Firewall, DMZ, Proxy und IDS/IPS: Netze abschotten und überwachen
https://bildung.social/@oerinformatik/
https://oer-informatik.de/firewall-dmz
Firewall, DMZ, Paketfilter, Stateful Packet Inspection, Next Generation Firewall, Firewall-Regeln, Proxy, Reverse Proxy, IDS, IPS, Netzsegmentierung, Prüfungsvorbereitung
tl/dr; (ca. 28 min Lesezeit): Eine Firewall entscheidet anhand von Regeln, welcher Datenverkehr zwischen Netzen erlaubt ist. Der Artikel erklärt Paketfilter, Stateful Packet Inspection und Next Generation Firewall entlang des OSI-Modells, zeigt, wie man Regeltabellen liest und erstellt, wozu eine DMZ dient und wie sie aufgebaut wird, wie sich Forward- und Reverse-Proxy unterscheiden und wie IDS und IPS Angriffe erkennen. Dazu kommen Netzsegmentierung, Zonen in Industrienetzen und das Lesen von Firewall-Datenblättern [AI-Assisted]. (Zuletzt geändert am 28.10.2026)
Dieser Artikel gehört zu den Grundlagen der IT-Sicherheit im Netzwerk. Übungsaufgaben dazu findest Du unter Übungsaufgaben zu Firewall, DMZ, Proxy und IDS/IPS.
Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast.
Dieser Artikel baut auf der Kann-Liste des Artikels OSI- und TCP/IP-Modell: Schichten, Protokolle und Ports auf.
Als Netzwerk-Grundlagen kann ich nach Durchlesen des Artikels…
… Aufgaben einer Firewall nennen und beschreiben, wovor eine Firewall nicht schützt.
… Paketfilter, Stateful Packet Inspection (SPI) und Next Generation Firewall (NGFW) anhand der OSI-Schichten unterscheiden.
… Firewall-Regeln mit Aktion, Protokoll, Adressen, Ports und Richtung lesen, in eine Regeltabelle eintragen und Fehler in der Reihenfolge erkennen.
… Allow-List (Whitelist) und Block-List (Blacklist) unterscheiden und begründet auswählen.
… Aufgabe und Aufbau einer DMZ erläutern, eine DMZ skizzieren und Server begründet der DMZ oder dem internen Netz zuordnen.
… Forward-Proxy, transparenten Proxy und Reverse Proxy unterscheiden und Funktionen eines Reverse Proxys beschreiben.
… IDS und IPS unterscheiden und Erkennungsverfahren beschreiben.
Darüber hinaus kann ich als Netzwerk-Expertenwissen…
… den Nutzen von Netzsegmentierung, Zonen und Conduits (IEC 62443) sowie einer IDMZ zwischen Büro- und Produktionsnetz erläutern.
… Leistungsangaben aus Firewall-Datenblättern (auch englischsprachig) entnehmen und auf eine Anwendung umrechnen.
… beurteilen, wie Nutzende eine Filterung umgehen können (z. B. per Split Tunneling oder eigenem Hotspot), und Gegenmaßnahmen vorschlagen.
Die Mindmap zeigt die Themen des Artikels: Firewall-Arten und -Regeln, die DMZ, Netzsegmentierung, Proxys sowie IDS und IPS.
Wozu eine Firewall?
Eine Firewall ist eine Sicherheitseinrichtung zwischen Netzen (oder zwischen einem Rechner und dem Netz), die jeden Datenverkehr gegen ein Regelwerk prüft und ihn erlaubt, verwirft oder protokolliert. Sie setzt eine Sicherheitsrichtlinie technisch durch: „Aus dem Büronetz darf ins Internet gesurft werden, aus dem Internet darf niemand direkt auf die Büro-PCs zugreifen.“
Man unterscheidet:
Netzwerk-Firewall: ein eigenes Gerät (Appliance) oder ein Router mit Firewall-Funktion an der Grenze zwischen Netzen. Sie schützt alle Geräte dahinter mit einem gemeinsamen Regelwerk.
Personal- bzw. Host-Firewall (Desktop-Firewall): eine Software auf dem einzelnen Rechner (z. B. die Windows-Defender-Firewall,
nftablesunter Linux). Sie kennt die Programme auf dem Rechner und kann z. B. nur einem bestimmten Programm den Zugriff erlauben; sie schützt den Rechner auch im fremden WLAN. Dafür muss sie auf jedem Gerät gepflegt werden und kann von Nutzenden bzw. von Schadsoftware mit Administratorrechten abgeschaltet werden.
Ein Router mit integrierter Firewall, wie er an fast jedem Internetanschluss steht, übernimmt meist mehrere Aufgaben gleichzeitig: Pakete anhand der Routingtabelle weiterleiten, Pakete anhand der Firewall-Regeln filtern, private Adressen per NAT bzw. PAT übersetzen, Portweiterleitungen ausführen, VPN-Verbindungen annehmen und im lokalen Netz DHCP- und DNS-Dienste anbieten.
Wovor eine Firewall nicht schützt
Eine Firewall sieht nur den Verkehr, der durch sie hindurchläuft, und prüft ihn nur so tief, wie sie es kann. Sie schützt deshalb nicht vor
Angriffen aus dem eigenen Netz (z. B. durch Beschäftigte oder ein bereits infiziertes Notebook),
Schadsoftware, die über erlaubte Wege kommt (Anhang einer E-Mail, Download über HTTPS, USB-Stick),
Phishing und Social Engineering, bei denen Menschen freiwillig Zugangsdaten herausgeben,
Verbindungen, die an ihr vorbeilaufen (eigener Mobilfunk-Hotspot, ungesicherter Access Point, IPv6-Verkehr, für den keine Regeln existieren),
physischem Zugriff (Diebstahl, offene Netzwerkdose im Flur) und Datenverlust durch Defekte.
Eine Firewall ist also ein Baustein im Sicherheitskonzept neben Virenschutz, Updates, Rechtekonzept, Backup und Schulung (siehe Schutzziele und Sicherheitsrisiken).
Firewall-Arten entlang des OSI-Modells
Wie „klug“ eine Firewall entscheidet, hängt davon ab, bis zu welcher Schicht des OSI-Modells sie in die Pakete hineinschaut.
| Art | arbeitet auf Schicht | prüft | typische Grenze |
|---|---|---|---|
| (statischer) Paketfilter | 3 und 4 | Quell- und Ziel-IP-Adresse, Protokoll (TCP, UDP, ICMP), Quell- und Zielport, Schnittstelle | jedes Paket einzeln; Antworten brauchen eigene Regeln |
| Stateful Packet Inspection (SPI) | 3 und 4 (mit Verbindungszustand) | wie Paketfilter, zusätzlich Zustand der Verbindung in einer Zustandstabelle | sieht nicht, was übertragen wird |
| Application-Level-Gateway (Proxy) | 7 | Inhalte eines bestimmten Protokolls (z. B. HTTP-Anfragen, URLs) | je Protokoll ein eigener Proxy, Clients müssen ihn ggf. kennen |
| Next Generation Firewall (NGFW) | 3 bis 7 | alles oben Genannte plus Anwendung, Inhalt, Benutzer, Bedrohungen | hoher Rechenaufwand, verschlüsselte Inhalte nur mit TLS-Inspection |
Paketfilter
Ein Paketfilter vergleicht die Kopfdaten (Header) jedes Pakets mit einer Liste von Regeln, einer Access Control List (ACL). Er merkt sich nichts: Ein Paket, das von außen an Port 51 734 eines internen Rechners geht, ist für ihn zunächst ein beliebiges Paket von außen. Damit Antworten auf eine Webseitenanfrage durchkommen, braucht ein reiner Paketfilter deshalb eine Rückregel („erlaube TCP von Port 443 aus dem Internet an hohe Ports im LAN“) – und diese Regel lassen sich Angreifende gern zunutze machen.
Stateful Packet Inspection (SPI)
Eine SPI-Firewall (zustandsorientierte Paketprüfung) führt eine Zustandstabelle (state table). Erlaubt eine Regel eine ausgehende Verbindung, trägt sie diese mit Adressen, Ports und Zustand (z. B. TCP-Verbindungsaufbau mit SYN, SYN-ACK, ACK, dazu Sequenznummern) ein. Antwortpakete, die zu einer eingetragenen Verbindung passen, lässt sie automatisch passieren; Pakete, die zu keiner Verbindung gehören (etwa ein ACK ohne vorheriges SYN), verwirft sie. Für UDP, das keinen Verbindungsaufbau kennt, merkt sich die SPI-Firewall die erlaubte Anfrage für eine kurze Zeit (Timeout).
Vorteile gegenüber dem reinen Paketfilter: Es sind keine Rückregeln nötig, das Regelwerk wird kürzer und übersichtlicher, und gefälschte Antwortpakete werden erkannt. Nahezu alle heutigen Firewalls arbeiten mit SPI.
Next Generation Firewall (NGFW)
Eine Next Generation Firewall kombiniert die SPI-Firewall mit Prüfungen bis in die Anwendungsschicht:
Deep Packet Inspection (DPI): Nicht nur Header, sondern auch der Inhalt (Payload) der Pakete wird untersucht.
Anwendungserkennung: Die NGFW erkennt Anwendungen unabhängig vom Port (z. B. einen Messenger, der über Port 443 tunnelt) und kann sie erlauben, sperren oder in der Bandbreite begrenzen (QoS).
Benutzerbezug: Regeln gelten für Benutzer und Gruppen aus dem Verzeichnisdienst statt nur für IP-Adressen.
Integriertes IPS, Virenscanner, URL-Filter, Schutz vor DDoS-Angriffen, Abgleich mit aktuellen Bedrohungsdaten des Herstellers (Threat Intelligence) und oft eine Sandbox, in der verdächtige Dateien in einer abgeschotteten Umgebung ausgeführt und beobachtet werden.
TLS-Inspection: Um verschlüsselten HTTPS-Verkehr zu prüfen, baut die NGFW zwei getrennte TLS-Verbindungen auf (Client ↔︎ NGFW und NGFW ↔︎ Server) und arbeitet als gewollter Man in the Middle. Die Clients müssen dafür der Zertifizierungsstelle der NGFW vertrauen; vorher sind Datenschutz und Mitbestimmung zu klären. Einzelheiten erklärt der Artikel Zertifikate und TLS im Betrieb.
Die Zusatzfunktionen kosten Rechenleistung und werden häufig als Abonnement (Subscription) für Signaturen und Updates verkauft. Beim Vergleich mit einer Proxy-Lösung punktet die NGFW damit, dass sie alle Protokolle und Ports an einer Stelle prüft und keine Konfiguration auf den Clients braucht.
Firewall-Regeln lesen und erstellen
Bestandteile einer Regel
Eine Regel besteht aus Bedingungen und einer Aktion:
| Bestandteil | Bedeutung | Beispiel |
|---|---|---|
| Aktion | was mit passenden Paketen geschieht | allow/permit (durchlassen), deny/drop (stillschweigend verwerfen), reject (verwerfen und Absender benachrichtigen) |
| Protokoll | Protokoll der Schicht 3/4 | tcp, udp, icmp, ip bzw. any (alle) |
| Quell-IP | Absender (Host oder Netz) | 172.20.8.0/22, 172.20.8.53/32, any |
| Ziel-IP | Empfänger | any, 198.51.100.22/32 |
| Quellport | Port des Absenders | meist any (bzw. >1023), denn Clients wählen zufällige hohe Ports |
| Zielport | Port des Dienstes | 443 (HTTPS), 53 (DNS) |
| Richtung bzw. Schnittstelle | an welcher Schnittstelle und in welche Richtung die Regel gilt | in an eth0, oder „von LAN nach WAN“ |
| Protokollieren | ob Treffer ins Log geschrieben werden | log ja/nein |
Ein /32 am Ende einer Adresse steht für genau einen Host. Die wichtigsten Zielports (HTTP 80, HTTPS 443, DNS 53 per UDP und TCP, SMTP 25 bzw. Einlieferung 587, SMTPS 465, IMAPS 993, SSH 22, RDP 3389, NTP 123/UDP, DHCP 67/UDP) solltest Du kennen; eine Übersicht steht im Artikel OSI- und TCP/IP-Modell.
Richtung: immer aus Sicht der Schnittstelle
„in“ und „out“ beziehen sich auf die Schnittstelle der Firewall, nicht auf das Firmennetz. Ein Paket eines Büro-PCs, das ins Internet soll, kommt an der LAN-Schnittstelle herein (in an eth0) und verlässt die Firewall an der WAN-Schnittstelle (out an eth1). Viele Regeltabellen nennen deshalb die Schnittstelle mit, oder sie verwenden „von Zone … nach Zone …“. Lies bei jeder Tabelle zuerst, wie die Richtung gemeint ist.
Abarbeitung: von oben nach unten, erster Treffer gilt
Die Firewall prüft ein Paket gegen die Regeln der Reihe nach; die erste passende Regel entscheidet (first match), weitere Regeln werden nicht mehr betrachtet. Daraus folgt:
Spezielle Regeln gehören vor allgemeine. Steht
deny ip any anyan erster Stelle, wird nie etwas erlaubt.Am Ende steht eine Regel, die alles verwirft, was nicht ausdrücklich erlaubt wurde (Default Deny). Viele Firewalls haben diese Regel fest eingebaut; in Regeltabellen wird sie trotzdem aufgeschrieben.
Bei SPI-Firewalls schreibt man nur die Regel für den Verbindungsaufbau; die Antworten sind über die Zustandstabelle erlaubt.
Allow-List oder Block-List?
| Ansatz | Prinzip | Bewertung |
|---|---|---|
| Allow-List (Whitelist) | Nur ausdrücklich erlaubte Verbindungen sind zugelassen, alles andere ist verboten (Default Deny). | sicher, weil Unbekanntes blockiert wird; jede neue Anwendung braucht eine Freigabe |
| Block-List (Blacklist) | Nur ausdrücklich verbotene Verbindungen werden gesperrt, alles andere ist erlaubt (Default Allow). | bequem, aber neue Angriffswege sind offen, bis jemand sie sperrt |
Für Firewall-Regelwerke ist die Allow-List der Standard. Block-Lists sind als Ergänzung sinnvoll, etwa als URL-Filter für bekannte Schadseiten oder als Liste gesperrter Absenderadressen.
Beispiel: Regelwerk für ein Schulungszentrum
Ein Schulungszentrum trennt mit einer SPI-Firewall drei Zonen: das interne Netz 172.20.8.0/22 (Zone LAN) mit Schulungs- und Verwaltungsrechnern, eine DMZ mit dem Webserver 198.51.100.22 für die Kursanmeldung und das Internet (Zone WAN). Im LAN stehen ein eigener DNS-Resolver (172.20.8.53) und ein Zeitserver (172.20.8.123). Die Vorgaben:
Clients rufen Webseiten nur verschlüsselt auf.
Clients lösen Namen ausschließlich über den eigenen Resolver auf und holen die Uhrzeit vom eigenen Zeitserver; nur diese beiden Server fragen selbst im Internet nach.
Die Kursanmeldung ist per HTTPS erreichbar, gewartet wird der Webserver per SSH vom Admin-PC
172.20.8.10und von einem Dienstleister aus dem Netz192.0.2.0/24.Alles andere ist verboten.
| Nr. | von → nach | Quelle | Ziel | Dienst (Protokoll/Port) | Aktion | Log |
|---|---|---|---|---|---|---|
| 1 | LAN → WAN | 172.20.8.53/32 | any | DNS (udp/53, tcp/53) | allow | nein |
| 2 | LAN → WAN | 172.20.8.123/32 | any | NTP (udp/123) | allow | nein |
| 3 | LAN → WAN | 172.20.8.0/22 | any | DNS, NTP (udp/53, tcp/53, udp/123) | reject | ja |
| 4 | LAN → WAN | 172.20.8.0/22 | any | HTTPS (tcp/443) | allow | nein |
| 5 | LAN, WAN → DMZ | any | 198.51.100.22/32 | HTTPS (tcp/443) | allow | nein |
| 6 | LAN → DMZ | 172.20.8.10/32 | 198.51.100.22/32 | SSH (tcp/22) | allow | ja |
| 7 | WAN → DMZ | 192.0.2.0/24 | 198.51.100.22/32 | SSH (tcp/22) | allow | ja |
| 8 | any → any | any | any | any | deny | nein |
Regel 3 weist direkte DNS- und NTP-Anfragen der Clients mit reject ab, damit falsch eingestellte Geräte sofort eine Fehlermeldung erhalten, und schreibt sie ins Log – so fallen Geräte mit fest eingetragenem fremdem DNS-Server oder Schadsoftware auf, die eigene Namensserver nutzt. Sie muss hinter den Regeln 1 und 2 stehen: Resolver und Zeitserver liegen ebenfalls im Netz 172.20.8.0/22, und stünde Regel 3 davor, käme auch der Resolver nicht mehr ins Internet. Eine Grenze hat das Regelwerk: DNS über HTTPS (DoH) läuft über Port 443 und passt deshalb auf Regel 4; solche Umgehungen erkennt erst eine NGFW mit Anwendungserkennung.
DNS nutzt für normale Anfragen UDP; Antworten, die nicht in ein UDP-Paket passen (klassisch 512 Byte, mit EDNS meist etwa 1232 Byte), und Zonentransfers laufen über TCP. Deshalb gibt Regel 1 für den Resolver beide Protokolle frei.
Typische Fehler im Regelwerk
Die Default-Deny-Regel steht nicht am Ende, sondern vor den Erlaubnisregeln.
Quell- und Zielport sind vertauscht: Der Dienst-Port (443) ist der Zielport der Anfrage; der Quellport des Clients ist zufällig.
Das Protokoll passt nicht zum Dienst (DNS mit
tcpstattudp, NTP und DHCP laufen über UDP).Für IPv6 fehlen Regeln – dann ist ein Netz über IPv6 offen oder nicht erreichbar.
Regeln sind zu weit gefasst („Quelle any, Ziel any, Port any – nur kurz zum Testen“) und bleiben stehen.
DMZ: eine Pufferzone für öffentliche Dienste
Manche Server müssen aus dem Internet erreichbar sein: der Webserver, das Mail-Relay, das VPN-Gateway. Stünden sie im internen Netz, hätten Angreifende nach einem erfolgreichen Angriff auf einen dieser Server direkten Zugriff auf alle internen Geräte. Deshalb stellt man sie in ein eigenes Netzsegment, die DMZ (Demilitarisierte Zone, engl. demilitarized zone).
Die DMZ ist ein separates Netz zwischen Internet und internem Netz, das von beiden Seiten durch Firewall-Regeln getrennt ist:
Aus dem Internet sind nur die freigegebenen Dienste in der DMZ erreichbar, nie das interne Netz.
Aus der DMZ darf kein Verbindungsaufbau ins interne Netz erfolgen – oder nur eng begrenzt (z. B. vom Webserver zu genau einem Port des Datenbankservers).
Aus dem internen Netz sind die DMZ-Server für Verwaltung und Datenabgleich erreichbar.
Wird ein DMZ-Server übernommen, stecken Angreifende also in einer „Sackgasse“ und müssen zuerst eine weitere Firewall überwinden.
Aufbau: einstufig oder zweistufig
Bei der einstufigen DMZ hat eine Firewall drei (oder mehr) Schnittstellen: zum Internet, zur DMZ und zum LAN (three-legged firewall). Das ist günstig und übersichtlich; fällt die eine Firewall aber falsch konfiguriert oder kompromittiert aus, sind alle Zonen betroffen.
Bei der zweistufigen DMZ liegt die DMZ zwischen einer äußeren und einer inneren Firewall. Angreifende müssen beide überwinden; nutzt man Geräte unterschiedlicher Hersteller, hilft eine Sicherheitslücke in einem Produkt allein nicht weiter. Das BSI beschreibt als besonders sichere Variante die Kombination Paketfilter – Application-Level-Gateway – Paketfilter (P-A-P).
Die DMZ bekommt ein eigenes Subnetz; öffentliche Adressen teilt der Provider zu, z. B. ein /27 mit 30 nutzbaren Adressen. Welches Gerät welche Adresse erhält, legt ein dokumentierter Adressplan fest. In den beiden Netzwerkplänen oben (DMZ 203.0.113.128/27) erhalten die Server Adressen ab .130, die Firewalls Adressen ab der Netzmitte: .144 für die äußere Firewall (im einstufigen Plan für die einzige Firewall) und .145 für die innere. Feste Blöcke statt „irgendeine freie Adresse“ vereinfachen Firewall-Regeln (alle Server liegen in 203.0.113.128/28) und die Fehlersuche.
Die äußere Firewall ist das Standardgateway der DMZ-Server. Die innere Firewall ist aus Sicht der DMZ ein Gerät wie jedes andere, hinter dem das LAN liegt. Damit Antworten an Clients im LAN zurückfinden, brauchen die DMZ-Server deshalb eine Route ins LAN 192.168.10.0/24 über 203.0.113.145 – oder die innere Firewall übersetzt die LAN-Adressen per NAT auf ihre DMZ-Adresse.
Welche Server gehören in die DMZ?
| in die DMZ | im internen Netz bleiben |
|---|---|
| Webserver bzw. Reverse Proxy für Webshop und Webseite | Datenbankserver mit Kunden- oder Personaldaten |
| Mail-Relay (nimmt E-Mails aus dem Internet an und reicht sie nach innen weiter) | interner Mailserver mit den Postfächern |
| öffentlicher DNS-Server für die eigene Domain | Verzeichnisdienst (Active Directory), interner DNS |
| VPN-Gateway, Datei-Austausch-Server (SFTP) | Datei- und Druckserver, Backupserver, ERP |
Die Faustregel: In die DMZ gehört, was aus dem Internet erreichbar sein muss. Alles, was nur intern genutzt wird oder besonders schützenswerte Daten enthält, bleibt innen.
DMZ, Portweiterleitung und „Exposed Host“
Bei einer einfachen Portweiterleitung leitet der Router Anfragen an seinen öffentlichen Port 443 an einen Server im internen Netz weiter. Das funktioniert, aber der Server steht mitten zwischen den Clients: Wird er übernommen, ist das ganze LAN erreichbar. Eine DMZ trennt dagegen öffentlich erreichbare Server zusätzlich vom LAN.
Achtung: Viele Heimrouter nennen eine Funktion „DMZ“, die einen einzelnen internen Rechner vollständig aus dem Internet erreichbar macht (Exposed Host). Das ist keine DMZ im obigen Sinn, sondern das Gegenteil einer Schutzzone.
Netzsegmentierung, Zonen und Industrienetze
Die DMZ ist ein Sonderfall der Netzsegmentierung: Ein Netz wird in Bereiche mit ähnlichem Schutzbedarf aufgeteilt (Büro, Server, Gäste, Produktion, Haustechnik), und zwischen den Bereichen regelt eine Firewall den Verkehr. Vorteile:
Ein Angriff oder eine Störung (z. B. ein Broadcast-Sturm) bleibt auf ein Segment begrenzt.
Der Verkehr zwischen den Segmenten lässt sich gezielt überwachen, filtern und protokollieren.
Jedes Segment erhält genau die Rechte, die es braucht (Prinzip der minimalen Rechte).
Getrennt wird physisch (eigene Switches), logisch über VLANs mit Routing über die Firewall oder über Layer-3-Switches mit IP-Filtern (ACLs).
In der Industrie beschreibt die Normenreihe IEC 62443 (Sicherheit industrieller Automatisierungssysteme) zwei Begriffe:
Zonen fassen Geräte und Systeme mit gleichem Schutzbedarf zusammen (z. B. Steuerungen einer Fertigungslinie).
Conduits (Verbindungskanäle) sind die einzigen erlaubten Kommunikationswege zwischen Zonen; sie werden durch Firewalls, Verschlüsselung und Überwachung abgesichert.
Zwischen Büro-IT und Produktions-IT (OT, Operational Technology) setzt man eine IDMZ (Industrial DMZ) ein. Der Grundgedanke: Jeder Datenfluss endet in der IDMZ. Ein Büro-Rechner spricht nie selbst mit einer Steuerung; das Produktionsnetz legt die benötigten Daten auf einem Server in der IDMZ ab (z. B. eine Kopie der Messwerte des Historian-Servers), und das Büronetz holt sie dort ab. Auch Updates und Fernwartung für die Produktion laufen über Systeme in der IDMZ. Die Firewalls zu beiden Seiten lassen nur diese fest vereinbarten Datenflüsse zu und verwerfen alles andere.
Einen Schritt weiter geht Zero Trust: Kein Gerät gilt als vertrauenswürdig, nur weil es im „richtigen“ Netz steht. Bei Zero Trust Network Access (ZTNA) erhalten Nutzende statt des Zugriffs auf ein ganzes Netz (wie beim klassischen VPN) nur Zugriff auf einzelne freigegebene Anwendungen, und Identität und Gerätezustand werden bei jedem Zugriff erneut geprüft.
Proxy: Vermittler zwischen Client und Server
Ein Proxy (Stellvertreter) nimmt Anfragen entgegen, stellt sie im eigenen Namen an den Zielserver und reicht die Antwort zurück. Weil er die Anwendungsprotokolle versteht, arbeitet er auf Schicht 7.
Die Grafik stellt beide Arten gegenüber: Der Forward-Proxy vertritt die Clients des eigenen Netzes, der Reverse Proxy die Server.
Forward-Proxy
Ein Forward-Proxy (z. B. ein HTTP-Proxy) steht vor den Clients des eigenen Netzes und vermittelt deren Zugriffe ins Internet. Er kann
Webseiten nach URL oder Kategorie filtern und Inhalte auf Schadsoftware prüfen,
häufig abgerufene Inhalte zwischenspeichern (Caching),
Nutzende authentifizieren und Zugriffe protokollieren,
die internen Adressen der Clients verbergen.
Die Clients kennen den Proxy entweder ausdrücklich (Einstellung im Browser, per Gruppenrichtlinie oder automatischer Konfigurationsdatei) oder der Proxy arbeitet transparent: Die Firewall leitet Web-Verkehr ohne Wissen der Clients zum Proxy um, sodass keine Einstellung auf den Clients nötig ist.
Ein Proxy filtert nur, was auch über ihn läuft. Jeder andere Weg ins Internet hebelt die Filterung aus: ein Notebook am eigenen Mobilfunk-Hotspot, eine zu weit gefasste Firewall-Regel, die Clients doch direkt ins Internet lässt, IPv6-Verbindungen, für die niemand Regeln angelegt hat, oder ein VPN-Client mit Split Tunneling, der nur den Verkehr in die Firmennetze durch den Tunnel schickt und alles andere direkt über das Heim- oder Hotelnetz leitet. Abhilfe: Die Firewall sperrt Direktverbindungen der Clients ins Internet, der VPN-Client schickt unterwegs den gesamten Verkehr durch den Tunnel (Full Tunnel, für IPv4 und IPv6), und die Personal Firewall erlaubt ohne aufgebauten Tunnel nur die Verbindung zum VPN-Gateway.
Reverse Proxy
Ein Reverse Proxy steht vor den Servern und nimmt Anfragen aus dem Internet stellvertretend entgegen. Für die Clients sieht er aus wie der eigentliche Server. Funktionen:
Abschirmung: Die echten Server bleiben unsichtbar im geschützten Netz; nur der Reverse Proxy in der DMZ ist erreichbar.
TLS-Terminierung: Zertifikate liegen zentral am Proxy, dahinter kann intern weiter verschlüsselt werden.
Lastverteilung (Load Balancing) auf mehrere gleichartige Server, damit auch bei Ausfall eines Servers alles erreichbar bleibt.
Caching und Kompression statischer Inhalte entlasten die Server.
Prüfen der Anfragen, z. B. als Web Application Firewall gegen SQL-Injection.
Verteilen nach Hostname oder Pfad: Der Reverse Proxy liest den angefragten Hostnamen (im TLS-Handshake bzw. im Host-Header) und den Pfad der URL. So kann er
shop.exampleundblog.examplean verschiedene Server geben oder Anfragen an/api/an einen eigenen Anwendungsserver, obwohl alle bei derselben öffentlichen Adresse ankommen. Ein Gerät, das nur auf Schicht 3 und 4 weiterleitet, sieht diese Angaben nicht.
IDS und IPS: Angriffe erkennen und abwehren
Eine Firewall entscheidet nach Regeln, ob Verkehr erlaubt ist. Ob erlaubter Verkehr einen Angriff enthält, prüfen Intrusion-Detection-Systeme (IDS) und Intrusion-Prevention-Systeme (IPS).
| IDS | IPS | |
|---|---|---|
| Aufgabe | Angriffe erkennen, melden und protokollieren | Angriffe erkennen und automatisch verhindern |
| Einbindung | passiv, erhält eine Kopie des Verkehrs (Spiegelport) | aktiv, liegt im Datenweg (inline) |
| Reaktion | Alarm an Administration | Paket verwerfen, Verbindung trennen, Absender sperren |
| Risiko | Angriff läuft weiter, bis jemand reagiert | Fehlalarm blockiert legitimen Verkehr |
Systeme, die den Netzwerkverkehr überwachen, heißen NIDS/NIPS; Systeme auf einem einzelnen Rechner (Protokolle, Dateiänderungen) heißen HIDS. Sie erkennen Angriffe
signaturbasiert: Vergleich mit bekannten Mustern (z. B. eine Zeichenfolge eines bekannten Exploits). Zuverlässig bei bekannten Angriffen, blind für neue.
anomaliebasiert: Vergleich mit dem gelernten Normalverhalten (z. B. plötzlich tausende Verbindungsversuche, ungewohnte Datenmengen nachts). Erkennt auch Neues, liefert aber mehr Fehlalarme (False Positives).
Ein Honeypot ist ein absichtlich verwundbar wirkendes Lockvogel-System ohne echte Daten. Jeder Zugriff darauf ist verdächtig; so lassen sich Angriffe früh erkennen und Angriffsmethoden beobachten.
Firewall-Datenblätter lesen
Datenblätter von Firewalls sind meist englisch und nennen Leistungswerte unter Laborbedingungen. Wichtige Angaben:
| Angabe | Bedeutung |
|---|---|
| Firewall Throughput (z. B. 1518/512/64 Byte UDP) | Durchsatz nur mit Paketfilterung; bei großen Paketen am höchsten, bei kleinen Paketen sinkt er, weil mehr Pakete je Sekunde zu prüfen sind |
| IPS Throughput, NGFW Throughput, Threat Protection Throughput | Durchsatz mit eingeschalteter Inhaltsprüfung, meist mit realistischem Verkehrsmix oder großen HTTP-Übertragungen gemessen – deutlich niedriger |
| IPsec VPN Throughput | Durchsatz verschlüsselter VPN-Verbindungen, hängt von der Hardwarebeschleunigung für die Kryptografie ab |
| Gateway-to-Gateway / Client-to-Gateway Tunnels, SSL VPN Users | Höchstzahl gleichzeitiger Site-to-Site- bzw. Fernzugriffsverbindungen |
| Concurrent Sessions, New Sessions/Second | Größe der Zustandstabelle und Geschwindigkeit des Verbindungsaufbaus |
| Interfaces | Zahl und Geschwindigkeit der Anschlüsse; der Durchsatz ins Internet kann nicht größer sein als die WAN-Schnittstelle |
Für die Planung zählt der kleinste Wert, der im Betrieb gilt. Beispiel: Eine Firewall erlaubt 100 gleichzeitige Fernzugriffe, hat aber nur eine WAN-Schnittstelle mit 1 Gbit/s. Nutzen alle 100 Verbindungen sie voll aus, bleiben rechnerisch 1000\ \mathrm{Mbit/s} : 100 = 10\ \mathrm{Mbit/s} je Verbindung.
Leitfragen
- Welche Aufgaben übernimmt ein Router mit integrierter Firewall, und wovor schützt eine Firewall nicht?
Er leitet Pakete nach der Routingtabelle weiter, filtert sie nach Regeln, übersetzt Adressen per NAT/PAT, führt Portweiterleitungen aus und bietet oft VPN, DHCP und DNS an. Eine Firewall schützt nicht vor Angriffen aus dem eigenen Netz, vor Schadsoftware auf erlaubten Wegen, vor Phishing, vor Verbindungen an ihr vorbei und vor physischem Zugriff – siehe Abschnitt „Wozu eine Firewall?“.
- Wie unterscheiden sich Paketfilter, SPI-Firewall und Next Generation Firewall?
Ein Paketfilter prüft jedes Paket einzeln anhand von Adressen, Protokoll und Ports (Schicht 3/4) und braucht Rückregeln. Eine SPI-Firewall merkt sich erlaubte Verbindungen in einer Zustandstabelle und lässt passende Antworten automatisch durch. Eine NGFW prüft zusätzlich bis Schicht 7: Inhalte (DPI), Anwendungen, Benutzer, Angriffe (IPS) und mit TLS-Inspection auch verschlüsselten Verkehr – siehe Abschnitt „Firewall-Arten entlang des OSI-Modells“.
- Woraus besteht eine Firewall-Regel, und in welcher Reihenfolge werden Regeln abgearbeitet?
Eine Regel besteht aus Aktion, Protokoll, Quell- und Ziel-IP, Quell- und Zielport, Schnittstelle bzw. Richtung und ggf. Protokollierung. Die Regeln werden von oben nach unten geprüft, die erste passende entscheidet; am Ende steht Default Deny. Die Richtung „in“/„out“ bezieht sich auf die Schnittstelle der Firewall – siehe Abschnitt „Firewall-Regeln lesen und erstellen“.
- Was ist der Unterschied zwischen Allow-List und Block-List, und welche ist für ein Firewall-Regelwerk vorzuziehen?
Bei der Allow-List ist nur ausdrücklich Erlaubtes zugelassen, alles andere verboten; bei der Block-List ist nur ausdrücklich Verbotenes gesperrt, alles andere erlaubt. Die Allow-List ist sicherer, weil Unbekanntes blockiert wird, und deshalb Standard für Firewalls – siehe Abschnitt „Allow-List oder Block-List?“.
- Welche Aufgabe hat eine DMZ, wie ist sie aufgebaut, und welche Server gehören hinein?
Eine DMZ ist ein eigenes Netzsegment zwischen Internet und LAN für Dienste, die von außen erreichbar sein müssen; wird ein DMZ-Server übernommen, ist das LAN durch eine weitere Firewall geschützt. Sie wird mit einer Firewall mit drei Schnittstellen oder zwischen äußerer und innerer Firewall aufgebaut. Hinein gehören Webserver bzw. Reverse Proxy, Mail-Relay, öffentlicher DNS und VPN-Gateway; Datenbanken, Verzeichnisdienst und Dateiserver bleiben innen – siehe Abschnitt „DMZ: eine Pufferzone für öffentliche Dienste“.
- Wodurch unterscheiden sich Forward-Proxy und Reverse Proxy, und welche Funktionen übernimmt ein Reverse Proxy?
Ein Forward-Proxy vermittelt die Zugriffe der eigenen Clients ins Internet (Filter, Cache, Protokoll), ein Reverse Proxy nimmt Anfragen aus dem Internet stellvertretend für die eigenen Server entgegen (Abschirmung, TLS-Terminierung, Lastverteilung, Cache, Prüfung). Weil er Hostname und Pfad der Anfrage auswertet, kann er Anfragen an dieselbe öffentliche Adresse auf verschiedene Server verteilen – siehe Abschnitt „Proxy: Vermittler zwischen Client und Server“.
- Wie unterscheiden sich IDS und IPS, und wie erkennen sie Angriffe?
Ein IDS erkennt und meldet Angriffe passiv, ein IPS liegt im Datenweg und blockiert sie automatisch. Beide arbeiten signaturbasiert (bekannte Muster) oder anomaliebasiert (Abweichung vom Normalverhalten, mehr Fehlalarme) – siehe Abschnitt „IDS und IPS: Angriffe erkennen und abwehren“.
- Warum segmentiert man Netze, und was bedeuten Zonen, Conduits und IDMZ?
Segmentierung begrenzt Angriffe und Störungen auf einen Bereich und macht den Verkehr zwischen Bereichen kontrollierbar. Nach IEC 62443 fassen Zonen Systeme gleichen Schutzbedarfs zusammen, Conduits sind die einzigen abgesicherten Kommunikationswege dazwischen. Eine IDMZ trennt Büro- und Produktionsnetz: Jeder Datenfluss endet in der IDMZ, das Büronetz liest dort Kopien der Produktionsdaten, und die Firewalls lassen nur fest vereinbarte Datenflüsse zu – siehe Abschnitt „Netzsegmentierung, Zonen und Industrienetze“.
Links und weitere Informationen
OSI- und TCP/IP-Modell: Schichten, Protokolle und Ports und Zertifikate und TLS im Betrieb
als Nachschlagewerk: BSI IT-Grundschutz-Kompendium, Baustein NET.3.2 Firewall (Edition 2023, gilt bis Ende 2028)
Hinweis zur Nachnutzung als Open Educational Resource (OER)
Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Firewall, DMZ, Proxy und IDS/IPS: Netze abschotten und überwachen” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/firewall-dmz veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.
[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]
