LF04

Firewall, DMZ & Netzwerk-Sicherheitszonen#

Eine Firewall kontrolliert den Datenverkehr zwischen Netzwerkbereichen unterschiedlichen Vertrauensniveaus und setzt Sicherheitsrichtlinien technisch durch.


Firewall-Typen#

TypArbeitet auf OSI-SchichtFunktionsweise
PaketfilterSchicht 3/4Prüft IP-Adressen, Ports, Protokoll — zustandslos (jedes Paket einzeln)
Stateful InspectionSchicht 3/4Wie Paketfilter, merkt sich aber den Verbindungszustand (z. B. “gehört zu bestehender Verbindung”)
Application-Layer-Firewall (Proxy)Schicht 7Prüft den Inhalt der Anwendungsdaten (z. B. HTTP-Request selbst), kann z. B. Malware in Downloads erkennen
Next-Generation Firewall (NGFW)Schicht 3–7Kombiniert Paketfilter, Deep Packet Inspection, Intrusion Prevention

Grundprinzip: Deny by Default#

Firewalls arbeiten nach dem Whitelist-Prinzip: Alles wird standardmäßig blockiert, nur explizit erlaubter Verkehr wird durchgelassen.

Standardregel: alles blockieren (Deny by Default)
Ausnahme 1:    Port 443 (HTTPS) eingehend erlauben
Ausnahme 2:    Port 80 (HTTP) eingehend erlauben
→ alles andere bleibt blockiert

DMZ (Demilitarisierte Zone)#

Die DMZ ist ein isoliertes Netzwerksegment zwischen Internet (unsicher) und internem Firmennetz (vertrauenswürdig) — dort stehen Server, die von außen erreichbar sein müssen (Webserver, Mailserver), ohne das interne Netz direkt zu gefährden.

flowchart LR
  I[Internet<br/>unsicher] -->|Firewall 1| D[DMZ<br/>Webserver, Mailserver]
  D -->|Firewall 2| L[Internes LAN<br/>vertrauenswürdig]
  • Firewall 1 (außen): erlaubt nur Zugriff auf die Server in der DMZ (z. B. Port 443)
  • Firewall 2 (innen): erlaubt der DMZ nur sehr eingeschränkten Zugriff ins interne LAN (z. B. nur die Datenbankabfrage des Webservers)

Vorteil: Wird ein Server in der DMZ kompromittiert, hat der Angreifer noch keinen direkten Zugriff auf das interne Netz — die zweite Firewall muss ebenfalls überwunden werden.

Sicherheitszonen-Konzept#

ZoneVertrauensniveauBeispiel
InternetNicht vertrauenswürdigExterne Nutzer, Angreifer
DMZEingeschränkt vertrauenswürdigWebserver, Mailserver, Reverse Proxy
Internes LANVertrauenswürdigMitarbeiter-Arbeitsplätze, interne Anwendungen
HochsicherheitszoneHöchstes SchutzniveauDatenbankserver mit personenbezogenen Daten, Domänencontroller

Prüfungsbeispiele#

„Ein Unternehmen möchte einen Webserver von außen erreichbar machen, ohne das interne Netz zu gefährden. Welche Maßnahme ist geeignet?"

→ Den Webserver in einer DMZ platzieren, abgesichert durch zwei Firewalls — eine zum Internet, eine zum internen LAN. So bleibt das interne Netz auch bei einer Kompromittierung des Webservers geschützt.

„Was bedeutet ‚Deny by Default’ bei einer Firewall-Konfiguration?"

→ Standardmäßig wird jeglicher Datenverkehr blockiert; nur explizit erlaubte Verbindungen (per Whitelist-Regel) dürfen passieren — sicherer als ein Blacklist-Ansatz, bei dem nur bekannte Bedrohungen blockiert werden.

„Welcher Firewall-Typ kann erkennen, dass eine HTTP-Antwort Schadcode enthält?"

→ Eine Application-Layer-Firewall / Proxy-Firewall (Schicht 7) — sie prüft den tatsächlichen Inhalt der Anwendungsdaten, nicht nur IP-Adressen und Ports wie ein einfacher Paketfilter.


Selbstkontrolle#

❓ Welches Grundprinzip verfolgen Firewalls typischerweise?
❓ Auf welcher OSI-Schicht arbeitet eine Application-Layer-Firewall (Proxy)?
❓ Warum wird eine DMZ typischerweise mit zwei getrennten Firewalls abgesichert?

Siehe auch#

Ressourcen#