7.3 Firewall und DMZ

Aufgabe einer Firewall

Eine Firewall erlaubt, verwirft oder weist Netzwerkverkehr nach definierten Regeln zurück. Sie kann an einer Netzgrenze, zwischen internen Segmenten, auf einem einzelnen Endsystem oder innerhalb einer Cloud- und Virtualisierungsplattform arbeiten. Grundlage ist immer die Einteilung in unterschiedlich vertrauenswürdige Zonen und die Beschreibung der tatsächlich benötigten Kommunikationsbeziehungen.

Eine Firewall verhindert nicht pauschal Viren, Angriffe oder Überlastung. Verkehr über erlaubte Verbindungen, kompromittierte Endgeräte, gestohlene Zugangsdaten und Schwachstellen in freigegebenen Diensten bleiben mögliche Angriffswege. Updates, Härtung, Segmentierung, Identitätsmanagement, Schutz vor Schadsoftware, Backups und Monitoring bleiben erforderlich.

Firewallrichtlinie: Default Deny statt Reaktion auf Bekanntes

Bei einer Allowlist- beziehungsweise Default-Deny-Strategie ist nur ausdrücklich benötigter Verkehr erlaubt. Alles andere trifft am Ende auf eine implizite oder explizite Sperrregel. Dieses Prinzip reduziert die Angriffsfläche, verlangt aber eine saubere Erhebung der Kommunikationsanforderungen.

Eine reine Denylist erlaubt zunächst alles und versucht nur bekannte unerwünschte Fälle zu blockieren. Neue Protokolle, unbekannte Ziele oder abweichende Ports können dadurch unkontrolliert passieren. Für Sicherheitszonengrenzen ist sie deshalb keine geeignete Grundstrategie. Ausnahmen müssen fachlich begründet, befristet und überprüfbar sein.

Wie eine zustandsbehaftete Firewall entscheidet

Eine zustandsbehaftete Firewall führt eine Zustandstabelle. Sie kann Rückverkehr einer zuvor erlaubten Verbindung zuordnen, ohne dafür eine gleich breite Gegenregel zu benötigen. Bei TCP berücksichtigt sie unter anderem Verbindungsphasen und Flags; bei UDP und ICMP arbeitet sie mit zeitlich begrenzten Zuordnungen und protokollspezifischen Merkmalen.

„Stateful“ bedeutet nicht, dass jede DoS-Attacke automatisch erkannt oder abgewehrt wird. Zustandstabellen können selbst erschöpft werden. Schutz benötigt passende Grenzwerte, SYN-Schutz, Ressourcenplanung und bei großen volumetrischen Angriffen Unterstützung durch Provider oder vorgelagerte DDoS-Dienste.

Technologien und Prüftiefe

TLS-Inspektion bewusst einsetzen

Für die Inhaltsprüfung verschlüsselter Verbindungen kann eine Organisation TLS am Sicherheitsproxy terminieren und zum Ziel neu aufbauen. Der Client muss dafür einer organisationsinternen Zertifizierungsstelle vertrauen. Technisch wird die Ende-zu-Ende-TLS-Verbindung in zwei Verbindungen geteilt; die Prüfinstanz kann den Klartext sehen.

Das Verfahren ist kein unsichtbares Zusatzmerkmal. Es benötigt Rechts- und Datenschutzprüfung, Schutz der CA-Schlüssel, sichere Zertifikatsvalidierung, dokumentierte Ausnahmen und ausreichende Leistung. Certificate Pinning, gegenseitige TLS-Authentisierung, QUIC oder nicht unterstützte Anwendungen können die Inspektion verhindern oder erfordern angepasste Richtlinien. Besonders sensible Kategorien werden häufig von der Entschlüsselung ausgenommen.

Firewallarten nach Einsatzort

Host- und Netzwerk-Firewall ergänzen sich

Eine Host-Firewall bleibt wirksam, wenn sich ein Notebook außerhalb des Unternehmensnetzes befindet oder Verkehr innerhalb desselben VLANs nicht über die zentrale Firewall läuft. Eine Netzwerk-Firewall setzt dagegen gemeinsame Zonengrenzen durch und lässt sich zentral überwachen. Beide Kontrollen ersetzen einander nicht.

Der Begriff „Hardware-Firewall“ ist unscharf. Auch ein dediziertes Gerät besteht aus Software auf einer Hardwareplattform. Entscheidend sind Funktionsumfang, sichere Implementierung, Durchsatz unter aktivierten Prüfungen, Wartung, Support und die Einbindung in die Architektur - nicht allein die Gehäuseform.

Aufbau einer Firewallregel

Eine Regel beschreibt nicht einfach nur einen Port. Sie verbindet Quelle und Ziel mit Zonen, Protokoll beziehungsweise Anwendung, Richtung, Zustand und Aktion. Kommentare, Verantwortliche und ein fachlicher Zweck machen das Regelwerk langfristig wartbar.

Drop und Reject unterscheiden

Drop verwirft ein Paket ohne Antwort. Reject weist die Verbindung aktiv zurück, beispielsweise mit TCP RST oder einer passenden ICMP-Fehlermeldung. Reject kann die Fehlersuche und das schnelle Scheitern legitimer Clients verbessern; Drop gibt weniger direkte Rückmeldung. Die Wahl hängt von Zone, Protokoll und Richtlinie ab.

ICMP pauschal zu blockieren ist keine gute Standardlösung. IPv4 und besonders IPv6 benötigen bestimmte ICMP-Nachrichten unter anderem für Fehlerbehandlung, Path MTU Discovery und Neighbor Discovery. Erlaubt werden notwendige Typen und Richtungen statt „alles“ oder „nichts“.

Regelreihenfolge und implizite Sperre

Viele Firewalls werten Regeln von oben nach unten aus und verwenden die erste passende Regel. Objektsammlungen, verschachtelte Policies oder Plattformlogik können davon abweichen; das konkrete Produktverhalten muss bekannt sein. Eine breite Freigabe vor einer engen Regel macht die engere Regel wirkungslos.

DMZ: öffentlich erreichbar, aber nicht intern

Eine Demilitarized Zone ist ein eigenes physisches oder logisches Netzsegment für Systeme, die aus einem nicht vertrauenswürdigen Netz erreichbar sein müssen. Sie liegt zwischen Internet und internem Netz oder bildet an einer mehrarmigen Firewall eine eigene Zone. Entscheidend ist nicht die Zahl der Geräte, sondern die wirksame Trennung und ein restriktives Regelwerk in jede Richtung.

Typische DMZ-Systeme sind Reverse Proxies, öffentliche DNS-Dienste, Mail-Relays und VPN-Gateways. Datenbanken, Verzeichnisdienste und Administrationssysteme gehören gewöhnlich nicht direkt in die öffentlich erreichbare Zone. Benötigt ein Frontend Zugriff auf eine interne API, wird nur genau diese Verbindung erlaubt.

DMZ-Architekturvarianten

Heimrouter-„DMZ“ ist meist keine echte DMZ

Viele Heimrouter nennen eine Funktion „DMZ Host“ oder „Exposed Host“. Dabei wird eingehender Verkehr, für den keine andere Zuordnung besteht, an ein einzelnes internes Gerät weitergeleitet. Dieses Gerät befindet sich häufig weiterhin im normalen LAN und ist besonders stark exponiert.

Eine echte DMZ besitzt dagegen ein getrenntes Netzsegment und eigene Regeln zwischen Internet, DMZ und internem Netz. Ein Exposed Host ist deshalb kein Ersatz für eine DMZ-Architektur und sollte nicht leichtfertig aktiviert werden.

Regeln für eine DMZ ableiten

Betrieb, Pflege und Kontrolle

• Regelwerk versionieren, Änderungen freigeben, testen und mit Rückfallplan umsetzen.
• Temporäre Freigaben mit Ablaufdatum versehen und regelmäßig rezertifizieren.
• Ungenutzte, verschattete und zu breite Regeln entfernen.
• Firewallsoftware, Signaturen und Betriebssystem zeitnah aktualisieren.
• Konfiguration verschlüsselt sichern und eine Wiederherstellung praktisch testen.
• Administration über ein separates Managementnetz und mit MFA absichern.
• Erlaubte und abgelehnte Ereignisse risikoorientiert protokollieren; Logfluten vermeiden.
• Kapazität, Zustandstabellen, CPU, Speicher, Schnittstellen und Hochverfügbarkeit überwachen.
• IPv4- und IPv6-Regeln gleichwertig pflegen; IPv6 darf keine unbeachtete Nebenroute bilden.

Fehlersuche an der Firewall