Firewall Migration planen: 7 Schritte mit minimalem Ausfall am Stichtag

Die meisten Firewall-Wechsel stolpern über fehlende Vorbereitung, die Hardware macht selten Probleme. Typisch ist der Freitagabend, an dem die alte Box ausgetauscht wird und am Montag die Buchhaltung nicht mehr aufs ERP kommt, weil eine vergessene NAT-Regel fehlt (NAT ist die Adressumsetzung, über die Dienste von außen erreichbar sind). Ein Ausfalltag kann bei 50 Mitarbeitenden je nach Betrieb schnell vierstellige Kosten verursachen. Wer eine Firewall Migration planen will, braucht deshalb vor allem eine saubere Regel-Inventur, einen Zeitplan und einen Rückweg. Kurzantwort: Neue Firewall vorab fertig konfigurieren und testen, am Stichtag nur umstecken, den Rückweg festlegen und vier bis sechs Wochen Vorlauf einplanen. Passende Geräte finden Sie in unserer Übersicht der Firewalls für KMU und Unternehmen.

Wie lässt sich eine Firewall Migration planen, ohne den Betrieb zu stoppen?

Ein Wechsel mit kurzer Unterbrechung gelingt, wenn die neue Firewall vorab komplett konfiguriert und getestet wird. Dazu gehören die Übernahme aller Regeln, ein Parallelaufbau im Testnetz und ein Wartungsfenster mit definiertem Rückweg. Am Stichtag werden nur noch Kabel umgesteckt. Bleibt die alte Firewall bis dahin aktiv, ist die Unterbrechung im Idealfall kurz.

Schritt 1: Bestand aufnehmen und Regeln ausmisten

Beginnen Sie mit dem Ist-Zustand. Exportieren Sie die Konfiguration der alten Firewall und listen Sie auf:

• alle Firewall-Regeln mit Quelle, Ziel, Dienst und Zweck
• NAT- und Port-Weiterleitungen (z. B. für Webserver, Kameras, Fernwartung)
• VPN-Verbindungen: Standortkopplungen und Zugänge für Mitarbeitende im Homeoffice
• VLANs (logisch getrennte Netze, z. B. Büro und Gäste), DHCP-Bereiche, Routing und DNS-Einstellungen
• Lizenzen und Abos mit Ablaufdatum

Die meisten Firewalls tragen nach Jahren Regeln, die niemand mehr kennt. Fragen Sie bei jeder Regel: Wer braucht sie noch? Ungenutzte Regeln migrieren Sie nicht, sondern dokumentieren und streichen sie. Das verkleinert die Angriffsfläche und beschleunigt den Wechsel.

Schritt 2: Anforderungen und Dimensionierung klären

Ein Wechsel ist die Gelegenheit, die Größe neu zu bestimmen. Wichtig ist der Durchsatz mit eingeschalteten Schutzfunktionen, nicht der Wert für reines Routing. Wie Sie diesen berechnen, zeigt unser Beitrag Firewall-Durchsatz berechnen. Prüfen Sie außerdem:

1. Anzahl der Benutzer und Geräte in den nächsten drei bis fünf Jahren
2. Bandbreite des Internetanschlusses und geplante Upgrades
3. benötigte Schnittstellen, etwa PoE (Strom über das Netzwerkkabel, z. B. für Kameras) oder 10G (Firewall mit PoE)
4. Verwaltung: lokal, zentral oder per Cloud
5. Anforderungen aus NIS2 oder Kundenverträgen (NIS2-Anforderungen an die Firewall)

Schritt 3: Gerät und Lizenz auswählen

Entscheiden Sie, ob Sie beim bisherigen Hersteller bleiben oder wechseln. Ein Hersteller-Wechsel bedeutet, dass die Regeln nicht automatisch übernommen werden, sondern von Hand oder per Konvertierungswerkzeug übertragen werden müssen. Das kostet Zeit, kann sich aber lohnen, wenn Lizenzkosten oder Funktionsumfang nicht mehr passen.

Zwei gängige Optionen für kleine und mittlere Unternehmen sind die WatchGuard Firebox T-Serie und die Sophos XGS 87w. Vergleichen Sie auch die Lizenzmodelle über die gesamte Laufzeit, siehe Firewall-Lizenzkosten. Mehr Modelle: WatchGuard · Sophos. Unsicher bei der Dimensionierung? Beratung anfragen.

Welche Vorbereitungen braucht die neue Firewall?

Vor dem Stichtag sollte die neue Firewall vollständig vorbereitet sein. Die folgende Tabelle zeigt als Richtwert, was wann erledigt sein muss; Lieferzeiten und Komplexität verschieben die Zeiten.

Schritt 4: Neue Firewall parallel aufbauen

Konfigurieren Sie die neue Firewall in einem getrennten Testnetz, ohne die laufende zu berühren. Übernehmen Sie Interfaces, VLANs, Regeln, NAT, VPN und die Schutzprofile. Prüfen Sie, ob die Lizenzlaufzeit mit der Aktivierung beginnt. Falls ja, aktivieren Sie kurz vor dem Test, aber nicht erst am Stichtag, denn Aktivierung und Signatur-Updates brauchen Zeit.

Stellen Sie die Zugangsdaten zum Gerät in Ihren Passwort-Tresor und aktivieren Sie die Zwei-Faktor-Anmeldung für die Administration. Sichern Sie die fertige Konfiguration als Datei. Sie ist Ihr Rückfallpunkt, falls am Stichtag etwas nachjustiert werden muss.

Schritt 5: Testen mit echten Anwendungen

Mit Testgeräten im Testnetz prüfen Sie, was im Alltag zählt:

• Internetzugriff, DNS und Mailversand
• Zugriff auf Fachanwendungen, ERP, Dateiserver und Drucker
• VPN-Einwahl und Standortkopplung
• eingehende Dienste wie Webserver oder Fernwartung
• Verhalten mit aktivierter Inspektion verschlüsselter Verbindungen (die Firewall prüft auch HTTPS-Verkehr)

Notieren Sie jedes Ergebnis. Aus dem Protokoll wird später Ihre Abnahme-Checkliste für den Stichtag.

Schritt 6: Stichtag und Wartungsfenster planen

Wählen Sie ein Fenster mit wenig Betrieb, etwa Freitagabend oder Samstagvormittag, und rechnen Sie Pufferzeit ein. Folgendes gehört in den Plan:

1. Wer wechselt, wer testet, wer ist Ansprechpartner für die Fachabteilungen?
2. Welche Dienste sind betroffen, und wer wurde informiert?
3. Wie lange darf der Wechsel dauern, bevor der Rückweg beginnt?
4. Welche Provider-Themen sind zu klären, etwa feste IP-Adressen oder die Umstellung der Zugangsdaten am Router?

Klären Sie mit dem Internetanbieter vorab, ob der Anschluss die neue Firewall ohne Anpassung akzeptiert. Manche Anschlüsse binden sich an die Geräte-MAC-Adresse oder brauchen feste IP-Adressen.

Schritt 7: Rollback bereithalten und danach nachziehen

Lassen Sie die alte Firewall mindestens eine Woche lang unverändert und sofort einsatzbereit im Schrank oder Rack. Der Rückweg besteht dann aus dem Zurückstecken der Kabel, nicht aus einer Neukonfiguration. Legen Sie vorher eine Abbruchbedingung fest, zum Beispiel: Läuft bis zu einer bestimmten Uhrzeit nicht jede Fachanwendung, wird zurückgesteckt.

Nach dem Wechsel werten Sie in den ersten Tagen die Logs aus. Blockierte Verbindungen, die legitime Anwendungen betreffen, zeigen sich dort schnell. Dokumentieren Sie die neue Konfiguration, löschen Sie erst nach der Beobachtungsphase die Konfiguration der alten Firewall und entsorgen Sie das Gerät datenschutzgerecht. Die Grundschutz-Empfehlungen des BSI helfen bei der Dokumentation.

Häufige Fehler beim Firewall-Wechsel

• Regeln blind kopieren: Alte Fehlkonfigurationen wandern in die neue Firewall.
• Lizenz zu spät klären: Die Schutzfunktionen fehlen dann am Stichtag.
• Kein Test mit Fachanwendungen: Der Ausfall zeigt sich erst am Montag.
• Kein Rollback: Ohne Rückweg wird aus einer Störung ein Notfall.
• Provider vergessen: Feste IP-Adressen oder Zugangsdaten passen nicht zur neuen Box.

Häufige Fragen zur Firewall Migration

Wie lange dauert eine Firewall-Migration?

Für ein kleines Unternehmen mit einem Standort gelten vier bis sechs Wochen von der Planung bis zum Stichtag als Richtwert. Der Wechsel selbst dauert bei guter Vorbereitung meist wenige Stunden. Mehrere Standorte oder komplexe VPN-Strukturen brauchen mehr Zeit.

Kann ich die Regeln beim Hersteller-Wechsel automatisch übernehmen?

Meist nicht vollständig. Zwischen verschiedenen Herstellern unterscheiden sich Regelmodelle und Schutzprofile. Konvertierungswerkzeuge helfen bei der Übernahme, ersetzen aber keine Prüfung von Hand. Planen Sie dafür Zeit ein.

Was passiert mit der Lizenz der alten Firewall?

Lizenzen sind häufig an die Seriennummer gebunden. Ob eine Übertragung möglich ist, hängt von Hersteller und Vertrag ab. Fragen Sie nach Übernahme- oder Tauschprogrammen und lassen Sie die alte Lizenz nicht automatisch verlängern.

Brauche ich einen Dienstleister für den Wechsel?

Nein, nicht zwingend. Bei einfachen Netzen kann die IT-Abteilung den Wechsel selbst durchführen. Bei mehreren Standorten, komplexer Segmentierung oder knapper Zeit lohnt sich Unterstützung, damit das Wartungsfenster eingehalten wird.

Wann ist der beste Zeitpunkt für den Wechsel?

Ideal ist die Zeit, bevor die Lizenz oder der Support der alten Firewall ausläuft, in einem Zeitraum mit geringer Auslastung. Vermeiden Sie Monatsabschlüsse und Urlaubszeiten, in denen niemand erreichbar ist.

Welche Firewall passt zu Ihrem Netz?

Firewall in wenigen Minuten auswählen: Sie beantworten Fragen zu Nutzerzahl und Anschluss und erhalten passende Modelle. Oder schildern Sie Ihr Vorhaben über das Kontaktformular, wir prüfen es unverbindlich.