„Eine normale FritzBox reicht auch für dein Unternehmen. Du brauchst keine teure Firewall mehr.“
Mit dieser Aussage begann vor Kurzem eine interessante Diskussion auf LinkedIn. Die Argumentation dahinter klingt zunächst durchaus plausibel. E-Mails liegen heute häufig in Microsoft 365 oder anderen Cloud-Diensten. Warenwirtschaft, CRM und Dokumentenmanagement wandern zunehmend in die Cloud. Mitarbeiter arbeiten im Homeoffice und dort steht schließlich auch keine Enterprise-Firewall, sondern häufig eine FRITZ!Box oder ein vergleichbarer Router.
Also warum im Büro noch mehrere tausend Euro für eine professionelle Firewall ausgeben?
Die Frage ist berechtigt. Die einfache Antwort „Eine FRITZ!Box reicht“ ist es allerdings nicht.
Die FRITZ!Box ist keine schlechte Firewall
Zunächst sollte man mit einem Missverständnis aufräumen. Eine FRITZ!Box ist keineswegs ein unsicherer Internetrouter. Sie verfügt über eine Stateful-Packet-Inspection-Firewall, verwirft unerwünschte eingehende Verbindungen und hält im Auslieferungszustand die entsprechenden TCP- und UDP-Ports für eingehende Verbindungen geschlossen. Für private Anschlüsse und kleinere Umgebungen bietet sie damit einen durchaus soliden Basisschutz.
Die entscheidende Frage lautet deshalb nicht, ob eine FRITZ!Box sicher oder unsicher ist.
Die Frage lautet vielmehr: Welche Sicherheitsaufgaben soll der Internetrouter in einem Unternehmen übernehmen? Und genau an dieser Stelle wird die Diskussion interessanter.
Die Cloud hat die Aufgabe der Firewall verändert
Vor fünfzehn oder zwanzig Jahren sah das Netzwerk eines typischen kleinen Unternehmens anders aus. Im Serverraum standen Exchange Server, Dateiserver, Warenwirtschaft, Domain Controller und vielleicht noch ein Terminalserver. Wer von außen auf Unternehmensressourcen zugreifen wollte, musste zwangsläufig die Grenze zwischen Internet und Firmennetz überwinden.
Die Firewall war damit tatsächlich eine der wichtigsten Verteidigungslinien.
Heute befinden sich viele dieser Dienste außerhalb des eigenen Gebäudes. E-Mail kommt aus Microsoft 365, Anwendungen laufen als SaaS und Daten werden in Cloud-Speichern abgelegt. Gleichzeitig arbeiten Mitarbeiter von zu Hause, unterwegs oder direkt beim Kunden.
Die klassische Vorstellung von „innen ist sicher, außen ist gefährlich“ funktioniert deshalb immer weniger. Daraus allerdings abzuleiten, dass eine professionelle Firewall überflüssig geworden sei, wäre der falsche Schluss.
Wo die Daten liegen, ist nicht die einzige entscheidende Frage
Nehmen wir einen Mitarbeiter, der morgens seinen Windows-PC einschaltet und sich bei Microsoft 365 anmeldet. Seine E-Mails und Dokumente liegen tatsächlich nicht im Büro.
Auf seinem Arbeitsplatz befinden sich trotzdem Zugangsdaten, Browser-Sessions, Tokens und Zugänge zu Unternehmensanwendungen. Von diesem Rechner werden Angebote geschrieben, Rechnungen bearbeitet, Bankgeschäfte vorbereitet und Cloud-Dienste administriert.
Wird dieses Endgerät kompromittiert, hilft die Tatsache wenig, dass die eigentlichen Daten in einem Rechenzentrum liegen. Ein Angreifer muss heute nicht zwingend den Server im Keller erreichen. Häufig reicht ihm die Identität des Benutzers. Genau deshalb hat sich IT-Sicherheit verschoben. Identitäten, Endgeräte, Anwendungen und Zugriffswege sind mindestens ebenso wichtig geworden wie die klassische Netzwerkgrenze.
Eine Firewall trennt nicht einfach Fernseher und Drucker
Besonders interessant ist deshalb die Behauptung, eine professionelle Firewall würde im modernen Unternehmen im Wesentlichen nur noch dafür sorgen, dass Fernseher und Drucker voneinander getrennt werden.
Netzwerksegmentierung verfolgt ein völlig anderes Ziel.
In vielen kleinen und mittleren Unternehmen befinden sich PCs, Drucker, VoIP-Telefone, WLAN-Geräte, Kameras, NAS-Systeme, Server, Gebäudetechnik und administrative Systeme im gleichen oder in wenigen großen Netzwerksegmenten.
Wird eines dieser Systeme kompromittiert, entscheidet die Netzwerkarchitektur darüber, wie weit sich ein Angreifer anschließend bewegen kann. Ein Drucker muss normalerweise keinen Domain Controller erreichen können. Eine Überwachungskamera benötigt keinen Zugriff auf die Warenwirtschaft. Das Gäste-WLAN sollte keine administrativen Schnittstellen erreichen. Ein normaler Arbeitsplatz benötigt wiederum keinen direkten administrativen Zugriff auf die Virtualisierungsplattform oder das Backup-System. Segmentierung verhindert einen Angriff nicht automatisch. Sie kann aber erheblich begrenzen, was nach einer erfolgreichen Kompromittierung passiert.
Das ist ein entscheidender Unterschied.
Aber braucht deshalb jedes kleine Unternehmen eine Enterprise-Firewall?
Nein.
Und genau an diesem Punkt hat die Diskussion um die FRITZ!Box ihre Berechtigung.
Stellen wir uns ein kleines Unternehmen mit vielleicht fünf oder zehn Mitarbeitern vor. E-Mail läuft vollständig über Microsoft 365. Die Warenwirtschaft ist SaaS. Dokumente liegen in einer professionell betriebenen Cloud-Umgebung. Es existieren keine lokalen Server und keine aus dem Internet erreichbaren Dienste. Die Windows-Arbeitsplätze werden zentral verwaltet, Updates konsequent installiert, Endpoint Security eingesetzt und sämtliche wichtigen Benutzerkonten sind mit MFA oder Passkeys abgesichert.
In einer solchen Umgebung muss man tatsächlich die Frage stellen, ob mehrere tausend Euro für eine umfangreiche Next-Generation-Firewall die Investition mit dem größten Sicherheitsgewinn darstellen. Möglicherweise ist das Geld besser in Endpoint Security, Identitätsschutz, Backup, E-Mail-Sicherheit, Gerätemanagement und die Schulung der Mitarbeiter investiert. Eine FRITZ!Box kann in einer solchen Architektur durchaus ein sinnvoller Internetrouter sein.
Entscheidend sind die beiden Wörter: in dieser Architektur.
Schon ein einziger lokaler Server verändert die Situation
Die Bewertung kann sich sehr schnell ändern.
Sobald im Unternehmen wieder ein Hypervisor, ein NAS, eine lokale Warenwirtschaft, ein Domain Controller, eine Telefonanlage oder andere schützenswerte Infrastruktur betrieben wird, entstehen zusätzliche Kommunikationsbeziehungen. Noch interessanter wird es, wenn Administratoren oder externe IT-Dienstleister auf diese Systeme zugreifen müssen.
Dann stellt sich nicht nur die Frage, welche Verbindung vom Internet ins Unternehmen zugelassen wird. Es muss auch entschieden werden, welcher Benutzer auf welches System zugreifen darf, von welchem Gerät dieser Zugriff erfolgen darf und welche Protokolle überhaupt benötigt werden.
Spätestens jetzt reicht das Konzept „Internetrouter plus Cloud“ nicht mehr als Sicherheitsarchitektur.
Homeoffice ist kein Argument gegen Firewalls
Auch das Homeoffice wird in dieser Diskussion gerne als Argument angeführt: Dort steht schließlich ebenfalls nur eine FRITZ!Box.
Das stimmt häufig.
Aber daraus sollte man eine andere Konsequenz ziehen. Wenn Unternehmen nicht mehr kontrollieren können, in welchem Netzwerk ein Mitarbeiter arbeitet, darf die Sicherheit einer Anwendung nicht davon abhängen, ob sich dieser Mitarbeiter gerade im vermeintlich sicheren Firmennetz befindet.
Genau hier beginnt Zero Trust.
Ein Benutzer erhält nicht deshalb Zugriff auf eine Anwendung, weil sein Notebook im richtigen Netzwerk steckt. Entscheidend sind seine Identität, seine Berechtigung, die verwendete Authentifizierung und der konkrete Zugriff auf die benötigte Ressource. Damit verliert die Firewall als alleinige Sicherheitsgrenze tatsächlich an Bedeutung.
Sie wird dadurch aber nicht automatisch überflüssig.
Das größere Problem ist häufig der Fernzugriff
Besonders kritisch wird die Situation, wenn Unternehmen eigene Systeme betreiben und diese von außen erreichbar machen müssen. Klassischerweise wird dafür ein VPN eingerichtet. Nach erfolgreicher Anmeldung befindet sich der externe Benutzer anschließend zumindest logisch wieder innerhalb des Unternehmensnetzes. Das ist bequem, schafft aber häufig wesentlich mehr Netzwerkzugriff, als für die eigentliche Aufgabe notwendig wäre.
Ein Mitarbeiter möchte vielleicht lediglich die Warenwirtschaft verwenden. Ein Administrator benötigt RDP auf einen bestimmten Server. Ein Dienstleister braucht SSH auf genau ein System. Warum sollte dafür ein kompletter Netzwerkzugang bereitgestellt werden? Moderne Zugriffskonzepte wie Kyvion Secure Access versuchen deshalb, nicht mehr ganze Netzwerke erreichbar zu machen, sondern gezielt einzelne Anwendungen und Systeme.
Der Browser kann dabei zur kontrollierten Zugriffsebene werden. RDP, SSH, VNC oder interne Webanwendungen lassen sich bereitstellen, ohne dass der Arbeitsplatz über eine klassische VPN-Verbindung Bestandteil des internen Netzes werden muss.
Damit verändert sich die Sicherheitsarchitektur erneut.
Weniger Firewall kann funktionieren – weniger Sicherheitskonzept nicht
Genau hier liegt für uns der interessante Kern der gesamten Diskussion. Ein Unternehmen kann heute durchaus mit einer deutlich einfacheren Netzwerkarchitektur arbeiten als noch vor zehn Jahren. Unter bestimmten Voraussetzungen kann dazu sogar eine FRITZ!Box als Internetrouter gehören.
Aber nur, wenn die Sicherheitsfunktionen, die früher mehr oder weniger selbstverständlich an der Netzwerkgrenze erwartet wurden, an anderer Stelle bewusst umgesetzt werden.
Identitäten müssen geschützt werden. MFA oder Passkeys sollten selbstverständlich sein. Endgeräte müssen verwaltet und überwacht werden. Cloud-Anwendungen benötigen vernünftige Berechtigungsmodelle. Kritische Systeme müssen voneinander getrennt werden. Administrative Zugriffe sollten besonders geschützt sein. Und interne Anwendungen sollten nicht allein deshalb große Teile des Unternehmensnetzes erreichbar machen, weil jemand von außerhalb darauf zugreifen muss.
Eine 5.000-Euro-Firewall macht ein schlecht aufgebautes Netzwerk nicht automatisch sicher.
Umgekehrt macht eine FRITZ!Box ein durchdachtes Sicherheitskonzept nicht automatisch unsicher.
Die richtige Frage lautet deshalb nicht „FRITZ!Box oder Firewall?“
Die bessere Frage lautet:
Welche Schutzfunktionen benötigt mein Unternehmen und wo werden diese umgesetzt?
Wenn ein Unternehmen ausschließlich sauber abgesicherte Cloud-Dienste verwendet, keine kritische lokale Infrastruktur betreibt und seine Endgeräte und Identitäten konsequent schützt, kann die Antwort überraschend einfach ausfallen.
Wenn dagegen Server, Produktionssysteme, Backups, Managementschnittstellen oder andere kritische Ressourcen im eigenen Netzwerk stehen, sieht die Situation anders aus. Und sobald Mitarbeiter, Administratoren oder externe Dienstleister von außen auf solche Systeme zugreifen müssen, sollte man sich ohnehin nicht nur Gedanken über die Firewall machen.
Dann sollte man grundsätzlich darüber nachdenken, ob wirklich ein Netzwerkzugang benötigt wird – oder lediglich ein sicherer Zugang zu einer bestimmten Anwendung. Genau darin liegt aus unserer Sicht die eigentliche Veränderung der vergangenen Jahre.
Die Firewall verschwindet nicht.
Aber sie ist nicht mehr automatisch das Zentrum der gesamten IT-Sicherheit.
Sicherheit entsteht heute aus dem Zusammenspiel von Netzwerk, Identitäten, Endgeräten, Anwendungen und kontrollierten Zugriffswegen. Wer nur eine dieser Ebenen betrachtet, macht es sich zu einfach – unabhängig davon, ob am Internetanschluss eine FRITZ!Box oder eine Enterprise-Firewall steht.
Mehr erfahren und beraten lassen!
Quellen und Ausgangspunkt
Ausgangspunkt des Beitrags ist eine aktuelle Diskussion auf LinkedIn zur Frage, ob eine normale FRITZ!Box für kleinere Unternehmen heute ausreichen kann.
LinkedIn: Beitrag von Felix v. Linden-Knote, „Eine normale FritzBox reicht auch für dein Unternehmen. Du brauchst keine teure Firewall mehr.“
Technische Informationen zur FRITZ!Box-Firewall: FRITZ!/AVM, „Sicherheitsfunktionen (Firewall) der FRITZ!Box“ und „Sicherer Zugriff: Firewall und Portfreigaben“.
