Was erlaubt Ihre Firewall wirklich?

Das Firewall-Regelwerk ist über Jahre gewachsen. Regeln aus alten Projekten, Ausnahmen für Dienstleister, Freischaltungen, die als Übergangslösung gedacht waren. Irgendwann traut sich niemand mehr, eine Regel zu löschen, weil keiner sicher sagen kann, was dann ausfällt. Wenn Ihnen das bekannt vorkommt: Dieser Zustand ist in den meisten Unternehmen der Normalfall. Ein Risiko ist er trotzdem. Dieser Ratgeber erklärt, wie es dazu kommt, warum das Regelwerk zur Angriffsfläche wird und wie Sie mit wenig Aufwand wieder einen belastbaren Überblick bekommen.

Wie entsteht ein Regelwerk, das keiner mehr versteht?

Firewall-Regeln werden angelegt, wenn etwas funktionieren muss. Eine neue Anwendung geht in Betrieb, ein Dienstleister braucht Zugriff, ein Standort kommt dazu. Gelöscht werden Regeln dagegen fast nie. Für eine neue Regel gibt es immer jemanden, der darauf wartet. Auf das Aufräumen alter Regeln wartet niemand.

Dazu kommen Personalwechsel, Migrationen und Übernahmen durch wechselnde Dienstleister. Warum eine Regel existiert und wer sie braucht, steht selten im Regelwerk selbst. Nach einigen Jahren bleibt ein Bestand aus hunderten Regeln, von denen ein Teil notwendig ist, ein Teil vergessen wurde und ein Teil schlicht zu viel erlaubt.

Wichtig dabei: Das ist kein Versäumnis Ihrer IT. Es ist die normale Folge davon, dass der Betrieb immer Vorrang hat. Die Frage ist nicht, wie es so weit kommen konnte, sondern wie Sie jetzt wieder Ordnung hineinbekommen.

Warum ist das ein Sicherheitsproblem?

Jede Regel in Ihrer Firewall erlaubt Verkehr. Das Regelwerk beschreibt damit exakt, was ein Angreifer darf, der erst einmal einen Fuß in der Tür hat. Typische Befunde in gewachsenen Regelwerken sind:

Einstufungen beispielhaft. Im Report hängt der Schweregrad vom konkreten Befund in Ihrer Umgebung ab.

Spätestens wenn die Cyber-Versicherung einen Fragebogen schickt oder ein Audit Nachweise verlangt, wird aus dem diffusen Bauchgefühl eine konkrete Frage: Können Sie belegen, dass Ihre Firewall nur das erlaubt, was gewollt ist?

Kann die IT das nicht selbst aufräumen?

Grundsätzlich ja. In der Praxis scheitert es selten am Können und fast immer an der Zeit. Ein gewachsenes Regelwerk hat schnell mehrere hundert Regeln, und jede einzelne muss bewertet werden: Wird sie genutzt? Ist sie zu breit? Wen muss ich fragen, bevor ich sie anfasse? Das ist Fleißarbeit, die im Tagesgeschäft keinen Platz findet. Und ohne belastbare Daten bleibt bei jeder Regel das Restrisiko, mit dem Löschen etwas lahmzulegen.

Genau dafür ist eine toolgestützte Analyse gedacht. Sie nimmt Ihrer IT die Fleißarbeit ab und liefert eine priorisierte Grundlage, mit der sich das Aufräumen gezielt planen lässt.

Wie läuft der Firewall-Check ab?

Der Firewall-Check ist eine toolgestützte Analyse Ihres Regelwerks für Palo Alto, Fortinet, Sophos, Check Point und Cisco. Die Analyse läuft offline auf Basis eines Konfigurations-Exports. Wir brauchen also keinen Zugriff auf Ihre Systeme, und in den laufenden Betrieb wird nicht eingegriffen. VPN- und Remote-Access-Regeln sind Teil der Prüfung. Sofern Ihre Firewall Trefferzahlen liefert, fließen sie in die Bewertung ein. So wird sichtbar, welche Regeln tatsächlich genutzt werden und welche nur noch historisch mitlaufen.

1. Export bereitstellen. Sie exportieren die Konfiguration Ihrer Firewall. Wir sagen Ihnen vorab genau, wie das für Ihren Hersteller geht. Der Export dauert wenige Minuten.
2. Analyse. Wir prüfen das Regelwerk bis in die einzelne Regel: zu weite Freigaben, breite NAT-Regeln, VPN- und Remote-Zugänge, Inkonsistenzen, ungenutzte Regeln.
3. Report. Sie erhalten die Befunde nach Schweregrad priorisiert, mit einer konkreten Maßnahme zu jedem Befund.
4. Ergebnistermin. Wir gehen die Ergebnisse gemeinsam durch, auf zwei Ebenen: verständlich für die Geschäftsführung, konkret für Ihre IT.

Der Firewall-Check kostet einen Festpreis. Ihr eigener Aufwand beschränkt sich auf den Export und den Ergebnistermin.

Was passiert nach dem Check?

Der Report ist so geschrieben, dass Ihre IT die Maßnahmen selbst umsetzen kann. Wenn Sie die Umsetzung lieber abgeben, übernehmen wir sie. In dem Fall wird der Preis des Firewall-Checks auf die Umsetzung angerechnet.

Wer über die Firewall hinausschauen will, kann den Check zum Netzwerk-Security-Check ausbauen. Dort kommen Segmentierung, Netzwerkzugänge und die Betriebsprozesse dazu. Der Umfang wird nach einer kurzen Aufnahme festgelegt, der komplette Firewall-Check ist darin enthalten.