Firewalls
und IPS.
Eine Firewall entscheidet nach Regeln, welcher Datenverkehr zwischen Netzen fliessen darf. Moderne Next-Generation-Firewalls (NGFW) verbinden dieses Regelwerk mit Applikationssicht, Identität, URL-Filterung, TLS-Inspection und zunehmend SD-WAN oder SASE. Das IPS erkennt Angriffsmuster im erlaubten Verkehr und blockiert sie.
Der Kontrollpunkt bleibt wichtig.
Eine Firewall entscheidet, welcher Verkehr zwischen Zonen, Standorten, Clouds und Benutzern erlaubt ist. Der Unterschied liegt heute in der Tiefe der Erkennung: Anwendung, Benutzer, Inhalt, Bedrohung und Zielkontext.
Für CISOs ist nicht nur Durchsatz relevant. Wichtig sind Regelqualität, Segmentierungsmodell, Betriebsaufwand, TLS-Inspection, Cloud-Fähigkeit, Logging und die Frage, ob Änderungen nachvollziehbar gesteuert werden.
NGFW schützt den Durchgangspunkt. IDS und IPS erkennen oder blockieren Muster im Verkehr. SASE und SSE verschieben Teile dieser Kontrolle in die Cloud. Microsegmentation legt feinere Grenzen innerhalb der Infrastruktur.
Open-Source-Firewalls können sehr stark sein, wenn Betrieb, Härtung, Updates und Monitoring sauber geregelt sind. Für regulierte Umgebungen zählt genau diese Betriebsfähigkeit.
Was darf durch, und was wird angehalten.
Eine Firewall koppelt Netze mit unterschiedlichem Vertrauen und lässt nur die Verbindungen zu, die eine Sicherheitsrichtlinie vorher erlaubt hat. Das gilt am Internetübergang, aber ebenso zwischen internen Netzen, etwa zwischen Büro- und Personalnetz. Die Grundlage ist der Paketfilter: Er prüft Quell- und Zieladresse, Port und Verbindungszustand (Stateful Inspection). Ein Application Level Gateway arbeitet mit Sicherheitsproxies und regelt Datenströme auf Protokollebene. Für hohe Schutzanforderungen beschreibt das BSI eine Kette aus Paketfilter, Application Level Gateway und zweitem Paketfilter («P-A-P»).[1]
Eine Next-Generation Firewall (NGFW) ergänzt den Paketfilter um drei Fähigkeiten. Erstens die Anwendungserkennung: Sie ordnet Verkehr einer Anwendung zu, unabhängig vom verwendeten Port, und verknüpft ihn mit dem angemeldeten Benutzer. Regeln lauten dann «Gruppe Finanzen darf die Buchhaltungsanwendung nutzen» statt «Port 443 offen». Zweitens die TLS-Inspektion: Die Firewall bricht verschlüsselte Verbindungen auf, prüft den Inhalt und verschlüsselt neu. Dazu braucht sie ein eigenes Zertifikat, dem die Endgeräte vertrauen. Drittens das integrierte IPS.[2,3]
Ein IDS (Intrusion Detection System) beobachtet eine Kopie des Verkehrs, die ein Switch-Spiegelport oder ein Netzwerk-TAP liefert, und meldet Angriffsmuster; es arbeitet ausserhalb des Datenpfads (Out-of-Band) und stört den Verkehr auch bei einem Ausfall nicht. Ein IPS (Intrusion Prevention System) sitzt inline im Datenpfad und verwirft Pakete, die eine Regel treffen. Beide arbeiten mit Signaturen, die Exploits, Schadsoftware-Kommunikation oder Protokollverstösse beschreiben, und zunehmend mit Verhaltensmodellen. Offene Engines wie Suricata und Snort prägen Regelsprache und Regelsätze, auch in kommerziellen Produkten und Cloud-Firewalls. Ein IPS kann eine bekannte Schwachstelle abschirmen, bevor das System gepatcht ist; das heisst virtuelles Patching.[4,5,6,7]
Architektonisch gibt es drei Formen: Hardware-Appliances an Standorten und im Rechenzentrum, virtuelle Firewalls auf Hypervisoren und in der Public Cloud sowie verwaltete Firewall-Dienste der Cloud-Anbieter. Virtuelle Firewalls und Cloud-Dienste schützen neben dem Übergang ins Internet (Nord-Süd) auch den Verkehr zwischen Workloads (Ost-West). Die Cloud-Dienste skalieren mit dem Verkehr und übernehmen teils Regeln im Suricata-Format. Verteilte Instanzen werden über eine zentrale Verwaltung mit gemeinsamer Richtlinie und gemeinsamem Logging geführt.[8,9]
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Gewachsene Regelwerke | Regeln ohne Besitzer und Ablaufdatum erweitern die Angriffsfläche. Jede Regel mit Zweck, Verantwortlichem und Prüfdatum dokumentieren und ungenutzte Regeln anhand der Trefferzähler entfernen.[1] |
| IPS sieht verschlüsselten Verkehr nicht | Ohne Entschlüsselung prüft das IPS nur Metadaten; manche Systeme prüfen entschlüsselte Nutzdaten zudem erst nach ausdrücklicher Konfiguration. Entschlüsselungsrichtlinie festlegen und prüfen, welche Kontrollen danach tatsächlich greifen.[10] |
| Leistungseinbruch mit Schutzfunktionen | TLS-Entschlüsselung ist rechenintensiv. Geräte mit eingeschaltetem IPS und realer Entschlüsselungsquote dimensionieren und Datenblattwerte im Pilot nachmessen.[3] |
| Fehlalarme blockieren Geschäftsverkehr | Ein IPS im Blockiermodus mit ungeprüften Signaturen stört Anwendungen. Neue Regeln zuerst im Erkennungsmodus beobachten, dann schrittweise auf Blockieren schalten.[4] |
| Verwundbare Verwaltung | Firewalls und ihre Management-Schnittstellen sind ein bevorzugtes Ziel; eine gemeinsame Leitlinie mehrerer nationaler Cyberbehörden nennt deren Schutz als eigene Massnahme. Administration über ein eigenes Managementnetz führen und Sicherheitsupdates für Gateways und Verwaltung getrennt einplanen.[1,11] |
| Cloud und Rechenzentrum mit getrennten Regelwerken | Unterschiedliche Firewalls je Umgebung erzeugen widersprüchliche Regeln. Eine gemeinsame Richtlinienverwaltung oder zumindest ein gemeinsames Objekt- und Namensmodell einführen.[12] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Welche Schutzfunktionen bleiben bei realer TLS-Entschlüsselungsquote aktiv, und mit welchem Durchsatz? | Messwerte mit eingeschaltetem IPS, Anwendungserkennung und Entschlüsselung zusätzlich zum reinen Firewall-Durchsatz. |
| Wie werden IPS-Signaturen gepflegt und freigegeben? | Häufige automatische Updates, nachvollziehbare Änderungen und ein Erkennungsmodus für neue Regeln. |
| Welche Funktionen sind im Grundpreis enthalten, welche separat abonniert? | Klare Liste der Abonnements für IPS, URL-Filter, Sandbox und Cloud-Verwaltung über die Laufzeit. |
| Läuft dieselbe Richtlinie auf Hardware, virtueller Instanz und in der Cloud? | Ein Regelwerk und eine Verwaltung über alle Formen hinweg. |
| Wie schnell stellt der Hersteller Sicherheitsupdates für die Firewall selbst bereit, und wie werden sie gemeldet? | Öffentlicher Sicherheitshinweisdienst (PSIRT), Fristen und Updates ohne Ausfall im Cluster. |
| Welche Zertifizierungen und Zulassungen liegen vor? | Für Behörden und kritische Infrastrukturen etwa Common Criteria oder nationale Zulassungen.[13,14] |
Betrieb und Verantwortung
Das Netzwerk- oder Security-Engineering-Team betreibt die Firewalls und pflegt die Regeln; Fachbereiche beantragen Freigaben und bestätigen sie bei der jährlichen Regelprüfung. IPS-Alarme gehen an das SOC, das über Blockieren oder Ausnahmen entscheidet. Sinnvolle Kennzahlen sind Anzahl Regeln ohne Treffer, Alter der Regeln, Anteil entschlüsselten Verkehrs, Zeit bis zur Einspielung kritischer Firewall-Updates und Fehlalarmquote des IPS.[1]
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A über 8.20 «Networks security», 8.21 «Security of network services» und 8.22 «Segregation of networks». NIS2 verlangt in Art. 21 Abs. 2 unter anderem Konzepte zur Risikoanalyse und Sicherheit von Informationssystemen (Bst. a) sowie Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen (Bst. e); DORA verlangt in Art. 9 Abs. 4 Bst. b eine solide Netzwerk- und Infrastrukturverwaltung, die automatische Isolation betroffener Systeme einschliessen kann. Der BSI-Baustein NET.3.2 «Firewall» fordert unter anderem eine Sicherheitsrichtlinie, Protokollierung und die temporäre Entschlüsselung von Verbindungen in nicht vertrauenswürdige Netze (NET.3.2.A21). In der Schweiz verlangt der IKT-Minimalstandard unter PR.AC-5, die Integrität des Netzwerks zu schützen.[15,16,17,18,19,1,20]
Quellen: [1] bsi.bund.de · [2] paloaltonetworks.com · [3] secure.cisco.com · [4] docs.opnsense.org · [5] suricata.io · [6] snort.org · [7] fortinet.com · [8] csrc.nist.gov · [9] aws.amazon.com · [10] docs.manage.security.cisco.com · [11] nsa.gov · [12] learn.microsoft.com · [13] stormshield.com · [14] genua.de · [15] isms.online · [16] isms.online · [17] isms.online · [18] nis-2-directive.com · [19] digital-operational-resilience-act.com · [20] ncsc.admin.ch
Zwanzig Werkzeuge im Vergleich.
Firewalls werden heute als Next-Generation Firewalls angeboten, die Paketfilter, Anwendungserkennung, IPS, TLS-Inspektion und oft SD-WAN und ZTNA in einem Gerät vereinen; dieselbe Software läuft als Hardware, als virtuelle Appliance und in der Public Cloud, und mehrere Hersteller fassen die verteilten Instanzen unter dem Begriff Hybrid Mesh Firewall mit einer gemeinsamen Verwaltung zusammen. Daneben stehen dedizierte IPS-Systeme, die inline vor kritischen Netzen sitzen und Schwachstellen über virtuelles Patching abschirmen, sowie die Firewall-Dienste der Hyperscaler, die direkt im virtuellen Netz arbeiten und bei AWS auch Suricata-kompatible Regeln übernehmen. Europäische Anbieter wie Stormshield, Rohde & Schwarz Networks and Cybersecurity, Securepoint und genua betonen Entwicklung in Europa und nationale Zulassungen, etwa CC EAL4+ oder VS-NfD. Open-Source-Firewalls wie OPNsense und pfSense sowie die IPS-Engines Suricata und Snort sind frei verfügbar und bilden auch die Grundlage mancher kommerzieller Produkte. Der Markt konsolidiert: HPE hat die Übernahme von Juniper Networks am 02.07.2025 abgeschlossen, LANCOM Systems und Rohde & Schwarz Cybersecurity schliessen sich laut Mitteilung vom 25.06.2026 zur Rohde & Schwarz Networks and Cybersecurity GmbH zusammen, und das Unternehmensgeschäft von Trend Micro, zu dem TippingPoint gehört, firmiert seit 23.03.2026 als TrendAI.
L7-Kontrolle: L7-Anwendungskontrolle · IPS: integriertes IPS · TLS-Inspektion: TLS-Inspektion · Virtuell/Cloud: virtuelle oder Cloud-Firewall · SD-WAN: SD-WAN · Zentral: zentrale Verwaltung mehrerer Firewalls · Open Source: Open Source. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Palo Alto Networks Next-Generation Firewall (PA-, VM- und CN-Series)
Palo Alto Networks
Hardware-Firewalls der PA-Series, virtuelle VM-Series für AWS, Azure und Private Cloud sowie CN-Series für Container; alle mit dem Betriebssystem PAN-OS.
App-ID klassifiziert Anwendungen über alle Ports, unabhängig von Protokoll, Umgehungstechnik oder Verschlüsselung; User-ID ordnet Verkehr Benutzern zu.
Advanced Threat Prevention ist das integrierte IPS und blockiert Exploits und Command-and-Control-Verkehr inline; die Firewall entschlüsselt SSL/TLS zur Prüfung.
Weitere Cloud-Dienste wie Advanced URL Filtering, WildFire, DNS Security, DLP und IoT Security werden als Abonnements zugeschaltet; SD-WAN ist als Funktion der NGFW verfügbar.
Einzelverwaltung oder zentral über Panorama, zusätzlich über Strata Cloud Manager.
Perimeter, Rechenzentrum und Cloud-Netze einer grösseren Organisation, die überall dieselbe Richtliniensprache nutzen will.
Anwendungs- und Benutzererkennung bilden die Grundlage jeder Regel und sind auf Hardware, VM und Container gleich.
Viele Schutzfunktionen sind separat lizenzierte Cloud-Dienste, deren Umfang die Gesamtkosten deutlich bestimmt.
Fortinet FortiGate
Fortinet
FortiGate-Hardware vom Kleinbüro bis zum Rechenzentrum, FortiGate-VM für Private und Public Clouds sowie cloudgehostete FortiGates; Betriebssystem FortiOS.
Eigene ASICs beschleunigen die Sicherheitsverarbeitung; Anwendungskontrolle, SSL Deep Inspection und IPS laufen im selben Datenpfad.
Der IPS-Dienst bietet Deep Packet Inspection und virtuelles Patching; FortiGuard verteilt neue Signaturen nahezu in Echtzeit.
SD-WAN und ZTNA sind in FortiOS integriert; die Firewall ist Teil der Fortinet Security Fabric.
Zentrale Verwaltung mehrerer Geräte über FortiManager oder FortiManager Cloud.
Filialnetz mit vielen Standorten, das Firewall, SD-WAN und Fernzugang auf einer Geräteplattform zusammenführen will.
SD-WAN, ZTNA, IPS und Firewall laufen auf einem Betriebssystem und einer Geräteklasse vom Büro bis zum Rechenzentrum.
Der volle Schutzumfang hängt von FortiGuard-Abonnements und Bundles ab, und die enge Kopplung an die Security Fabric bindet an einen Hersteller.
Check Point Quantum Firewalls und Cloud Firewall (CloudGuard)
Check Point Software Technologies
Quantum-Gateways für Filiale, Perimeter und Rechenzentrum sowie Check Point Cloud Firewall (CloudGuard) als Gateway in Public Clouds.
Die Gateways vereinen Intrusion Prevention, Anwendungskontrolle und Zero-Day-Schutz; HTTPS Inspection entschlüsselt verschlüsselten Verkehr zur Prüfung.
Check Point IPS liefert Tausende signatur- und verhaltensbasierte Schutzmassnahmen, die automatisch aktualisiert werden.
SD-WAN, SASE, VPN-Fernzugang sowie Schutz für IoT und DDoS sind als Dienste der Gateways beschrieben.
Unified Security Management verwaltet Richtlinien, Logs und Berichte für Gateways in Hybrid Cloud und im eigenen Rechenzentrum aus einer Konsole.
Organisation mit Rechenzentrum und mehreren Clouds, die Ost-West- und Nord-Süd-Verkehr mit einer Richtlinienverwaltung schützen will.
Eine Verwaltung deckt lokale Gateways und Cloud-Gateways mit gemeinsamer Richtlinie und gemeinsamem Logging ab.
Gateways und Verwaltung sind getrennte Komponenten mit eigenen Updates, die gemeinsam geplant und eingespielt werden müssen.
Cisco Secure Firewall (Threat Defense)
Cisco
Hardware-Firewalls sowie Cisco Firewall für Private Cloud und Public Cloud mit einheitlichen Kontrollen über physische, virtuelle und Cloud-Umgebungen.
Die Decryption Policy wird vor der Intrusion- und File-Policy ausgewertet; Entschlüsselungsregeln können Anwendung, URL-Kategorie, Benutzer und Zertifikatsmerkmale als Bedingung nutzen.
Die IPS-Engine ist Snort; SnortML blockiert Muster von Zero-Day-Angriffen, und die Encrypted Visibility Engine erkennt Bedrohungen in verschlüsseltem Verkehr ohne Entschlüsselung.
SD-WAN ist in die Firewall integriert; Kunden mit Splunk können zusätzliche Logdaten ohne zusätzliche Lizenzkosten einlesen (Bedingungen laut Cisco).
Verwaltung über das lokale Firewall Management Center (FMC) oder über die Cloud-Verwaltung von Cisco (Cloud Control).
Netz mit Cisco-Infrastruktur, das Firewall, IPS und Protokollauswertung in Splunk eng koppeln will.
Die Snort-Engine und die Regeln von Cisco Talos sind in Fachkreisen weit verbreitet und dokumentiert.
Verschlüsselte Nutzdaten werden standardmässig nicht durch Intrusion- und File-Prüfung geführt; ohne bewusst konfigurierte Entschlüsselung sieht das IPS nur einen Teil des Verkehrs.
Juniper SRX Series
HPE (Juniper Networks)
SRX-Hardware von der Filiale bis zum Rechenzentrum, vSRX für die grossen Public Clouds und cSRX für Container und Microservices.
AppSecure erkennt Anwendungen unabhängig von Port und Protokoll anhand ihrer Verkehrsmerkmale.
SSL Proxy entschlüsselt Sitzungen, damit AppID und das Intrusion-Detection-and-Prevention-Modul (IDP) den Inhalt prüfen können.
Das Modell SRX380 ist als SD-WAN-Gateway beschrieben; die Datenblätter nennen IPS-Durchsatz je Modell.
Verwaltung über Juniper Security Director Cloud.
Rechenzentrum oder Provider-Netz mit Junos-Routing, das Firewall und Routing auf derselben Betriebssystembasis betreiben will.
Die Plattform reicht von kleinen Filialgeräten bis zu Rechenzentrumsgeräten mit sehr hohem IPS-Durchsatz und nutzt durchgehend Junos.
Die Produktstrategie nach der Integration in HPE ist auf den abgerufenen Seiten nicht beschrieben; die Produktseite nennt HPE nicht.
Sophos Firewall (XGS Series)
Sophos
XGS-Hardware sowie Firewall-Instanzen für AWS und Azure; integriertes ZTNA-Gateway für Fernzugriff.
Die Firewall erkennt Anwendungen und Benutzer, prüft verschlüsselten Verkehr mit TLS-Entschlüsselung und kombiniert IPS mit Deep Packet Inspection.
Active Threat Response übernimmt Threat-Feeds und kann ein betroffenes Gerät automatisch blockieren.
Synchronized Security koordiniert die Firewall mit Sophos Endpoint, Sophos Workspace Protection und Sophos Email, um Angriffe zu isolieren; SD-WAN ist integriert.
Verwaltung von Netz und Sicherheit über eine gemeinsame Cloud-Konsole (Sophos Fusion).
KMU oder Filialbetrieb, der Firewall und Endpunktschutz vom selben Hersteller einsetzt und automatische Isolation wünscht.
Firewall und Endpunktschutz tauschen Zustandsinformationen aus und isolieren kompromittierte Geräte automatisch.
Der Mehrwert der Kopplung entsteht vor allem, wenn auch Endpunkt- und E-Mail-Schutz von Sophos stammen.
SonicWall NSa, TZ und NSv
SonicWall
Hardware der Serien TZ und NSa sowie die virtuelle NSv-Serie für AWS, Azure, VMware ESXi, Hyper-V, KVM und Proxmox.
Die Firewalls bieten Anwendungserkennung und -kontrolle sowie TLS/SSL-Entschlüsselung und -Prüfung.
Real-Time Deep Memory Inspection (RTDMI) erkennt unbekannte Malware; Signaturen für Intrusion Prevention, Anti-Malware und Botnet-Filter werden automatisch aktualisiert.
Secure SD-WAN ist in die NSa-Firewalls eingebaut, separate SD-WAN-Geräte entfallen laut Hersteller.
Network Security Manager verwaltet Firewalls, angeschlossene Switches und Access Points zentral.
Mittelständisches Unternehmen oder Managed Service Provider mit vielen kleineren Standorten.
Breite virtuelle Plattformunterstützung bis Proxmox und eine Verwaltung für Firewalls, Switches und WLAN.
Der Schutz gegen unbekannte Malware setzt den separat lizenzierten Dienst Capture ATP voraus.
WatchGuard Firebox
WatchGuard Technologies
Tisch- und Rackgeräte, virtuelle FireboxV für Hyper-V und VMware vSphere sowie Firebox Cloud für AWS und Microsoft Azure.
Sicherheitsdienste umfassen Intrusion Prevention, Antivirus, URL-Filter, Application Control, Spam-Abwehr und Reputationsprüfung.
Der HTTPS-Proxy kann ausgehenden verschlüsselten Verkehr mit Content Inspection entschlüsseln und prüfen.
Ein Zero-Trust-Gateway für die Firebox erweitert den Zugriff auf private Anwendungen ohne klassisches VPN.
WatchGuard Cloud verwaltet die Geräte zentral und setzt Richtlinien über hybride Umgebungen durch.
KMU, deren IT ein Managed Service Provider über eine Cloud-Konsole betreut.
Hardware, virtuelle und Cloud-Firebox werden mit denselben Sicherheitsdiensten über eine Cloud-Konsole verwaltet.
SD-WAN-Funktionen der Firebox sind auf den abgerufenen Seiten nicht beschrieben.
Barracuda CloudGen Firewall
Barracuda Networks
Firewall für verteilte Standorte, mehrere Clouds und Fernzugriff; einsetzbar als Hardware, virtuell und in Public Clouds.
Policy Profiles bündeln Regeln für SD-WAN, Anwendungen, URL-Filter, Malware-Schutz, TLS-Inspektion, IPS und Dateiinhalte.
Das IPS schützt in Echtzeit vor Netzangriffen, Schwachstellen und Exploits; TLS Inspection Policies legen fest, welcher Verkehr entschlüsselt wird.
Integriertes SD-WAN verbindet verteilte Standorte, mehrere Clouds und entfernte Benutzer.
Barracuda Firewall Control Center verwaltet Konfiguration und Wartung vieler Firewalls zentral.
Organisation mit vielen Standorten und Cloud-Anbindungen, die Firewall und SD-WAN zentral steuern will.
Profilbasierte Richtlinien und ein zentrales Control Center sind auf viele verteilte Standorte ausgelegt.
Die Produktseite beschreibt IPS und TLS-Inspektion kaum; Details stehen nur in der technischen Dokumentation.
Stormshield Network Security (SNS)
Stormshield (Airbus Defence and Space)
Hardware-Firewalls und Elastic Virtual Appliances für KVM, Hyper-V, OpenStack, Proxmox, VMware und XCP-ng sowie für AWS, Azure, 3DS Outscale und OVHcloud.
Echtzeitschutz mit Intrusion Prevention und Detection, Application Control, Antivirus sowie URL-Filter und IP-Geolokalisierung.
IPS/IDS, Sandbox, Schwachstellenerkennung und ZTNA gehören zu den Kernfunktionen der Firmware.
SD-WAN mit Verwaltung mehrerer WAN-Leitungen und Routing nach Anwendung und Protokoll ist integriert.
Stormshield Management Center verwaltet die Firewalls zentral; die Produkte tragen Zertifizierungen wie CC EAL4+.
Behörde oder Betreiber kritischer Infrastruktur, der europäische Zertifizierungen und souveräne Cloud-Standorte verlangt.
Zertifizierungen nach europäischen Standards und Betrieb in französischen souveränen Clouds sind dokumentiert.
TLS-Inspektion ist auf den abgerufenen Funktionsseiten nicht ausdrücklich beschrieben.
R&S LANCOM Unified Firewalls
Rohde & Schwarz Networks and Cybersecurity
Desktop- und Rack-Modelle sowie die virtuelle R&S LANCOM vFirewall für Cloud-Szenarien und klassische Netze.
UTM-Funktionen umfassen Anwendungskontrolle per Deep Packet Inspection, SSL-Inspektion mit HTTP(S)-Proxy und Angriffserkennung über IDS/IPS.
Sandboxing und Machine Learning ergänzen den Schutz gegen Viren, Malware und Spam; Web- und Inhaltsfilter schützen vor Phishing.
Die Firewalls fügen sich in das Portfolio aus Routern, Switches und WLAN desselben Herstellers ein.
Das Konzept «One-Click Security» der R&S LANCOM Management Cloud setzt Sicherheitsarchitekturen automatisiert um; alle Unified Firewalls werden in Deutschland entwickelt.
Mittelstand oder öffentliche Verwaltung in Deutschland, die Netz und Firewall von einem deutschen Hersteller aus einer Cloud-Verwaltung beziehen will.
Firewall, Router, Switches und WLAN lassen sich über eine gemeinsame Management Cloud eines deutschen Herstellers verwalten.
Nach der Verschmelzung 2026 ändern sich Firmen- und Produktbezeichnungen; Verträge und Supportwege sollten auf die neue Gesellschaft geprüft werden.
Securepoint UTM-Firewall (Black Dwarf, RC-Serie)
Securepoint
UTM-Firewalls von der Black-Dwarf-Desktopreihe bis zur RC-Rackserie für kleine und mittlere Unternehmen.
Stateful Packet Inspection, Proxy und Deep Packet Inspection lassen sich kombinieren; die Datenblätter nennen den Durchsatz für TLS-Interception je Modell.
Ein IDS/IPS ist in der UTM-Lizenz enthalten, ergänzt um Viren- und Spamschutz, Inhaltsfilter und Threat-Intelligence-Feed.
Weitere Dienste desselben Herstellers wie DNS-Filter (Cloud Shield), Antivirus und Mail Security ergänzen die Firewall.
Verwaltung lokal per Web-Oberfläche und SSH oder extern über die Unified Security Console; Hersteller mit Sitz in Lüneburg.
Kleinbetrieb oder Praxis, die ihre Firewall über einen Fachhändler beziehen und betreuen lässt.
Ein deutscher Hersteller bündelt Firewall, IDS/IPS und Inhaltsfilter in einer einfach lizenzierten UTM-Lösung für KMU.
Virtuelle Appliances, SD-WAN und eine port-unabhängige Anwendungskontrolle sind auf den abgerufenen Seiten nicht beschrieben.
genua cognitix Threat Defender
genua
IDS, IPS und Next Generation Firewall für interne IT- und OT-Netze.
Filterung auf Netzwerkebene (Layer 2) und Anwendungsebene (Layer 7) mit einer Datenbank von über 3700 Anwendungen und Protokollen.
Signaturbasierte Angriffserkennung in Echtzeit, automatische Reaktion durch eine Event Engine und Mikrosegmentierung gegen die Ausbreitung von Angriffen.
Der Sensor arbeitet transparent und ist flexibel in bestehende Netze integrierbar.
Betrieb im eigenen Netz; Entwicklung nach IEC 62443-4-1 zertifiziert.
Industriebetrieb, der Angriffe zwischen Büro- und Produktionsnetz erkennen und eindämmen will.
Ein Gerät verbindet IDS, IPS und Segmentierung für interne IT- und OT-Netze mit Entwicklung in Deutschland.
Die Wirkung beschränkt sich auf interne Netze; Perimeterfunktionen wie VPN deckt bei genua die separate Appliance genuscreen ab.
TrendAI TippingPoint Threat Protection System
TrendAI (Trend Micro)
Dediziertes Next-Generation IPS, das inline vor kritischen Systemen sitzt.
Das System prüft den Verkehr inline mit Multi-Gigabit-Durchsatz und hält über Hochverfügbarkeit den Betrieb aufrecht.
Blockiert bekannte und Zero-Day-Angriffe inline, bevor sie kritische Systeme erreichen; virtuelles Patching senkt das Risiko ungepatchter Schwachstellen.
Anbindung an die Plattform TrendAI Vision One für Risikomanagement, Erkennung und Reaktion.
Flexible Bereitstellungsmodelle mit zentraler Steuerung über die gesamte Umgebung.
Rechenzentrum mit Altsystemen, die sich nicht rasch patchen lassen und per virtuellem Patching abgeschirmt werden.
Virtuelles Patching vor nicht patchbaren Systemen ist der dokumentierte Kernanwendungsfall.
TLS-Entschlüsselung ist auf der abgerufenen Produktseite nicht beschrieben; verschlüsselter Verkehr ist ohne vorgelagerte Entschlüsselung nur eingeschränkt prüfbar.
Trellix Intrusion Prevention System (IPS+)
Trellix
Netzwerk-IPS als Sensor-Appliance sowie Virtual IPS+ für Private und Public Clouds (AWS, Azure, OCI).
Kombiniert signaturbasierte und signaturlose Erkennung mit Verhaltensanalyse und blockiert bekannte und neue Angriffe in Echtzeit.
Ein- und ausgehende SSL-Entschlüsselung; zusätzlich eine agentenbasierte Lösung mit geteiltem Schlüssel, die die Sensorleistung schont.
IPS+ liefert Bedrohungsdaten und Layer-7-Metadaten an Trellix NDR.
In AWS und Azure skaliert die virtuelle Variante automatisch über den Gateway Load Balancer.
Organisation, die ein dediziertes IPS getrennt von der Firewall betreibt und Netzdaten zugleich für NDR nutzt.
Signaturlose Erkennung und Weitergabe von Layer-7-Metadaten verbinden Prävention und Netzwerkanalyse.
Die zentrale Verwaltung der Sensoren ist auf der abgerufenen Produktseite nicht beschrieben.
AWS Network Firewall
Amazon Web Services
Verwaltete Firewall für Amazon VPCs, die mit dem Verkehr skaliert.
Stateful Inspection, Deep Packet Inspection, Geo-IP-Filter und Proxy-Funktion; inline TLS Inspection entschlüsselt ein- und ausgehende Verbindungen.
Intrusion Prevention mit eigenen oder vorgefertigten AWS-Regeln; Suricata-kompatible Signaturen aus der Open-Source-Gemeinschaft lassen sich importieren.
Automatische Domainlisten unterstützen das Erstellen von Regeln aus den Logs.
Zentrale Verwaltung von Richtlinien über Konten hinweg mit AWS Firewall Manager.
Workloads in AWS, deren Ein- und Ausgangsverkehr ohne eigene Firewall-VMs geprüft werden soll.
Regelwerke im verbreiteten Suricata-Format lassen sich direkt übernehmen und über Konten zentral verteilen.
Der Dienst schützt nur Verkehr in AWS; für andere Clouds und das eigene Rechenzentrum sind weitere Firewalls nötig.
Azure Firewall (Premium)
Microsoft
Verwaltete Firewall für Azure-Netze in mehreren SKUs; die Premium-SKU ergänzt Funktionen für regulierte Umgebungen.
Netzwerk- und Anwendungsregeln filtern Verkehr; URL-Filter und Webkategorien erweitern die FQDN-Filterung.
Premium bietet signaturbasiertes IDPS und TLS Inspection, die ausgehenden Verkehr entschlüsselt, prüft und wieder verschlüsselt.
Firewall-Richtlinien wenden gemeinsame Regelsätze auf mehrere Firewalls im Tenant an.
Azure Firewall Manager verwaltet Firewalls über mehrere Abonnements zentral.
Hub-and-Spoke-Netz in Azure mit zentraler Ausgangskontrolle für viele Abonnements.
Firewall Manager und Richtlinien verteilen ein gemeinsames Regelwerk über viele Abonnements.
IDPS und TLS-Inspektion sind der Premium-SKU vorbehalten und wirken nur im Azure-Netz.
OPNsense
Deciso (Projekt OPNsense)
Open-Source-Firewall- und Routing-Plattform auf FreeBSD mit VPN (IPsec, OpenVPN) und NetFlow-Auswertung.
Paketfilter und Routing auf FreeBSD; Funktionen werden über Plugins ergänzt.
Das integrierte Intrusion-Prevention-Modul nutzt Suricata und kann im IPS-Modus Pakete verwerfen, die eine Regel treffen.
Regelsätze wie ET Open lassen sich einbinden; eine REST-API steht zur Automatisierung bereit.
Deciso entwickelt OPNsense und bietet mit OPNcentral ein Plugin für die zentrale Verwaltung über die REST-API.
KMU, Schule oder Labor, die eine quelloffene Firewall mit IPS selbst betreiben wollen.
Quelloffene Firewall mit integriertem Suricata-IPS und optionaler zentraler Verwaltung des Projektträgers.
Betrieb, Regelpflege und Updates liegen beim eigenen Team; Funktionsumfang wächst über Plugins unterschiedlicher Reife.
pfSense (Plus und Community Edition)
Netgate
Firewall- und VPN-Software als quelloffene Community Edition und als pfSense Plus auf Netgate-Hardware und in AWS.
Stateful Firewall und Router mit Erweiterung über Pakete.
IDS/IPS über die Pakete Snort und Suricata, die Angriffe melden und Hosts blockieren.
Weitere Pakete wie pfBlockerNG, HAProxy und FreeRADIUS erweitern den Funktionsumfang.
Dokumentation für den Betrieb als VPN- und Firewall-Instanz in AWS mit Hochverfügbarkeit.
Kleines Netz oder Cloud-Instanz, die eine bewährte quelloffene Firewall mit Herstellerunterstützung wünscht.
Sehr verbreitete Plattform mit umfangreicher Paketauswahl und kommerzieller Option über Netgate.
IPS ist ein Zusatzpaket mit eigener Pflege; eine zentrale Verwaltung vieler Instanzen ist auf den abgerufenen Seiten nicht belegt.
Suricata
Open Information Security Foundation (OISF)
Quelloffene Engine für IDS, IPS und Network Security Monitoring, getragen von der gemeinnützigen OISF.
Multithreading-Engine, die auf einer Instanz Multi-Gigabit-Verkehr prüft und Protokolle wie HTTP auf beliebigen Ports automatisch erkennt.
Vollständige Signatursprache für bekannte Bedrohungen; TLS-Metadaten und Zertifikate lassen sich protokollieren und prüfen.
Protokolliert HTTP-Anfragen, extrahiert Dateien und schreibt Ereignisse für SIEM- und NSM-Werkzeuge.
Betrieb auf eigener Hardware mit Beschleunigung über PF_RING und AF_PACKET sowie Hardware mehrerer Hersteller.
Security-Team, das eine eigene IDS/IPS-Sensorik aufbaut oder eine Firewall um eine bekannte Engine ergänzt.
Offene Engine und Signatursprache, die auch in Firewalls und Cloud-Diensten anderer Anbieter verwendet werden.
Ohne Verwaltungsoberfläche; Regelpflege, Abstimmung und Auswertung erfordern eigenes Fachwissen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Snort 3 (Cisco, GPLv2): Open-Source-IPS-Engine, deren Regeln Cisco Talos pflegt; als Engine in Cisco Secure Firewall abgedeckt, eigenständig ohne Verwaltungsoberfläche
- genua genuscreen: Firewall- und VPN-Appliance mit BSI-Zulassung bis VS-NfD; Schwerpunkt Paketfilter und VPN, IPS-Funktion bei genua im cognitix Threat Defender
- Forcepoint NGFW: Enterprise-Firewall mit Fokus auf verteilte Netze und SD-WAN
- Hillstone Networks, Sangfor NGAF, Huawei HiSecEngine USG: weitere NGFW-Serien, vor allem im asiatischen Markt verbreitet
- Google Cloud NGFW: Cloud-Firewall der Google Cloud
- Zeek, Security Onion: Open-Source-Werkzeuge zur Netzüberwachung ohne Blockierfunktion; passen zur Klasse NDR
- Gatewatcher AIONIQ: Schwerpunkt NDR, in der Klasse NDR verglichen
- AVM FRITZ!Box: Router mit Grundfirewall für Heim und Kleinbüro, ohne IPS und zentrale Verwaltung im Sinn dieser Klasse
Mit echten Regeln testen.
- Regelwerk, Zonenmodell und Change-Prozess mit produktionsnahen Beispielen prüfen.
- TLS-Inspection, IPS, URL-Filterung und Applikationserkennung realistisch messen.
- Cloud, Standort, Remote Access und SD-WAN nicht getrennt bewerten.
- Logging, SIEM-Anbindung und Audit-Trail für Regeländerungen kontrollieren.
- Performance mit aktivierten Security-Funktionen betrachten, nicht nur Datenblatt-Durchsatz.
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.