Ich kann mich noch an glückliche Zeiten im Internet erinnern. Da reichte es, wenn man dem Internet innerhalb einer Firma non-routable Adressen vergab und einen Rechner mit einer einfach konfigurierten Firewall davor stellte, der die Verbindung zum Internet aufbaute. Wenn man als Administrator sich zu Hause eine Dyndns-Adresse besorgte, dann konnte man die noch als zugriffsberechtigt eintragen und von daheim aus eventuelle Probleme im Netz lösen. Damit war aber auch schon alles für das Firmennetz getan.

Heute ist das Leben komplizierter, dank Ransomware und Cyberattacken, dank Industriespionage und staatlich unterstützten Hackerbanden. Wenn man sich also vorstellt, wie eine Firewall grundsätzlich funktioniert, dann wird schnell klar: Sie darf nicht ein isolierter Schutz bleiben, aber ohne sie werden auch die übrigen Schutzmöglichkeiten weniger effektiv oder gar nicht funktionieren. Eine Firewall besteht aus Hard- und Software, die den Datenfluss zwischen dem internen Netz und dem externen Netz kontrolliert und (nicht) gestattet. Alle Daten, die das Netz verlassen, werden ebenso überprüft wie die, die hineinwollen.

Firewalls werden in der Regel von Unternehmen eingesetzt. Schließlich ist es da ganz besonders wichtig, dass die Computer nicht ungeschützt mit dem Internet verbunden sind. Mit Hilfe der Firewall müssen die Firmen nicht jeden einzelnen Arbeitsplatzrechner absichern, sondern nur die Rechner und Server, die unmittelbar an das externe Netzwerk angeschlossen sind. Diese Rechner werden so konfiguriert, dass sie die sie passierenden Daten kontrollieren können. Die Firewall überprüft beispielsweise anhand der IP-Adresse des Rechners, ob ein Datenpaket, das ins Netzwerk hinein will, überhaupt dazu berechtigt ist. Der Firewall-Administrator legt dafür Listen mit erlaubten Sendern (Adressen) an. Nur die Daten dieser Sender dürfen die Mauer passieren.

Auch vermeintlich alte Konzepte haben bis heute ihre Berechtigung. Dazu gehört beispielsweise die DMZ (Demilitarized Zone). Das ist ein vom eigentlichen Firmennetz abgetrennter Bereich, auf den einzelne Teile des Firmennetzes zugreifen dürfen, der aber keinerlei Rechte für den Zugriff auf das Firmennetz hat. Ein darin laufender Webserver, der von Hackern übernommen wurde, ist durch den Hack nicht weniger ärgerlich, aber er gefährdet das eigentliche Netz nicht, wenn die DMZ sauber konfiguriert wurde (und nicht im Nachhinein in Schweizer Käse verwandelt wurde).

Was aber nicht mehr gilt: Die Rechner innerhalb des Firmennetzes können sich untereinander gefährden, wenn beispielsweise ein unbedachter Mitarbeiter den falschen Mail-Anhang öffnet. Als Erste Hilfe gilt hier, dass Administratoren die betriebssystem-eigene Firewall (eine solche bringen beispielsweise Windows, MacOS oder auch linux von Haus aus mit). In anspruchsvollen Umgebungen mit sehr vielen Arbeitsplätzen versucht man der Bedrohungen schon auf Layer 2 (https://de.wikipedia.org/wiki/OSI-Modell) zu begegnen und die Switches so zu konfigurieren, dass die Arbeitsplatzmaschinen nicht untereinander kommunizieren können/dürfen.

Proxy-Server

In diesem Zusammenhang hört man auch oft den Begriff „Proxy-Server“, auch ein recht altes Konzept, das aus Zeiten marginaler Bandbreiten der Internetverbindungen stammte. Eigentlich ist ein Proxy-Server (z. B. für das WWW) ein Rechner bzw. eine Software, der/die Internet-Seiten, die von den WWW-Nutzern häufig abgefragt werden, zwischenspeichert. Wenn der Surfer eine Webseite anwählt, prüft der Proxy-Server, ob ihm die Daten bereits vorliegen. Ist das der Fall, bekommen der Surfer nur eine „Kopie“, die schneller übertragen werden kann als das „Original“. Sind die Daten jedoch noch nicht vorhanden, lädt der Proxy-Server die entsprechende Seite, speichert sie selbst (im sogenannten Cache) und sendet sie dem Surfer.

Im Normalfall merkt der Surfer gar nicht, von wo die Daten kommen. Während normalerweise ein Proxy-Server lediglich den Zweck hat, die Zugriffe auf die abgerufenen Seiten zu beschleunigen, erfüllt er in einer Firewall-Anordnung die Aufgabe, zu kontrollieren, ob die übertragenen Daten auch so sind, wie sie sein sollen. Es ist auch möglich, bestimmte Teile nicht zu übertragen. Aktive Inhalte in Web-Seiten können so beispielsweise schon in der Firewall blockiert werden.

Stephan Mayer (Idee und Textteile: BSI)