Firewall für KMU: was ein Betrieb in Schaffhausen wirklich braucht

Die kurze Antwort: Ein Betrieb in Schaffhausen mit fünf bis dreissig Arbeitsplätzen braucht eine eigene Firewall, sobald ein Server, ein NAS oder Homeoffice-Zugänge im Spiel sind. Der Router von Swisscom oder Sunrise schützt das Netz nach aussen, mehr aber nicht: Er trennt Server, Arbeitsplätze und Geräte nicht voneinander, filtert keine Schadsoftware und protokolliert nichts. Ein Zwei-Personen-Betrieb, der nur mit Laptop und Microsoft 365 arbeitet, kommt ohne aus. Für alle anderen steht hier, was eine Firewall heute leisten muss und was sie kostet.

Was der Router des Internetanbieters kann, und was nicht

Der Router, den Sie mit dem Internetabo bekommen haben, hat eine einfache Firewall eingebaut. Sie blockiert Verbindungen, die von aussen ungefragt ins Netz wollen. Das ist nützlich und reicht für einen Haushalt.

In einem Betrieb fehlen ihm drei Dinge. Erstens kennt er neben einem allfälligen Gäste-WLAN nur ein Netz: Der Drucker, der Server, das Handy des Lehrlings und der Laptop der Kundin im Sitzungszimmer hängen alle am gleichen Kabel oder WLAN. Zweitens schaut er nicht in den Datenverkehr hinein. Eine Datei mit Schadsoftware, die ein Mitarbeiter aus einer Mail herunterlädt, kommt ungehindert durch. Drittens schreibt er nichts auf. Wenn nach einem Vorfall die Frage kommt, welches Gerät wann wohin verbunden war, gibt es keine Antwort.

Dazu kommt: Viele dieser Router sind jahrelang im Einsatz und bekommen Updates nur, wenn der Anbieter sie verteilt. Der Betrieb hat darauf keinen Einfluss.

Wann der Router trotzdem reicht

Ehrlich gesagt: Längst nicht jeder Betrieb braucht eine eigene Firewall. Ein Zwei-Personen-Büro ohne Server, ohne NAS und ohne Homeoffice, das mit Laptops, Microsoft 365 und einem Drucker arbeitet, ist mit dem Router des Anbieters und gut gepflegten Endgeräten ausreichend geschützt. Wichtiger sind dort aktuelle Updates, ein Virenschutz, die Zwei-Faktor-Anmeldung und ein Backup.

Die Grenze ist allerdings schnell erreicht. Sobald ein Server oder ein NAS im Haus steht, sobald jemand von zuhause auf Firmendaten zugreift oder Kunden und Lieferanten regelmässig im Haus sind, lohnt sich die Firewall.

Fünf Dinge, die eine Firewall im KMU heute leisten muss

1. Netze trennen. Büro, Gäste und Geräte gehören in drei getrennte Netze. Im Büronetz stehen die Arbeitsplätze und der Server. Im Gästenetz hängen Besucher und private Handys, ohne Zugriff auf Firmendaten. Im Gerätenetz stehen Drucker, Kameras, die Heizungssteuerung und die Kaffeemaschine mit WLAN. Diese Geräte bekommen selten Updates und sind ein beliebter Einstiegspunkt. Das Bundesamt für Cybersicherheit empfiehlt KMU, ihre Netze zu trennen, weil bei Ransomware-Vorfällen ein einzelner infizierter Rechner sonst direkten Zugang zum ganzen Netz hat.

2. VPN fürs Homeoffice. Wer von zuhause auf den Server zugreift, tut das über eine verschlüsselte Verbindung mit Benutzername, Passwort und zweitem Faktor. Ein Fernzugriff auf einen Server, der direkt aus dem Internet erreichbar ist, gehört zu den häufigsten Einfallstoren für Ransomware.

3. Schadsoftware und Phishing-Seiten filtern. Eine Firewall mit aktiven Sicherheitsdiensten prüft, welche Webseiten aufgerufen werden, und blockiert bekannte Phishing- und Schadsoftware-Seiten, bevor sie im Browser erscheinen. Sie kann heruntergeladene Dateien prüfen und erkennt verdächtige Verbindungen von innen nach aussen. Das fängt den Klick ab, der trotz Schulung passiert. Wie Sie verdächtige Mails erkennen, steht im Artikel Phishing erkennen.

4. Protokollieren. Die Firewall schreibt auf, welche Verbindungen aufgebaut wurden. Das klingt unspektakulär, ist aber im Ernstfall die einzige Grundlage, um zu verstehen, was passiert ist, und gegenüber Versicherung oder Kunden Auskunft zu geben.

5. Updates bekommen. Eine Firewall ist selbst ein Computer mit Betriebssystem. Sicherheitslücken in Firewalls werden regelmässig aktiv ausgenutzt, und das Bundesamt für Cybersicherheit warnt dann öffentlich davor. Ein Gerät, das nach der Installation nie mehr aktualisiert wird, ist nach zwei Jahren ein Risiko.

Beispiele aus dem Alltag in der Region

Ein Treuhandbüro in Schaffhausen mit acht Arbeitsplätzen: Mandantendaten auf dem Server, zwei Mitarbeitende regelmässig im Homeoffice, Kunden im Sitzungszimmer mit eigenem Laptop. Hier braucht es Büronetz, Gästenetz und VPN. Ohne Firewall sitzt der Kunde im gleichen Netz wie die Buchhaltungsdaten.

Ein Handwerksbetrieb in Thayngen mit fünfzehn Mitarbeitenden: Branchensoftware auf einem kleinen Server, Monteure greifen vom Handy auf Pläne zu, in der Werkstatt stehen eine CNC-Maschine und mehrere Kameras. Maschine und Kameras gehören ins Gerätenetz, die Monteure kommen per VPN hinein.

Ein Produktionsbetrieb in Hallau mit Lieferanten in Deutschland: Die Lieferanten greifen für die Fernwartung auf eine Maschine zu. Das muss über einen kontrollierten Zugang laufen, zeitlich begrenzt und protokolliert, statt über eine dauerhaft offene Verbindung. Und immer öfter kommt von grösseren Kunden in Deutschland ein Sicherheitsfragebogen. Die erste Frage lautet fast immer: «Setzen Sie eine Firewall mit aktuellen Updates ein?» Warum das so ist, erklärt der Artikel NIS2 und Schweizer KMU.

Was eine Firewall kostet

Rhyfall ICT GmbH ist Fortinet-Partner und setzt bei KMU FortiGate-Geräte ein. Die kleinen Modelle sind für Betriebe mit fünf bis dreissig Arbeitsplätzen ausgelegt und bieten die fünf Funktionen oben in einem Gerät: Netztrennung, VPN, Filterung, Protokollierung und zentrale Updates.

Als Grössenordnung: Das Gerät kostet je nach Modell einige hundert bis gut tausend Franken. Dazu kommt eine jährliche Lizenz für die Sicherheitsdienste, also für die Filterlisten gegen Schadsoftware und Phishing, die laufend aktualisiert werden. Ohne diese Lizenz ist die Firewall eine bessere Netztrennung, mehr nicht.

Die Einrichtung rechnen wir nach Aufwand zu CHF 140 pro Stunde ab, vor Ort zuzüglich Anfahrt. Bei einem typischen Betrieb mit drei Netzen, VPN und Filterung ist es meist ein halber bis ein ganzer Tag. Dabei nehmen wir die bestehende Verkabelung und das WLAN auf, denn die beste Firewall nützt nichts, wenn die Werkstatt über einen alten Switch direkt am Büronetz hängt. Wie das Netz dahinter aufgebaut sein sollte, steht auf der Seite IT-Infrastruktur für KMU.

Genaue Zahlen nennen wir nach dem Erstgespräch, wenn klar ist, welches Modell passt. Das Erstgespräch ist kostenlos.

Betrieb und Updates: der Teil, der oft vergessen geht

Eine Firewall ist nach der Installation nicht fertig. Sie braucht Firmware-Updates, die Lizenz muss jährlich erneuert werden, und die Regeln müssen angepasst werden, wenn ein neuer Mitarbeiter ins Homeoffice geht oder ein Lieferant neuen Zugriff braucht. In unseren Support-Paketen ist das enthalten: Wir spielen Updates ein, prüfen die Protokolle und melden uns, wenn etwas auffällt. Die Reaktionszeit liegt je nach Paket bei 2 Stunden, 1 Stunde oder 30 Minuten während der Geschäftszeiten, Montag bis Freitag von 08:00 bis 18:00 Uhr. Die Preise der Pakete nennen wir auf Anfrage, abgestimmt auf die Grösse des Betriebs.

Wer die Firewall lieber selbst betreibt, kann das tun. Dann gehört ein fester Termin dazu, alle paar Monate die Updates zu prüfen. Wir sagen das offen: Bei Betrieben, die wir übernehmen, finden wir immer wieder Firewalls, die seit Jahren nicht mehr aktualisiert wurden.

Mehr zu unseren Leistungen rund um Firewall, Endgeräteschutz und Zugriffe finden Sie unter IT-Security für KMU.

Quellen

• Bundesamt für Cybersicherheit: Erhöhtes Sicherheitsrisiko durch Ransomware gegen KMU
• Bundesamt für Cybersicherheit: Kritische Sicherheitslücke in Firewalls von Palo Alto
• Fortinet: Lösungen für kleine Unternehmen