Ein geeigneter Firmenrouter muss drei Aufgaben gemeinsam beherrschen: Er trennt interne Netze mit nachvollziehbaren Firewall-Regeln, stellt ausreichend schnelle und sicher verwaltbare VPN-Verbindungen bereit und hält für einen Ausfall des Hauptanschlusses einen brauchbaren Ersatzweg bereit. Ein Gerät mit langer Funktionsliste ist nicht automatisch passend. Maßgeblich sind die Zahl der Beschäftigten, die tatsächlich übertragenen Daten, die benötigten Netzsegmente und die Dienste, die während einer Störung weiterlaufen müssen.
Für ein kleines Unternehmen ist meist ein zentral verwalteter Router mit Stateful Firewall, mehreren logisch trennbaren Netzen, protokollierten VPN-Zugängen und mindestens einer zweiten WAN-Option sinnvoll. Ein zweiter Anschluss allein erzeugt jedoch noch keine belastbare Ausfallsicherheit: Umschaltung, Rückschaltung, DNS, Telefonie, eingehende Verbindungen und die Kapazität des Ersatzanschlusses müssen zusammenpassen.
Die drei Funktionen dürfen nicht getrennt geplant werden
Firewall, VPN und Anschlussredundanz beeinflussen sich gegenseitig. Die Firewall entscheidet, welche VPN-Teilnehmer auf interne Systeme zugreifen dürfen. Der VPN-Durchsatz hängt von der Rechenleistung des Routers und von zugeschalteten Sicherheitsprüfungen ab. Beim Wechsel auf einen Mobilfunk- oder zweiten Festnetzanschluss können sich die öffentliche IP-Adresse, die Erreichbarkeit von außen und das Verhalten bestehender Tunnel ändern.
Die Auswahl sollte daher nicht mit der beworbenen WLAN-Geschwindigkeit beginnen. Eine belastbare Reihenfolge sieht so aus:
- Erfasse Anwendungen, Nutzerzahl, Standorte und notwendige externe Zugriffe.
- Teile Geräte und Dienste in Sicherheitszonen ein.
- Bestimme Anzahl, Art und realistischen Durchsatz der VPN-Verbindungen.
- Lege fest, welche Arbeitsabläufe bei einem Leitungsausfall weiterlaufen müssen.
- Prüfe erst danach WAN-Anschlüsse, Hardwareleistung, Verwaltung und Wartungsmodell des Routers.
Diese Reihenfolge verhindert, dass ein nominell leistungsstarkes Gerät an einer entscheidenden Einschränkung scheitert, etwa an zu wenigen getrennten Netzen, fehlender automatischer Umschaltung oder einem zu niedrigen VPN-Durchsatz.
Firewall: Netztrennung ist wichtiger als eine lange Sperrliste
Eine Stateful Firewall ordnet Antwortpakete einer zuvor erlaubten Verbindung zu und verwirft unerwarteten eingehenden Verkehr. Für einen kleinen Betrieb ist das eine notwendige Basis, aber kein vollständiges Sicherheitskonzept. Der größere praktische Gewinn entsteht durch die Trennung unterschiedlicher Gerätegruppen und durch möglichst enge Regeln zwischen diesen Gruppen.
Typische Zonen sind:
- Arbeitsplätze und geschäftlich genutzte Mobilgeräte,
- Server oder Netzwerkspeicher,
- Drucker, Kameras und andere Geräte mit eingeschränkter Wartbarkeit,
- Telefonie, sofern sie technisch getrennt geführt werden soll,
- Gäste-WLAN ohne Zugriff auf interne Systeme,
- eine Verwaltungszone für Router, Switches und Access Points.
Technisch werden solche Bereiche häufig mit VLANs, also virtuellen lokalen Netzen, getrennt. Der Router muss die zugehörigen Schnittstellen verwalten und den Verkehr zwischen ihnen filtern können. Auch Switches und WLAN-Access-Points müssen die geplante Segmentierung unterstützen. Ein VLAN-fähiger Router kann die Trennung nicht allein durchsetzen, wenn nachgelagerte Geräte alle Netze wieder unkontrolliert zusammenführen.
Firewall-Regeln sollten von einem Verbotsgrundsatz ausgehen: Zwischen Zonen ist zunächst nichts erlaubt; anschließend werden nur benötigte Kommunikationswege freigegeben. Ein Druckersegment benötigt beispielsweise möglicherweise Druckzugriffe von Arbeitsplätzen, aber keinen freien Zugriff auf Dateiserver. Die Verwaltung des Druckers kann auf wenige Administrationsgeräte begrenzt werden.
Zusatzfunktionen wie Inhaltsfilter, Angriffserkennung oder Schadcode-Prüfung können nützlich sein, benötigen aber Rechenleistung und regelmäßige Signatur- oder Regelaktualisierungen. Ihre Leistungswerte sind nicht mit dem reinen Routing-Durchsatz gleichzusetzen. Bei der Geräteprüfung sind deshalb Messgrößen unter aktivierter Sicherheitsprüfung relevant, sofern der Hersteller diese für die betrachtete Ausstattungs- und Lizenzvariante ausweist.
VPN nach Einsatzzweck dimensionieren
VPN ist kein einzelnes Leistungsmerkmal. Ein Fernzugang für mobile Beschäftigte stellt andere Anforderungen als ein dauerhaftes Site-to-Site VPN zwischen zwei Büros. Entscheidend sind unterstützte Protokolle, Identitätsprüfung, Rechtevergabe, gleichzeitige Tunnel und der nutzbare Durchsatz mit Verschlüsselung.
Fernzugang für Beschäftigte
Beim Remote-Access VPN verbindet sich ein einzelnes Endgerät verschlüsselt mit dem Firmennetz. Der Router sollte Benutzer getrennt verwalten können, statt ein gemeinsames Kennwort für das gesamte Team vorauszusetzen. Wo unterstützt, erhöht eine Mehrfaktor-Authentifizierung die Sicherheit gestohlener Zugangsdaten. Ebenso wichtig ist die Möglichkeit, den Zugriff pro Benutzergruppe auf erforderliche Ziele zu beschränken.
Ein VPN-Zugang für einen externen Dienstleister sollte beispielsweise nicht automatisch Zugriff auf alle Arbeitsplatznetze erhalten. Eine eigene Benutzergruppe, ein begrenztes Zielnetz und ein deaktivierbarer Zugang reduzieren die Folgen eines kompromittierten Kontos.
Verbindung zwischen Standorten
Ein Site-to-Site VPN verbindet ganze lokale Netze miteinander. Vor dem Kauf müssen die IP-Adressbereiche der Standorte geprüft werden. Nutzen beide Seiten dasselbe lokale Subnetz, entstehen Routing-Konflikte. Außerdem sollte klar sein, ob der Tunnel nach einer Zwangstrennung oder WAN-Umschaltung automatisch neu aufgebaut wird und wie sein Zustand überwacht werden kann.
VPN-Durchsatz richtig lesen
Die maximale Geschwindigkeit des Internetanschlusses sagt wenig über die VPN-Leistung aus. Verschlüsselung, Paketgröße, Protokoll, Zahl paralleler Sitzungen und aktivierte Sicherheitsdienste beeinflussen den Durchsatz. Für die Dimensionierung zählt die erwartete gleichzeitige Last, nicht die Summe aller theoretischen Endgerätegeschwindigkeiten.
Werden große Dateien aus dem Büro zu mobilen Mitarbeitern übertragen, begrenzt häufig der Upload des Firmenanschlusses die Verbindung. Bei symmetrischen Glasfaseranschlüssen kann dagegen die VPN-Rechenleistung des Routers zum Engpass werden. Belastbar vergleichbar sind Geräte nur, wenn die Herstellerwerte dieselbe VPN-Technik und ähnliche Bedingungen betreffen. Fehlt diese Basis, sollte keine Rangfolge allein aus beworbenen Maximalwerten abgeleitet werden.
Ausfallsicherheit beginnt mit dem gewünschten Notbetrieb
Bevor ein zweiter Anschluss ausgewählt wird, muss feststehen, was während einer Störung funktionieren soll. Für E-Mail und cloudbasierte Büroanwendungen genügt möglicherweise ein begrenzter Mobilfunkzugang. Viele parallele Videokonferenzen, große Datensicherungen oder öffentlich erreichbare Dienste stellen deutlich höhere Anforderungen.
Drei Bauformen sind für kleine Unternehmen üblich:
- Zweiter Ethernet-WAN: Der Router nutzt zwei externe Modems, ONTs oder Providerrouter. Das eignet sich für zwei Festnetzanschlüsse oder für ein separates Mobilfunk-Gateway.
- Integriertes Mobilfunkmodem: Eine SIM-Karte stellt den Ersatzweg direkt im Router bereit. Antennenstandort, Mobilfunkempfang und unterstützte Mobilfunkbänder bleiben geräte- und standortabhängig.
- USB-Mobilfunklösung: Sie kann bei ausdrücklich bestätigter Kompatibilität ausreichen, ist aber stärker von unterstützten Modems, Firmware und Treibern abhängig.
Ein Business-Router sollte den Hauptanschluss mit einem geeigneten Gesundheitscheck überwachen. Die bloße elektrische Verbindung am WAN-Port reicht nicht: Ein Modem kann erreichbar sein, obwohl dahinter keine Internetverbindung besteht. Sinnvoll ist eine Prüfung, die externe Ziele oder Dienste einbezieht, ohne bei einer einzelnen kurzzeitigen Antwortstörung sofort unnötig umzuschalten.
Beim Failover wechselt der Router auf den Ersatzanschluss. Bestehende Sitzungen brechen dabei in der Regel ab, weil sich der Übertragungsweg und häufig die öffentliche IP-Adresse ändern. Browser und Cloudanwendungen verbinden sich meist neu; ein VPN-Tunnel, eine Telefoniesitzung oder ein laufender Dateiübertragungsprozess kann einen erneuten Aufbau benötigen. Ausfallsicherheit bedeutet in diesem Rahmen also schnelle Wiederherstellung, nicht zwingend eine unterbrechungsfreie Fortsetzung jeder Verbindung.
Failover ist nicht dasselbe wie Lastverteilung oder Hochverfügbarkeit
Beim Failover bleibt der zweite Anschluss normalerweise in Bereitschaft und übernimmt bei einem Fehler. Load Balancing verteilt neue Verbindungen auf mehrere Anschlüsse, erhöht aber nicht automatisch die Geschwindigkeit einer einzelnen Sitzung. Router-Hochverfügbarkeit verwendet zwei Router, damit neben der Leitung auch das zentrale Gerät redundant vorhanden ist.
Auch die Leitungswege verdienen Aufmerksamkeit. Zwei Verträge erhöhen die Widerstandsfähigkeit wenig, wenn beide Anschlüsse über dieselbe Hauseinführung, dasselbe Zugangsnetz oder dasselbe vorgeschaltete Gerät laufen. Eine Kombination verschiedener Zugangstechniken kann gemeinsame Fehler reduzieren. Ob tatsächlich getrennte Wege vorliegen, lässt sich jedoch nicht allein aus unterschiedlichen Anbieternamen ableiten.
Vier Prüffälle machen die Auswahl belastbar
Prospektdaten zeigen nicht, ob das Gesamtsystem zum Betrieb passt. Vor der endgültigen Inbetriebnahme sollte die geplante Konfiguration in vier klar abgegrenzten Fällen geprüft werden:
- Normalbetrieb: Internetzugang, interne Namensauflösung, geschäftliche Anwendungen und erforderliche VPN-Tunnel funktionieren über den Hauptanschluss.
- Ausfall des Hauptanschlusses: Die WAN-Verbindung wird gezielt getrennt. Der Router erkennt den Fehler, nutzt den Ersatzweg und stellt die vorgesehenen Dienste wieder bereit.
- Rückkehr des Hauptanschlusses: Die Rückschaltung erfolgt kontrolliert, ohne dauerhaftes Wechseln zwischen beiden Leitungen. VPN-Tunnel und wichtige Anwendungen bauen ihre Verbindungen erneut auf.
- Überlasteter Ersatzweg: Der Notanschluss wird unter realistischer Last geprüft. Nicht notwendige Datensicherungen, Updates oder Gastzugriffe werden bei Bedarf begrenzt, damit Telefonie und Kernanwendungen genügend Kapazität erhalten.
Zu jedem Test gehören Zeitstempel und Routerprotokoll. So lässt sich unterscheiden, ob die Erkennung des Ausfalls, die Umschaltung, die Namensauflösung oder der erneute Aufbau einer Anwendung zu lange dauert. Ein unkontrollierter Test während der Geschäftszeit ist ungeeignet; Verantwortliche und betroffene Nutzer sollten den vorgesehenen Wartungszeitraum kennen.
Eine passende Geräteklasse anhand des Betriebs wählen
Ohne einheitliche, modellbezogene Messwerte lässt sich kein seriöser Gesamtsieger bestimmen. Für die Vorauswahl helfen drei Einsatzklassen, die nach denselben Kriterien betrachtet werden: Segmentierung, VPN, zweiter WAN-Weg, Verwaltung und Erweiterbarkeit.
Kompaktes Büro mit Cloud-Anwendungen
Für wenige Beschäftigte ohne lokale Server kann ein kompakter Sicherheitsrouter genügen. Er sollte getrennte Netze, ein isoliertes Gäste-WLAN, individuelle VPN-Konten und eine nutzbare zweite WAN-Möglichkeit bieten. Die Grenze dieser Klasse liegt häufig bei Erweiterbarkeit, Protokolltiefe oder Leistung mit gleichzeitig aktiven Sicherheitsdiensten.
Betrieb mit Servern, mehreren Access Points oder Außenstelle
Hier wird eine Plattform mit VLAN-Verwaltung, mehreren Site-to-Site Tunneln, zentralem Monitoring und nachvollziehbaren Firewall-Protokollen wichtiger. Der Router sollte zur geplanten Switch- und Access-Point-Struktur passen. Eine einheitliche Verwaltung kann Fehler reduzieren, darf aber nicht über fehlenden VPN-Durchsatz oder ungeeignete Redundanzfunktionen hinwegtäuschen.
Geschäftskritischer Internetzugang
Wenn Kassen, Warenwirtschaft, Telefonie oder produktive Cloudsysteme ohne Verbindung stillstehen, reichen Dual-WAN und ein Mobilfunktarif möglicherweise nicht aus. Zu prüfen sind ein Routerpaar, getrennte Stromversorgung, eine unterbrechungsfreie Stromversorgung, unabhängige Zugangswege und eine Überwachung mit externer Alarmierung. Der zusätzliche Aufwand lohnt sich nur, wenn Ausfallkosten und Wiederanlaufzeit ihn rechtfertigen.
Diese Angaben gehören vor dem Kauf auf ein Blatt
- Zahl gleichzeitiger Nutzer und VPN-Sitzungen,
- Geschwindigkeit und Upload beider Internetwege,
- Anzahl der benötigten VLANs und Firewall-Zonen,
- Art der VPN-Verbindungen sowie erforderliche Authentifizierung,
- VPN- und Firewall-Durchsatz unter den vorgesehenen Sicherheitsfunktionen,
- unterstützte WAN-Arten und Methode der Verbindungskontrolle,
- Verhalten bei Failover, Rückschaltung und wechselnder öffentlicher IP-Adresse,
- Protokollierung, Alarmierung, Konfigurationssicherung und Wiederherstellung,
- Laufzeit, Bedingungen und Kosten notwendiger Sicherheits- oder Verwaltungsabonnements,
- Wartungszeitraum für Firmware und Sicherheitskorrekturen.
Firmware, Lizenzen und unterstützte Funktionen können sich zwischen Hardwarevarianten unterscheiden. Vor der Bestellung sind deshalb das genaue Modell, die vorgesehene Firmware-Linie und die offiziellen Rubriken zu Datenblatt, VPN-Kompatibilität, Sicherheitsdiensten und WAN-Failover maßgeblich. Besonders bei optionalen Abonnements muss geklärt werden, welche Grundfunktionen nach deren Ablauf erhalten bleiben.
Häufige Fragen zur betrieblichen Routerplanung
Braucht ein kleiner Betrieb eine feste öffentliche IP-Adresse?
Für normalen ausgehenden Internetzugang und viele cloudvermittelte Fernzugänge ist sie nicht zwingend erforderlich. Sie wird relevant, wenn Gegenstellen eine feste Absenderadresse verlangen oder eigene Dienste und bestimmte Site-to-Site Verbindungen zuverlässig erreichbar sein müssen. Beim Ersatzanschluss ist zusätzlich zu prüfen, ob überhaupt eine von außen erreichbare Adresse bereitsteht; Mobilfunkzugänge können eingehende Verbindungen durch providerseitige Adressumsetzung verhindern.
Kann der vorhandene Providerrouter vor dem Firmenrouter bleiben?
Das ist möglich, kann aber doppeltes NAT, zusätzliche Firewall-Regeln und Schwierigkeiten bei eingehenden Verbindungen oder einzelnen VPN-Verfahren verursachen. Falls kein Modem- oder Bridge-Betrieb verfügbar ist, sollte der Firmenrouter eine eindeutig zugewiesene Adresse erhalten und die benötigte Weiterleitung gezielt geplant werden. Ein pauschales Öffnen aller Ports ist keine sichere Abkürzung.
Was passiert mit Telefonie beim Wechsel auf den Backup-Anschluss?
Das hängt davon ab, wie die Rufnummern bereitgestellt werden und ob der Telefondienst über den Ersatzweg erreichbar ist. Anschlussgebundene Telefonie kann trotz funktionierendem Notfall-Internet ausfallen. Eine IP-basierte Telefonanlage kann sich möglicherweise neu registrieren, sofern Anbieter, Firewall und Ersatzanschluss dies zulassen. Dieser Fall muss separat getestet werden; ein erfolgreicher Browseraufruf belegt keine funktionierende Telefonie.
