IT-Sicherheit
Firewall & NGFW
Eine Firewall trennt Netzbereiche und filtert Verkehr nach Regeln; eine NGFW ergänzt die zustandsbehaftete Filterung um Anwendungserkennung, IPS und TLS-Inspektion.
- Netztrennung nach Regeln
- Stateful statt stateless
- NGFW: App-ID + IPS + TLS-Inspektion
- Default-Deny, Zonen, Logging
- Linux-Basis: netfilter/nftables
Eine Firewall trennt Netzbereiche unterschiedlichen Vertrauens und lässt Verkehr nur nach definierten Regeln passieren. Die Technik hat sich über Generationen entwickelt: vom einfachen Paketfilter über die zustandsbehaftete (stateful) Firewall bis zur NGFW (Next-Generation Firewall), die Anwendungen erkennt und Angriffe auf Schicht 7 abwehrt.
Dieser Artikel erklärt die Generationen und ihren Unterschied, die Kernfähigkeiten einer NGFW, die Linux-Grundlagen mit netfilter und Verbindungsverfolgung, die Grundregeln Default-Deny und Egress-Filtering, die Abgrenzung zu UTM und WAF sowie die Möglichkeiten und Grenzen der TLS-Inspektion.
1. Drei Generationen
Der einfache Paketfilter entscheidet zustandslos pro Paket anhand von IP, Port und Protokoll; Antwortverkehr muss er explizit erlauben. Die Stateful Firewall führt eine Verbindungstabelle: Sie erkennt zusammengehörige Pakete und lässt Antworten zu bestehenden Verbindungen automatisch durch. Die NGFW baut darauf auf und ergänzt Deep Packet Inspection bis Schicht 7, Anwendungserkennung (App-ID statt nur Port), ein integriertes IPS, TLS-Inspektion, Benutzeridentitäts-Anbindung und URL-/Threat-Filterung.
| Generation | Kennzeichen |
|---|---|
| Paketfilter (stateless) | ACL je Paket auf L3/L4, kein Verbindungskontext |
| Stateful Firewall | Verbindungstabelle (conntrack), Antwortverkehr automatisch |
| NGFW | Stateful + DPI + App-ID + IPS + TLS-Inspektion + Identität |
2. Die Linux-Grundlage
Unter Linux stellt das netfilter-Framework die Firewall-Engine; gesteuert wird sie heute über nftables (Nachfolger von iptables). Die Zustandsbehaftung liefert das Verbindungs-Tracking (conntrack): Es kennt die Zustände NEW, ESTABLISHED, RELATED und INVALID und ist die Basis jeder stateful Regel.
Stateful-Regeln (nftables)
# Antwortverkehr zu bestehenden Verbindungen erlauben
nft add rule inet filter input ct state established,related accept
# offensichtlich ungültige Pakete verwerfen
nft add rule inet filter input ct state invalid drop3. Default-Deny und Egress
Die wichtigste Regel ist die Grundhaltung: Default-Deny, alles ist verboten, was nicht ausdrücklich erlaubt wurde. Das fordern auch BSI IT-Grundschutz und NIST. Oft vernachlässigt, aber ebenso wichtig ist das Egress-Filtering: Auch ausgehender Verkehr gehört auf das Nötige beschränkt. Das erschwert es kompromittierten Systemen, nach außen zu kommunizieren (etwa zu Command-and-Control-Servern), und macht solche Versuche im Log sichtbar.
Eine Firewall, die nur eingehend filtert und ausgehend alles erlaubt, sieht die halbe Wahrheit. Default-Deny gilt in beide Richtungen.
4. NGFW-Fähigkeiten im Detail
Was eine NGFW über die klassische Firewall hinaushebt: App-ID erkennt Anwendungen anhand von Mustern statt nur am Port (eine Regel kann so „Anwendung X erlauben, Y sperren“ unabhängig vom Port); das integrierte IPS blockiert bekannte Exploit-Muster im selben Durchlauf; die Benutzeridentitäts-Anbindung (an AD/LDAP) erlaubt Regeln pro Benutzer und Gruppe statt pro IP; URL-Filterung und Threat Intelligence reichern die Entscheidung um externe Reputationsdaten an.
5. TLS-Inspektion: Sichtbarkeit und Grenzen
Da der meiste Verkehr verschlüsselt ist, bieten NGFWs TLS-Inspektion: Die Firewall klinkt sich als Mittelsmann ein, entschlüsselt, prüft und verschlüsselt neu. Das setzt eine eigene CA auf allen Clients voraus und kostet spürbar Durchsatz. Es gibt klare Grenzen: Certificate Pinning (etwa System-Updates, manche Apps) bricht ab, auf nicht verwalteten Geräten lässt sich die eigene CA gar nicht erst hinterlegen, und mit ECH (Encrypted Client Hello, TLS 1.3) wird selbst der Zielname verborgen. Hinzu kommt die Datenschutz-Dimension: Mitarbeiter-, Banking- oder Gesundheitsverkehr braucht bewusste Ausnahmen.
6. Firewall, NGFW, UTM, WAF
Die Begriffe gehören sauber getrennt:
- Firewall / NGFW schützt den Netzübergang (L3 bis L7); die NGFW ist die moderne, anwendungs- und angriffsbewusste Ausprägung.
- UTM (Unified Threat Management) Alles-in-einem-Appliance (Firewall + IPS + Virenschutz + Filter) mit Fokus KMU; die Module laufen eher nebeneinander.
- WAF (Web Application Firewall) schützt gezielt Webanwendungen auf HTTP-Ebene (etwa gegen OWASP-Top-10), kein Netz-Perimeter-Ersatz.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Erste Verteidigungslinie, Zonentrennung durchsetzbar | schützt nicht vor bereits kompromittierten internen Hosts |
| NGFW: Anwendungs- und Angriffssicht auf L7 | DPI und TLS-Inspektion kosten erheblich Durchsatz |
| Identitätsbasierte Regeln statt nur IP/Port | TLS-Inspektion scheitert an Pinning, HSTS, ECH |
| Default-Deny und Egress erschweren Datenabfluss | Regelwerke werden mit Features schnell komplex |
| Linux-Engine (netfilter/nftables) frei verfügbar | Segmentierung und Endpoint-Schutz bleiben nötig |
Häufige Fragen zu Firewall & NGFW
Eine klassische (stateful) Firewall filtert anhand von IP, Port und Verbindungszustand auf Schicht 3 und 4. Eine NGFW (Next-Generation Firewall) ergänzt das um Deep Packet Inspection bis Schicht 7, Anwendungserkennung (App-ID statt nur Port), ein integriertes IPS, TLS-Inspektion und die Anbindung von Benutzeridentitäten. Sie sieht also nicht nur „Port 443“, sondern welche Anwendung darüber läuft und ob der Verkehr Angriffsmuster enthält.
Weil TLS den Inhalt verschlüsselt. Eine NGFW kann per TLS-Inspektion als Mittelsmann entschlüsseln, das setzt aber eine eigene, auf allen Clients vertraute CA voraus, kostet Durchsatz und scheitert an Certificate Pinning und dem Encrypted Client Hello (ECH) von TLS 1.3. Ohne Inspektion bleiben nur Metadaten (Zieladresse, Zertifikat, SNI) sichtbar. TLS-Inspektion ist zudem datenschutzrechtlich sensibel und braucht bewusste Ausnahmen.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Firewall & NGFW im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.