Firewalls werden selten neu gedacht. Jemand braucht für einen Lieferanten einen Port, für ein Update eine Ausnahme, für einen Test einen vollen Zugriff. Der Test endet, die Regel bleibt. Nach einigen Jahren steht das Gerät noch im Rack, aber die Regeln beschreiben nicht mehr das Unternehmen, sondern die Geschichte seiner Ausnahmen. Eine jährliche Prüfung ist kein Audit mit hundert Seiten, sondern der Termin, an dem jede Freigabe einen lebenden Zweck haben muss.

Freigaben, die einen Test überlebt haben

Alte Regeln sind gefährlich, weil sie oft breiter sind als der Anlass. „Any“ als Quelle, ein ganzer Portbereich oder eine Freigabe aus dem Internet auf ein internes Verwaltungsinterface. Dazu kommen Objekte, deren Namen niemand mehr zu einem Gerät zuordnen kann. Im Störungsfall traut sich niemand, etwas zu löschen, weil unklar ist, welche Anwendung dann stehen bleibt. So wächst das Regelwerk, obwohl der Betrieb kleiner geworden ist.

Die Prüfung gelingt, wenn sie an einen festen Monat gebunden ist und nicht an einen Vorfall. Pro Regel reichen vier Angaben: wer darf, wohin, wozu, bis wann. Regeln ohne Gegenstelle im Haus oder ohne Ansprechpartner werden deaktiviert, nicht sofort gelöscht, und eine Woche beobachtet. Was niemand vermisst, fliegt danach raus. Neue Freigaben bekommen dasselbe Format, sonst ist die Liste in einem Quartal wieder unlesbar.

Zweck, Ziel und ein Datum, sonst wird die Regel gestrichen

  1. Export. Regeln mit Namen, Quelle, Ziel und Kommentar auslesen, nicht nur auf den Bildschirm schauen.
  2. Zweck. Jede Freigabe einem Vorgang zuordnen: Scanner, Lohn, Fernwartung, VPN.
  3. Begrenzen. Quellen und Ziele auf die Geräte verengen, die den Vorgang wirklich brauchen.
  4. Beobachten. Unklare Regeln erst deaktivieren und die Woche danach die Tickets lesen.
  5. Termin. Den nächsten Prüftermin in denselben Kalender legen wie die Zertifikate.

Wir machen diese Prüfung im Rahmen der Firewall-Betreuung und schreiben die übrig gebliebenen Regeln so auf, dass die Vertretung sie liest. Eine neue Freigabe für einen Lieferanten bekommt ein Enddatum, statt für immer offen zu bleiben.

Woran Projekte in der Praxis scheitern

  • Regeln nur umsortieren und denselben Umfang behalten.
  • Eine Freigabe von überall ins interne Netz als „temporär“ ohne Datum stehen lassen.
  • Das Verwaltungsinterface der Firewall aus dem Internet erreichbar lassen, weil der Techniker von zu Hause will.
  • Die Prüfung an einem Freitagnachmittag machen und am Montag niemanden haben, der eine stehen gebliebene Anwendung bemerkt.

Beispiel aus dem Betriebsalltag

Bei einem Händler in Wien standen 86 Regeln auf einer Firewall, die eigentlich nur Mail, Warenwirtschaft und zwei Lieferantenzugänge brauchte. 31 Regeln gehörten zu Geräten, die nicht mehr im Haus waren. Nach dem Deaktivieren kam eine einzige Rückmeldung: ein Labeldrucker im Lager, dessen Adresse sich geändert hatte. Die neue Regel nennt den Drucker und den Server, nicht das ganze Netz. Die Fernwartung des Kassenanbieters hat ein Enddatum im Quartal.

Kurze Entscheidungshilfe

  • Hat jede ins Internet zeigende Regel einen benannten Zweck?
  • Ist das Verwaltungsinterface nur aus dem internen Admin-Netz erreichbar?
  • Gibt es Freigaben ohne Kommentar?
  • Steht der nächste Prüftermin, bevor der aktuelle endet?

Wenn das Aufräumen des Firewall-Regelwerks bei Ihnen ansteht, klären wir den Umfang unverbindlich: Firewall. Netzwerk segmentieren Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.