Firewall-Konzepte

Das Grundprinzip der Firewall

Stell dir eine Firewall wie eine strenge Grenzkontrolle zwischen zwei Ländern vor. In der IT überwacht sie den gesamten ein- und ausgehenden Netzwerkverkehr zwischen verschiedenen Netzwerksegmenten – beispielsweise zwischen dem öffentlichen, unsicheren Internet und deinem internen Firmennetzwerk (LAN) oder zwischen verschiedenen VLANs.

Basierend auf einem strengen Set an vordefinierten Sicherheitsregeln entscheidet die Firewall bei jedem einzelnen Datenpaket, ob es die Grenze passieren darf oder abgewiesen wird. Ihr primäres Ziel ist es, interne Systeme vor unbefugten Zugriffen zu schützen und die Sicherheitsrichtlinien (Security Policies) eines Unternehmens technisch auf Netzwerkebene durchzusetzen.

Paketfilter-Firewalls: Die zustandslose Prüfung (Stateless)

Eine klassische Paketfilter-Firewall arbeitet zustandslos (stateless). Sie agiert wie Sicherheitspersonal, das bei jedem einzelnen Gast stur den Ausweis mit einer Liste abgleicht, ohne sich zu merken, wer bereits das Gebäude betreten hat.

Sie untersucht jedes Datenpaket völlig isoliert anhand seiner Header-Informationen auf der Netzwerk- und Transportschicht. Geprüft werden ausschließlich:

• Quell- und Ziel-IP-Adresse
• Quell- und Ziel-Port
• Protokoll (z. B. TCP, UDP, ICMP)

Da sie den Kontext einer Verbindung nicht kennt, arbeitet sie extrem schnell und ressourcenschonend. Der Nachteil: Sie ist anfälliger für raffinierte Angriffe, da sie beispielsweise gefälschte Antwortpakete nicht als solche erkennt, wenn die Header-Daten formal zur Regel passen.

Stateful-Inspection-Firewalls: Die zustandsbehaftete Prüfung

Eine Stateful-Inspection-Firewall arbeitet intelligenter: Sie ist zustandsbehaftet (stateful) und merkt sich den Kontext aktiver Verbindungen. Wenn ein internes Gerät eine Webseite aufruft, registriert die Firewall den korrekten Verbindungsaufbau (z. B. den TCP-Three-Way-Handshake: SYN, SYN-ACK, ACK).

Die Firewall speichert diese Sitzung in einer internen Zustandstabelle (State Table). Treffen nun Antwortpakete vom externen Webserver ein, prüft die Firewall in der Tabelle, ob diese zu einer bereits etablierten, legitimen Verbindung gehören. Ist das der Fall, lässt sie die Pakete automatisch passieren – auch ohne explizite Erlaubnisregel für den Rückweg. Das erhöht die Sicherheit massiv, da unaufgeforderte Pakete von außen ohne passenden Verbindungskontext sofort blockiert werden.

Proxy-Firewalls: Der sichere Mittelsmann

Eine Proxy-Firewall (auch Application Layer Gateway genannt) agiert als echter Stellvertreter. Stell dir vor, du gibst einen Brief an eine Assistenzkraft, die ihn öffnet, auf verbotene Inhalte liest, in einen neuen Umschlag steckt und erst dann für dich absendet.

Es gibt hier keine direkte Netzwerkverbindung zwischen Sender und Empfänger. Das anfragende Gerät baut eine Verbindung zum Proxy auf, und der Proxy baut eine neue, eigene Verbindung zum Zielserver auf. Dadurch kann der Proxy den Datenverkehr bis auf die Anwendungsebene (z. B. HTTP-Befehle) tiefgreifend analysieren und filtern. Dies bietet extrem hohe Sicherheit und verschleiert die interne Netzwerkstruktur, kostet durch die intensive Prüfung aber Performance.

Next-Generation Firewalls (NGFW): Das moderne Sicherheitszentrum

Eine Next-Generation Firewall (NGFW) kombiniert klassische Firewall-Funktionen mit hochmodernen Sicherheitsmechanismen. Sie ist der heutige Standard in Unternehmensnetzwerken. Zu ihren Kernfunktionen gehören:

• Deep Packet Inspection (DPI): Sie analysiert nicht nur den Header, sondern den tatsächlichen Inhalt (Payload) der Datenpakete auf Schadcode.
• Intrusion Prevention System (IPS): Sie erkennt bekannte Angriffsmuster und Malware-Signaturen in Echtzeit und blockiert diese aktiv.
• Application Awareness: Sie erkennt spezifische Anwendungen (z. B. WhatsApp, YouTube), selbst wenn diese Standard-Ports wie 443 (HTTPS) nutzen, und kann sie gezielt steuern oder drosseln.
• Threat Intelligence: Sie bezieht kontinuierlich Updates aus globalen Bedrohungsdatenbanken, um Netzwerke auch vor brandneuen, bisher unbekannten Angriffen (Zero-Day-Exploits) zu schützen.