Firewall Durchsatz berechnen 2026: So finden Sie die richtige Größe

Wer den Firewall-Durchsatz berechnen will, schaut meist zuerst auf die größte Zahl im Datenblatt – und kauft damit häufig eine Nummer zu klein. Denn dieser Wert gilt fast immer für reines Paketfiltern, nicht für den Betrieb mit Virenschutz, Angriffserkennung und URL-Filter, den Sie tatsächlich einschalten. Die Folge zeigt sich im Alltag: langsame Cloud-Anwendungen, abgebrochene VPN-Verbindungen und eine Neuanschaffung lange vor Ende der Abonnement-Laufzeit. Dieser Leitfaden zeigt in fünf Schritten, welcher Wert zählt und was Sie messen müssen. Am Ende leiten Sie daraus ein passendes Modell aus unseren Firewalls im Überblick ab – oder lassen sich Ihre Werte im Produktberater einordnen.

Wie berechne ich, welchen Firewall-Durchsatz mein Unternehmen braucht?

Addieren Sie die Bandbreite aller Internetleitungen und den Verkehr, der intern zwischen getrennten Netzen durch die Firewall läuft. Vergleichen Sie diese Summe mit dem Datenblattwert bei aktivierten Schutzfunktionen, nicht mit dem reinen Firewall-Durchsatz. Planen Sie Reserve für die gesamte Laufzeit ein und prüfen Sie zusätzlich Sitzungen und VPN.

Welcher Datenblattwert zählt: Firewall, Threat Prevention oder VPN?

Hersteller geben in der Regel drei bis vier Durchsatzwerte an. Sie klingen ähnlich, messen aber grundverschiedene Betriebszustände:

• Firewall-Durchsatz: Die Firewall lässt Pakete nur nach Regeln durch oder verwirft sie. Das ist der höchste Wert – und im Alltag kaum relevant.
• Threat-Prevention-Durchsatz: Virenschutz, Angriffserkennung (IPS) und weitere Prüfungen sind aktiv. Dieser Wert entspricht dem Betrieb, für den Sie die Firewall kaufen.
• IPsec-VPN-Durchsatz: verschlüsselter Verkehr zwischen Standorten oder zu Mitarbeitern im Homeoffice.
• Sitzungen: wie viele Verbindungen gleichzeitig offen sein dürfen und wie viele pro Sekunde neu entstehen.

Bei Palo Alto Networks liegt der Threat-Prevention-Wert laut Datenblatt je nach Modell zwischen etwa 45 und 70 Prozent des Firewall-Durchsatzes. Andere Hersteller benennen denselben Wert anders: WatchGuard spricht vom UTM-Durchsatz, Sophos vom Threat-Protection-Durchsatz. Das Prinzip bleibt gleich – vergleichen Sie immer den Wert mit eingeschalteten Schutzfunktionen.

Ein weiterer Faktor steht selten in der ersten Tabelle: die TLS-Entschlüsselung (auch SSL-Inspektion). Der Großteil des Webverkehrs ist heute verschlüsselt. Soll die Firewall hineinschauen, muss sie jede Verbindung ent- und wieder verschlüsseln – das kostet spürbar Leistung. Wer Entschlüsselung flächendeckend plant, sollte den Hersteller nach dem Wert für diesen Betrieb fragen oder großzügig Reserve einrechnen.

In 5 Schritten den Firewall-Durchsatz berechnen

Die Mitarbeiterzahl ist ein schlechter Maßstab. Zehn Konstrukteure mit großen CAD-Dateien erzeugen mehr Last als fünfzig Mitarbeiter im Büro. Rechnen Sie deshalb mit Ihrem tatsächlichen Verkehr:

1. Internetanbindung summieren: Addieren Sie die Bandbreite aller Leitungen, die an der Firewall enden – auch Zweit- und Backup-Leitungen, falls beide gleichzeitig genutzt werden.
2. Internen Verkehr erfassen: Trennen Sie Büro, Server, Produktion oder Gäste in eigene Netze (VLANs, also logisch getrennte Netzbereiche), läuft dieser Verkehr ebenfalls durch die Firewall. Gerade Backups und Dateizugriffe auf den Server übersteigen hier schnell die Internetleitung.
3. VPN-Bedarf bestimmen: Wie viele Standorte und Homeoffice-Nutzer sind gleichzeitig verbunden, und welche Datenmengen übertragen sie?
4. Sitzungen ablesen: Ihre bestehende Firewall zeigt im Dashboard, wie viele Sitzungen in Spitzenzeiten offen sind. Dieser Messwert ist verlässlicher als jede Pauschale.
5. Reserve für die Laufzeit einplanen: Abonnements laufen meist drei bis fünf Jahre. Die Firewall muss auch dann noch reichen, wenn die Leitung aufgerüstet wurde.

Die Summe aus Schritt 1 und 2 plus Reserve ist Ihr Zielwert für den Threat-Prevention-Durchsatz.

Rechenbeispiel: Firewall für einen Standort mit 60 Arbeitsplätzen

Ein fiktives, aber typisches Beispiel: Ein Unternehmen hat eine Glasfaserleitung mit 500 Mbit/s. Büro und Serverraum sind in getrennten Netzen, und die nächtliche Datensicherung sowie Dateizugriffe erzeugen in Spitzen bis zu 1 Gbit/s zwischen diesen Netzen.

Die Rechnung: 500 Mbit/s Internet plus 1 Gbit/s interner Verkehr ergibt rund 1,5 Gbit/s, die geprüft werden müssen. Eine PA-440 mit 1,2 Gbit/s Threat Prevention wäre damit bereits heute zu klein – obwohl ihr Firewall-Durchsatz von 2,4 Gbit/s zunächst reichlich wirkt. Die PA-450 mit 2,1 Gbit/s passt, lässt aber wenig Luft für eine spätere Leitung mit 1 Gbit/s. Mit Reserve für die Laufzeit landet der Standort eher bei der PA-460 oder der PA-550, die zusätzlich 10G-Anschlüsse für den Serverraum mitbringt.

Durchsatzwerte ausgewählter Palo-Alto-Modelle

Die folgende Tabelle zeigt Herstellerwerte aus den offiziellen Datenblättern (gemessen mit Anwendungsmix, PAN-OS 12.1 bzw. 12.2). Vollständige Angaben finden Sie in den Datenblättern der PA-400-, PA-500- und PA-1400-Serie.

Herstellerwerte entstehen unter Laborbedingungen. Sie eignen sich zum Vergleich zwischen Modellen, nicht als Garantie für Ihr Netz. Welche Baureihe zu welchem Standorttyp passt, erklärt unser Überblick über die Palo-Alto-Serien.

Typische Fehler bei der Firewall-Dimensionierung

Diese vier Punkte sehen wir in der Beratung am häufigsten:

• Nur die Internetleitung betrachtet: Sobald Netze getrennt werden, ist der interne Verkehr oft der größere Posten.
• Den höchsten Datenblattwert verglichen: Der reine Firewall-Durchsatz sagt wenig über den Betrieb mit Schutzfunktionen.
• Anschlüsse vergessen: Wer den Server mit 10 Gbit/s anbinden will, braucht SFP+-Ports (Steckplätze für Glasfaser- oder Kupfermodule). Die kleinen Modelle haben nur klassische 1G-Kupferanschlüsse, die PA-550 bringt dagegen zwei SFP+-Ports mit.
• Hochverfügbarkeit nicht eingeplant: Soll ein zweites Gerät übernehmen, wenn das erste ausfällt, verdoppeln sich Hardware und Abonnements.

Die Wahl des Herstellers ist davon unabhängig. Die gleiche Rechnung gilt für die WatchGuard Firebox T-Serie oder die Sophos XGS 87w. Wer Palo Alto mit anderen Anbietern vergleicht, findet die Unterschiede in Bedienung und Regelwerk in unserem Beitrag Palo Alto vs Fortinet. Alle 16 Palo-Alto-Modelle stehen auf der Palo-Alto-Herstellerseite.

Häufige Fragen

Reicht die Mitarbeiterzahl zur Auswahl einer Firewall?

Nein. Sie ist nur ein grober Anhaltspunkt. Entscheidend sind Leitungsbandbreite, interner Verkehr zwischen Netzen und die Zahl gleichzeitiger Sitzungen.

Warum ist der Threat-Prevention-Durchsatz so viel niedriger?

Weil die Firewall jedes Paket nicht nur weiterleitet, sondern auf Schadcode und Angriffsmuster prüft. Diese Prüfung kostet Rechenleistung.

Wie viel Reserve sollte ich einplanen?

So viel, dass die Firewall auch eine absehbare Leitungsaufrüstung innerhalb der Abonnement-Laufzeit trägt. Bei Unsicherheit lieber eine Stufe größer wählen.

Muss interner Verkehr durch die Firewall?

Nur, wenn Sie Netze getrennt filtern wollen. Genau das empfehlen aber NIS2 und viele Cyber-Versicherungen, etwa für Produktions- und Gastnetze.

Kann ich eine zu kleine Firewall später aufrüsten?

In der Regel nicht. Die Leistung hängt an der Hardware, ein Wechsel bedeutet ein neues Gerät und oft neue Abonnements.

Fazit: Messen statt schätzen

Wer den Firewall-Durchsatz berechnet statt nach Mitarbeiterzahl zu schätzen, kauft einmal die richtige Größe – ohne vorzeitigen Austausch. Maßgeblich ist der Wert mit aktivierten Schutzfunktionen, dazu der interne Verkehr und genug Reserve. Sie haben Ihre Werte ermittelt? Schildern Sie uns Leitung, Netzaufbau und Sitzungszahlen im Produktberater – Sie erhalten eine konkrete Modellempfehlung.