Warum eine 10.000-Euro-Firewall Sie nicht rettet

Vor einigen Tagen rief mich ein mittelständischer Geschäftsführer an. Ransomware. Mehrere Systeme standen, auf Freigaben konnte nicht mehr zugegriffen werden und aus einem normalen Arbeitstag war innerhalb kürzester Zeit ein Ausnahmezustand geworden.

Eine seiner ersten Fragen war verständlich: „Herr Koch, wir haben doch erst letztes Jahr eine extrem teure Firewall gekauft. Wie kann das sein?“

Damit kein falscher Eindruck entsteht: Das Unternehmen war zu diesem Zeitpunkt Neukunde. Wir hatten diese Firewall weder verkauft noch eingerichtet und waren auch nicht für die bisherige Betreuung verantwortlich. Der Fall ist hier außerdem anonymisiert und technisch auf das reduziert, worauf es mir ankommt.

Nach der Analyse war die Antwort unangenehm einfach: Die Firewall war nicht das eigentliche Problem. Sie hatte auch nicht plötzlich aufgehört zu funktionieren. Der Einstieg führte über eine banale, unverschlüsselte Schnittstelle, die für einen externen Dienstleister „mal kurz“ nach außen geöffnet worden war. Irgendwann war die Arbeit erledigt. Der Zugang blieb.

Monate später wusste offenbar niemand mehr so genau, warum diese Freigabe existierte, wer sie noch benötigte und wer dafür verantwortlich war, sie wieder zu schließen.

Die Firewall hatte nicht versagt. Sie hatte genau das getan, was man ihr gesagt hatte: diesen Zugriff zuzulassen.

Genau deshalb halte ich den Satz „Wir haben doch eine gute Firewall“ für gefährlich. Nicht weil Firewalls unwichtig wären. Im Gegenteil. Sondern weil aus einem technischen Baustein sehr schnell ein Gefühl von Sicherheit wird, das mit der tatsächlichen Sicherheit des Unternehmens nur bedingt etwas zu tun hat.

Eine Firewall ist kein Sicherheitskonzept

Eine professionelle Firewall kann sehr viel. Sie kann Verbindungen filtern, Netze voneinander trennen, VPN-Zugänge bereitstellen, verdächtige Kommunikation erkennen, Regeln protokollieren und je nach Produkt zahlreiche weitere Sicherheitsfunktionen übernehmen.

Was sie nicht kann: Sie kennt nicht automatisch den geschäftlichen Hintergrund jeder Freigabe.

Wenn ein Administrator eine Regel anlegt, nach der ein bestimmter Dienst von außen erreichbar sein darf, dann ist dieser Zugriff aus Sicht der Firewall zunächst legitim. Das Gerät kann nicht zuverlässig beurteilen, ob der externe Techniker den Zugang noch benötigt, ob ein Projekt seit sechs Monaten beendet ist oder ob eine Ausnahme ursprünglich nur für einen Nachmittag gedacht war.

Das ist keine Schwäche des Produkts. Es ist eine Grenze des Prinzips.

Man kann für eine Firewall 800 Euro, 3.000 Euro, 10.000 Euro oder erheblich mehr ausgeben. Je nach Unternehmensgröße, Durchsatz, Redundanz, Support, Lizenzierung und benötigten Sicherheitsfunktionen kann ein hoher Preis vollkommen gerechtfertigt sein. Teuer ist nicht automatisch überdimensioniert und günstig nicht automatisch schlecht.

Nur eines kauft man mit dem höheren Preis nicht automatisch mit: einen funktionierenden Sicherheitsprozess.

Das gefährlichste Wort in vielen IT-Umgebungen lautet „vorübergehend“

In der Praxis entstehen viele problematische Konfigurationen nicht, weil jemand bewusst unsicher arbeiten möchte. Sie entstehen aus Zeitdruck.

Ein Hersteller muss auf eine Maschine zugreifen. Eine Softwarefirma benötigt kurzfristig einen Port. Ein externer Administrator kommt über den bisherigen Weg nicht hinein. Ein altes System kann nur über eine bestimmte Schnittstelle kommunizieren. Also wird eine Ausnahme eingerichtet.

„Nur bis morgen.“

„Nur bis das Update durch ist.“

„Nur für diesen Dienstleister.“

Das Problem beginnt nicht zwangsläufig mit der Ausnahme. In einem realen Betrieb braucht man Ausnahmen. Das Problem beginnt, wenn aus der Ausnahme stillschweigend ein Dauerzustand wird.

Eine Freigabe ohne Ablaufdatum ist organisatorisch keine temporäre Freigabe. Sie ist eine permanente Freigabe, an deren ursprünglichen Zweck sich irgendwann niemand mehr erinnert.

Deshalb gehört zu jeder solchen Änderung für mich mindestens eine einfache Dokumentation: Wer hat sie angefordert? Warum wird sie benötigt? Welches System ist betroffen? Wer ist fachlich verantwortlich? Wie lange soll sie bestehen? Wer prüft anschließend, ob sie wieder entfernt werden kann?

Das klingt nach Bürokratie. Bis zu dem Tag, an dem man nach einem Sicherheitsvorfall wissen möchte, warum Port, Konto oder Fernzugang überhaupt offen war.

Externe Dienstleister sind kein vertrauenswürdiges Sondernetz

Ein weiterer Klassiker ist der Satz: „Das ist unser Dienstleister, der braucht das.“

Natürlich benötigen externe Partner Zugänge. Maschinenbauer warten Anlagen, Softwarehäuser pflegen Anwendungen, Steuerberater tauschen Daten aus und IT-Dienstleister administrieren Systeme. Der Schluss daraus darf aber nicht lauten, dass ein Dienstleister möglichst bequem und dauerhaft überall hinkommen sollte.

Im Gegenteil: Gerade externe Zugriffe sollten sauber begrenzt werden.

• eigene, eindeutig zuordenbare Benutzerkonten statt gemeinsam genutzter Zugänge
• Multi-Faktor-Authentisierung, wo technisch möglich
• Zugriff nur auf die tatsächlich benötigten Systeme und Dienste
• keine pauschalen Administratorrechte aus Bequemlichkeit
• Fernzugriff nur für den erforderlichen Zeitraum
• Protokollierung und regelmäßige Prüfung der Zugriffe
• Deaktivierung nicht mehr benötigter Konten und Regeln

Vor allem sollte niemand davon ausgehen, dass der Rechner eines externen Partners automatisch sicherer ist als der eigene. Auch Dienstleister können kompromittiert werden. Zugangsdaten können gestohlen werden. Alte Fernwartungssoftware kann Sicherheitslücken enthalten. Ein eigentlich vertrauenswürdiger Zugang kann deshalb zum Einfallstor werden, ohne dass der Dienstleister selbst in böser Absicht handelt.

„Wir haben eine Firewall“ ist manchmal nur eine Management-Beruhigung

Das eigentliche Problem liegt häufig eine Ebene höher. IT-Sicherheit wird als Einkauf behandelt.

Man beschafft eine Firewall, einen Virenschutz, vielleicht noch eine Backup-Lösung und erwartet anschließend, dass das Thema für die nächsten fünf Jahre weitgehend erledigt ist. Auf einer Rechnung stehen dann beeindruckende Produktnamen, Lizenzen und Wartungsverträge. Das sieht nach Sicherheit aus. Es lässt sich budgetieren und abhaken.

Die unangenehmen Fragen stehen auf keiner Rechnung:

• Welche Systeme sind überhaupt von außen erreichbar?
• Welche davon müssten es nicht sein?
• Welche Administratoren und Dienstleister besitzen noch aktive Zugänge?
• Welche Geräte bekommen seit Jahren keine Sicherheitsupdates mehr?
• Welche Firewall-Regel wurde einmal angelegt und seitdem nie wieder geprüft?
• Wer merkt, wenn nachts plötzlich ungewöhnlich große Datenmengen übertragen werden?
• Wer entscheidet im Ernstfall, welche Systeme sofort abgeschaltet werden?
• Wann wurde zum letzten Mal eine Datensicherung tatsächlich zurückgespielt?

Diese Fragen sind weniger glamourös als ein neues Gerät im Serverschrank. Sie sind aber näher an der Realität eines Angriffs.

Das BSI bezeichnet Informationssicherheit nicht ohne Grund als fortlaufenden Prozess. Ein Sicherheitskonzept muss an veränderte Systeme, neue Anforderungen und neue Risiken angepasst werden. Wer seine Umgebung verändert, verändert damit auch seine Angriffsfläche.

Eine 10.000-Euro-Firewall kann schlechter schützen als eine kleinere Lösung

Das klingt zunächst provokant, ist aber keine Kritik an hochwertigen Firewalls.

Eine leistungsfähige Enterprise-Firewall in einer schlecht gepflegten Umgebung kann weniger Schutzwirkung entfalten als eine deutlich kleinere Lösung in einem Unternehmen, das seine Systeme kennt, Zugriffe begrenzt, Updates zeitnah einspielt, Konten sauber verwaltet, Backups testet und auf Auffälligkeiten reagiert.

Entscheidend ist nicht nur, was das Gerät theoretisch kann. Entscheidend ist, welche Funktionen konfiguriert sind, ob die Konfiguration noch zur Umgebung passt und ob Warnungen überhaupt jemand auswertet.

Ich sehe immer wieder Systeme, die technisch Funktionen mitbringen, für die der Kunde bezahlt, die aber nie sinnvoll eingerichtet wurden. Intrusion Prevention ist lizenziert, aber mit alten oder pauschalen Regeln konfiguriert. Protokolle werden erzeugt, aber niemand liest sie. VPN-Konten existieren weiter, obwohl Mitarbeiter oder Dienstleister längst nicht mehr für das Unternehmen arbeiten. Netzwerksegmente sind auf dem Papier getrennt, während einzelne Freigaben die Trennung praktisch wieder aufheben.

Das ist ein bisschen wie eine Alarmanlage mit zwanzig Sensoren, deren Meldungen dauerhaft auf stumm stehen.

Ransomware ist selten ein einzelner magischer Klick

Bei Ransomware wird nach einem Vorfall gerne nach dem einen Moment gesucht: Wer hat geklickt? Welche Mail war es? Welches Gerät war schuld?

Manchmal gibt es tatsächlich einen sehr klaren Einstiegspunkt. Trotzdem entsteht der große Schaden häufig erst durch eine Kette mehrerer Schwächen.

Ein Zugang ist unnötig erreichbar. Ein Konto besitzt mehr Rechte als erforderlich. Ein System ist nicht aktuell. Netzwerkbereiche sind nicht sauber getrennt. Anmeldedaten lassen sich weiterverwenden. Warnmeldungen werden nicht bemerkt. Datensicherungen hängen dauerhaft am gleichen System. Erst das Zusammenspiel macht aus einem einzelnen kompromittierten Gerät einen unternehmensweiten Vorfall.

Genau deshalb reicht es nicht, nach einem Angriff nur die offensichtlich ausgenutzte Lücke zu schließen. Wer ausschließlich den ersten Eintrittspunkt repariert, kann die Bedingungen bestehen lassen, durch die sich der Angreifer anschließend bewegen konnte.

Nach einem Vorfall interessiert mich deshalb nicht nur: „Wie kam er rein?“

Mindestens genauso wichtig sind die Fragen: „Wie weit kam er? Warum kam er so weit? Welche Rechte konnte er nutzen? Welche Systeme konnten miteinander sprechen? Welche Spuren hätten wir früher sehen können? Und wie schnell können wir kontrolliert wiederherstellen?“

Mitarbeiterschulung ist wichtig – aber bitte nicht als Alibi

Nach Cybervorfällen fällt fast zwangsläufig der Satz: „Wir müssen die Mitarbeiter besser schulen.“

Ja. Müssen wir.

Aber Schulung darf nicht zur bequemen Erklärung werden, mit der technische und organisatorische Versäumnisse anschließend beim Benutzer abgeladen werden.

Ein Mitarbeiter kann lernen, verdächtige Anhänge zu erkennen, ungewöhnliche Anmeldeaufforderungen zu hinterfragen und bei Zahlungsänderungen nachzufragen. Er kann aber keine Firewall-Regel schließen, von deren Existenz er nichts weiß. Er kann kein nicht dokumentiertes Dienstleisterkonto deaktivieren. Und er kann kein veraltetes Serversystem patchen, für das ihm weder Rechte noch Verantwortung übertragen wurden.

Sicherheit funktioniert dann gut, wenn Menschen verstehen, warum bestimmte Regeln existieren, und die Technik gleichzeitig so gestaltet ist, dass ein einzelner Fehler nicht sofort zur Katastrophe wird.

Eine jährliche Pflichtschulung mit zehn Multiple-Choice-Fragen ist dafür zu wenig. Sinnvoller sind kurze, konkrete Schulungen, die zum Arbeitsplatz passen: Was darf die Buchhaltung niemals nur per E-Mail ändern? Wie meldet ein Mitarbeiter eine verdächtige Nachricht? Wie wird ein externer Fernzugang beantragt? Wer darf Software installieren? Was passiert, wenn jemand glaubt, Zugangsdaten eingegeben zu haben?

Das Ziel ist nicht, aus jedem Mitarbeiter einen IT-Sicherheitsexperten zu machen. Das Ziel ist, dass jeder die Sicherheitsentscheidungen versteht, die zu seiner eigenen Arbeit gehören.

Backups verhindern keinen Angriff. Sie entscheiden aber, wie schlimm er wird

Auch beim Thema Datensicherung begegnet mir dieselbe Produktlogik. „Wir haben doch ein Backup.“

Die bessere Frage lautet: Können Sie daraus wiederherstellen?

Eine Datensicherung, die seit drei Jahren jeden Abend erfolgreich meldet, wurde damit noch nicht automatisch erfolgreich zurückgespielt. Ein Backup, das dauerhaft aus dem gleichen Netz mit denselben Administratorrechten erreichbar ist, kann im schlimmsten Fall zusammen mit den Produktivdaten verschlüsselt oder gelöscht werden. Und eine Sicherung ohne ausreichend lange Versionierung hilft wenig, wenn eine Kompromittierung erst Wochen später auffällt.

CISA empfiehlt im Zusammenhang mit Ransomware unter anderem regelmäßig erstellte Backups, offline beziehungsweise geeignet getrennte Sicherungskopien und vorbereitete Wiederherstellungsprozesse. Der entscheidende Punkt ist für mich der letzte: Wiederherstellung muss geübt werden.

Ein Unternehmen sollte nicht erst während eines Ransomware-Vorfalls herausfinden, dass zwar zwei Terabyte Daten gesichert wurden, aber niemand weiß, wie lange die Rücksicherung dauert, welche Zugangsdaten dafür benötigt werden und in welcher Reihenfolge die wichtigsten Systeme wieder online gehen müssen.

Was ich einem Geschäftsführer lieber frage als „Welche Firewall haben Sie?“

Die Marke und das Modell interessieren mich natürlich. Sie stehen nur nicht am Anfang meiner Liste.

Ich würde zuerst wissen wollen:

• Welche Systeme und Dienste sind aus dem Internet erreichbar?
• Wer hat administrative Rechte – intern und extern?
• Gibt es für Fernzugänge Multi-Faktor-Authentisierung?
• Wann wurden Firewall-Regeln und VPN-Konten zuletzt vollständig geprüft?
• Wie werden temporäre Freigaben wieder geschlossen?
• Welche Systeme sind nicht mehr im Herstellersupport?
• Wie schnell werden kritische Sicherheitsupdates bewertet und eingespielt?
• Sind Server, Clients, Verwaltung, Produktion und sensible Bereiche sinnvoll segmentiert?
• Welche Protokolle und Warnungen werden tatsächlich überwacht?
• Gibt es getrennte Sicherungen – und wann war der letzte erfolgreiche Wiederherstellungstest?
• Existiert ein Notfallplan mit Ansprechpartnern, der auch funktioniert, wenn E-Mail, Server und Telefonanlage gerade nicht funktionieren?

Wenn ein Unternehmen diese Fragen belastbar beantworten kann, ist mir zunächst weniger wichtig, ob auf der Firewall ein besonders teures Logo klebt.

Sicherheit muss einen Verantwortlichen haben

Eine der häufigsten Ursachen für dauerhaft offene Ausnahmen ist nicht Technik, sondern unklare Zuständigkeit.

Der IT-Dienstleister denkt, der Kunde brauche den Zugang weiterhin. Der Kunde geht davon aus, dass der Dienstleister ihn nach Abschluss automatisch schließt. Der Softwareanbieter glaubt, die Regel werde vom Netzwerkbetreuer verwaltet. Der Netzwerkbetreuer weiß nur, dass sie irgendwann auf Wunsch eingerichtet wurde.

Am Ende ist jeder irgendwie beteiligt und niemand verantwortlich.

Für sicherheitsrelevante Änderungen braucht es deshalb einen Besitzer. Nicht zwingend eine eigene IT-Sicherheitsabteilung und schon gar kein neues Organigramm. Aber eine eindeutige Person oder Rolle, die entscheiden kann: Diese Ausnahme wird gebraucht. Diese Ausnahme endet am Freitag. Dieses Konto wird deaktiviert. Dieser Alarm muss untersucht werden.

Gerade im Mittelstand ist das wichtiger als viele Hochglanzkonzepte. Ein einfacher, gelebter Prozess schlägt ein 80-seitiges Sicherheitsdokument, das seit der Erstellung niemand mehr geöffnet hat.

Die unangenehme Wahrheit über Sicherheitsprodukte

Sicherheitsprodukte verkaufen sich gut, weil sie ein sichtbares Problem mit einer sichtbaren Lösung verbinden.

Bedrohung hier. Produkt dort. Lizenz bestellen. Gerät einbauen. Haken setzen.

Das ist nicht grundsätzlich falsch. Unternehmen brauchen Firewalls, Endpoint-Schutz, sichere E-Mail-Systeme, Updates, Überwachung und vernünftige Backup-Lösungen. Ich verkaufe und betreue selbst Technik und werde sicher nicht behaupten, Hardware und Software seien nebensächlich.

Nur darf man die Reihenfolge nicht verwechseln.

Zuerst kommt die Frage, welches Risiko überhaupt beherrscht werden soll. Dann wird geprüft, welche organisatorischen und technischen Maßnahmen dafür notwendig sind. Erst daraus ergibt sich, welches Produkt sinnvoll ist.

Wer umgekehrt mit dem Produkt beginnt, landet schnell bei einer beeindruckenden Ausstattung ohne klare Antwort auf die einfachste Frage: Was genau schützt uns dieses System eigentlich – und wer kontrolliert, ob es das morgen noch tut?

Sicherheit ist kein Zustand

Das NIST Cybersecurity Framework beschreibt Cybersicherheit über die Funktionen Govern, Identify, Protect, Detect, Respond und Recover. Ich mag an diesem Modell vor allem, dass dort nicht nur „Protect“ steht.

Schützen ist nur ein Teil.

Ein Unternehmen muss wissen, was es besitzt und was kritisch ist. Es braucht Regeln und Verantwortlichkeiten. Es muss Schutzmaßnahmen umsetzen. Es muss erkennen können, wenn etwas passiert. Es muss reagieren können. Und es muss anschließend wieder arbeitsfähig werden.

Genau diese Denkweise fehlt, wenn IT-Sicherheit auf die Frage reduziert wird, ob eine Firewall vorhanden ist.

Die teuerste Schutztechnik hilft wenig, wenn niemand weiß, welche Systeme existieren. Die beste Erkennung hilft wenig, wenn Warnungen nicht bearbeitet werden. Der beste Notfallplan hilft wenig, wenn er nur auf dem Server liegt, der gerade verschlüsselt wurde. Und das beste Backup hilft wenig, wenn die Wiederherstellung nie getestet wurde.

Sicherheit ist deshalb kein Zustand, den man einmal erreicht. Sie ist eine Aufgabe, die sich mit dem Unternehmen verändert.

Was aus dem Fall blieb

Bei dem eingangs beschriebenen Unternehmen war die teure Firewall am Ende nicht wertlos. Sie war sogar ein wichtiger Bestandteil der weiteren Absicherung. Nur musste zuerst die Vorstellung verschwinden, ihr Kauf habe das Sicherheitsproblem grundsätzlich erledigt.

Wir haben nicht über die Frage gesprochen, welche noch teurere Firewall man jetzt kaufen könnte. Wir haben uns angesehen, welche Zugänge existieren, welche davon wirklich benötigt werden, welche Systeme miteinander kommunizieren dürfen, wie administrative Konten abgesichert sind, wie Änderungen dokumentiert werden und wie eine Wiederherstellung im Ernstfall aussehen muss.

Das ist weniger spektakulär als ein neues Gerät mit blinkenden LEDs.

Es ist aber näher an echter Sicherheit.

Fazit: Kaufen Sie keine Sicherheit. Organisieren Sie sie.

Eine 10.000-Euro-Firewall kann eine sehr sinnvolle Investition sein. In der richtigen Umgebung kann sie Funktionen bereitstellen, die ein Unternehmen tatsächlich benötigt. Der Preis ist nicht das Problem.

Problematisch wird es, wenn aus dem Kauf eine Beruhigungspille wird.

Wenn Sie nicht wissen, welche Zugänge offen sind, wer sie benötigt und wann sie wieder geschlossen werden, haben Sie kein Firewall-Problem. Sie haben ein Prozessproblem.

Wenn niemand Warnungen auswertet, haben Sie kein Monitoring-Produktproblem. Sie haben ein Verantwortungsproblem.

Wenn das Backup noch nie zurückgespielt wurde, haben Sie nicht automatisch eine Wiederherstellungsstrategie. Sie haben zunächst nur Dateien auf einem anderen Speicher.

Und wenn Mitarbeiter Sicherheitsregeln nur als lästige Verbote kennenlernen, statt den Sinn dahinter zu verstehen, haben Sie zwar Richtlinien – aber noch keine Sicherheitskultur.

Die teuerste Firewall der Welt ist machtlos, wenn der gefährliche Zugriff in ihrer Konfiguration ausdrücklich als erlaubt gilt.

Deshalb sollte die Frage nicht lauten: „Was müssen wir kaufen, damit wir sicher sind?“

Die bessere Frage lautet: „Was müssen wir dauerhaft tun, damit aus einem einzelnen Fehler nicht der Stillstand des gesamten Unternehmens wird?“