Für ein kleines Unternehmen reicht ein sicher eingerichteter Business-Router nur dann aus, wenn das Netz überschaubar ist, wenige Dienste nach außen erreichbar sind und alle Arbeitsgeräte separat geschützt werden. Eine eigene Firewall lohnt sich, sobald Gäste, Mitarbeitende, Server, Kameras oder andere Gerätegruppen voneinander getrennt werden müssen. Ein Security-Abo ersetzt diese Netzgrenze nicht automatisch: Sein Nutzen hängt davon ab, ob es Endgeräte schützt, die Firewall mit Sicherheitsupdates versorgt oder einen überwachten Dienst umfasst.
Die tragfähige Entscheidung lautet daher selten Router oder Firewall oder Abo. Meist bildet der Router den Internetzugang, während eine Firewall oder ein Sicherheitsdienst zusätzliche Aufgaben übernimmt. Entscheidend sind fünf Punkte: Segmentierung, öffentlich erreichbare Dienste, Zahl und Art der Endgeräte, interner Betreuungsaufwand sowie die Folgen eines Ausfalls.
Die drei Ansätze schützen unterschiedliche Ebenen
Ein Router verbindet das interne Firmennetz mit dem Internet. Seine zustandsbehaftete Firewall lässt in der Regel Antworten auf intern begonnene Verbindungen passieren und blockiert unerwartete eingehende Verbindungen. Das ist eine wichtige Grundbarriere, erkennt aber nicht automatisch schädliche Dateien, kompromittierte Benutzerkonten oder unerwünschte Zugriffe zwischen Geräten im selben lokalen Netz.
Eine eigenständige Firewall sitzt am Übergang zwischen Internet und internem Netz oder übernimmt selbst die Routerfunktion. Je nach Produktklasse kann sie mehrere Netze trennen, Regeln für einzelne Gerätegruppen anwenden, VPN-Verbindungen beenden, Protokolle zentral erfassen und zusätzliche Prüfungen des Datenverkehrs ausführen. Solche Zusatzfunktionen benötigen häufig laufende Lizenzen und sorgfältige Pflege.
Der Ausdruck Security-Abo bezeichnet keine einheitliche Technik. Dahinter können sehr unterschiedliche Leistungen stehen:
- Schutzsoftware für Computer und Smartphones, etwa gegen Schadprogramme und verdächtiges Verhalten.
- DNS- oder Webfilter, die bekannte schädliche Ziele sperren.
- Lizenzen für Bedrohungserkennung, Signaturen und Sicherheitsupdates einer Firewall.
- Ein verwalteter Dienst, bei dem ein Anbieter Warnungen prüft, Regeln pflegt oder auf Vorfälle reagiert.
Vor einem Vertragsabschluss muss deshalb feststehen, welche Geräte und Datenströme erfasst werden, wer Warnungen bearbeitet und welche Funktionen nach Vertragsende entfallen. Ein Abo, das lediglich Endgeräte schützt, kann keine saubere Trennung zwischen Kasse, Büro-PCs, Gästen und Netzwerkgeräten herstellen.
Vergleich nach denselben fünf Entscheidungskriterien
1. Trennung von Gerätegruppen
Ein Router genügt in diesem Punkt nur, wenn er mehrere getrennte Netze oder VLANs unterstützt und Regeln zwischen diesen Bereichen zulässt. Ein einfaches Gast-WLAN isoliert Besucher zwar häufig vom Hauptnetz, trennt aber nicht zwingend Bürogeräte, Drucker, Kameras, Telefone und Server voneinander.
Eine Firewall ist für mehrere Sicherheitszonen meist die passendere Plattform. Sie kann beispielsweise Verbindungen vom Gastnetz ins Büronetz sperren, Druckzugriffe nur aus einem festgelegten Netz erlauben und Verwaltungsoberflächen auf Administratorgeräte beschränken. Ob ein bestimmtes Gerät dies beherrscht, ist in dessen Funktionsbeschreibung unter VLAN, Netzwerkzonen, Inter-VLAN-Regeln oder Zugriffskontrolle zu prüfen.
Ein Security-Abo hilft bei der Segmentierung nur, wenn es Teil einer Firewall- oder verwalteten Netzwerklösung ist. Reiner Endgeräteschutz verändert die lokale Netzstruktur nicht.
2. Schutz öffentlich erreichbarer Dienste
Wer keine eingehenden Portfreigaben, selbst betriebenen Server oder extern erreichbaren Verwaltungsoberflächen benötigt, reduziert seine Angriffsfläche erheblich. Für Fernzugriffe ist ein VPN mit individuellen Konten und Mehrfaktor-Authentifizierung einer frei erreichbaren Geräteoberfläche vorzuziehen.
Ein Router kann einzelne Freigaben und VPN-Verbindungen verwalten. Bei mehreren Standorten, externen Beschäftigten, veröffentlichten Diensten oder fein abgestuften Zugriffsrechten bietet eine eigenständige Firewall mehr Kontrolle und bessere Protokollierung. Ein betreutes Security-Abo wird interessant, wenn niemand im Unternehmen Warnungen und fehlgeschlagene Anmeldungen regelmäßig auswerten kann.
3. Erkennung auf Endgeräten
Router und Firewall sehen Netzwerkverbindungen, aber nicht jede Aktivität innerhalb eines Computers. Verschlüsselte Verbindungen und Programme, die erlaubte Dienste missbrauchen, begrenzen die Aussagekraft einer reinen Netzprüfung. Auf Notebooks, die außerhalb des Büros verwendet werden, wirkt die Firmenfirewall zudem nicht.
Ein Endgeräte-Abo kann hier eine Lücke schließen. Es sollte die eingesetzten Betriebssysteme abdecken, zentrale Richtlinien ermöglichen und Warnungen an eine tatsächlich betreute Stelle senden. Ohne Zuständigkeit entsteht lediglich ein weiteres Dashboard, dessen Meldungen unbeachtet bleiben.
4. Betrieb und Pflege
Der Router verursacht den geringsten Aufwand, solange seine Firmware unterstützt wird, Sicherungen vorhanden sind und die Konfiguration übersichtlich bleibt. Eine leistungsfähige Firewall erhöht den Pflegebedarf: Regeln, Zertifikate, VPN-Zugänge, Protokolle, Lizenzen und Ausnahmen müssen nachvollziehbar dokumentiert werden.
Ein verwaltetes Security-Abo kann diesen Aufwand senken, verlagert aber Verantwortung zum Dienstleister. Im Leistungsumfang sollten mindestens Zuständigkeiten für Updates, Alarmbearbeitung, Regeländerungen, Wiederherstellung und Notfälle eindeutig benannt sein. Ein automatisch verlängertes Lizenzpaket ohne Überwachung ist kein verwalteter Sicherheitsbetrieb.
5. Ausfallfolgen und Wiederherstellung
Je mehr Funktionen ein einzelnes Gerät übernimmt, desto größer ist die Wirkung seines Ausfalls oder einer fehlerhaften Regel. Vor Änderungen sind deshalb eine exportierbare Konfigurationssicherung, dokumentierte Zugangsdaten und ein Rückweg erforderlich. Bei einer separaten Firewall muss außerdem geklärt sein, welches Gerät die Internetverbindung aufbaut und welches DHCP, DNS, VPN sowie Netzwerkregeln bereitstellt. Doppelte Zuständigkeiten führen leicht zu schwer auffindbaren Fehlern.
Cloudbasierte Abos benötigen ebenfalls einen Ausfallplan. Zu prüfen ist, ob der Internetzugang bei einem nicht erreichbaren Verwaltungsdienst weiterläuft, welche Filter dann gelten und ob lokale Administratorzugänge erhalten bleiben.
Welche Lösung passt zu welchem kleinen Unternehmen?
Die folgende Zuordnung orientiert sich nicht allein an der Beschäftigtenzahl. Ein Betrieb mit fünf Personen, öffentlich erreichbarem Server und vielen vernetzten Geräten kann höhere Anforderungen haben als ein größeres Büro, das ausschließlich verwaltete Cloudanwendungen nutzt.
- Überschaubares Büro ohne eigene Server: Ein gepflegter Business-Router kann ausreichen, wenn Gastnetz und internes Netz getrennt sind, keine unnötigen Portfreigaben bestehen und alle Computer eigenen Endgeräteschutz erhalten. Automatische Sicherheitsupdates, starke Administratorkonten und regelmäßige Sicherungen sind Pflicht.
- Betrieb mit Kasse, Kameras, Druckern oder Smart-Geräten: Eine Firewall oder ein Router mit belastbarer Netzwerksegmentierung ist sinnvoll. Geräteklassen gehören in getrennte Zonen, zwischen denen nur die benötigten Verbindungen erlaubt werden.
- Mehrere Standorte oder viele Fernzugriffe: Eine Firewall mit zentral verwalteten VPN-Zugängen und nachvollziehbaren Protokollen bietet Vorteile. Individuelle Konten sind gemeinsam verwendeten VPN-Zugangsdaten vorzuziehen.
- Keine eigene IT-Betreuung: Ein verwalteter Sicherheitsdienst kann passender sein als eine komplexe Firewall, die nach der Einrichtung unbeaufsichtigt bleibt. Der Dienst muss jedoch Reaktion und Pflege umfassen, nicht nur Softwarelizenzen bereitstellen.
- Server oder Anwendungen aus dem Internet erreichbar: Eine eigenständige Firewall und fachkundige Administration sind die sicherere Richtung. Zusätzlich bleiben Systemhärtung, zeitnahe Updates, sichere Authentifizierung und Protokollauswertung erforderlich.
ENTSCHEIDUNGSREGEL: Benötigst du nur einen sicheren Internetübergang, beginne mit einem gepflegten Router und Endgeräteschutz. Benötigst du Regeln zwischen mehreren internen Netzen, wähle eine Firewall. Fehlt Personal für Pflege und Alarmbearbeitung, ergänze einen verwalteten Dienst mit eindeutigem Leistungsumfang.
Die sichere Grundkonfiguration unabhängig von der Produktwahl
Auch eine teure Sicherheitsplattform hilft wenig, wenn Verwaltungszugänge offenstehen oder sämtliche Geräte im selben Netz liegen. Vor zusätzlichen Abos sollten die folgenden Grundlagen umgesetzt werden:
- Bestand erfassen: Dokumentiere Router, Switches, Access Points, Computer, Mobilgeräte, Drucker, Telefone, Kameras und Server. Unbekannte Geräte lassen sich nicht sinnvoll schützen.
- Verwaltung absichern: Verwende ein eigenes, langes Administratorpasswort und getrennte Benutzerkonten. Fernverwaltung aus dem Internet bleibt deaktiviert, sofern sie nicht zwingend benötigt und sicher eingeschränkt wird.
- Firmware und Support prüfen: Der Router, die Firewall und verwaltete Switches müssen noch Sicherheitsupdates erhalten. Die maßgebliche Angabe findest du in der Support- oder Lebenszyklusdokumentation des jeweiligen Herstellers.
- Netze nach Funktion trennen: Gäste erhalten keinen Zugriff auf interne Systeme. Geräte mit geringer Vertrauenswürdigkeit, etwa Kameras oder Gebäudetechnik, sollten nicht frei auf Bürocomputer zugreifen können.
- Eingehende Freigaben minimieren: Entferne nicht mehr benötigte Portfreigaben und deaktiviere automatische Freigabemechanismen, wenn keine Anwendung sie zwingend verlangt. Für externe Arbeit sollte ein abgesicherter VPN-Zugang verwendet werden.
- WLAN zeitgemäß schützen: Nutze einen vom Gerät unterstützten sicheren WPA-Modus und ein starkes WLAN-Kennwort. WPS sollte deaktiviert bleiben, wenn es betrieblich nicht gebraucht wird.
- Protokolle und Warnungen zuständig machen: Lege fest, wer fehlgeschlagene Anmeldungen, neue Geräte, Lizenzabläufe und Sicherheitsmeldungen prüft. Eine Warnung ohne Empfänger bewirkt keinen Schutz.
- Wiederherstellung testen: Sichere Konfigurationen und dokumentiere, wie Internetzugang, VPN und zentrale Dienste nach einem Gerätedefekt wiederhergestellt werden. Datensicherungen müssen getrennt geschützt und regelmäßig geprüft werden.
Die Erfolgskontrolle erfolgt ohne riskante Angriffstests: Ein Gerät im Gastnetz darf interne Verwaltungsoberflächen nicht erreichen, unnötige Freigaben dürfen in der Router- oder Firewallübersicht nicht mehr erscheinen und ein Testkonto muss nach dem Entzug seiner Berechtigung den Fernzugriff verlieren. Änderungen sollten einzeln durchgeführt und protokolliert werden, damit sich Fehler eindeutig zurücknehmen lassen.
Typische Fehlentscheidungen bei Firewall und Abonnement
Eine häufige Fehlentscheidung ist der Kauf einer leistungsfähigen Firewall ohne benannte Betreuung. Signaturen laufen ab, Warnungen sammeln sich und neue Ausnahmeregeln werden dauerhaft geöffnet. In dieser Situation kann ein einfacher aufgebautes, konsequent gepflegtes System verlässlicher sein.
Ebenso problematisch ist die Annahme, ein Virenschutz-Abo sichere das gesamte Firmennetz. Es schützt weder unverwaltete Netzwerkgeräte noch verhindert es automatisch unerlaubte Verbindungen zwischen internen Bereichen. Umgekehrt ersetzt eine Netzfirewall keine Updates, Mehrfaktor-Authentifizierung, Datensicherung oder Schutzmaßnahmen auf mobilen Geräten.
Auch zwei hintereinander geschaltete Router oder Firewalls erhöhen die Sicherheit nicht automatisch. Doppeltes NAT, zwei DHCP-Dienste und widersprüchliche Regeln können VPN, Telefonie und Fehlerdiagnose erschweren. Wenn Geräte kombiniert werden, müssen Rollen und Netzgrenzen eindeutig geplant sein.
Vor dem Kauf: Funktionen und Verantwortung gemeinsam prüfen
Für die Auswahl sollte nicht zuerst die Zahl beworbener Schutzmodule betrachtet werden. Beginne mit einem Netzplan und den tatsächlich benötigten Verbindungen. Daraus ergibt sich, ob Segmentierung, VPN, mehrere Internetanschlüsse, Inhaltsfilter oder eine zentrale Verwaltung erforderlich sind.
- Kann die Lösung die benötigten Netzwerkzonen und Regeln abbilden?
- Reicht ihre Leistung auch bei aktivierten VPN- und Prüffunktionen für den vorhandenen Internetanschluss?
- Welche Sicherheitsfunktionen benötigen eine laufende Lizenz?
- Was funktioniert nach Ablauf oder Ausfall des Abos weiter?
- Wer installiert Updates, prüft Warnungen und reagiert auf einen Vorfall?
- Lassen sich Konfiguration und Protokolle exportieren und wiederherstellen?
- Gibt es einen unterstützten Migrationsweg, falls Gerät oder Dienst gewechselt werden?
Die passende Architektur ist erreicht, wenn jede Aufgabe einer Ebene und einer verantwortlichen Person zugeordnet ist. Der Router stellt den Internetzugang bereit, die Firewall setzt Netzgrenzen durch, Endgeräteschutz überwacht Computer und ein Dienstleister bearbeitet nur jene Aufgaben, die vertraglich vereinbart sind. Unklare Überschneidungen sind dagegen ein Warnsignal.
Häufige Fragen zur betrieblichen Netzabsicherung
Kann die vorhandene Provider-Hardware vor einer eigenen Firewall bleiben?
Ja, sofern die Rollen sauber getrennt werden. Die Provider-Hardware kann beispielsweise nur den Anschluss bereitstellen, während die Firewall Routing, DHCP, VPN und Sicherheitsregeln übernimmt. Unterstützt das Zugangsgerät keinen passenden Modus, kann doppeltes NAT entstehen. Dann müssen VPN, Portfreigaben, Telefonie und Fehlerbehandlung vor der Umstellung geprüft werden.
Was ist bei Beschäftigten im Homeoffice zu beachten?
Die Firewall im Büro schützt den Datenverkehr erst ab dem aufgebauten Firmenzugang. Das private Heimnetz und das Notebook außerhalb dieses Tunnels bleiben eigene Schutzbereiche. Verwaltete Endgeräte, Festplattenverschlüsselung, Mehrfaktor-Authentifizierung und ein entziehbarer VPN-Zugang sind daher besonders wichtig. Private und betriebliche Konten sollten nicht vermischt werden.
Ist eine Cyberversicherung ein Ersatz für technische Schutzmaßnahmen?
Nein. Eine Versicherung kann bestimmte finanzielle Folgen abdecken, verhindert aber keinen Angriff und stellt keinen Betrieb wieder her. Außerdem können Verträge Sicherheitsvorgaben enthalten. Routerkonfiguration, Firewallregeln, Endgeräteschutz, Datensicherungen und dokumentierte Zuständigkeiten bleiben unabhängig vom Versicherungsschutz erforderlich.
