Eine Firewall ist ein System aus soft- und hardwaretechnischen Komponenten, das dazu eingesetzt wird, IP-basierte Datennetze sicher zu koppeln, und am Übergang zwischen unterschiedlich vertrauenswürdigen Netzen den Datenverkehr zwischen diesen Netzen kontrolliert.
Auf einen Blick
Die Personal Firewall läuft als Software auf dem Endgerät und kann in einem Netz zusätzlich zu einer zentralen Firewall installiert werden.
Der BSI-Baustein NET.3.2 verlangt einen Allowlist-Ansatz: Alle nicht erwünschten Verbindungen müssen unterbunden werden.
Zur Absicherung von Netzen sind laut BSI-Baustein NET.3.2 meistens weitere Netzkomponenten erforderlich, zum Beispiel Router und Switches.
Was ist eine Firewall?
Eine Firewall wird nach dem BSI-Baustein NET.3.2 eingesetzt, um IP-basierte Datennetze sicher zu koppeln; sicher bedeutet hierbei, dass ausschließlich die erwünschten Zugriffe oder Datenströme zwischen verschiedenen Netzen zugelassen werden. Das BSI beschreibt auf seiner Seite zur Firewall, dass Daten, die das Netz verlassen, ebenso überprüft werden wie solche, die hinein wollen. Die Prüfung kann beispielsweise anhand der IP-Adresse des Rechners erfolgen, um festzustellen, ob ein Datenpaket überhaupt zum Eintritt ins Netzwerk berechtigt ist. Die Personal Firewall läuft dagegen auf dem PC selbst und soll den Rechner vor Angriffen von außen schützen sowie verhindern, dass bestimmte Programme, zum Beispiel Spyware, Kontakt vom Rechner zum Internet aufnehmen.
Trennt ein Versicherer sein internes Netz mit Bestands- und Schadensystemen per Firewall vom Internet, prüft sie den ein- und ausgehenden Datenverkehr anhand definierter Regeln und blockiert nicht freigegebene Verbindungen, ersetzt aber keine weiteren Schutzmaßnahmen. Laut BSI-Baustein NET.3.2 sind zur Absicherung von Netzen meistens weitere Netzkomponenten erforderlich, zum Beispiel Router und Switches. Personal-Firewalls können in einem Netz zusätzlich zu einer zentralen Firewall auf den Endgeräten installiert werden.
Wie funktioniert eine Firewall?
Eine Firewall entscheidet anhand von Filterregeln, welche Zugriffe oder Datenströme zwischen Netzen zugelassen werden. Nach dem BSI-Baustein NET.3.2 gilt ein Allowlist-Ansatz: Zugelassen werden die erwünschten Zugriffe, alle anderen Verbindungen müssen durch die Firewall unterbunden werden. Zudem muss eine Firewall nach dem BSI-Baustein NET.3.2 so konfiguriert sein, dass ausschließlich zwingend erforderliche Dienste verfügbar sind. Der Internetverkehr muss nach dem IT-Grundschutz-Kompendium über die Firewall-Struktur geführt werden, und das Netz der Institution soll über eine Firewall mit P-A-P-Struktur an das Internet angeschlossen werden.
Neben zentralen Firewalls beschreibt das BSI die Personal Firewall als Software-Lösung, die auf den Endgeräten installiert wird und vor Zugriffen aus dem Netz schützen soll. Das Kompendium sieht bei erhöhtem Schutzbedarf vor, dass auf jedem Client zusätzlich zu den zentralen Sicherheitsgateways lokale Paketfilter eingesetzt werden sollen. Der britische NCSC beschreibt eine Boundary Firewall als Netzwerkgerät, das den eingehenden und ausgehenden Verkehr zu Diensten in seinem Netz einschränken kann.
Firewall im Vergleich
| Kriterium | Firewall | Web Application Firewall | Human Firewall |
|---|---|---|---|
| Gegenstand | System aus soft- und hardwaretechnischen Komponenten, das dazu eingesetzt wird, IP-basierte Datennetze sicher zu koppeln (BSI, NET.3.2) | Application Firewall für HTTP-Anwendungen, die Regeln auf eine HTTP-Konversation anwendet (OWASP) | Ausdruck, den unter anderem eine Kampagne der ENISA verwendet, um Menschen als Schutz gegen Cyberangriffe anzusprechen (ENISA) |
| Wo sie ansetzt | Am Übergang zwischen unterschiedlich vertrauenswürdigen Netzen (BSI) | Bei einer bestimmten Webanwendung oder mehreren Webanwendungen; sie schützt Server (OWASP) | Aufruf der ENISA-Kampagne, die menschliche Firewall gegen Cyberangriffe zu sein (ENISA) |
| Abgrenzung im BSI-Baustein | Der Baustein NET.3.2 geht nicht auf Schutzmöglichkeiten für extern angebotene Server-Dienste mit Reverse Proxy oder Web Application Firewall ein (BSI) | Eine WAF kann nach OWASP als Reverse Proxy betrachtet werden | Gleicher Wortbestandteil Firewall, anderer Gegenstand |
Woran erkenne ich eine richtig konfigurierte Firewall?
| Merkmal | Worauf es ankommt |
|---|---|
| Nur zwingend erforderliche Dienste sind verfügbar | Nach dem BSI-Baustein NET.3.2 muss eine Firewall so konfiguriert sein, dass nur zwingend erforderliche Dienste verfügbar sind. |
| Zustandsbehaftete Filterung | Nach dem BSI-Baustein NET.3.2 muss grundsätzlich immer zustandsbehaftet gefiltert werden. |
| Abgewiesene Netzverbindungen werden protokolliert | Nach dem BSI-Baustein NET.3.2 muss die Firewall so konfiguriert werden, dass sie mindestens folgende sicherheitsrelevante Ereignisse protokolliert, darunter abgewiesene Netzverbindungen. |
| Dynamisches Routing ist deaktiviert (Ausnahme Perimeter-Router) | Nach dem BSI-Baustein NET.3.2 muss in den Einstellungen der Firewall das dynamische Routing deaktiviert sein, es sei denn, der Paketfilter wird entsprechend dem Baustein NET.3.1 Router und Switches als Perimeter-Router eingesetzt. |
Schutz im Ernstfall
Vorbeugen
- Nach dem BSI-Baustein NET.3.2 müssen alle nicht erwünschten Verbindungen durch die Firewall unterbunden werden (Allowlist-Ansatz).
- Der Internetverkehr muss nach dem IT-Grundschutz-Kompendium über die Firewall-Struktur geführt werden.
- Das Netz der Institution soll nach dem Kompendium über eine Firewall mit P-A-P-Struktur an das Internet angeschlossen werden.
- Bei erhöhtem Schutzbedarf sollen auf jedem Client nach dem Kompendium zusätzlich zu den zentralen Sicherheitsgateways lokale Paketfilter eingesetzt werden.
- Die Filterregeln sollen nach dem BSI so definiert sein, dass nur die unbedingt notwendigen Zugriffe erlaubt sind; nicht benötigte Ports müssen gesperrt werden.
- Voreingestellte Administrationspasswörter sollen nach dem britischen NCSC durch ein starkes und eindeutiges Passwort ersetzt werden.
Beispiele aus der Praxis
- Zwischen dem Netz der Bürokommunikation und dem Netz der Personalabteilung, in dem besonders schützenswerte, personenbezogene Daten übertragen werden, kontrolliert eine Firewall den Übergang zwischen unterschiedlich vertrauenswürdigen Netzen.
- Eine Personal Firewall auf einem PC soll verhindern, dass Spyware vom Rechner aus Kontakt zum Internet aufnimmt.
- Eine Firewall prüft anhand der IP-Adresse des Rechners, ob ein Datenpaket, das ins Netzwerk hinein will, dazu berechtigt ist.
- Ein Versicherer trennt sein internes Netz mit Bestands- und Schadensystemen per Firewall vom Internet und lässt nur freigegebene Verbindungen passieren.
