Reicht die Fritzbox? Wann ein Betrieb eine richtige Firewall braucht

Was kann eine Fritzbox in Sachen Sicherheit?

In vielen kleinen Büros steht zwischen Firmennetz und Internet nur ein Router, oft eine Fritzbox (offiziell FRITZ!Box) des Berliner Herstellers, der bis zur Umfirmierung im August 2025 AVM hieß. Laut Hersteller bringt ein aktuelles Modell diese Schutzfunktionen mit:

• NAT (Network Address Translation): Alle Geräte im Büro erscheinen im Internet unter einer gemeinsamen Adresse. Kein einzelnes Gerät ist von außen direkt ansprechbar.
• Paketfilter mit Zustandsprüfung: Aus dem Internet kommen nur Datenpakete herein, die Antworten auf eine Anfrage aus dem Büro sind. Unaufgeforderte Verbindungen verwirft der Router.
• Geschlossene Ports: Eingehende Verbindungen sind ab Werk gesperrt. Jede Portfreigabe, etwa für eine Kamera oder einen Server, ist eine bewusst geöffnete Tür.
• VPN mit WireGuard: Ab Version 7.50 ihres Betriebssystems baut die Fritzbox verschlüsselte Verbindungen auf, etwa vom Smartphone ins Büro oder zwischen den Netzen zweier Standorte.
• Gastzugang und Filter: Ein eigenes WLAN für Besucher, deren Geräte vom übrigen Netz getrennt sind, dazu Sperr- und Erlaubnislisten für Internetseiten.

Für ein kleines Büro ist das eine solide Grundlage — vorausgesetzt, das Gerät bekommt Updates, das Kennwort der Oberfläche ist sicher und es gibt keine vergessenen Portfreigaben. Welche Ports offen sind, zeigt die Oberfläche der Fritzbox unter „Diagnose > Sicherheit“.

Wo stößt ein Router an seine Grenzen?

Ein Router wie die Fritzbox ist für Haushalte und kleine Büros gebaut. Seine Sicherheitsfunktionen sind bewusst einfach, damit man sie ohne Fachwissen einrichten kann. Wächst ein Betrieb, zeigen sich die Grenzen:

• Zwei Netze statt vieler: Die Fritzbox trennt Heimnetz und Gastnetz. Für weitere interne Netze, etwa für Server, Kameras und Verwaltung, mit Regeln dazwischen ist sie nicht ausgelegt.
• Kein Blick in den Datenstrom: Der Router prüft, ob eine Verbindung erlaubt ist, aber nicht, was darin übertragen wird. Angriffsmuster oder Schadsoftware im Datenverkehr erkennt er nicht.
• Einfache Filter: Internetseiten lassen sich über eigene Listen sperren oder erlauben. Für eine Filterung nach Themenkategorien, wie Unternehmens-Firewalls sie anbieten, ist die Fritzbox nicht ausgelegt.
• Wenig Protokollierung: Wer wann auf welches System zugegriffen hat, lässt sich im Nachhinein nur eingeschränkt nachvollziehen.
• Fernzugriff je Gerät: VPN-Zugänge werden einzeln je Gerät eingerichtet und hängen nicht an einer zentralen Benutzerverwaltung.

Nichts davon ist ein Mangel der Fritzbox. Es ist die Grenze dessen, wofür sie gebaut ist.

Was leistet eine Unternehmens-Firewall zusätzlich?

Das BSI beschreibt eine Firewall als System, das den Informationsfluss zwischen Netzen auf die Kommunikation beschränkt, die vorher in einer Sicherheitsrichtlinie als sicher festgelegt wurde. Gemeint ist nicht nur der Übergang zum Internet: Auch zwei interne Netze können einen unterschiedlichen Schutzbedarf haben, etwa das Büronetz und das Netz der Personalabteilung. Unternehmens-Firewalls für kleine Betriebe werden oft als UTM (Unified Threat Management) angeboten, also als Gerät, das mehrere Schutzfunktionen bündelt.

IDS und IPS stehen für Intrusion Detection System und Intrusion Prevention System: Das eine erkennt verdächtige Muster im Datenverkehr, das andere blockiert sie zusätzlich. Beide arbeiten mit Signaturen, die der Hersteller laufend nachliefert. Ihr Nutzen hängt deshalb an einer gültigen Lizenz.

Um auch verschlüsselten Webverkehr zu prüfen, kann eine UTM ihn vorübergehend entschlüsseln. Das BSI behandelt diese temporäre Entschlüsselung als eigene Anforderung. Sie verbessert die Erkennung, berührt aber den Datenschutz und sollte vor der Einführung geregelt sein.

Wann reicht der Router, wann braucht es eine Firewall?

Für ein sehr kleines Büro, das alles in der Cloud erledigt, ist eine Unternehmens-Firewall oft nicht die dringendste Ausgabe. Ein zweiter Anmeldefaktor für Microsoft 365, aktuelle Geräte und eine getestete Datensicherung nach der 3-2-1-Regel kommen zuerst.

Warum ist die Trennung in mehrere Netze so wichtig?

Eine Firewall am Internetanschluss schützt vor Angriffen von außen. Gelangt Schadsoftware aber über eine E-Mail oder einen gestohlenen Zugang ins Netz, entscheidet die Aufteilung im Inneren, wie weit sie kommt. Das BSI zählt eine saubere Netzsegmentierung zu seinen zehn wichtigsten Maßnahmen gegen Ransomware, weil die Schadsoftware dann nur die Systeme in unmittelbarer Nachbarschaft erreicht. Eine typische Aufteilung für einen kleinen Betrieb:

• Büronetz: Arbeitsplätze und Drucker.
• Servernetz: Server und NAS. Aus dem Büronetz sind nur die Dienste erreichbar, die gebraucht werden.
• Gastnetz: nur Internet, kein Zugriff auf Firmengeräte. Wie man es einrichtet, steht im Ratgeber Gäste-WLAN im Betrieb.
• Netz für Kameras, Maschinen und Gebäudetechnik: Zugriff ins Internet nur, wo der Hersteller es braucht, und nie ins Büronetz.
• Verwaltungsnetz: Nur von hier aus lassen sich Firewall, Switches und Access Points verwalten.

VLANs (virtuelle Netze) machen das möglich, ohne für jedes Netz eigene Kabel zu verlegen. Switches und WLAN-Access-Points trennen die Netze logisch, die Firewall regelt, was zwischen ihnen erlaubt ist. Dafür müssen Switches und Access Points VLANs beherrschen — vor einem Umbau lohnt ein Blick auf die vorhandene Hardware. Wie weit sich ein Angriff ausbreiten konnte, bestimmt auch den Aufwand danach; was in den ersten Stunden zu tun ist, beschreibt der Ransomware-Notfallplan.

Wie gelingt ein sicherer Fernzugriff aufs Firmennetz?

Eine Portfreigabe für Remote Desktop oder für die Weboberfläche eines NAS macht den Dienst für jeden im Internet erreichbar. Das BSI empfiehlt, Zugriffe von außen in der Regel nur über VPN zusammen mit einer Zwei-Faktor-Authentisierung zu erlauben. Für einen Betrieb heißt das:

• VPN statt Portfreigabe: Kein Dienst im Büro ist direkt aus dem Internet erreichbar.
• Zweiter Faktor: Ein gestohlenes Passwort allein öffnet keinen Zugang.
• Ein Zugang je Person: Keine geteilten Konten; beim Austritt wird der Zugang am selben Tag gesperrt.
• Nur, was gebraucht wird: Die Buchhaltung erreicht per VPN den Buchhaltungsserver, nicht das ganze Netz.
• Protokoll: Wer wann verbunden war, lässt sich nachvollziehen.

Fernwartung durch einen Dienstleister ist ein eigener Fall mit eigenen Regeln. Sie stehen im Ratgeber Fernwartung sicher einsetzen.

Was ist bei Kauf und Betrieb einer Firewall zu beachten?

Eine Firewall ist kein Gerät, das man einmal aufstellt. Ihr Schutz hängt an Arbeit, die laufend anfällt:

• Updates: Eine Firewall am Internetanschluss ist selbst ein Angriffsziel. Das BSI rät, Updates für besonders exponierte Software bevorzugt einzuspielen — die Firewall gehört dazu.
• Lizenz: Unternehmens-Firewalls werden in der Regel mit einer Lizenz verkauft, die Updates, Signaturen und Herstellersupport für eine feste Laufzeit abdeckt. Ohne gültige Lizenz fehlen neue Signaturen, und der Schutz veraltet.
• Regeln prüfen: Freigaben sammeln sich über die Jahre an. In festen Abständen gehört jede Regel auf den Prüfstand: Wird sie noch gebraucht, und wer hat sie angelegt?
• Protokolle auswerten: Ein Protokoll, das niemand liest, verhindert keinen Angriff. Wichtige Ereignisse sollten eine Warnung auslösen.

Unternehmens-Firewalls für kleine Betriebe bieten unter anderem Fortinet, LANCOM, Securepoint, Sophos und WatchGuard an, daneben gibt es quelloffene Lösungen wie OPNsense. Welches Produkt passt, hängt weniger vom Datenblatt ab als davon, wer das Gerät betreut und wie gut die Einrichtung dokumentiert ist. Preise nennen wir hier nicht, weil sie von Durchsatz, Funktionsumfang und Lizenzlaufzeit abhängen. Rechnen Sie neben dem Gerät die Lizenz über die geplante Nutzungsdauer und die Arbeitszeit für Einrichtung und Pflege mit ein.