Firewall, DMZ & Netzwerk-Sicherheitszonen#
Eine Firewall kontrolliert den Datenverkehr zwischen Netzwerkbereichen unterschiedlichen Vertrauensniveaus und setzt Sicherheitsrichtlinien technisch durch.
Firewall-Typen#
| Typ | Arbeitet auf OSI-Schicht | Funktionsweise |
|---|---|---|
| Paketfilter | Schicht 3/4 | Prüft IP-Adressen, Ports, Protokoll — zustandslos (jedes Paket einzeln) |
| Stateful Inspection | Schicht 3/4 | Wie Paketfilter, merkt sich aber den Verbindungszustand (z. B. “gehört zu bestehender Verbindung”) |
| Application-Layer-Firewall (Proxy) | Schicht 7 | Prüft den Inhalt der Anwendungsdaten (z. B. HTTP-Request selbst), kann z. B. Malware in Downloads erkennen |
| Next-Generation Firewall (NGFW) | Schicht 3–7 | Kombiniert Paketfilter, Deep Packet Inspection, Intrusion Prevention |
Grundprinzip: Deny by Default#
Firewalls arbeiten nach dem Whitelist-Prinzip: Alles wird standardmäßig blockiert, nur explizit erlaubter Verkehr wird durchgelassen.
Standardregel: alles blockieren (Deny by Default)
Ausnahme 1: Port 443 (HTTPS) eingehend erlauben
Ausnahme 2: Port 80 (HTTP) eingehend erlauben
→ alles andere bleibt blockiertDMZ (Demilitarisierte Zone)#
Die DMZ ist ein isoliertes Netzwerksegment zwischen Internet (unsicher) und internem Firmennetz (vertrauenswürdig) — dort stehen Server, die von außen erreichbar sein müssen (Webserver, Mailserver), ohne das interne Netz direkt zu gefährden.
flowchart LR I[Internet<br/>unsicher] -->|Firewall 1| D[DMZ<br/>Webserver, Mailserver] D -->|Firewall 2| L[Internes LAN<br/>vertrauenswürdig]
- Firewall 1 (außen): erlaubt nur Zugriff auf die Server in der DMZ (z. B. Port 443)
- Firewall 2 (innen): erlaubt der DMZ nur sehr eingeschränkten Zugriff ins interne LAN (z. B. nur die Datenbankabfrage des Webservers)
Vorteil: Wird ein Server in der DMZ kompromittiert, hat der Angreifer noch keinen direkten Zugriff auf das interne Netz — die zweite Firewall muss ebenfalls überwunden werden.
Sicherheitszonen-Konzept#
| Zone | Vertrauensniveau | Beispiel |
|---|---|---|
| Internet | Nicht vertrauenswürdig | Externe Nutzer, Angreifer |
| DMZ | Eingeschränkt vertrauenswürdig | Webserver, Mailserver, Reverse Proxy |
| Internes LAN | Vertrauenswürdig | Mitarbeiter-Arbeitsplätze, interne Anwendungen |
| Hochsicherheitszone | Höchstes Schutzniveau | Datenbankserver mit personenbezogenen Daten, Domänencontroller |
Prüfungsbeispiele#
„Ein Unternehmen möchte einen Webserver von außen erreichbar machen, ohne das interne Netz zu gefährden. Welche Maßnahme ist geeignet?"
→ Den Webserver in einer DMZ platzieren, abgesichert durch zwei Firewalls — eine zum Internet, eine zum internen LAN. So bleibt das interne Netz auch bei einer Kompromittierung des Webservers geschützt.
„Was bedeutet ‚Deny by Default’ bei einer Firewall-Konfiguration?"
→ Standardmäßig wird jeglicher Datenverkehr blockiert; nur explizit erlaubte Verbindungen (per Whitelist-Regel) dürfen passieren — sicherer als ein Blacklist-Ansatz, bei dem nur bekannte Bedrohungen blockiert werden.
„Welcher Firewall-Typ kann erkennen, dass eine HTTP-Antwort Schadcode enthält?"
→ Eine Application-Layer-Firewall / Proxy-Firewall (Schicht 7) — sie prüft den tatsächlichen Inhalt der Anwendungsdaten, nicht nur IP-Adressen und Ports wie ein einfacher Paketfilter.
Selbstkontrolle#
❓ Welches Grundprinzip verfolgen Firewalls typischerweise?
❓ Auf welcher OSI-Schicht arbeitet eine Application-Layer-Firewall (Proxy)?
❓ Warum wird eine DMZ typischerweise mit zwei getrennten Firewalls abgesichert?
Siehe auch#
- malware — Bedrohungen, gegen die Firewalls schützen
- vlan routing nat — Netzwerksegmentierung als ergänzendes Konzept zur DMZ
- zugriffskontrolle — Authentifizierung als weitere Verteidigungslinie
- schutzbedarfsanalyse ISMSLF4 — Firewall als technische Schutzmaßnahme im ISMS
Ressourcen#
- Wikipedia: Firewall
- Wikipedia: Demilitarisierte Zone (Informatik)
- SimpleClub: Firewall und DMZ auf YouTube suchen