich häufiger höre:

„Eine Firewall haben wir ja schon.“

Gemeint war der vorhandene Router.

Und die Aussage ist zunächst einmal richtig. Auch ein moderner Router besitzt eine integrierte Firewall - bei vielen Geräten wird sie schließlich ausdrücklich als Sicherheitsfunktion beworben.

Warum also noch ein zusätzliches Gerät?

Genau diese Frage führt zum Kern der Geschichte.

Denn der Unterschied besteht nicht einfach darin, dass die eine Firewall „besser“ oder „größer“ ist als die andere.

Entscheidend ist, welche Aufgaben sie übernehmen soll und wie viel Kontrolle über den Datenverkehr eines Unternehmensnetzes erforderlich ist.

Ein Router kann durchaus schützen

Ein moderner Router verbindet nicht einfach nur das Unternehmen mit dem Internet.

Er blockiert unerwünschte eingehende Verbindungen und bringt weitere Sicherheitsfunktionen mit. Für private Netze und einfache Einsatzszenarien ist das in aller Regel völlig ausreichend.

In einem Unternehmensnetz können die Anforderungen aber deutlich weitergehen.

Dort möchte ich beispielsweise festlegen können, welche Systeme miteinander kommunizieren dürfen, Zugriffe protokollieren, VPN-Verbindungen gezielt steuern oder unterschiedliche Bereiche des Netzes voneinander trennen.

Und ich möchte nicht nur wissen, ob eine Verbindung erlaubt ist.

Mich interessiert auch, was dort eigentlich unterwegs ist.

Denn nicht jede erlaubte Verbindung transportiert automatisch etwas, das ich in meinem Netzwerk haben möchte.

Damit sind wir bei einem Satz, der den Unterschied für mich ziemlich gut auf den Punkt bringt:

Ein Router sorgt dafür, dass Daten ihren Weg finden. Eine Firewall entscheidet, welche diesen Weg nehmen dürfen - und welche besser nie am Ziel ankommen.

Wer macht eigentlich was?

In unserem Projekt standen Router und Firewall nun also direkt hintereinander.

Und damit wird eine andere Sache wichtig: klare Zuständigkeiten.

Solange alles funktioniert, fällt das kaum auf. Der Internetzugang läuft, Webseiten öffnen sich und die Benutzer können arbeiten.

Spannend wird es bei Dingen wie einem VPN-Zugang für einen externen Arbeitsplatz.

Dann muss klar sein:

• Wo kommt die Verbindung von außen an?

• Welches Gerät leitet sie weiter?

• Welche Verbindung darf durch die Firewall?

• In welches interne Netz darf der Benutzer?

• Und welche Systeme soll er dort überhaupt erreichen können?

Ähnlich sieht es bei der Namensauflösung im Netzwerk aus. Auch dort sollte nicht einfach irgendetwas irgendwie funktionieren. Es muss klar sein, welches System welche Aufgabe übernimmt und wohin Anfragen weitergegeben werden.

Gerade wenn mehrere Geräte beteiligt sind, ist diese Klarheit wichtig.

Sonst wird aus zusätzlicher Sicherheit sehr schnell zusätzliche Komplexität.

Zwei Geräte bedeuten nicht doppelte Sicherheit

Router plus Firewall - doppelt hält besser?

Leider nein.

Wenn beide Geräte unabhängig voneinander filtern, weiterleiten, VPN-Verbindungen verwalten und vielleicht noch unterschiedliche Netze oder Dienste bedienen, gewinnt man nicht automatisch Sicherheit.

Man gewinnt zunächst einmal nur Komplexität.

Und die ist in der IT selten hilfreich.

Deshalb wurde der Router in unserem Fall auf die Funktionen reduziert, für die wir ihn tatsächlich noch brauchten.

Die eigentliche Kontrolle des Unternehmensnetzes übernahm die Firewall.

Dort werden die Sicherheitsregeln zentral definiert, Zugriffe kontrolliert und Verbindungen nachvollziehbar. Sie wird damit zum kontrollierten Übergang zwischen Internet und internem Netzwerk - und bei Bedarf auch zwischen unterschiedlichen Bereichen innerhalb des Unternehmensnetzes.

Dabei geht es übrigens nicht nur um Angriffe von außen.

Auch ein infizierter Rechner oder ein kompromittiertes Gerät im eigenen Netzwerk versucht möglicherweise, eine Verbindung nach draußen aufzubauen.

Auch diesen Datenverkehr möchte ich nicht einfach deshalb durchlassen, weil er aus der vermeintlich „richtigen“ Richtung kommt.

Und der Router?

Der blieb.

Genau der Router, den ich zu Beginn des Projekts eigentlich loswerden wollte.

Und im Nachhinein finde ich gerade das an diesem Projekt interessant.

Denn dadurch standen die beiden Geräte tatsächlich direkt hintereinander - und machten ziemlich anschaulich, dass sie eben nicht dasselbe tun.

Der Router erfüllt weiterhin eine notwendige technische Aufgabe.

Die Firewall übernimmt die Sicherheitsaufgabe, für die wir deutlich mehr Kontrolle brauchen.

Das Ziel war schließlich nie, möglichst viele Geräte in einen Netzwerkschrank zu bauen.

Im Gegenteil.

Die Infrastruktur sollte einfacher und gleichzeitig sicherer werden.

Manchmal bedeutet „einfacher“ eben nicht, dass am Ende weniger Geräte vorhanden sind.

Sondern dass jedes Gerät eine klare Aufgabe hat.

Und wenn ich den Unterschied zwischen Router und Firewall in einem Satz erklären müsste, würde ich nach diesem Projekt wieder bei demselben landen:

Ein Router sorgt dafür, dass Daten ihren Weg finden. Eine Firewall entscheidet, welche diesen Weg nehmen dürfen - und welche besser nie am Ziel ankommen.