Firewall im Haus oder aus der Cloud: Was passt zu welchem Betrieb?

Worin unterscheiden sich die beiden wirklich?

Nicht in der Schutzwirkung — moderne Systeme können auf beiden Seiten ungefähr dasselbe. Der Unterschied ist schlicht: Wo steht das Prüfgerät, und was bekommt es zu sehen?

Eine Firewall im Haus sitzt am Übergang zwischen Ihrem Netz und dem Internet. Alles, was durchgeht, geht durch sie. Und weil sie im Netz steht, sieht sie auch etwas, das eine Cloud-Lösung prinzipbedingt nicht sieht: den Verkehr zwischen Ihren eigenen Netzbereichen.

Eine Firewall aus der Cloud dreht das um. Der Verkehr Ihrer Geräte läuft zum Anbieter, wird dort geprüft und weitergeleitet. Der Vorteil: Das funktioniert unabhängig davon, wo das Gerät gerade steht — im Büro, im Homeoffice, beim Kunden. Der Preis: Was das Gerät im lokalen Netz tut, bekommt sie nicht mit.

Die Gegenüberstellung

Die Zeile, die in der Praxis am häufigsten den Ausschlag gibt, ist die zweite. Wer Produktion, Kassensysteme oder Gebäudetechnik im Netz hat, braucht die Trennung innerhalb des Hauses — und die leistet nur ein Gerät, das dort steht. Wie wichtig diese Trennung ist, haben wir in OT und IT trennen beschrieben.

Wann ist das Gerät im Haus die richtige Wahl?

Wenn mehrere der folgenden Punkte zutreffen:

• Ein Standort, an dem die meisten Leute arbeiten. Der Schutz greift dort, wo er gebraucht wird.
• Geräte im Netz, die nicht ins Internet müssen — Maschinensteuerungen, Kameras, Drucker, Gebäudetechnik. Sie gehören in eigene Netzsegmente, und die Übergänge dazwischen gehören geprüft.
• Eigene Server im Haus, auf die von außen zugegriffen wird.
• Der Wunsch nach kalkulierbaren Kosten statt einer Position, die mit jeder Einstellung mitwächst.

Das beschreibt den typischen Mittelständler mit Werkstatt, Lager oder Fertigung ziemlich genau. Für ihn ist die Box im Schrank kein Auslaufmodell, sondern weiterhin das Rückgrat — ergänzt um Endpunktschutz auf den Geräten selbst.

Wann lohnt das Cloud-Modell?

Immer dann, wenn der Schutz dem Menschen folgen muss statt dem Gebäude:

• Viel Homeoffice oder Außendienst. Über VPN lässt sich das lösen, aber VPN ist eine Umleitung — es funktioniert, solange alle es benutzen. Genau daran scheitert es im Alltag.
• Wenig eigene Infrastruktur. Wer ohnehin fast vollständig in Microsoft 365 arbeitet und keine Server mehr im Haus hat, schützt mit einem Gerät am Standort immer weniger.
• Viele kleine Standorte. Zehn Filialen bedeuten zehn Geräte, zehn Wartungsverträge und zehnmal dieselbe Regel — oder eine Regel für alle.

Bei mehreren Standorten lohnt daneben der Blick auf SD-WAN, das dieselbe Frage von der Verbindungsseite her angeht.

Wo die Rechnung gern kippt

Drei Punkte, die in Anbietergesprächen selten vorkommen:

• Die Cloud-Lösung hängt an der Leitung. Wenn der Internetzugang ausfällt, fällt bei der Box im Haus das Internet aus — beim Cloud-Modell zusätzlich die Schutz- und Filterfunktion für alle, die gerade arbeiten wollen. Wer darauf setzt, braucht eine zweite Leitung ernsthafter als vorher.
• Laufende Kosten wachsen mit. Ein Gerät kostet einmal und dann Wartung. Ein Abonnement je Nutzer wächst mit jeder Einstellung — was bei 15 Personen unauffällig ist und bei 60 nicht mehr.
• „Beides“ ist kein Scheitern. In der Praxis läuft es bei Betrieben mit Produktion und verteilten Teams fast immer auf die Kombination hinaus: Gerät im Haus für die internen Übergänge, Cloud-Schutz für die Leute außerhalb. Das ist kein fauler Kompromiss, sondern die saubere Antwort auf zwei verschiedene Fragen.

Welche Variante passt zu Ihnen?

Die Firewall im Haus ist die richtige Wahl, wenn Sie überwiegend an einem Standort arbeiten, Geräte im Netz haben, die voneinander getrennt gehören, und planbare Kosten schätzen.

Die Cloud-Firewall ist die richtige Wahl, wenn Ihre Leute über viele Orte verteilt sind, kaum noch eigene Server im Haus stehen und Sie viele kleine Standorte einheitlich absichern wollen.

Beides zusammen ist die richtige Wahl, wenn Sie Produktion oder Gebäudetechnik im Netz haben und ein gutes Stück der Belegschaft außerhalb arbeitet — der häufigste Fall im gewachsenen Mittelstand.

Was in Ihrem Netz tatsächlich getrennt gehört und welche Variante das leisten muss, klären wir bei der Planung Ihrer Firewall — einschließlich der unbequemen Frage, was heute eigentlich mit was reden darf. Erfahrungsgemäß ist das der Teil, bei dem die meisten Überraschungen auftauchen.