NETZWERK · ROUTER UND FIREWALL
Router und Firewall sind keine austauschbaren Produktnamen. Routing verbindet IP-Netze; eine Firewall entscheidet anhand einer Regelbasis, welche Datenströme diese Grenzen passieren dürfen. Viele Geräte vereinen beide Funktionen, doch daraus entsteht noch keine geeignete Sicherheitsarchitektur.
Für ein kleines Unternehmen muss das Internet-Gateway nicht möglichst viele Funktionen besitzen. Es muss den Provideranschluss korrekt terminieren, die erforderlichen Netze sauber trennen, nachvollziehbare Regeln durchsetzen, protokollierbar bleiben und sich nach einem Defekt kontrolliert wiederherstellen lassen.
Dieser Leitfaden erklärt Aufgaben und Grenzen, ordnet Providerrouter, eigene Firewall, WLAN und Switch richtig ein und führt durch Auswahl, Regelplanung, Inbetriebnahme, Betrieb, Austausch und Abnahme.
Kapitelübersicht
1. Routing, Firewall, NAT, VPN und WLAN werden getrennt betrachtet
Ein einzelnes Gerät kann mehrere Rollen übernehmen. Für Planung und Fehlersuche wird trotzdem jede Funktion eigenständig beschrieben. Nur so ist erkennbar, welche Eigenschaft tatsächlich benötigt wird und wo eine Störung entsteht.
| Funktion | Aufgabe | Typische Verwechslung |
|---|---|---|
| Modem oder Netzabschluss | Terminiert DSL, Kabel oder Glasfaser beziehungsweise übergibt Ethernet | Ein ONT oder Kabelmodem ersetzt nicht automatisch Router und Firewall. |
| Router | Wählt anhand von Zielnetzen den nächsten Übertragungsweg | Routing bedeutet nicht, dass unerwünschter Verkehr angemessen gefiltert wird. |
| Stateful Firewall | Bewertet Verbindungen nach Quelle, Ziel, Protokoll, Zustand und Regelwerk | Eine zustandsbehaftete Prüfung ist mehr als eine einfache Portweiterleitung. |
| NAT | Übersetzt Adressen oder Ports, meist zwischen privatem LAN und öffentlichem IPv4 | NAT ist kein vollständiges Sicherheitskonzept und bei IPv6 nicht für Schutz erforderlich. |
| DHCP | Vergibt interne Adressen, Gateway, DNS und weitere Parameter | DHCP legt keine Internetberechtigung fest. |
| DNS-Weiterleitung | Nimmt Namensanfragen an und leitet sie an Resolver weiter | DNS-Filterung ersetzt keine Firewall. |
| VPN-Gateway | Terminiert verschlüsselte Tunnel für Standorte oder autorisierte Clients | Ein Tunnel legt noch nicht fest, welche internen Ziele erreichbar sein dürfen. |
| WLAN-Controller oder Access Point | Steuert Funkzugang und überbrückt Geräte in vorgesehene Netze | Gutes WLAN sagt nichts über Firewallleistung oder Netztrennung aus. |
| Switch | Verbindet Geräte im lokalen Ethernet und kann VLANs transportieren | Ein verwalteter Switch ersetzt die Richtlinienentscheidung am Netzgrenzpunkt nicht. |
Ein Kombigerät kann fachlich ausreichen
Ein Providerrouter mit integrierter Firewall, DHCP und WLAN kann für ein sehr kleines, einfaches Büro angemessen sein, wenn er unterstützt, aktuell gehalten und dokumentierbar ist. Entscheidend sind die benötigten Netze, Fernzugriffe, Protokolle, Sicherungsmöglichkeiten und die Wiederherstellbarkeit. Eine separate Appliance ist kein Selbstzweck.
Sobald mehrere Sicherheitszonen, Standort-VPNs, feste öffentliche Adressen, detaillierte Protokollierung, eigene Regeln oder ein zweiter Internetanschluss erforderlich sind, stößt ein einfaches Providergerät häufig an funktionale oder betriebliche Grenzen. Dann wird eine eigene Firewall hinter einer klar definierten Providerübergabe geplant.
2. Die Architektur beginnt an den Sicherheitszonen, nicht am Gerätekatalog
Die Firewall steht an einer logischen Grenze zwischen Netzen mit unterschiedlichen Schutzanforderungen. Das Internet ist nur eine dieser Grenzen. Gäste, Arbeitsplätze, Verwaltung, Server, Telefonie und Gebäudetechnik können weitere getrennte Zonen benötigen.
| Zone | Enthaltene Systeme | Erlaubte Beziehungen |
|---|---|---|
| Arbeitsplätze | Verwaltete Notebooks und PCs | Internet, freigegebene Cloudziele, Druck- und Anwendungsdienste |
| Server oder Infrastruktur | Verzeichnis-, Datei-, Backup- und Verwaltungsdienste | Nur definierte Protokolle aus berechtigten Netzen; eingeschränkter Internetzugang |
| Drucker und Geräte | Drucker, Scanner, Konferenz- oder IoT-Geräte | Druckaufträge und Verwaltung aus festgelegten Quellen; keine freie Bewegung zu Arbeitsplätzen |
| Telefonie | IP-Telefone und gegebenenfalls Session Border Controller | Notwendige Anbieterziele, DNS, Zeit und Verwaltung |
| Gäste-WLAN | Private Geräte von Gästen | Nur Internet, keine internen Netze und keine Geräte untereinander, soweit vorgesehen |
| Administration | Dedizierte Verwaltungsgeräte oder Administratornetz | Verwaltungszugriff auf Infrastruktur; streng begrenzt und protokolliert |
| DMZ | Bewusst veröffentlichte oder vermittelte Dienste | Eingehend nur erforderliche Ports; intern nur explizite Rückverbindungen |
| VPN | Autorisierte externe Geräte oder Standorte | Nur die für Rolle und Zweck notwendigen Ziele |
Der gesamte Verkehr muss den vorgesehenen Kontrollpunkt passieren
Eine Netztrennung auf Papier ist wirkungslos, wenn zwischen den Zonen ein zweiter Router, ein versehentliches WLAN oder eine direkte Switch-Verbindung die Firewall umgeht. Uplinks, VLANs, statische Routen und drahtlose Netze werden daher in einem einfachen Netzplan zusammengeführt. Jedes Netz besitzt einen dokumentierten Gatewaypfad.
Das BSI fordert für Firewallstrukturen eindeutige Regeln und die Führung der Kommunikation über die Firewall. Für ein kleines Unternehmen wird dies proportional umgesetzt: wenige verständliche Zonen, eine überschaubare Regelbasis und keine versteckten Nebenwege sind oft belastbarer als eine überkomplexe Architektur.
| Variante | Geeignet wenn | Grenzen |
|---|---|---|
| Providerrouter als einziges Gateway | Ein internes Netz, Gästezugang sauber isoliert, keine besonderen VPN- oder Protokollanforderungen | Begrenzte Regeln, Protokolle, Sicherung und Mehr-WAN-Funktionen möglich |
| Providergerät vor eigener Firewall | Providergerät für Leitung oder Telefonie erforderlich, eigene Firewall übernimmt Sicherheitszonen | Doppel-NAT und zweifache Regelpflege vermeiden oder bewusst dokumentieren |
| Modem/ONT vor eigener Firewall | Provider unterstützt transparente Übergabe und Telefonie ist separat gelöst | Eigene Firewall muss Authentisierung, VLAN und öffentliche Adressierung vollständig beherrschen |
| Geroutete Übergabe | Businessprodukt liefert feste Adresse oder Subnetz an eigene Firewall | Provider- und Kundennetz, Gateway und Zuständigkeit exakt abstimmen |
| Dual-WAN-Firewall | Internetabhängiger Betrieb braucht getesteten Ersatzweg | Sitzungswechsel, DNS, VPN, Telefonie und Bandbreite des Ersatzwegs bleiben zu planen |
3. Die Auswahl folgt aus Last, Funktionen und Betriebsfähigkeit
Ein Datenblattwert für maximalen Durchsatz genügt nicht. Verschlüsselung, Filterung, VPN, Protokollierung, Zahl gleichzeitiger Sitzungen und Internetgeschwindigkeit wirken gleichzeitig auf die Plattform.
| Bereich | Konkrete Prüffrage | Abnahmenachweis |
|---|---|---|
| Provideranschluss | Unterstützt das Gerät Technik, Authentisierung, VLAN, IPv4 und IPv6 des Tarifs? | Verbindung mit dokumentierten WAN-Parametern |
| Durchsatz | Erreicht es die gebuchte Rate mit dem tatsächlich aktivierten Regelwerk? | Messung hinter der Firewall in beide Richtungen |
| VPN | Welche Protokolle, Clients, Identitätsverfahren und realen VPN-Raten werden unterstützt? | Test mit repräsentativer Datei und Anwendung |
| Zonen/VLAN | Wie viele Netze, DHCP-Bereiche und Regeln sind verwaltbar? | Verkehrsmatrix mit Positiv- und Negativtests |
| Mehr-WAN | Wie erkennt es Ausfall, schaltet um und kehrt zurück? | Kontrollierter Leitungsabbruch |
| WLAN | Soll WLAN integriert oder über separate Access Points betrieben werden? | Abdeckung und Zonenzuordnung je SSID |
| Protokollierung | Welche Ereignisse sind lokal oder extern auswertbar? | Erzeugter Testalarm und nachvollziehbarer Verbindungsdatensatz |
| Administration | Gibt es individuelle Konten, MFA, Rollen und begrenzte Verwaltungsnetze? | Anmeldung und Rechteprüfung |
| Sicherung | Kann eine lesbare oder verschlüsselte Konfiguration exportiert und zurückgespielt werden? | Wiederherstellung auf Test- oder Ersatzgerät |
| Aktualisierung | Wie lange liefert der Hersteller Sicherheitsupdates und wie werden sie eingespielt? | Dokumentierter Updateweg und Versionsstand |
| Hardwarebetrieb | Passen Ports, Netzteile, Rackmontage, Kühlung und Ersatzstrategie? | Inventar, Verkabelung und Austauschprobe |
| Lizenz | Welche Funktionen enden bei Ablauf eines Abonnements? | Vertragliche Funktions- und Kostenübersicht |
Leistung wird mit aktivierter Sicherheit gemessen
Hersteller nennen Durchsatzwerte unter unterschiedlichen Bedingungen. Stateful Inspection, IDS/IPS, Inhaltsfilter, VPN-Verschlüsselung oder Protokollierung können die nutzbare Rate verändern. Für die Auswahl wird nicht ein theoretischer Spitzenwert übernommen, sondern eine Plattform mit Reserve für den vorgesehenen Funktionsumfang gewählt.
Auch die Anschlussart zählt: Ein Gerät mit nur einem 1-Gbit/s-WAN-Port kann einen schnelleren Tarif nicht vollständig übergeben. Bei symmetrischen Leitungen muss der Upload ebenfalls verarbeitet werden. Interne Routingpfade zwischen VLANs können hohe Datenmengen erzeugen, etwa beim Zugriff auf NAS oder Backup, und dürfen nicht unbeabsichtigt durch eine zu kleine Firewall bremsen.
Beschaffung in vierzehn Schritten
- Providerübergabe und gebuchte Down- und Uploadrate erfassen.
- Vorhandene und geplante Sicherheitszonen auflisten.
- Erforderliche eingehende und ausgehende Datenströme dokumentieren.
- VPN-Nutzer, Standorte und Authentisierung festlegen.
- Ersatzanschluss und Umschaltlogik bestimmen.
- Benötigte Portgeschwindigkeiten und Medien prüfen.
- Aktivierte Sicherheitsfunktionen und Durchsatzreserve kalkulieren.
- Protokollierungs- und Aufbewahrungsbedarf festlegen.
- Administrationskonten, MFA und Rollenanforderungen prüfen.
- Updatezeitraum und Herstellersupport bewerten.
- Konfigurationssicherung und Ersatzhardwareweg beurteilen.
- Lizenzkosten über die geplante Nutzungsdauer zusammenstellen.
- Zwei technisch passende Varianten vergleichen.
- Abnahmekriterien vor der Bestellung festschreiben.
4. Firewallregeln beschreiben erlaubte Geschäftsbeziehungen
Eine Regelbasis wird nicht aus einzelnen Störungsmeldungen heraus angesammelt. Sie leitet sich aus dokumentierten Kommunikationsbeziehungen ab und sperrt nicht benötigte Verbindungen.
| Feld | Beispiel | Qualitätskriterium |
|---|---|---|
| Quelle | Arbeitsplatz-VLAN oder definierte Administratorgeräte | Keine unnötig breite Quelle wie „alle internen Netze“ |
| Ziel | DNS-Resolver, Druckdienst oder Partnernetz | Adresse oder Objekt eindeutig und aktuell |
| Dienst | TCP/443, DNS oder konkretes Anwendungsprofil | Nur erforderliche Protokolle und Ports |
| Richtung | Arbeitsplätze zu Internet oder VPN zu Fachanwendung | Initiator und Rückverkehr klar |
| Aktion | Erlauben oder verwerfen | Standardverhalten ist nachvollziehbar |
| Protokollierung | Bei Ablehnung, Änderung oder schutzwürdigem Zugriff | Genug Kontext ohne unbeherrschbare Ereignisflut |
| Begründung | Fachprozess und technische Notwendigkeit | Regel kann einem Zweck zugeordnet werden |
| Eigentümer | Verantwortliche Person oder Funktion | Rückfrage und Freigabe möglich |
| Gültigkeit | Dauerhaft mit Prüftermin oder befristet | Verwaiste Ausnahme wird entfernt |
Regeländerung in achtzehn Einzelschritten
- Fachlichen Arbeitsvorgang benennen.
- Quelle, Ziel, Richtung und Datenklasse erfassen.
- Herstellerdokumentation für notwendige Protokolle prüfen.
- Bereits vorhandene passende Regel suchen.
- Breitere Freigabe vermeiden und Objekte wiederverwenden.
- Risiko einer eingehenden oder administrativen Verbindung bewerten.
- Zeitliche Befristung festlegen, wenn der Bedarf vorübergehend ist.
- Änderung und Rückfall in einer Sicherung festhalten.
- Wartungsfenster und betroffene Personen abstimmen.
- Regel mit minimalem Umfang anlegen.
- Protokollierung für den Test aktivieren.
- Erlaubten Arbeitsvorgang vollständig durchführen.
- Nicht erlaubte Quelle oder Zielverbindung als Negativtest prüfen.
- Logs auf tatsächlich genutzte Ports und Ziele auswerten.
- Unbeabsichtigte Nebenwirkung auf andere Zonen prüfen.
- Regelbeschreibung, Eigentümer und Datum ergänzen.
- Temporäre Diagnosefreigaben wieder entfernen.
- Wiederkehrende Regelprüfung terminieren.
„Any to any“ ist keine Diagnose
Eine pauschale Freigabe kann kurzfristig verdecken, welche Verbindung fehlt, und gleichzeitig neue unerwünschte Pfade öffnen. Für die Fehlersuche werden Verbindungsversuch, Quelle, Ziel, Port, Zeit und Firewallentscheidung korreliert. Danach wird entweder eine begründete minimale Regel eingerichtet oder die Ursache auf einer anderen Ebene behoben.
Ausgehender Verkehr wird ebenfalls bewusst betrachtet. Ein kompromittiertes Gerät oder eine unerwünschte Anwendung baut Verbindungen meist von innen nach außen auf. Welche Einschränkung angemessen ist, hängt von Betriebsaufwand, Geräteverwaltung und Anwendungen ab; eine dokumentierte Grundregel und aussagekräftige Logs sind der Anfang.
5. Providerrouter und eigene Firewall erhalten eindeutige Zuständigkeiten
Zwei hintereinander geschaltete Router können funktionieren. Ohne dokumentierte Rollen entstehen jedoch Doppel-NAT, doppelte Portweiterleitungen, widersprüchliche DHCP-Dienste und schwer zuzuordnende Fehler.
| Aufgabe | Providergerät | Eigene Firewall |
|---|---|---|
| Leitungsterminierung | DSL-, Kabel- oder Glasfaserschnittstelle; eventuell ONT separat | Ethernet-WAN |
| Provideranmeldung | Je nach Betriebsart im Providergerät oder transparent übergeben | Nur bei unterstütztem Modem-/Bridgebetrieb |
| Öffentliche Adresse | Kann am Providergerät enden | Liegt bei Bridge oder gerouteter Übergabe direkt/geroutet an |
| NAT | Entweder nur hier oder bewusst deaktiviert | Möglichst genau eine verantwortliche NAT-Stelle |
| DHCP für Büro | Deaktiviert, wenn Firewall das LAN führt | Je Zone zentral und dokumentiert |
| WLAN | Deaktiviert oder klar einer separaten Rolle zugeordnet | Über integriertes WLAN oder verwaltete Access Points |
| Portfreigabe | Nur falls öffentliche Adresse hier endet | Zusätzliche Regel am eigentlichen Sicherheitsgrenzpunkt |
| Telefonie | Kann wegen Providerintegration hier verbleiben | Nur bei eigener unterstützter VoIP-Konfiguration |
| Monitoring | Leitungs- und Gerätestatus | Zonen, Regeln, VPN und Geschäftsverbindungen |
Doppel-NAT erkennen und kontrolliert beseitigen
Zeigt die WAN-Schnittstelle der eigenen Firewall eine private Adresse, während der Providerrouter eine andere WAN-Adresse besitzt, übersetzen wahrscheinlich zwei Geräte. Das kann ausgehenden Webverkehr problemlos transportieren, erschwert aber eingehende Dienste, manche VPN-Verfahren, Fehlersuche und Adressdokumentation.
Die Lösung hängt vom Provider ab: Bridge- oder Modembetrieb, PPPoE-Passthrough, geroutete Übergabe oder eine klar begrenzte Weiterleitung zur Firewall. Ein unkontrollierter „Exposed Host“ ist kein Ersatz für eine geprüfte Architektur. Änderungen werden mit Telefonie, IPv6, Fernzugriff und Provider-Supportgrenze gemeinsam getestet.
Keine zweite Schattenverwaltung offenlassen
Das Providergerät behält ein eigenes, nur administrativ erreichbares Managementnetz. Standardpasswörter, Fernverwaltung aus dem Internet und ungenutztes WLAN werden abgeschaltet. Ist ein Providerzugriff für Entstörung vertraglich vorgesehen, wird sein Umfang dokumentiert. Die eigene Firewallverwaltung ist nur aus dem festgelegten Administrationsnetz oder über einen abgesicherten Zugangsweg erreichbar.
6. Der sichere Betrieb umfasst Updates, Sicherungen und überprüfbare Änderungen
Eine einmal richtig konfigurierte Firewall bleibt nicht automatisch richtig. Providerparameter, Cloudziele, Mitarbeiterzugänge, Firmware und Schwachstellen ändern sich. Der Betrieb braucht einen schlanken, verlässlichen Rhythmus.
| Intervall oder Anlass | Aufgabe | Ergebnis |
|---|---|---|
| Laufend | Geräteausfall, WAN-Status und kritische VPNs überwachen | Erkennbarer Betriebszustand statt unbemerktem Ausfall |
| Bei Warnung | Sicherheitsmeldung und Herstellerhinweis bewerten | Priorität, Test- und Installationsfenster |
| Monatlich | Firmwarestand, fehlgeschlagene Anmeldungen und Konfigurationsänderungen prüfen | Dokumentierte Abweichungen und Maßnahmen |
| Quartalsweise | Administrationskonten, VPN-Nutzer und befristete Regeln prüfen | Nicht mehr benötigte Zugänge entfernt |
| Halbjährlich | Regelbasis nach Eigentümer und Geschäftsbedarf durchgehen | Verwaiste und überbreite Regeln bereinigt |
| Nach Änderung | Konfiguration sichern und Sollplan aktualisieren | Wiederherstellbarer Endstand |
| Jährlich | Ersatzgerät oder Wiederherstellungsverfahren praktisch testen | Gemessene Wiederanlaufzeit |
| Vor Supportende | Ablösung planen und kompatible Zielplattform auswählen | Kein Betrieb ohne Sicherheitsupdates |
Konfigurationssicherung ist erst nach Rücksicherung belastbar
Gesichert werden Gerätemodell, Hardwareversion, Firmware, Lizenz, vollständige Konfiguration, Zertifikate, VPN-Schlüssel nach geeignetem Verfahren und eine getrennte Dokumentation der WAN-Parameter. Das Sicherungsarchiv wird verschlüsselt und außerhalb der Firewall aufbewahrt. Zugriff erhalten nur berechtigte Personen.
Eine Exportdatei kann an Firmwareversion, Seriennummer, Lizenz oder Verschlüsselungspasswort gebunden sein. Deshalb wird der Wiederherstellungsweg geprüft: Ersatzgerät vorbereiten, passende Firmware installieren, Konfiguration importieren, Schnittstellen zuordnen und Kernfunktionen testen. Das Ergebnis enthält Zeitbedarf und verbleibende Handarbeit.
Update in zwölf Schritten
- Herstellerhinweis und betroffene Version prüfen.
- Aktuellen Zustand und Konfiguration sichern.
- Bekannte Änderungen und Rückfallmöglichkeit lesen.
- Abhängigkeiten wie VPN-Client und Provideranschluss prüfen.
- Wartungsfenster und Erreichbarkeit vor Ort festlegen.
- Ersatzinternet oder Rückfallgerät vorbereiten.
- Update über den vorgesehenen Administrationsweg installieren.
- Neustart und Hardwarestatus beobachten.
- WAN, DNS, VLANs und DHCP testen.
- VPN, Telefonie und priorisierte Anwendungen prüfen.
- Logs auf neue Fehler kontrollieren.
- Version, Ergebnis und neue Sicherung dokumentieren.
7. Beim Austausch bleibt der alte Rückweg erhalten
Ein Firewallwechsel betrifft Internet, interne Netze, DHCP, DNS, VPN, Telefonie und veröffentlichte Dienste gleichzeitig. Eine Konfigurationskopie zwischen verschiedenen Produkten überträgt selten die fachliche Bedeutung jeder Regel.
Migration in sechsundzwanzig Schritten
- Aktuelles Gerät, Firmware, Ports und Verkabelung fotografisch erfassen.
- Netzplan mit WAN, VLANs, Subnetzen und Gateways aktualisieren.
- DHCP-Bereiche, Reservierungen und DNS-Einstellungen exportieren.
- Firewallregeln mit Zweck und Eigentümer inventarisieren.
- NAT-, Portweiterleitungs- und öffentliche Adressregeln aufnehmen.
- VPN-Nutzer, Standorte, Zertifikate und Schlüssel dokumentieren.
- Telefonie- und Providerabhängigkeiten erfassen.
- Logs auf tatsächlich genutzte Regeln prüfen.
- Verwaiste Regeln nicht ungeprüft übernehmen.
- Zielgerät auf unterstützte Firmware aktualisieren.
- Administrationskonten und MFA einrichten.
- Schnittstellen und Zonen offline konfigurieren.
- Objekte, Gruppen und minimale Regeln abbilden.
- DHCP, DNS und Zeitdienst vorbereiten.
- WAN- und IPv6-Parameter einrichten.
- VPNs und Zertifikate kontrolliert importieren oder erneuern.
- Monitoring und Konfigurationssicherung aktivieren.
- Zielgerät zunächst in einem getrennten Testaufbau prüfen.
- Umschalt- und Rückfallverkabelung kennzeichnen.
- Wartungsfenster ankündigen und laufende Sitzungen beenden.
- Altes Gerät sauber trennen, aber unverändert verfügbar halten.
- Neue Firewall anschließen und Linkzustände prüfen.
- Technische Basis- und Sicherheitstests durchführen.
- Geschäftsanwendungen mit Fachanwendern abnehmen.
- Beobachtungsphase mit erreichlichem Rückfallgerät einhalten.
- Altes Gerät erst danach sicher zurücksetzen oder als dokumentierten Ersatz behandeln.
| Falle | Folge | Vorbeugung |
|---|---|---|
| Portnummern statt Zonenbedeutung übernommen | WAN und LAN liegen nach Wechsel auf falschen Schnittstellen | Schnittstellen nach Rolle neu zuordnen und beschriften. |
| Alte Regelbasis vollständig kopiert | Überbreite oder verwaiste Freigaben bleiben bestehen | Jede Regel einem aktuellen Datenfluss zuordnen. |
| DHCP-Reservierungen vergessen | Drucker, Telefonie oder Verwaltung erhalten neue Adressen | Leases und Reservierungen exportieren und kontrolliert überführen. |
| IPv6 nicht berücksichtigt | Ungeprüfte Pfade oder fehlende Erreichbarkeit | IPv4 und IPv6 in Regeln und Tests gleichwertig behandeln. |
| VPN-Zertifikate nicht exportierbar | Externe Arbeit oder Standortkopplung fällt aus | Erneuerung und Verteilung vor dem Umschaltfenster planen. |
| Providertelefonie hängt am Altgerät | Rufnummern fallen trotz funktionierendem Internet aus | Sprachpfad separat dokumentieren und testen. |
| Keine lokale Zugriffsmöglichkeit | Fehlkonfiguration sperrt Administration aus | Konsolen- oder physischer Rückweg vor Ort bereithalten. |
8. Die Abnahme verbindet Funktion, Sicherheit und Wiederanlauf
Ein erfolgreicher Geschwindigkeitstest bestätigt nur einen Teil des Gateways. Die Abnahme prüft erlaubte und verbotene Pfade, Verwaltung, Protokollierung, Ausfall und Wiederherstellung.
| Prüfbereich | Positivtest | Negativ- oder Ausfalltest |
|---|---|---|
| WAN | IPv4, IPv6, DNS und gebuchte Rate funktionieren | Leitung trennen; Ausfall wird erkannt. |
| Zonen | Erlaubte Anwendung erreicht ihr Ziel | Gast und Gerätezonen erreichen interne Arbeitsplätze nicht. |
| DHCP/DNS | Client erhält richtige Parameter und löst Namen auf | Fremder DHCP-Dienst oder falsches Netz wird erkannt. |
| Firewallregeln | Dokumentierter Geschäftsfluss funktioniert | Nicht erlaubte Quelle, Ziel oder Port wird blockiert. |
| VPN | Autorisierter Nutzer erreicht freigegebene Anwendung | Gesperrter Nutzer und nicht erlaubtes Netz bleiben abgewiesen. |
| Administration | Berechtigtes Konto aus Verwaltungsnetz funktioniert | Internet und normales Gastnetz erreichen Oberfläche nicht. |
| Protokollierung | Testregel erzeugt verständlichen Datensatz | Logausfall oder Speichergrenze wird sichtbar. |
| Telefonie | Ein- und ausgehende Gespräche mit Sprachqualität | WAN-Umschaltung und Rückkehr beobachten. |
| Mehr-WAN | Priorisierte Dienste laufen über Ersatzweg | Nicht priorisierte Last wird nach Notfallregel begrenzt. |
| Wiederherstellung | Konfiguration kann auf vorgesehenem Weg zurückgespielt werden | Fehlende Lizenz, Version oder Schlüssel werden vor Ernstfall entdeckt. |
Abnahme in zwanzig Einzelschritten
- Gerätemodell, Firmware und Lizenzstatus erfassen.
- Port- und Kabelbeschriftung mit Netzplan vergleichen.
- WAN-Adresse, Gateway, DNS und IPv6-Präfix prüfen.
- Down- und Upload hinter aktivem Regelwerk messen.
- Jede Zone erhält korrekte DHCP-Parameter.
- Namensauflösung intern und extern prüfen.
- Zeitquelle und Zeitzone kontrollieren.
- Erlaubte Datenflüsse je Zone testen.
- Mindestens einen Negativtest je Sicherheitsgrenze ausführen.
- Gastzugang gegen interne Netze prüfen.
- Geräte- oder IoT-Zone gegen Arbeitsplätze prüfen.
- Administrationsoberfläche aus unerlaubtem Netz testen.
- Individuelle Adminanmeldung und MFA prüfen.
- VPN mit berechtigtem und gesperrtem Konto testen.
- Eingehende Freigaben von erlaubter und fremder Quelle prüfen.
- Telefonie und priorisierte Cloudanwendung testen.
- Hauptanschluss trennen und Ersatzweg beobachten.
- Konfigurationsänderung und Sicherung durchführen.
- Monitoringalarm und Protokollsuche bestätigen.
- Abweichungen, Verantwortliche und Fristen im Protokoll festhalten.
9. Drei Büroprofile führen zu unterschiedlichen Gateway-Lösungen
Die Zahl der Beschäftigten allein entscheidet nicht über die Plattform. Ausschlaggebend sind Netzgrenzen, externe Verbindungen, Ausfallfolgen und die Fähigkeit, die Lösung über ihren gesamten Lebenszyklus zu betreiben.
| Büroprofil | Tatsächliche Anforderungen | Begründete Architektur |
|---|---|---|
| Vier Personen, vollständig cloudbasiert | Ein Arbeitsplatznetz, isoliertes Gäste-WLAN, keine eingehenden Dienste, keine Standortkopplung | Unterstützter Business-Providerrouter kann genügen, wenn Gastisolation, Updates, Sicherung und sichere Administration nachgewiesen sind. |
| Acht Personen mit Druckern, Konferenztechnik und Homeoffice | Getrennte Geräte- und Gastzone, VPN mit MFA, nachvollziehbare Regeln, zentrale Access Points | Eigene Firewall mit VLANs und separaten Access Points; Providergerät nur für Leitungsübergabe und gegebenenfalls Telefonie. |
| Zwölf Personen mit Fachserver und Partner-VPN | Serverzone, feste öffentliche IP, eingeschränkte Partnerpfade, Ersatzinternet und aussagekräftige Logs | Eigene Firewall mit definierten Zonen, gerouteter oder transparenter Providerübergabe und geprüftem Dual-WAN-Verhalten. |
| Kleine Praxis mit gemanagten Cloudanwendungen | Keine öffentlichen Server, aber getrennte medizinische beziehungsweise geschäftliche Geräte und Besucherzugang | Zonenfähige Plattform mit einfacher Regelbasis; Cloudidentität und Endgeräteschutz bleiben eigenständige Kontrollen. |
| Zwei Standorte mit gemeinsamem Dateidienst | Standort-VPN, überschneidungsfreie Subnetze, Namensauflösung und dokumentierter Rückfall | Kompatible Gateways an beiden Standorten; Tunnel nur für benötigte Netze und tatsächliche Fachanwendungen abnehmen. |
Entscheidungsvorlage für die Freigabe
Die Beschaffungsentscheidung enthält nicht nur Hersteller und Modell. Sie nennt die Anschlussübergabe, vorgesehenen Zonen, benötigten VPNs, aktive Sicherheitsfunktionen, gemessenen Zieldurchsatz, Lizenzzeitraum, Updatezusage, Sicherungsformat, Ersatzweg und verantwortliche Administration. Offene Punkte werden als Risiko mit Termin und Verantwortlichem aufgeführt.
Zusätzlich wird festgehalten, welche Funktionen bewusst nicht eingeführt werden. Wenn ein kleines Cloudbüro keine eingehenden Dienste, Inhaltsentschlüsselung oder komplexe Standortkopplung benötigt, werden diese Merkmale nicht vorsorglich aktiviert. Eine kleinere, verstandene Regelbasis erleichtert Prüfung, Fehlersuche und Wiederherstellung.
Das Ergebnis lässt sich später überprüfen: Stimmen Netzplan und Verkabelung, existieren nur begründete Regeln, funktionieren Positiv- und Negativtests, ist die Firmware unterstützt und kann die Konfiguration auf dem vorgesehenen Ersatzweg wiederhergestellt werden? Damit wird aus einem Gerätekauf ein abnehmbarer Betriebsbaustein.
Häufige Fragen zu Router und Firewall
Die Antworten ordnen typische Kauf- und Betriebsentscheidungen ein.
Hat jeder Router eine Firewall?
Viele Büro- und Providerrouter enthalten zustandsbehaftete Firewallfunktionen. Umfang, Regelmodell, Zonen, Protokollierung, VPN, Administration und Updateversorgung unterscheiden sich jedoch erheblich. Deshalb wird nicht allein nach der Produktbezeichnung entschieden, sondern nach dem konkreten Anforderungskatalog.
Braucht ein kleines Unternehmen immer eine separate Firewall?
Nein. Ein unterstütztes Kombigerät kann für ein einfaches Netz genügen. Mehrere Zonen, detaillierte Regeln, feste öffentliche Adressen, Standort-VPN, Dual-WAN oder höhere Dokumentationsanforderungen sprechen häufiger für eine eigene Plattform. Entscheidend bleibt, ob die gewählte Lösung sicher betrieben und wiederhergestellt werden kann.
Ist NAT dasselbe wie eine Firewall?
Nein. NAT übersetzt Adressen und Ports. Eine Firewall bewertet Datenströme anhand einer Richtlinie und ihres Zustands. Bei IPv6 kann eine Firewall eingehende Verbindungen wirksam blockieren, obwohl keine Adressübersetzung stattfindet. Schutz darf deshalb nicht aus dem Vorhandensein von NAT abgeleitet werden.
Darf die Firewall aus dem Internet administriert werden?
Die Verwaltungsoberfläche sollte nicht frei aus dem Internet erreichbar sein. Administration erfolgt aus einem begrenzten Verwaltungsnetz oder über einen abgesicherten Zugangsweg mit starker Authentisierung. Notfallzugang und physischer Rückweg werden separat dokumentiert und geprüft.
Wie oft sollten Regeln geprüft werden?
Bei jeder Änderung und zusätzlich in einem festen Rhythmus. Für viele kleine Umgebungen ist eine halbjährliche fachliche Prüfung ein sinnvoller Ausgangspunkt; temporäre Regeln erhalten ein konkretes Ablaufdatum. Kritische oder häufig veränderte Umgebungen brauchen kürzere Intervalle.
Was muss beim Defekt verfügbar sein?
Gerätemodell, passende Firmware, Lizenz, verschlüsselte Konfigurationssicherung, WAN-Parameter, Zertifikate und Schlüssel, Netzplan, Kabelzuordnung sowie ein erreichbarer administrativer Rückweg. Ein Wiederherstellungstest zeigt, welche dieser Unterlagen tatsächlich genügen.
Weiterführende Primärquellen
Router- und Firewallarchitektur für Ihr Büro planen
fra.digital ordnet Providerübergabe, Netze, Regeln, VPN und Ersatzweg zu einer verständlichen, dokumentierten Architektur und prüft die Umsetzung mit realen Geschäftsabläufen.
