Braucht Ihr Betriebeine Firewall?
Kein Gesetz nennt sie beim Namen — trotzdem kommt kein Betrieb darum herum.
Eine ausdrückliche „Firewall-Pflicht“ kennt das deutsche Recht nicht. Verlangt wird etwas anderes: angemessene und wirksame Maßnahmen nach dem Stand der Technik — und dazu gehört in jedem Betrieb eine kontrollierte Netzwerkgrenze. Wer betroffen ist und was das konkret heißt, steht auf dieser Seite. Mit Fundstelle, nicht mit Bauchgefühl.
Was das Gesetz tatsächlich verlangt
Kein Gesetz nennt die Firewall
Eine ausdrückliche Pflicht zu einem bestimmten Gerät gibt es nicht. Vorgeschrieben sind Maßnahmen — und das Ergebnis: Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, die den Betrieb tragen.
Für viele Betriebe: NIS-2 im BSIG
Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Abs. 1 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen umsetzen. Abs. 2 verlangt den Stand der Technik und nennt zehn Mindestmaßnahmen — von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung.
Für alle: Art. 32 DSGVO
Wer personenbezogene Daten verarbeitet, braucht angemessene Maßnahmen unter Berücksichtigung des Stands der Technik — und nach Art. 32 Abs. 1 lit. d deren regelmäßige Überprüfung. Eine unkontrollierte Netzwerkgrenze ist der Punkt, an dem jede weitere Maßnahme im Zweifel wirkungslos bleibt.
Und die Praxis: Versicherer und Auftraggeber
Cyberversicherer und Ausschreibungen fragen in der Regel mehr ab als das Gesetz: EDR auf Servern und Endpunkten, Multi-Faktor, wiederherstellbare Sicherungen und einen geübten Ablauf für den Vorfall. Die firewallspezifischen Fragen kommen dort zuerst.
Vier Muster, die wir fast überall finden
- Im kleinen Büro erledigt das der Internet-Router. Nachvollziehbare Regeln, Netztrennung und Protokollauswertung sind dort meist nicht vorhanden — sie können aber auch nicht verlangt werden, wenn niemand sie liest.
- Wer die Verwaltungsoberfläche per Passwort aus dem Internet erreichbar lässt, hat die Netzwerkgrenze auf das Niveau eines einzelnen Kennworts reduziert. § 30 Abs. 2 Nr. 10 BSIG nennt Multi-Faktor-Authentifizierung als Mindestmaßnahme.
- Ein Netz für Büro, Produktion, Kassensystem und Gäste-WLAN: Jede kompromittierte E-Mail-Anlage erreicht dann jede Maschine im Haus. Die Trennung ist der Teil, der im Ernstfall zählt.
- Firewalls protokollieren zuverlässig — und niemand sieht hinein. Ohne Auswertung bleibt das Log eine Datei, die im Schadensfall den Schaden belegt, statt ihn zu verhindern.
Eine Firewall ist kein Kästchen im Netzplan. Sie ist die Antwort auf die Frage, was wohin darf.
Drei Schritte zur belastbaren Netzwerkgrenze
- Bestandsaufnahme
Netze, Nutzer, Dienste, Anforderungen an Erreichbarkeit: Was darf wohin? Das ergibt die Fragen, die das Regelwerk beantworten muss.
- Regelwerk begründet aufsetzen
Jede Regel bekommt einen Zweck und eine Ausnahme. Kein „alles erlaubt“ als Ausgangspunkt — Ausnahmen sind einzeln begründet und datiert.
- Betrieb und Nachweis
Firmware aktuell halten, Änderungen nachvollziehbar machen, Multi-Faktor für die Administration, Protokolle auswerten und die Wirksamkeit regelmäßig bewerten — § 30 Abs. 2 Nr. 6 BSIG verlangt genau das.
Häufige Fragen zur Firewall-Pflicht
Gibt es in Deutschland eine Firewall-Pflicht?
Ein Gesetz, das eine Firewall namentlich vorschreibt, gibt es nicht. Es gibt aber Pflichten, die praktisch darauf hinauslaufen: Für besonders wichtige und wichtige Einrichtungen nach dem BSIG verlangt § 30 Abs. 1 geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen; Abs. 2 verlangt den Stand der Technik und nennt zehn Mindestmaßnahmen, darunter Konzepte zur Risikoanalyse, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Daneben verlangt Art. 32 Abs. 1 DSGVO für jede Verarbeitung personenbezogener Daten angemessene Maßnahmen unter Berücksichtigung des Stands der Technik. Eine Firewall ist in beiden Fällen keine genannte Pflicht, sondern die übliche Umsetzung.
Bin ich von den NIS-2-Pflichten des BSIG betroffen?
Das hängt an Sektor und Größe des Unternehmens. Das BSIG unterscheidet seit der NIS-2-Umsetzung zwischen besonders wichtigen und wichtigen Einrichtungen; betroffene Einrichtungen müssen sich registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen nach § 30 BSIG umsetzen. Das BSI führt zu Betroffenheit und Registrierung eine eigene FAQ — die ist der belastbare erste Prüfschritt, nicht die Einschätzung des Dienstleisters.
Reicht die Firewall im Router für einen kleinen Betrieb?
Sie ist ein Anfang, aber selten der ganze Weg. Entscheidend ist, ob Netze getrennt sind (Büro, Produktion, Gäste), ob das Regelwerk begründet und nicht „alles erlaubt“ ist, wer die Oberfläche administrieren darf, ob die Firmware aktuell ist — und ob jemand die Protokolle auswertet. Eine Firewall ohne Auswertung zeigt niemandem etwas, auch nicht nach einem Vorfall.
Was verlangen Versicherer und Auftraggeber?
In der Praxis häufig mehr als das Gesetz: Cyberversicherer fragen nach dem verwendeten Schutz, nach EDR auf Servern und Endpunkten, nach Multi-Faktor-Authentifizierung, nach einer Sicherung, die sich wiederherstellen lässt, und nach einem geübten Ablauf für den Vorfall. Bei Ausschreibungen kommt die Dokumentation dazu. Wer die Maßnahmen einmal sauber aufgesetzt und dokumentiert hat, beantwortet diese Fragen in Minuten.
Was kostet eine Firewall für ein kleines Unternehmen?
Das lässt sich ohne Blick auf Netze, Nutzerzahlen und Anforderungen nicht seriös beantworten — Gerätekosten sind dabei meist der kleinere Teil. Der Aufwand liegt im Regelwerk, in der Einrichtung der getrennten Netze und in der laufenden Betreuung. Genau deshalb gehört die Bestandsaufnahme in den IT-Gesundheitscheck und nicht in ein Angebot aus der Ferne.
Prüfen Sie unsere bestehende Firewall?
Ja. Wir sehen uns Regelwerk, Firmware-Stand, Berechtigungen, Protokollierung und Netztrennung an und sagen Ihnen, was zuerst zu tun ist — mit Priorität und Aufwand, nicht mit einer Liste ohne Reihenfolge. Den Umfang legen wir vorher gemeinsam fest.
Was passiert, wenn eine Firewall fehlt?
Im Schadensfall stellt sich nicht die Frage nach dem Gerät, sondern nach der Organisation: Konnten Sie nachweisen, dass die Maßnahmen zum Risiko gepasst haben? Das ist der Maßstab, den § 30 BSIG und Art. 32 DSGVO anlegen. Fehlt eine kontrollierte Netzwerkgrenze, fehlt meistens nicht nur die Maßnahme, sondern auch jeder Nachweis darüber, was erreichbar war.
Wir sehen uns Ihre Netzwerkgrenze an
Im kostenlosen IT-Gesundheitscheck prüfen wir Netzaufteilung, Regelwerk, Firmware und Protokollierung — und sagen Ihnen, was zuerst zu tun ist. Wenn Sie die Details zur Betreuung suchen: Managed Firewall.
Oder direkt anrufen: 08141 – 509 123 40 · Mo–Fr 9:00–17:00 Uhr