Was bei einer Firewall wirklich dimensioniert wird
Eine Firewall ist nicht nur ein Router mit zusätzlichen Haken für Sicherheitsfunktionen. Für die Auswahl zählen Internetbandbreite, Zahl und Art der Nutzer, verschlüsselter Verkehr, VPN, Standortkopplungen, VLANs, Hochverfügbarkeit und das spätere Betriebsmodell. Besonders wichtig ist die Frage, welche Schutzfunktionen gleichzeitig aktiv sein sollen. Ein hoher reiner Firewall-Durchsatz sagt wenig darüber aus, wie viel Leistung mit IDS/IPS, Application Control oder TLS-Inspection übrig bleibt.
Durchsatzwerte richtig vergleichen
Hersteller messen unter unterschiedlichen Bedingungen. Deshalb trennt der Vergleich auf chrishob.de reine Firewall-Leistung, IPS, NGFW, Threat Protection, UTM, TLS-/HTTPS-Inspection und VPN voneinander. Wo ein Hersteller einen Wert nicht veröffentlicht, bleibt das Feld leer. Ein nicht veröffentlichter Wert wird nicht aus einem Nachbarmodell geschätzt. Für die Praxis sollte außerdem Reserve eingeplant werden: Internetanschlüsse werden schneller, Regelwerke wachsen und zusätzliche Security-Funktionen erhöhen die Last.
Lizenzierung gehört zur technischen Entscheidung
Bei vielen NGFW-Plattformen entscheidet erst die Lizenz darüber, welche Funktionen tatsächlich zur Verfügung stehen. IDS/IPS kann im Basissystem enthalten sein, während Malware-Analyse, Sandbox, DNS-Filter, erweiterte Threat Intelligence oder Support an ein Security-Paket gebunden sind. Deshalb betrachtet der Firewall-Finder nicht nur den Hardwarepreis, sondern auch Laufzeit, Funktionsabdeckung und – sofern belastbar verfügbar – die Kosten über mehrere Jahre.
Kleine Standorte sind nicht automatisch ein Fall für die kleinste Appliance
Für ein Büro mit wenigen Personen kann ein integriertes Gateway wie eine UniFi Dream Router- oder Cloud-Gateway-Lösung sehr sinnvoll sein. Sobald jedoch Hochverfügbarkeit, detaillierte Audit-Anforderungen, ausgeprägte TLS-Inspection, definierte Hersteller-SLAs oder komplexe Multi-Site-Strukturen wichtig werden, verschiebt sich die Bewertung in Richtung klassischer NGFW-Plattformen. Umgekehrt ist eine Enterprise-Appliance ohne entsprechenden Bedarf oft unnötig teuer und komplex.
Fragen vor der Produktauswahl
- Welche WAN-Bandbreite muss heute und in den nächsten drei bis fünf Jahren verarbeitet werden?
- Welche Security-Dienste sollen dauerhaft aktiv sein?
- Wie viel verschlüsselter Traffic muss tatsächlich inspiziert werden?
- Wie viele Remote-VPN-Nutzer und Site-to-Site-Tunnel werden benötigt?
- Gibt es 2,5-, 10- oder 25-Gigabit-Anforderungen im LAN oder zur Core-Infrastruktur?
- Muss beim Ausfall einer Appliance ein zweites System automatisch übernehmen?
- Wer betreibt die Firewall und wie wichtig sind zentrale Verwaltung und Reporting?
- Welche Lizenz- und Supportkosten entstehen über die geplante Nutzungsdauer?
Ziel des Finders
Der Finder soll keine persönliche Beratung vortäuschen. Er strukturiert die Anforderungen, filtert technisch ungeeignete Geräte aus und erklärt, warum bestimmte Modelle besser passen als andere. Das Ergebnis ist eine belastbare Shortlist, mit der anschließend Angebote oder ein konkretes Design geprüft werden können.