Eine Firewall gehört ebenso wie ein Virenscanner zur unerlässlichen Sicherheitsausstattung für Computer, die über eine Verbindung zum Internet verfügen. Aufgabe einer Firewall ist es, nur erwünschte Verbindungsarten ins Internet zuzulassen. Jede Art von Verbindung, die im Regelwerk der Firewall nicht ausdrücklich erlaubt ist, wird durch eine Firewall blockiert. Ursprünglich handelte es sich bei Firewalls immer um separate Rechner, die den Zugang zu einem Netzwerk überwachten. Neben solchen Netzwerk Firewalls sind heute insbesondere im privaten Bereich auch Desktop Firewalls gebräuchlich. Dabei handelt es sich um eine spezielle Software, die auf dem zu schützenden System selbst installiert wird.

Moderne Firewalls arbeiten heute in der Regel zustandsbehaftet (Stateful Inspection) und – je nach Produkt – mit tiefgehender Paket- und Protokollanalyse auf Applikationsebene. Sie erkennen verdächtige Muster, blockieren Portscans, filtern bekannte Angriffsvektoren und protokollieren Vorgänge nachvollziehbar. Neben klassischen Paketfiltern sind Next-Generation Firewalls (NGFW) und Unified-Threat-Management-Lösungen verbreitet, die Funktionen wie Intrusion Prevention (IPS), Anwendungskontrolle und Inhaltsfilter bündeln.

Erwünschte und unerwünschte Verbindungen zum und vom Computer

Internetverbindungen werden anhand dreier Kriterien charakterisiert. Zunächst wird im Regelwerk der Firewall festgelegt, mit welchen externen Rechnern Verbindungen erlaubt sein sollen. Für einen Internet PC kann keine spezielle Zieladresse angegeben werden, hier können allenfalls spezielle Zielrechner ausdrücklich ausgeschlossen werden.

In Netzwerken finden sich jedoch oft auch Computer für spezielle Aufgaben, die nur mit wenigen externen Rechnern kommunizieren. Ein zweites Kriterium zur Beschreibung einer Verbindung ist die Portadresse. Dabei handelt es sich um eine Zahl, die eine Verbindungsart bezeichnet. Eine Webverbindung via http ist beispielsweise durch die Portadresse 80 gekennzeichnet. Schließlich wird im Regelwerk der Firewall auch noch festgeschrieben, ob für ein durch Zieldresse und Port charakterisiertes Zielsystem eventuell nur ein- oder ausgehende Verbindungen gestattet werden sollen.

Weitere wichtige Kriterien für Regeln sind:

• Protokoll: TCP, UDP, ICMP (z. B. Ping), seltener GRE, ESP (IPsec).
• Quelle/Ziel: IP-Adressen, Subnetze, VLANs oder Schnittstellen.
• Richtung: Inbound (eingehend), Outbound (ausgehend), lokal (Host-zu-Host).
• Anwendung/Service: z. B. HTTP(80), HTTPS(443), DNS(53/UDP+TCP), NTP(123/UDP), SMTP(25/TCP), RDP(3389/TCP).
• Zeitfenster und Benutzerkontext: Regeln nur für definierte Zeiten oder Gruppen.

Best Practice ist das Default-Deny-Prinzip: Standardmäßig alles blockieren und nur explizit benötigte Verbindungen erlauben. Stateful Firewalls ermöglichen dabei, ausgehende Verbindungen sicher zu initiieren und die zugehörigen Antwortpakete (ephemere Ports 1024–65535) kontrolliert zuzulassen.

Beispiele für erwünschte und unerwünschte Verbindungen:

• Erwünscht: Ein Client fragt per DNS Port 53 einen Resolver ab; ein Browser nutzt HTTPS über Port 443; Zeitsynchronisation per NTP (123/UDP).
• Unerwünscht: Direkte eingehende Verbindungen aus dem Internet auf SMB (445/TCP), Telnet (23/TCP) oder RDP (3389/TCP) ohne Schutzmechanismen; verdächtige ICMP-Typen, die zur Netzwerkausspähung verwendet werden; ausgehende Verbindungen zu Command-and-Control-Infrastrukturen.

Netzwerk Firewalls

Die Netzwerk Firewall ist unter Sicherheitsaspekten das eindeutig überlegene Konzept. Sie befindet sich zwischen dem Internet und den zu schützenden Rechnern und verhindert so, dass potenzielle Angreifer ihr Angriffsziel überhaupt erreichen können. Heute sind in nahezu alle DSL Router solche Firewalls integriert, weswegen der Einsatz einer Netzwerk Firewall durchaus auch im privaten Bereich möglich ist. Dennoch sind bei privaten Nutzern Desktop Firewalls deutlich weiter verbreitet.

Funktionen moderner Netzwerk-Firewalls umfassen neben klassischem Paketfiltering häufig:

• NAT und Portweiterleitungen inklusive DMZ-Bereichen für Serverdienste.
• Segmentierung über VLANs zur Trennung von Büro-, Gast- und IoT-Netzen.
• Intrusion Detection/Prevention (IDS/IPS) zur Erkennung und Blockierung bekannter Angriffe.
• Application Layer Filtering (Layer 7) zur Steuerung von Apps und Protokollen.
• Deep Packet Inspection mit Protokollvalidierung und Anomalieerkennung.
• VPN (IPsec, SSL/TLS) für sichere Standort- und Remote-Zugriffe.
• Logging und Reporting für revisionssichere Nachvollziehbarkeit.
• IPv6-Firewalling inklusive RA- und ND-Filterung.

Hinweis zu Heimumgebungen: In aktuellen Heimroutern (Kabel, DSL, FTTH) ist meist eine einfache Stateful-Firewall aktiv. Achten Sie auf deaktiviertes oder restriktiv konfiguriertes UPnP, gezielte Portfreigaben statt Pauschalöffnungen und getrennte Netze für smarte Geräte. Für anspruchsvollere Anforderungen bieten dedizierte Appliances und Open-Source-Lösungen zusätzliche Kontrolle.

Aktuelle Generationen (ergänzend zu älteren Konzepten): Neben klassischen, separaten Firewalls existieren heute Next-Generation Firewalls und Cloud-verwaltete Gateways, die Richtlinien zentral ausrollen und Zero-Trust-Modelle unterstützen. Ältere, rein paketbasierte Filter sind weiterhin informativ und in basalen Router-Firewalls vorhanden, jedoch in der Tiefe begrenzt.

Desktop Firewalls / Computer Firewalls

Mit dem Konzept der Desktop Firewall wird das wichtige Prinzip aufgegeben, potenzielle Angriffe bereits vor dem Rechner abzufangen. Stattdessen wird die Entscheidung über erlaubte oder unerlaubte Verbindungen durch eine spezielle Software auf dem Rechner selbst getroffen. Viele Betriebssysteme verfügen über eine integrierte Desktop Firewall, es stehen jedoch auch Lösungen von Drittanbietern zur Verfügung.

Das Konzept der Desktop Firewall weist einige entscheidende Schwachpunkte auf. Zunächst muss die Konfiguration vom User selbst vorgenommen werden. Das stellt grundsätzlich kein Problem dar, sofern der User beispielsweise weiß, ob er eine Verbindung 21/tcp inbound gestatten möchte. Schwierig wird es, wenn dem User das überhaupt nichts sagt und er eher nach dem Zufallsprinzip auf „gestatten“ oder „ablehnen“ klickt. Ein zweites Problem besteht darin, dass die Desktop Firewall selbst Ziel eines Angriffs sein kann. Da der User die Konfiguration der Firewall ändern kann, kann ein Programm das auch.

Aktuelle Host-Firewalls (zusätzlich zu älteren Varianten) bieten feinere Steuerungen:

• Windows: Windows Defender Firewall mit erweiterten Sicherheitsregeln (aktuell in Windows 10/11), Profile für Privat/Öffentlich/Domäne, ausgehende Standard-Blockade optional.
• macOS: Integrierter Socket-Filter und Application Firewall, optional erweiterbar; Paketfilter PF weiterhin nutzbar.
• Linux: nftables als moderner Standard, mit Frontends wie ufw oder firewalld.

Stärken sind anwendungsbasierte Regeln, Benutzerkontext, Schutz auch außerhalb des Firmennetzes (z. B. im Hotel-WLAN) und die Kontrolle über lokale Prozesse. Schwächen liegen in Benutzerfehlentscheidungen, möglicher Manipulation durch Malware mit erhöhten Rechten und in der fehlenden Abschirmung vor eingehendem Verkehr, der bereits auf dem Host ankommt.

Empfehlung: Host-Firewalls mit restriktiver Voreinstellung, Signaturprüfung für Anwendungen, keine pauschalen „Zulassen für immer“-Klicks, Protokollauswertung und – wo möglich – Ergänzung durch Endpoint-Schutz mit Verhaltenserkennung.

Fazit

Eine Desktop Firewall ist kein vollwertiger Ersatz für eine Netzwerk Firewall, bietet aber zumindest einen grundlegenden Schutz. Eine Firewall ersetzt keinen aktuellen Virenschutz, sondern ist nur in Kombination mit einem Virenscanner wirklich sinnvoll.

Zusammengefasst sollte der Schutz mehrstufig aufgebaut sein:

• Perimeter: Netzwerk-Firewall mit Default-Deny, segmentierten Zonen, VPN und Protokollanalyse.
• Host: Desktop/Host-Firewall mit strikten Profilen und anwendungsbezogenen Regeln.
• Härtung: Regelmäßige Updates, Entfernung unnötiger Dienste, Logging und Monitoring.
• Betrieb: Dokumentierte Richtlinien, regelmäßige Reviews, Tests von Portfreigaben und Alarmierung.

So entsteht ein wirksamer, aktueller Schutzrahmen, der sowohl klassische Angriffsmuster als auch moderne, applikationsbezogene Bedrohungen adressiert.

Häufige Fragen und Antworten