Was ist eine Hardware-Firewall?

Sie ist selbst Com­pu­ter­neu­lin­gen ein Begriff und fester Be­stand­teil eines jeden Si­cher­heits­kon­zepts, doch was ist eine Firewall genau? Eine erste, ver­ein­fach­te Antwort ist schnell gegeben: Eine Firewall ist ein Ab­wehr­sys­tem, das einen einzelnen Computer oder ein ganzes Rech­ner­netz­werk vor un­will­kom­me­nen Zugriffen von außen schützt.

Natürlich gehört ein bisschen mehr dazu, um die Ei­gen­schaf­ten dieser nütz­li­chen Si­che­rungs­sys­te­me zu be­schrei­ben und zu verstehen. So basiert ein Firewall-System immer auf einer Soft­ware­kom­po­nen­te, deren In­stal­la­ti­ons­ort verrät, ob es sich um eine Personal Firewall oder um eine externe Firewall handelt. Erstere, die auch als Desktop-Firewall be­zeich­net wird, stellt die bestens bekannte Ab­wehr­kom­po­nen­te auf dem Pri­vat­rech­ner dar, während letztere sich haupt­säch­lich um die Ab­si­che­rung von Netz­wer­ken kümmert. Inwiefern sich die beiden Firewall-Arten un­ter­schei­den und durch welche Methoden die Si­che­rungs­sys­te­me für den Schutz von Com­pu­ter­sys­te­men sorgen, erfahren Sie in den folgenden Ab­schnit­ten.

Der haupt­säch­li­che Un­ter­schied zwischen den beiden Firewall-Optionen sind die ein­ge­setz­ten Kom­po­nen­ten: Eine Desktop-Firewall stellt eine reine Soft­ware­lö­sung dar, die auf dem zu schüt­zen­den Computer in­stal­liert wird und den Da­ten­ver­kehr zwischen diesem und dem je­wei­li­gen Netz überwacht. Einige Be­triebs­sys­te­me wie Windows liefern eine solche Software bereits mit.

Im Gegensatz dazu ist eine externe Firewall eine Kom­bi­na­ti­on aus Software- und Hard­ware­kom­po­nen­ten, die sich zwischen ver­schie­de­nen Rech­ner­net­zen befindet und den Da­ten­ver­kehr zwischen diesen Netzen überwacht – aus diesem Grund spricht man auch von einer Netzwerk- oder Hardware-Firewall. Ver­ein­facht gesagt ist eine externe Firewall ein ei­gen­stän­di­ges Gerät, das dank in­te­grier­ter Netz­werk­schnitt­stel­len ver­schie­de­ne Netze mit­ein­an­der verbindet. Damit es den Da­ten­ver­kehr kon­trol­lie­ren kann, sind auf diesem Gerät ein Firewall-Programm und in be­stimm­ten Fällen auch ein Be­triebs­sys­tem in­stal­liert.

Die Vorteile einer Hardware-Firewall

Externe Firewalls sind we­sent­lich komplexer als Personal Firewalls. Das macht sie auf der einen Seite zu einer deutlich teureren, auf der anderen Seite aber auch zu einer sta­bi­le­ren Si­cher­heits­lö­sung. Da die Software nicht auf dem zu schüt­zen­den System selbst läuft, kann sie nicht so einfach ma­ni­pu­liert werden. Wird die Desktop-Firewall hingegen de­ak­ti­viert oder aus­ge­he­belt, ist das System schutzlos aus­ge­lie­fert, oftmals ohne dass der Nutzer etwas davon mit­be­kommt. Ein ver­gleich­ba­rer Angriff auf eine Netzwerk-Firewall führt hingegen zu einem Kom­plett­ab­sturz des Geräts, was den ein- und aus­ge­hen­den Da­ten­ver­kehr bis zum Neustart au­to­ma­tisch blockiert.

Der erhöhte Si­cher­heits­fak­tor ist der Haupt­grund, dass Hardware-Firewalls die prä­fe­rier­te Lösung in Re­chen­zen­tren dar­stel­len, aber auch für Com­pu­ter­sys­te­me, die einen um­fas­sen­den Schutz benötigen, mehr als geeignet ist. Aus diesem Grund ist es nicht unüblich, sensiblen Da­ten­ver­kehr z. B. von Banken bzw. Fir­men­netz­wer­ken – mit oder ohne Server – ebenfalls von pro­fes­sio­nel­len externen Firewalls über­wa­chen zu lassen. Statt­des­sen Desktop-Firewalls für jedes einzelne in­vol­vier­te Com­pu­ter­sys­tem zu in­stal­lie­ren, bringt zum einen das an­ge­spro­che­ne Problem der leich­te­ren Ma­ni­pu­lier­bar­keit mit sich und zum anderen einen we­sent­lich höheren Aufwand, da alle Pro­gramm­in­stal­la­tio­nen auch noch kon­fi­gu­riert werden müssen. Zu­sätz­lich ist mit höheren Kosten zu rechnen, da für jeden Computer eine eigene Lizenz notwendig wird.

Ein­satz­mög­lich­kei­ten

Personal Firewalls sind prä­de­sti­niert für den privaten Gebrauch auf dem Heim-PC, da sie kos­ten­güns­tig und schnell in­stal­liert sind und in der Regel auch von un­er­fah­re­nen Com­pu­ter­nut­zern gut kon­fi­gu­riert werden können. Die Be­dürf­nis­se kleinerer Firmen, die ein über­schau­ba­res Netzwerk ein­ge­rich­tet haben, können Desktop-Firewalls ebenfalls abdecken, insofern sie richtig kon­fi­gu­riert werden. Zuletzt sind sie auch eine sinnvolle Ergänzung zu einer Hardware-Firewall, insofern das not­wen­di­ge Budget vorhanden und der an­fal­len­de Aufwand geleistet werden kann. Netzwerk-Firewalls sind wie erwähnt besonders dort gefragt, wo sensible Daten aus­ge­tauscht werden. Ty­pi­scher­wei­se schützen sie ein Netzwerk, das mit dem Internet verbunden ist. Es ist aber auch die Ver­knüp­fung an ein weiteres privates Netzwerk, das immer als po­ten­zi­ell unsicher gilt, möglich. Prin­zi­pi­ell kann eine Hardware-Firewall ganz in­di­vi­du­ell selbst ein­ge­rich­tet werden, indem eine ent­spre­chen­de Firewall-Software auf einem ge­eig­ne­ten Gerät in­stal­liert und das Be­triebs­sys­tem gehärtet, also nahezu un­ver­wund­bar gegenüber externen Angriffen gemacht wird. Letzteres wird erreicht, indem nur die fürs Be­triebs­sys­tem not­wen­di­gen Programme verwendet werden. We­sent­lich simpler ist al­ler­dings die Ver­wen­dung einer Firewall-Appliance, eines fertigen, kom­bi­nier­ten Systems aus Hardware, ge­här­te­tem Be­triebs­sys­tem und speziell darauf zu­ge­schnit­te­ner Firewall-Software. Hier gilt es, zwischen den folgenden drei Typen zu un­ter­schei­den:

• Bridging-Firewall: Zwei physisch getrennte Netz­seg­men­te werden auf der Ebene der Si­che­rungs­schicht (Layer 2) des OSI-Modells mit­ein­an­der verbunden, was die Firewall nahezu un­sicht­bar und un­an­greif­bar macht. Ein­ge­hen­de und aus­ge­hen­de Daten werden nur wei­ter­ge­reicht, wenn sie sich ebenfalls auf dieser unteren Ebene befinden. Um auch IP-Adressen und Ports zu filtern, kann die Bridging-Firewall im Gegensatz zur typischen Bridge auch auf höhere Pro­to­koll­ebe­nen zugreifen.

• Routing-Firewall: Routing-Firewalls sind der am meisten ver­brei­te­te Hardware-Firewall-Typ, der in nahezu allen Geräten für den privaten Gebrauch wie z. B. DSL-Routern zum Einsatz kommt. Im Vergleich zur Bridging-Firewall arbeitet dieser Typ direkt auf der Ver­mitt­lungs­schicht (Layer 3) oder höher und filtert IP-Adressen und Ports direkt, ist dadurch al­ler­dings auch für jeden im Netz sichtbar und leicht an­zu­grei­fen.

• Proxy-Firewall: Die Firewall arbeitet als Proxy zwischen Quell- und Ziel­netz­werk. Die Systeme auf beiden Seiten bauen keine direkte Ver­bin­dung auf und erhalten somit keine Pakete, die direkt vom Ziel­sys­tem erstellt wurden. Angreifer können auf diese Weise nur schwer her­aus­fin­den, wo sich bei­spiels­wei­se das ge­schütz­te Fir­men­netz­werk befindet. Da Proxy-Firewalls auf der An­wen­dungs­ebe­ne (Layer 7) arbeiten, können sie we­sent­lich spe­zi­fi­sche­re Si­cher­heits­ent­schei­dun­gen treffen als Routing- und Bridging-Firewalls. Im Gegenzug bedeutet ihr Einsatz al­ler­dings Per­for­mance-Einbußen und setzt eine Menge Know-how bei der Kon­fi­gu­ra­ti­on voraus.

Die wich­tigs­te Rolle bei der je­wei­li­gen Funk­ti­ons­wei­se der ver­schie­de­nen Hardware-Firewall-Typen spielt die Pa­ket­fil­te­rung. Hierbei ent­schei­det die Firewall auf Basis eines manuell kon­fi­gu­rier­ten Re­gel­werks, welche Da­ten­pa­ke­te wei­ter­ge­lei­tet werden sollen und welche nicht. Dabei arbeitet sie auf den OSI-Schichten 3 und 4, also der Ver­mitt­lungs- und der Trans­port­schicht, wo sie die Pakete auf Ei­gen­schaf­ten überprüft, die sie dem je­wei­li­gen Pro­to­koll­hea­der entnimmt. Hier sind bei­spiels­wei­se exakte IP-Adressen oder Ports möglich, die im Regelwerk entweder als erlaubt oder als gesperrt fest­ge­hal­ten sind.

Mithilfe der erwähnten Bridge oder auch mit einem Switch, der quasi eine Bridge-Er­wei­te­rung darstellt, kann die Pa­ket­fil­te­rung zu­sätz­lich auch auf der Si­che­rungs­schicht, der zweiten Ebene des OSI-Modells durch­ge­führt werden. Dort findet die Filterung der Da­ten­pa­ke­te nicht auf Basis der IP-Adressen statt, sondern auf Basis der MAC-Adressen, die zur Hardware-Adres­sie­rung verwendet werden.

Ferner können Firewalls nach Er­wei­te­rung auch mit zu­stands­ori­en­tier­ten Über­prü­fungs­me­tho­den (Stateful Packet In­spec­tion, SPI) filtern. Zu diesem Zweck werden in die für ge­wöhn­lich auf Layer 3 und 4 be­schränk­te Pa­ket­fil­te­rung noch die An­wen­dungs­ebe­ne (Layer 7) und die dort fest­ge­hal­te­nen Nutzdaten mit­ein­be­zo­gen. Im Gegensatz zu einer Proxy-Firewall, die ebenfalls Zugriff auf diese Ebene hat, erlaubt die SPI-Technik al­ler­dings nicht, diese Daten auch zu verändern.