Mit Google fortfahren
Firewall einfach erklärt: Funktion und Grenzen
Eine Firewall kontrolliert Netzwerkverkehr nach festgelegten Regeln. Sie lässt Verbindungen zu, blockiert sie oder lehnt sie ausdrücklich ab. Dadurch verkleinert sie die erreichbare Angriffsfläche – vollständige Sicherheit schafft sie aber nicht.
Auf dieser Seite lernst du, Firewall-Entscheidungen nachzuvollziehen, Personal- und Netzwerk-Firewalls zu unterscheiden und für ein einfaches Bedrohungsszenario mehrere passende Schutzmaßnahmen zu kombinieren.
Hake ab, was du schon kannst — und komm am Ende hierher zurück!
Wie entscheidet eine Firewall?
Stell dir vor, ein Datenpaket möchte eine kontrollierte Grenze passieren. Die Firewall vergleicht Merkmale des Pakets oder der Verbindung mit ihrem Regelwerk. Dazu können unter anderem Absenderadresse, Zieladresse, Protokoll und Port gehören.
Firewall
Eine Firewall ist ein Sicherungssystem, das Netzwerkverkehr überwacht und festgelegte Kommunikationsregeln durchsetzt. Sie kontrolliert einen einzelnen Computer oder den Übergang zwischen Netzen.
Das Grundmuster lautet:
- Netzwerkverkehr erreicht die Firewall.
- Die Firewall prüft passende Merkmale.
- Sie sucht die zutreffende Regel.
- Sie führt die festgelegte Aktion aus.
Typische Aktionen sind:
- ACCEPT, ALLOW oder PASS: Die Kommunikation wird zugelassen.
- DROP: Das Paket wird ohne positive Antwort verworfen.
- REJECT: Die Anfrage wird aktiv abgelehnt.
- FORWARD: Das Paket wird weitergeleitet oder – abhängig vom Produkt – umgeleitet.
Eine Regel erlaubt dem Browser, eine Webverbindung nach außen aufzubauen. Die Anfrage passt zur Regel und wird weitergeleitet. Die zugehörige Antwort darf zurückkommen, wenn die Firewall sie der aufgebauten Verbindung zuordnen kann. Eine neue, nicht zugehörige Anfrage aus dem Internet wird dagegen blockiert.
Eine Firewall entscheidet nicht danach, ob jemand „gut“ oder „böse“ ist. Sie setzt konkrete Regeln für Kommunikation um.
Warum sind Dienste und Ports wichtig?
Ein Netzwerkdienst ist ein Programm, das über ein Netz eine Funktion anbietet. Eine Webserver-Software stellt beispielsweise Webseiten bereit. Damit Anfragen das richtige Programm erreichen, bindet sich der Dienst an einen Port.
Port
Ein Port ist eine logische Nummer, über die Netzwerkverkehr einem Programm oder Dienst zugeordnet werden kann. Ein offener Port weist gewöhnlich darauf hin, dass ein Programm dort Anfragen annehmen kann.
Ein erreichbarer Dienst kann nützlich und zugleich eine Angriffsfläche sein. Hat er eine Sicherheitslücke, kann eine erlaubte Verbindung diese Lücke erreichen. Die Firewall kann das nicht automatisch verhindern, denn der Zugriff auf den Dienst war durch die Regel erlaubt.
Ein Unternehmen betreibt einen Webserver, der aus dem Internet erreichbar sein muss. Die Firewall erlaubt die benötigte Webkommunikation. Eine Schwachstelle in der Webserver-Software verschwindet dadurch nicht. Deshalb muss die Software zusätzlich aktualisiert und sicher konfiguriert werden.
Nicht benötigte Dienste sollten möglichst deaktiviert werden. Das ist stärker als bloßes Filtern: Ein nicht gestarteter Dienst nimmt auch dann keine Anfragen an, wenn eine Firewall ausfällt oder falsch eingestellt ist.
Eine Portnummer beweist nicht, welcher Inhalt tatsächlich übertragen wird. Programme können andere Dienste über einen freigegebenen Port leiten. Deshalb reicht eine reine Portsperre nicht für jede Schutzaufgabe aus.
Welche Firewall-Arten und Filtertechniken gibt es?
Der Installationsort bestimmt, welchen Verkehr eine Firewall überhaupt sehen und filtern kann.
Personal Firewall
Eine Personal Firewall läuft auf dem zu schützenden Computer. Sie kann dessen ein- und ausgehende Verbindungen kontrollieren und Regeln an das erkannte Netz anpassen.
Eine Personal Firewall kann zum Beispiel eine Dateifreigabe im privaten Netz erlauben und in einem öffentlichen Netz blockieren. Weil sie auf dem geschützten Rechner läuft, kann Schadsoftware mit ausreichenden Rechten versuchen, sie zu manipulieren oder zu umgehen.
Externe Firewall
Eine externe oder Netzwerk-Firewall läuft auf einem separaten Gerät zwischen Netzen oder Netzsegmenten. Sie kann beispielsweise den Übergang zwischen Heimnetz und Internet kontrollieren.
Der Ausdruck Hardware-Firewall ist vereinfachend: Auch auf einem eigenen Gerät wird die Filterfunktion wesentlich durch Software ausgeführt. Das separate Gerät schützt nur den Verkehr, der tatsächlich durch dieses Gerät fließt. Die Kommunikation zweier Computer im selben internen Netz wird nicht automatisch geprüft.
Wichtige Filtertechniken sind:
- Paketfilter prüfen vor allem IP-Adressen, Ports und Protokollmerkmale.
- Stateful Inspection merkt sich den Zustand einer Verbindung und ordnet Rückpakete einer zuvor aufgebauten Kommunikation zu.
- Proxyfilter beenden eine Verbindung und bauen selbst eine zweite Verbindung zum Ziel auf. Dadurch können sie ein bestimmtes Anwendungsprotokoll zusammenhängend prüfen.
- Deep Packet Inspection (DPI) untersucht zusätzlich weitergehende Merkmale der übertragenen Daten.
Dein Computer ruft eine Webseite ab. Eine Stateful Firewall speichert Merkmale dieser ausgehenden Verbindung. Die Antwort des Webservers passt zu diesem Zustand und darf zurückkommen. Ein fremdes System kann diese gespeicherte Verbindung nicht allein dadurch nutzen, dass es ebenfalls irgendein Paket an dein Netz sendet.
Personal- und Netzwerk-Firewalls erfüllen unterschiedliche Aufgaben und können sich ergänzen. Keine der beiden Varianten ersetzt die andere in jedem Szenario.
Wovor schützt eine Firewall – und wovor nicht?
Eine Firewall kann besonders gut unerwünschte Zugriffe auf erreichbare Netzwerkdienste begrenzen. Eine externe Firewall kann beispielsweise verhindern, dass ein Dienst auf einem internen Computer unmittelbar aus dem Internet angesprochen wird.
Doch eine erlaubte Verbindung bleibt ein möglicher Angriffsweg. Öffnet dein Browser eine präparierte Webseite und besitzt er eine passende Schwachstelle, erreicht der gefährliche Inhalt den Browser über eine erlaubte Kommunikation. Auch Schadsoftware kann selbst eine ausgehende Verbindung zu einem Kontrollserver aufbauen. Eine einfache externe Firewall lässt intern gestartete Verbindungen häufig zu.
Verschlüsselung und Tunnel begrenzen die Kontrolle zusätzlich. Wird fremder Datenverkehr regelkonform in eine erlaubte Verbindung eingebettet, lässt er sich nicht allein anhand der Portnummer sicher erkennen. Eine Untersuchung verschlüsselter Inhalte würde das Aufbrechen und erneute Verschlüsseln der Verbindung erfordern und bringt eigene technische sowie organisatorische Anforderungen mit sich.
IDS und IPS
Ein Intrusion Detection System (IDS) erkennt verdächtige Kommunikationsmuster und meldet sie. Ein Intrusion Prevention System (IPS) versucht, erkannte Angriffe zu blockieren. Solche Module können in eine Firewall-Lösung integriert sein, sind aber nicht mit der eigentlichen Firewall-Funktion gleichzusetzen.
Schadsoftware installiert auf einem Computer einen Dienst und wartet auf eine Verbindung aus dem Internet. Eine externe Firewall kann den direkten Zugriff blockieren. Baut die Schadsoftware dagegen selbst eine erlaubte Verbindung nach außen auf, reicht dieselbe Schutzwirkung möglicherweise nicht aus.
Deshalb gehört eine Firewall in ein Sicherheitskonzept. Dazu zählen je nach Situation unter anderem:
- Betriebssystem und Programme aktuell halten,
- bekannte Sicherheitslücken durch Updates schließen,
- nicht benötigte Dienste deaktivieren,
- Zugänge angemessen schützen,
- wichtige Daten sichern,
- Regeln und Protokolle regelmäßig prüfen,
- Endgeräte und interne Netzbereiche passend absichern.
Eine Firewall verkleinert Risiken, ersetzt aber weder Updates noch sichere Einstellungen, Zugangsschutz, Datensicherungen und vorsichtiges Handeln.
Karteikasten
Überlege zuerst selbst und drehe die Karte anschließend zum Prüfen um.
Alles auf einen Blick
- Firewall
- Regelumsetzung: prüft Merkmale und erlaubt, verwirft, lehnt ab oder leitet weiter
- Einsatzorte: Personal Firewall auf dem Endgerät oder externe Firewall zwischen Netzen
- Filtertechniken: Paketfilter, Stateful Inspection, Proxyfilter und weitergehende Inhaltsprüfung
- Grenzen: erlaubte Verbindungen, interne Infektionswege und ausgehende Kommunikation bleiben mögliche Risiken
- Sicherheitskonzept: ergänzt Updates, sichere Konfiguration, Zugangsschutz, Sicherungen und Kontrolle
Abschluss-Check
Prüfe nun, ob du die Funktion einer Firewall auf eine neue Situation übertragen kannst.
Du kannst die Schutzwirkung nun mit drei Fragen prüfen: Welcher Verkehr soll erlaubt sein? Welche Schwachstelle bleibt bestehen? Welche weitere Maßnahme behandelt dieses verbleibende Risiko?