10G Firewall Uplink: Wann sich schnellere Ports im Mittelstand lohnen

Ein Gigabit-Uplink klingt nach viel. Bei 150 Arbeitsplätzen, nächtlichem Backup und Videokonferenzen ist er trotzdem schnell voll. Dann brechen Backup-Fenster ab, Videocalls ruckeln und der Cloud-Sync läuft bis in den Vormittag. Meist liegt das am Port, nicht an der Firewall. Ein 10G Firewall Uplink, also ein Anschluss mit 10 Gbit/s statt 1 Gbit/s, beseitigt diesen Engpass. Er lohnt sich nur, wenn Gerät und Lizenz den Durchsatz auch hergeben. Passende Modelle mit Datenblatt finden Sie in unserer Übersicht der Firewalls für Unternehmen. Dieser Ratgeber zeigt, woran Sie Ihren Bedarf erkennen.

Was ist ein 10G Firewall Uplink?

Ein 10G Firewall Uplink ist die Verbindung zwischen Firewall und Core-Switch mit 10 Gbit/s statt der üblichen 1 Gbit/s. Der Core-Switch ist der zentrale Verteiler im Netz. Die Verbindung läuft über SFP+-Module oder Direct-Attach-Kabel. Der Uplink transportiert den Verkehr zwischen internen Netzen, Servern und Internet. Er bestimmt damit, wie viel Datenverkehr an der Firewall ankommt. Wie viel sie davon prüft, hängt vom Threat-Prevention-Durchsatz ab.

Ab wann lohnt sich ein 10G Firewall Uplink?

Als Faustregel gilt: Erreichen die Lastspitzen regelmäßig 70 bis 80 Prozent der 1-Gbit/s-Leitung, etwa beim nächtlichen Backup oder beim Datei-Sync, ist ein 10G-Uplink sinnvoll. Der Durchschnittswert täuscht, entscheidend sind die Spitzen. Die Schwelle ist eine Planungsregel und keine Herstellerangabe. Ein 10G-Anschluss schafft Reserve, bevor die Pakete am Port stocken.

Uplink, Internetanbindung und Threat Prevention sind drei verschiedene Werte

Drei Zahlen werden im Angebot leicht verwechselt:

• Portgeschwindigkeit: Was der Anschluss physisch überträgt, zum Beispiel 1G oder 10G.
• Internetbandbreite: Was der Provider an der Leitung nach außen liefert.
• Threat-Prevention-Durchsatz: Was die Firewall schafft, wenn Intrusion Prevention (IPS, blockiert Angriffsmuster im laufenden Verkehr), Virenschutz und Anwendungserkennung gleichzeitig aktiv sind.

Der dritte Wert ist der entscheidende. Ein 10G-Port nützt wenig, wenn die Firewall mit eingeschalteten Schutzfunktionen nur einen Teil davon verarbeitet. Datenblätter nennen den Threat-Prevention-Durchsatz getrennt vom reinen Firewall-Durchsatz. Vergleichen Sie deshalb diesen Wert, nicht die Portgeschwindigkeit.

Wann reicht 1G, wann ist 10G sinnvoll?

Die Tabelle ordnet typische Situationen ein. Die Werte sind Richtwerte aus der Planungspraxis und ersetzen keine Messung im eigenen Netz.

Unsicher, in welche Zeile Ihr Netz fällt? Der Produktberater ordnet Ihre Situation in wenigen Minuten ein.

Welche Fehler passieren bei der Planung von 10G-Uplinks?

Diese vier Punkte tauchen bei der Planung immer wieder auf:

1. Nur auf den Port geschaut: Die Firewall hat 10G-Anschlüsse, schafft mit aktivem IPS aber nur einen Teil davon.
2. Modul und Kabel vergessen: 10G läuft über SFP+-Steckmodule (kleine austauschbare Transceiver für Glasfaser oder Kupfer), über Direct-Attach-Kabel (DAC, fest verbundene Kupferkabel für kurze Strecken im selben Rack) oder über 10GBASE-T-Module mit Cat6a-Kabel. Vorhandene Cat5e-Kabel genügen meist nicht. Die Module müssen zum Switch passen, und manche Hersteller schreiben eigene Module vor.
3. Switch bremst: Ein Core-Switch ohne 10G-Ports macht den Firewall-Uplink wertlos.
4. Wachstum ignoriert: Mehr Cloud-Traffic und verschlüsselter Verkehr erhöhen den Bedarf. Planen Sie die Reserve von zwei bis drei Jahren ein.

Welche Firewall-Modelle bieten 10G-Ports?

Bei Palo Alto Networks gehören unter anderem die PA-550 und die PA-1410 zu den Modellen mit 10G-fähigen Anschlüssen. Laut Datenblatt bietet die Palo Alto PA-550 SFP+-Ports mit wahlweise 1G oder 10G sowie ein RJ45-Bypass-Paar mit 1G. Ein Bypass-Portpaar hält den Verkehr bei Geräteausfall am Laufen. Ob Sie das im eigenen Netz einsetzen, gehört in die Projektplanung. Die Threat Prevention liegt bei 4,5 Gbit/s.

Die Palo Alto PA-1410 kommt als Gerät für eine Höheneinheit im Serverschrank mit vier SFP+-Ports bis 10G und vier PoE-Ports mit 151 W. Auch hier nennt das Datenblatt 4,5 Gbit/s Threat Prevention. Zum Vergleich: Die kleinere Palo Alto PA-460 bietet acht 1G-RJ45-Ports und 3,0 Gbit/s Threat Prevention. Sie passt zu Standorten, die ohne 10G auskommen.

Wer kleinere Standorte per SD-WAN anbindet, braucht meist keine 10G-Ports. Dort zählt der Threat-Prevention-Durchsatz. Die WatchGuard Firebox T-Serie ist als kompakte Tabletop-Firewall für kleine Standorte ausgelegt.

Was kostet ein 10G Firewall Uplink außer der Hardware?

Neben dem Gerät fallen vier Posten an: SFP+-Module oder DAC-Kabel, 10G-Ports am Core-Switch, Lizenz mit Support und gegebenenfalls ein zweites Gerät für Ausfallsicherheit. Den Preis bestimmt meist die Modellklasse, nicht der einzelne Port. Der Threat-Prevention-Wert gilt nur mit aktiven, lizenzierten Sicherheitsdiensten. Läuft das Abonnement aus, bekommt die Firewall keine Signatur-Updates mehr, und Schutzfunktionen wie IPS und Malware-Erkennung veralten. Kalkulieren Sie Hardware, Lizenz und Support deshalb gemeinsam über drei Jahre und lassen Sie sich alle drei Posten einzeln ausweisen.

Wie bestimmen Sie den Bedarf im eigenen Netz?

Messen Sie vor der Anschaffung den tatsächlichen Verkehr:

• Lesen Sie die Interface-Statistiken von Core-Switch und bisheriger Firewall über mindestens vier Wochen aus.
• Notieren Sie nicht den Durchschnitt, sondern die Spitzen zur Backup-Zeit und zu Stoßzeiten.
• Addieren Sie das geplante Wachstum von zwei bis drei Jahren, etwa neue Standorte oder Cloud-Migration.
• Schalten Sie in der Testphase IPS und Anwendungserkennung ein, bevor Sie messen.

Ein Rechenbeispiel zeigt den Effekt: Ein Backup von 2 TB braucht im 1G-Uplink rund viereinhalb Stunden, im 10G-Uplink unter einer Stunde. Voraussetzung ist, dass auch der Speicher diese Rate liefert. Das Ergebnis der Messung zeigt, ob ein 10G Firewall Uplink heute nötig ist oder ob ein Gerät mit 1G-Ports reicht.

FAQ: 10G-Uplinks an der Firewall

Reicht 1 Gbit/s für ein Unternehmen mit 100 Mitarbeitern?

Für reine Büroarbeit mit Cloud-Diensten reicht 1 Gbit/s bei 100 Mitarbeitern meist aus. Kommen lokale Dateiserver, tägliche Backups oder Virtualisierung dazu, liegt die Spitzenlast oft über 1 Gbit/s. Dann ist ein 10G-Uplink zum Core-Switch die sicherere Wahl. Messen Sie vorher die Spitzen, nicht den Durchschnitt.

Brauche ich für 10G spezielle Kabel?

Ja, 1G-Patchkabel reichen nicht. Üblich sind SFP+-Module mit Glasfaser, DAC-Kabel für kurze Strecken oder Cat6a-Kabel an 10GBASE-T-Ports. Prüfen Sie vorher, welche Portart Firewall und Switch tatsächlich haben.

Ist der 10G-Port gleich der Firewall-Leistung?

Nein. Der Port gibt nur die Übertragungsrate des Anschlusses an. Entscheidend ist der Threat-Prevention-Durchsatz mit aktiven Schutzfunktionen, den das Datenblatt getrennt ausweist. Ein 10G-Port an einem Gerät mit 3 Gbit/s Threat Prevention bleibt in der Praxis bei etwa 3 Gbit/s.

Kann ich 10G später nachrüsten?

Das hängt vom Modell ab. Prüfen Sie im Datenblatt, ob Erweiterungssteckplätze vorhanden sind. Wenn nicht, planen Sie die 10G-Ports von Anfang an ein.

Muss auch der Switch 10G können?

Ja, mindestens ein 10G-Uplink-Port am Core-Switch muss vorhanden sein. Sonst bleibt die Strecke bei 1G, egal was die Firewall kann. Prüfen Sie Portart und Modulkompatibilität vor der Bestellung.

Fazit: Erst messen, dann den Uplink wählen

Ein 10G-Uplink lohnt sich, wenn Backups, Server oder Standortverbindungen die Gigabit-Grenze regelmäßig erreichen. Entscheidend ist der Threat-Prevention-Durchsatz, nicht die Zahl der Ports. Nennen Sie uns Ihre Spitzenlast und die Zahl der Arbeitsplätze, dann empfehlen wir ein passendes Modell: im Produktberater oder direkt über die Kontaktseite.