Firewall Anforderungskatalog: 12 Fragen fürs Angebot

Drei Firewall-Angebote liegen auf dem Tisch, und das günstigste enthält ein Jahr Security-Lizenz, das höchste drei. Ohne Firewall Anforderungskatalog sieht das nach Rabatt aus. Tatsächlich fehlen dem Angebot zwei Lizenzjahre, die Sie später zum Preis der Verlängerung nachkaufen. Wer nach IT-Grundschutz arbeitet, muss vor dem Kauf ohnehin eine Anforderungsliste erstellen, an der die Produkte bewertet werden (BSI-Baustein NET.3.2, Anforderung A15). Dieser Leitfaden liefert die 12 Fragen dafür und zeigt, wie Sie Angebote für Geräte aus unserer Kategorie Firewalls (NGFW) vergleichbar machen.

Welche Kriterien gehören in den Anforderungskatalog für eine neue Firewall?

In den Anforderungskatalog gehören der benötigte Durchsatz mit aktiven Schutzfunktionen, die Schnittstellen, VPN und Standorte, Hochverfügbarkeit und die Pflicht-Sicherheitsdienste. Dazu kommen Verwaltung, Protokollierung und IPv6. Für den Angebotsvergleich entscheiden außerdem Support, Lizenzlaufzeit, das Verhalten bei Lizenzende und wie lange das Modell noch Updates bekommt.

Der Katalog beschreibt, was die Firewall leisten muss – nicht, welches Modell es wird. Die Modellwahl ist das Ergebnis des Vergleichs, nicht sein Ausgangspunkt.

Firewall ausschreiben: Muss- und Soll-Kriterien trennen

Öffentliche Ausschreibungen arbeiten oft mit zwei Stufen. Im ersten Schritt prüfen sie Ausschlusskriterien, erst danach werden Punkte für die übrigen Kriterien vergeben. Das lohnt sich auch für ein Unternehmen, das nur drei Angebote einholt.

Typische Muss-Kriterien (Ausschluss) für eine Firewall im Mittelstand:

• Durchsatz mit eingeschaltetem IPS und Malware-Schutz reicht für den Internetanschluss plus Reserve
• Administrationszugang lässt sich auf bestimmte Quell-Adressen beschränken und über ein eigenes Managementnetz führen
• Firmware-Updates sind für die gesamte Vertragslaufzeit zugesagt
• Hardwaretausch im Defektfall ist im Supportvertrag geregelt

Soll-Kriterien gewichten Sie: etwa zentrale Verwaltung mehrerer Standorte, Sandboxing oder eine bestimmte Reaktionszeit des Supports. So verliert ein Angebot nicht wegen einer Kür-Funktion, besteht aber auch nicht trotz einer fehlenden Pflicht-Funktion.

Öffentliche Auftraggeber müssen außerdem produktneutral ausschreiben. Oberhalb der EU-Schwellenwerte regelt das § 31 Abs. 6 VgV, darunter meist die UVgO oder Landesrecht. Auf bestimmte Produkte darf die Leistungsbeschreibung nur verweisen, wenn der Auftragsgegenstand das rechtfertigt oder sich die Leistung sonst nicht genau beschreiben lässt. Dann gehört der Zusatz „oder gleichwertig“ dazu. Welche Regeln im Einzelfall gelten, klärt die Vergabestelle.

Die 12 Fragen des Firewall Anforderungskatalogs

Die Tabelle fasst die Fragen zusammen und zeigt, was im Angebot schriftlich stehen sollte. Die letzte Spalte ist ein Vorschlag, den Sie an Ihren Bedarf anpassen. Mehrere Punkte stammen aus dem Baustein NET.3.2 Firewall des BSI (Edition 2023; das BSI löst das Kompendium derzeit durch Grundschutz++ ab).

Kurz erklärt – die Fachbegriffe aus der Tabelle:

• IPS: erkennt und blockiert Angriffsmuster im Datenverkehr
• TLS-Inspektion: entschlüsselt HTTPS-Verkehr kurz, um ihn zu prüfen
• Sandboxing: führt verdächtige Dateien isoliert aus und beobachtet sie
• Application Control: erkennt Anwendungen statt nur Ports
• SFP: Steckplatz für Glasfaser- oder Kupfermodule
• PoE: Stromversorgung über das Netzwerkkabel, etwa für Access Points
• Hochverfügbarkeit: ein zweites Gerät übernimmt bei Ausfall
• Syslog/SIEM: Protokolle zentral sammeln und auswerten
• IPv6-Erweiterungsheader: Zusatzfelder in IPv6-Paketen, die die Firewall mitprüfen muss

Bei Frage 1 passieren die meisten Fehler. Datenblätter nennen mehrere Werte, und der höchste gilt meist ohne Schutzfunktionen. Wie Sie den richtigen Wert ermitteln, zeigt unser Beitrag Firewall-Durchsatz berechnen. Verlangen Sie im Angebot außerdem die Messbedingungen, etwa Firmware-Version und Testverkehr. Die Werte hängen von Firmware-Version und Messverfahren ab, und ältere Datenblätter nennen teils andere Zahlen.

Frage 6 hat neben der Technik eine organisatorische Seite. Das BSI empfiehlt die temporäre Entschlüsselung, verweist aber ausdrücklich auf die rechtlichen Rahmenbedingungen. Klären Sie Ausnahmen etwa für Banking- oder Gesundheitsseiten vor der Bestellung, nicht danach.

Angebote vergleichbar machen: Laufzeit, Lizenzende, Support

Ein fairer Vergleich rechnet über die geplante Einsatzzeit. Drei Jahre sind ein guter Rahmen, weil Hersteller Schutzpakete häufig mit einem oder drei Jahren Laufzeit anbieten. Bitten Sie jeden Anbieter um denselben Zeitraum und dieselben Sicherheitsdienste.

Bei Frage 11 lohnt es sich, genau zu sein. Was ohne gültige Lizenz weiterläuft, hängt vom Hersteller ab. Häufig arbeiten Regelwerk, Routing und VPN weiter, während frische Signaturen, Web-Filter-Kategorien und Sandboxing entfallen. Details stehen in unserem Beitrag zu den Firewall-Lizenzen und ihren Kosten.

Auch die Lizenzpakete eines Herstellers unterscheiden sich stark. Bei WatchGuard etwa liegen zwischen Basic Security und Total Security Suite mehrere Schutzdienste, wie unser Vergleich der WatchGuard Security Suites zeigt. Schreiben Sie deshalb die Dienste in den Katalog, nicht den Paketnamen.

Beim Support zählt der Ablauf im Ernstfall. Wird ein defektes Gerät vorab ersetzt, oder erst nach Rücksendung? Wer spricht mit Ihnen, und in welcher Sprache? Eine Reaktionszeit ohne Angabe der Servicezeiten sagt wenig. Lassen Sie sich außerdem nennen, ob Firmware-Updates im Supportvertrag enthalten oder an eine eigene Lizenz gebunden sind.

Vom Katalog zum Angebot: so gehen Sie vor

Ein Katalog muss nicht lang sein, um zu wirken. Gehen Sie in dieser Reihenfolge vor:

1. Bestand aufnehmen: vorhandenes Modell, Anschluss, Standorte, Lizenzende der alten Firewall
2. Die 12 Fragen beantworten und in Muss und Soll einteilen
3. Gewichtung für die Soll-Kriterien festlegen, bevor Angebote eintreffen
4. Mindestens drei Angebote mit gleicher Laufzeit anfragen
5. Lücken schriftlich nachfragen, statt Annahmen zu treffen

Steht der Wechsel fest, hilft unser Leitfaden Firewall-Migration planen beim Umstieg. Und falls Ihr Unternehmen unter NIS2 fällt, gehören die NIS2-Anforderungen an die Firewall ebenfalls in den Katalog.

Für kleinere Standorte führen wir Desktop-Modelle wie die WatchGuard Firebox T-Serie ab 452,85 € und die Sophos XGS 87w ab 1.009,80 € (netto, Stand 05.11.2026). Prüfen Sie auch bei diesen Preisen, welche Lizenz und Laufzeit enthalten sind – das sind die Fragen 5 und 11. Die Palo Alto PA-440 bieten wir auf Anfrage passend zur Konfiguration an. Weitere Geräte finden Sie bei den Herstellern WatchGuard und Sophos.

Häufige Fragen zum Firewall Anforderungskatalog

Wie lang sollte ein Firewall Anforderungskatalog sein?

Für einen einzelnen Standort reichen meist zwei Seiten. Entscheidend ist, dass jede Anforderung prüfbar ist und als Muss oder Soll markiert wurde.

Darf ich im Katalog einen Hersteller vorgeben?

Private Unternehmen ohne Vergabepflicht dürfen das. Öffentliche Auftraggeber müssen produktneutral ausschreiben: oberhalb der EU-Schwellenwerte nach § 31 Abs. 6 VgV, darunter meist nach UVgO oder Landesrecht. Ein Produktverweis ist dann nur ausnahmsweise erlaubt, mit dem Zusatz „oder gleichwertig“.

Wie viele Angebote sollte ich einholen?

Mindestens drei, alle mit derselben Laufzeit und denselben Sicherheitsdiensten. Fehlende Angaben fragen Sie schriftlich nach.

Was sollte ich zur Laufzeit festlegen?

Legen Sie eine einheitliche Laufzeit für alle Angebote fest, zum Beispiel drei Jahre. Fragen Sie zusätzlich den Preis und den Starttermin der Verlängerung ab.

Hilft der Anforderungskatalog auch bei der Prüfung durch Auditoren?

Ja. Er dokumentiert, nach welchen Kriterien Sie ausgewählt haben. Im IT-Grundschutz ist eine solche Anforderungsliste Pflicht: NET.3.2.A15 führt sie als Basis-Anforderung.

Fazit: erst die Fragen, dann das Modell

Ein Anforderungskatalog macht aus drei unvergleichbaren Angeboten eine nachvollziehbare Entscheidung. Die 12 Fragen decken Leistung, Betrieb und Vertrag ab – und gerade die Vertragsfragen entscheiden über die Kosten im dritten Jahr. Schicken Sie uns Ihre Antworten über das Kontaktformular, dann gehen wir den Katalog mit Ihnen durch. Für eine erste Modellauswahl hilft der Produktberater.

Welche der 12 Fragen hätte Ihnen beim letzten Firewall-Kauf eine Überraschung erspart?