Eine klassische Firewall (Packet Filter, Stateful) nein. Eine Next-Generation Firewall (NGFW) oder UTM kann jedoch über integrierte Antivirus- und IPS-Funktionen (Intrusion Prevention System) schädliche Payloads in Dateien oder Netzwerkverkehr erkennen und blockieren.

Ein Router verbindet Netzwerke und leitet Pakete basierend auf IP-Adressen weiter (Routing). Eine Firewall filtert diesen Verkehr basierend auf Sicherheitsregeln. Moderne Enterprise-Router haben oft Firewall-Funktionen (ACLs), und Firewalls können routen, aber ihre Hauptaufgabe ist die Sicherheit, nicht die optimale Wegfindung.

Eine NGFW schützt das Netzwerk auf Layer 3-7, ist aber oft nicht spezifisch genug für komplexe Web-Angriffe. Eine WAF (Web Application Firewall) versteht die Semantik von HTTP/HTTPS und kann gezielt Angriffe wie SQL-Injection, Cross-Site Scripting (XSS) oder Directory Traversal erkennen, die eine NGFW möglicherweise als legitimen Web-Traffic durchlassen würde.

Implicit Deny (stillschweigende Verweigerung) ist eine fundamentale Firewall-Regel: Am Ende jeder Regelliste steht eine unsichtbare Regel, die allen nicht explizit erlaubten Verkehr verwirft. Dies ist das Prinzip von "Default Deny" und entscheidend für ein sicheres Design.

Mindestens vierteljährlich, idealerweise monatlich. Im Laufe der Zeit sammeln sich "Rule Creep" (überflüssige, veraltete Regeln) an, die die Performance beeinträchtigen und Sicherheitslücken öffnen. Jede Regel sollte einen Geschäftszweck und ein Ablaufdatum oder einen Verantwortlichen haben.

IDS (Intrusion Detection System) erkennt Angriffe und meldet sie, greift aber nicht ein. IPS (Intrusion Prevention System) erkennt Angriffe und blockiert sie automatisch. NGFWs haben typischerweise ein integriertes IPS. IDS wird oft passiv (Tap/SPAN) eingesetzt, IPS inline.

Nein. Eine Firewall ist nur eine Schicht im "Defense-in-Depth"-Konzept. Sie schützt nicht vor:

• Insider-Bedrohungen (bereits im internen Netz)
• Phishing-Angriffen auf Endbenutzer
• Verschlüsseltem bösartigem Traffic (ohne SSL-Inspection)
• Zero-Day-Exploits, die noch keine Signatur haben

SSL/TLS Inspection (auch HTTPS-Inspection) entschlüsselt verschlüsselten Traffic, analysiert ihn und verschlüsselt ihn wieder. Da heute über 90% des Web-Traffics verschlüsselt ist, können Firewalls ohne SSL-Inspection keine schädlichen Payloads in HTTPS-Verbindungen erkennen. Die NGFW agiert dabei als "Man-in-the-Middle" mit einem eigenen CA-Zertifikat.

Eine Next-Generation Firewall (NGFW) geht weit über klassische Stateful-Inspektions-Firewalls hinaus und vereint mehrere Sicherheitsfunktionen in einem Gerät:

• Deep Packet Inspection (DPI): Analysiert nicht nur Header, sondern den gesamten Inhalt eines Pakets.
• Application Control: Erkennt Anwendungen unabhängig von Port oder Protokoll (z.B. Facebook über Port 443).
• Integriertes IPS: Erkennt und blockiert Angriffsmuster in Echtzeit.
• User Identity Awareness: Regeln können an Benutzer oder Gruppen gebunden werden (via LDAP/Active Directory), nicht nur an IP-Adressen.
• SSL/TLS Inspection: Entschlüsselt und analysiert verschlüsselten Traffic, um Bedrohungen in HTTPS-Verbindungen zu erkennen.

Der entscheidende Vorteil: Eine NGFW kann gezielt Anwendungen und Benutzer kontrollieren, nicht nur "dumme" IP/Port-Paare – ein Muss in modernen, dynamischen Unternehmensnetzwerken.

Eine Application-Aware Firewall (oft auch als "Layer 7 Firewall" bezeichnet) ist eine Firewall, die nicht nur nach IP-Adressen und Ports filtert, sondern auch den Anwendungstyp des Traffics erkennt.

Beispiel: Traditionelle Firewalls sehen auf Port 443 nur "HTTPS". Eine Application-Aware Firewall erkennt jedoch, dass es sich um YouTube-Video-Streaming, Google Drive oder Microsoft Teams handelt – obwohl alle den gleichen Port verwenden.

Einsatzzweck:

• Produktivität: Blockieren von Social Media oder Streaming während der Arbeitszeit.
• Sicherheit: Erkennen von unautorisierten Anwendungen wie Tor oder File-Sharing-Diensten.
• Bandbreitenmanagement: Priorisieren geschäftskritischer Anwendungen (z.B. VoIP, ERP) gegenüber Unterhaltungs-Traffic.

Application-Awareness ist das Kernfeature einer NGFW und wird über Signaturen oder maschinelles Lernen realisiert.

Eine Web Application Firewall (WAF) analysiert den HTTP/HTTPS-Traffic auf Anwendungsebene und erkennt Angriffsmuster, die für Webserver typisch sind.

SQL-Injection-Schutz: Die WAF prüft eingehende HTTP-Parameter, Cookies und Formulardaten auf verdächtige Muster wie ' OR '1'='1 oder UNION SELECT. Sie blockiert Anfragen, die diese Muster enthalten, bevor sie den Webserver erreichen.

XSS-Schutz (Cross-Site Scripting): Die WAF erkennt Skript-Einschleusungen wie <script>alert('XSS')</script> in URLs oder Formularen und blockiert diese Anfragen.

Moderne WAFs (z.B. Cloudflare WAF, AWS WAF, ModSecurity) verwenden:

• Signature-basierte Erkennung: OWASP Core Rule Set (CRS) mit Hunderten von Angriffssignaturen.
• Anomalie-basierte Erkennung: Überwacht ungewöhnliche Anfragemuster oder hohe Raten.
• Positive Security (Allowlisting): Erlaubt nur bestimmte, definierte Eingabeformate.

Tipp: Eine WAF ist kein Ersatz für sichere Programmierung, aber ein unverzichtbarer Schutz gegen bekannte Web-Angriffe.

Empfehlung: Unternehmen nutzen oft beides – Hardware-Firewalls am Netzwerkrand (Perimeter) und Software-Firewalls auf einzelnen Servern oder als virtuelle Firewalls in der Cloud.

Eine Stateful Firewall (auch "zustandsbehaftete Firewall") merkt sich den Zustand aktiver Verbindungen in einer State Table (Verbindungstabelle).

Funktionsweise:

• Verbindungsaufbau (NEW): Ein internes Gerät sendet ein SYN-Paket ins Internet. Die Firewall trägt diese Verbindung in die State Table ein.
• Verbindung aktiv (ESTABLISHED): Das SYN-ACK des Servers wird als Antwort auf eine bekannte Verbindung erkannt und durchgelassen – ohne dass eine explizite Regel dafür existiert.
• Verbindungsabbau (CLOSED): FIN-Pakete beenden die Verbindung, die Einträge werden aus der Tabelle entfernt.

Vorteil: Eine Stateful Firewall erlaubt automatisch alle Antwortpakete auf legitime Anfragen. Das reduziert die Anzahl der benötigten Regeln erheblich und schützt vor einfachen Spoofing-Angriffen, bei denen ein Angreifer unaufgeforderte Pakete sendet.

Nachteil: Die State Table benötigt Speicher und kann bei sehr vielen parallelen Verbindungen überlaufen (DoS-Risiko).

Aus Firewall-Sicht unterscheiden sich DMZ und internes Netzwerk durch das Vertrauensniveau und die Zugriffsregeln:

Best Practice: Die DMZ wird durch zwei Firewalls geschützt – eine externe (vom Internet zur DMZ) und eine interne (von der DMZ zum internen Netz). Dies wird als "Screened Subnet" bezeichnet.

In einer Zero-Trust-Architektur („Never trust, always verify“) verliert die traditionelle Perimeter-Firewall an alleiniger Bedeutung. Firewalls werden jedoch neu interpretiert und erweitert:

• Mikrosegmentierung: Statt einer einzigen großen Firewall am Perimeter gibt es viele kleine Firewalls zwischen einzelnen Workloads (z.B. zwischen App- und Datenbank-Tier). Dies wird oft durch Software-Defined Firewalls oder Network Policies in Kubernetes realisiert.
• Identity als neue Perimeter: Die Firewall entscheidet nicht mehr primär basierend auf IP-Adressen, sondern auf Benutzeridentität, Gerätezustand und Kontext (z.B. via Okta, Azure AD).
• Zero Trust Network Access (ZTNA): Firewalls werden durch ZTNA-Proxies ersetzt, die den Zugriff auf Anwendungen nur nach Authentifizierung und Autorisierung erlauben – unabhängig vom Netzwerkstandort.
• Kontinuierliche Überwachung: Firewalls in Zero Trust-Umgebungen liefern detaillierte Logs für SIEM-Systeme und erlauben bedrohungsbasierte Entscheidungen (z.B. dynamische Blockierung bei verdächtigem Verhalten).

Fazit: Firewalls verschwinden nicht, aber sie werden intelligenter, kontextbewusster und dezentraler. Die klassische "Perimeter-Firewall" ist nur noch eine von vielen Sicherheitsschichten.