Firewall-Management - Ordnung im Regelwerk

Managed Firewall ist das Gesamtpaket inklusive Hardware-Betrieb und Monitoring. Firewall-Management meint den Kern der laufenden Pflege: Regeln, Änderungen, Updates. In der Praxis gehören beide zusammen.

In der Regel ja. Wir übernehmen die Pflege gängiger Next-Gen-Firewalls und räumen das Regelwerk auf. Nur wenn die Hardware am Ende ist, raten wir zum Tausch - ehrlich begründet.

Änderungen laufend, das Gesamt-Regelwerk in regelmäßigen Reviews. So bleibt es schlank und nachvollziehbar, statt einmal im Jahr zu erschrecken.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Die Analyse braucht wenige Tage, das Aufräumen selbst mehrere Wochen - weil wir nicht raten. Regeln, deren Zweck niemand mehr kennt, beobachten wir erst über einen Zeitraum, ob sie überhaupt noch greifen, bevor sie stillgelegt werden. Diese Wartezeit ist der Grund, warum es dauert, und gleichzeitig der Grund, warum dabei nichts ausfällt.

Das Cleanup ist ein einmaliger Aufwand und richtet sich nach der Zahl der Regeln, Objekte und Standorte. Die laufende Pflege danach rechnen wir monatlich ab, sie ist der deutlich kleinere Posten. Wer das Aufräumen aufschiebt, zahlt es später doppelt - im Aufwand und im Risiko.

Deshalb wird nichts sofort gelöscht. Verdächtige Regeln werden zuerst deaktiviert und protokolliert, dann eine Zeit lang beobachtet und erst danach entfernt. Jeder Schritt ist dokumentiert und in Minuten zurücknehmbar - im schlimmsten Fall ist eine Anwendung kurz gestört, nicht das ganze Netz.

Du meldest den Bedarf, wir prüfen, ob es dafür einen sichereren Weg gibt als eine offene Portfreigabe. Danach wird die Änderung freigegeben, eingespielt und mit Zweck, Antragsteller und Datum dokumentiert. So lässt sich Monate später noch beantworten, warum eine Regel existiert - genau daran scheitert es sonst.

Dringende Anfragen bearbeiten wir mit einer Reaktionszeit von unter 2 Stunden*. Was schnell aufgemacht wird, bekommt aber eine Befristung und wird im nächsten Review erneut geprüft. Sonst entsteht wieder genau der Wildwuchs, den wir gerade beseitigt haben.

Aus den Trefferzählern und Logs der Firewall: Regeln, die über Monate nie greifen, sind Kandidaten. Der Rest ist Rückfrage - bei Dir, bei der Fachabteilung, beim Softwarehersteller. Wir dokumentieren jede Regel mit ihrem Zweck, damit diese Detektivarbeit nur einmal anfällt.

Das legen wir gemeinsam fest. Viele Kunden ohne eigene IT geben die Änderungen komplett an uns ab, andere behalten Lesezugriff oder bestimmte Bereiche selbst. Wichtig ist nur, dass alle Änderungen im selben Prozess landen - zwei Parteien, die unabgestimmt am Regelwerk arbeiten, sind der Anfang des nächsten Chaos.

In vereinbarten Fenstern, meist außerhalb der Arbeitszeit, mit vorheriger Sicherung der Konfiguration und einem Rückfallweg. Sicherheitskritische Updates spielen wir kurzfristiger ein und sagen Dir vorher Bescheid. Ein kurzer Verbindungsabriss beim Neustart lässt sich nicht immer vermeiden, ein ungepatchtes Gerät aber sehr wohl.

Ein dokumentiertes Regelwerk mit Zweck je Regel, die Historie der Änderungen samt Freigabe und Datum sowie die Protokolle der Reviews und Updates. Das ist genau das, wonach ISO 27001 und NIS2 beim Thema Netzzugriff fragen. Wir setzen um und dokumentieren - die Zertifizierung nimmt eine akkreditierte Stelle vor.

Das ist der Normalfall, nicht die Ausnahme. Wir rekonstruieren den Ist-Zustand aus der Konfiguration und den Logs, dokumentieren ihn und arbeiten von dort aus weiter. Rechne allerdings damit, dass beim ersten Durchgang unangenehme Funde dabei sind - offene Verwaltungszugänge aus dem Internet sind ein Klassiker.

Es geht nicht um die Zahl der Geräte, sondern um die Zahl der Regeln. Auch eine einzelne Firewall sammelt über Jahre Ausnahmen an, und ein einziges vergessenes Port-Forwarding reicht für einen Einbruch. Bei kleinen Umgebungen ist der Aufwand entsprechend klein - meist ein überschaubares Cleanup und danach ruhige Pflege.