Firewall Regelwerk aufräumen: 6 Altlasten, die jede Prüfung findet

Bei gewachsenen Regelwerken im Mittelstand stehen oft hunderte Regeln, deren Zweck niemand mehr kennt. Jede unerklärte Freigabe kann im Audit oder bei einem Angriff auffallen. Dazu wird jede Änderung riskanter, weil keiner weiß, was beim Löschen kaputtgeht. Beim Firewall Regelwerk aufräumen hilft eine feste Reihenfolge statt eines Großprojekts: inventarisieren, Treffer messen, Altlasten sortieren, in Stufen abschalten. Welche sechs Altlasten Prüfer immer finden und wie Sie sie sicher entfernen, zeigt dieser Beitrag.

Firewall Regelwerk aufräumen: Wie gehe ich bei einem gewachsenen Regelwerk vor?

Wie räume ich ein historisch gewachsenes Firewall-Regelwerk auf? historisch gewachsenes Firewall-Regelwerk auf?

Ein gewachsenes Regelwerk räumen Sie auf, indem Sie zuerst alle Regeln mit Zweck und Verantwortlichem dokumentieren und die Trefferzähler (sie zeigen, wie oft eine Regel greift) der letzten 90 Tage auslesen. Regeln ohne Treffer schalten Sie zunächst nur ab. Nach einer Beobachtungsphase von vier Wochen löschen Sie sie. Jede Änderung wird protokolliert, die vorherige Konfiguration vorab gesichert.

Die 6 Altlasten, die jede Prüfung findet

Bei Audits, Versicherungsabfragen und Penetrationstests tauchen immer dieselben Muster auf. Die folgende Tabelle fasst sie zusammen.

Altlast 1: Any-Any-Regeln und zu breite Freigaben

Eine der gefährlichsten Altlasten ist die Regel, die „mal eben“ alles erlaubt hat, um einen Fehler zu finden. Sie bleibt oft jahrelang aktiv. Bei den meisten Firewalls wertet das Gerät Regeln von oben nach unten aus und die erste passende gilt (bei WatchGuard im manuellen Modus; im Auto-Modus sortiert das System nach Spezifität). Steht eine breite Freigabe weit oben, laufen die strengen Regeln darunter ins Leere.

Prüfen Sie jede Regel mit „any“ bei Quelle, Ziel oder Dienst. Ersetzen Sie sie durch die tatsächlich genutzten Netze und Ports. Die Trefferprotokolle zeigen, welcher Verkehr wirklich fließt.

Altlast 2: Regeln ohne Treffer in 90 Tagen

Die Firewall zählt, wie oft jede Regel greift (Trefferzähler). Eine Regel mit null Treffern über 90 Tage wird meist nicht mehr gebraucht. Null Treffer heißt auch: Die Regel liegt womöglich hinter einer breiteren und wird nie erreicht. Ausnahme sind saisonale Dienste wie Jahresabschluss, Audit-Zugänge oder Notfallwege, die nur selten laufen. Fragen Sie vor dem Löschen gezielt beim Fachbereich nach.

Die Zähler beginnen nach einem Neustart oder Firmware-Update bei manchen Geräten wieder bei null. Prüfen Sie, seit wann sie laufen, bevor Sie Schlüsse ziehen. Sichern Sie die Zähler nicht dauerhaft, exportieren Sie sie regelmäßig oder werten Sie die Logdaten aus.

Altlast 3: Verwaiste Regeln für Server, die es nicht mehr gibt

Nach Umzügen, Cloud-Migrationen und Austausch alter Systeme bleiben Regeln für Adressen stehen, die niemand mehr nutzt. Wird eine solche IP-Adresse später neu vergeben, erbt das neue Gerät die alten Rechte. Gleichen Sie Ziel- und Quelladressen im Regelwerk mit dem aktuellen Server- und Geräte-Bestand ab. Auch Regeln auf alte Standorte und Dienstleister-Zugänge gehören dazu.

Altlast 4: Befristete Ausnahmen, die nie abliefen

„Nur bis Freitag“ heißt in der Praxis oft „für immer“. Typische Beispiele sind Fernwartungszugänge für Dienstleister, Portfreigaben für ein Projekt oder ein Test-VPN. Solche Regeln sind für Angreifer besonders attraktiv, weil sie häufig aus dem Internet erreichbar sind und selten überwacht werden.

Legen Sie für jede Ausnahme ein Ablaufdatum und einen Besitzer fest. Viele Firewalls erlauben zeitgesteuerte Regeln, sodass die Freigabe von selbst endet. Bei Fernwartung gilt außerdem: Zugang nur mit Zwei-Faktor-Anmeldung und nur von festen Adressen, wo das möglich ist.

Altlast 5: Doppelte und überdeckte Regeln

Über Jahre entstehen Regeln, die dasselbe tun oder von einer früheren Regel verdeckt werden. Eine überdeckte Regel wird nie erreicht, sieht aber im Regelwerk nach Schutz aus. Wer sie liest, glaubt an eine Beschränkung, die gar nicht greift. Viele Management-Oberflächen warnen vor Überdeckung oder bieten eine Analyse an. Fassen Sie gleiche Regeln zusammen und gruppieren Sie Adressen in Objekte, damit nicht jede Änderung an zehn Stellen nötig ist.

Altlast 6: Regeln ohne Beschreibung und Besitzer

Eine Regel ohne Kommentar kann niemand sicher entfernen. Das lähmt jedes Aufräumen. Führen Sie deshalb eine Mindestangabe für jede Regel ein:

• Zweck in einem Satz
• verantwortliche Person oder Abteilung
• Anlagedatum und gegebenenfalls Ablaufdatum
• Ticket- oder Auftragsnummer als Nachweis

Die Verantwortung für die Angaben muss bei einer Person liegen. Sonst veralten sie wie die Regeln selbst. Welche technischen Anforderungen NIS2 an die Firewall stellt, steht in unserem Beitrag NIS2-Anforderungen an die Firewall. Der BSI-Baustein NET.3.2 Firewall im IT-Grundschutz-Kompendium behandelt die regelmäßige Überprüfung der Filterregeln.

Ablauf: In 5 Schritten sicher aufräumen

1. Konfiguration sichern. Exportieren Sie die aktuelle Konfiguration als Datei. Sie ist Ihr Rückweg.
2. Inventur erstellen. Regelliste mit Treffern, Alter und Besitzer exportieren, Datenstand notieren.
3. Sortieren. Jede Regel in „behalten“, „eingrenzen“, „klären“ oder „abschalten“ einteilen. Prüfen Sie dabei auch, ob am Listenende eine Cleanup-Regel steht, die alles Übrige blockiert und protokolliert.
4. Abschalten statt löschen. Regeln deaktivieren, nicht entfernen. Vier Wochen beobachten und Meldungen der Fachbereiche sammeln.
5. Löschen und dokumentieren. Nach der Beobachtung entfernen, Änderungsprotokoll ablegen, Konfiguration erneut sichern.

Planen Sie das Aufräumen außerhalb von Stoßzeiten und nie am Freitagnachmittag. Ändern Sie pro Durchgang nur eine begrenzte Zahl von Regeln, damit sich ein Fehler zuordnen lässt. Terminieren Sie einen Wiederholungstermin, etwa vierteljährlich.

Wann das Aufräumen an die Grenze der Firewall stößt

Manche Geräte machen das Aufräumen mühsam: keine Trefferzähler pro Regel, keine Überdeckungsanalyse, keine zentrale Verwaltung mehrerer Standorte. Dann kostet die Pflege mehr Zeit als eine neue Plattform. Ein Wechsel lohnt sich auch, wenn der Hersteller keine Updates mehr liefert. Wie Sie ihn ohne lange Unterbrechung planen, steht in unserem Beitrag Firewall Migration planen. Für kleine und mittlere Standorte ist die WatchGuard Firebox T-Serie ein gängiger Ausgangspunkt. Ob die Größe passt, klärt Firewall-Durchsatz berechnen.

Firewall Regelwerk prüfen: Antworten auf die häufigsten Fragen

Wie oft sollte ich das Firewall-Regelwerk prüfen?

Mindestens einmal im Jahr, besser vierteljährlich. Zusätzlich nach jedem Umzug, jeder Migration und jedem Wechsel eines Dienstleisters. Eine kurze Prüfung der Regeln mit „any“ und der befristeten Ausnahmen lässt sich in unter einer Stunde erledigen.

Kann ich Regeln ohne Treffer sofort löschen?

Besser nicht. Deaktivieren Sie sie zunächst und warten Sie vier Wochen. Seltene Abläufe wie Jahresabschluss oder Wartungszugänge zeigen sich erst in diesem Zeitraum. Gelöschte Regeln lassen sich nur aus der Sicherung wiederherstellen.

Brauche ich ein Werkzeug für die Regelanalyse?

Für kleine Regelwerke reicht der Export aus der Verwaltungsoberfläche und eine Tabelle. Ab einigen hundert Regeln lohnt sich eine Analyse-Funktion, die Überdeckung und Doppelungen anzeigt. Viele Hersteller liefern sie in der zentralen Verwaltung mit.

Wer ist für das Regelwerk verantwortlich?

Das sollte eine benannte Person sein, meist die IT-Leitung oder der Informationssicherheitsbeauftragte. Fachbereiche bestätigen, ob ihre Freigaben noch gebraucht werden. Ohne feste Zuständigkeit wächst das Regelwerk wieder.

Hilft das Aufräumen bei der Cyber-Versicherung?

Versicherer fragen häufig nach Regelwerk-Prüfung, Fernzugängen und Zwei-Faktor-Anmeldung. Ein dokumentiertes Aufräumen erleichtert die Antworten. Eine Garantie für einen Vertragsabschluss ergibt sich daraus nicht.

Fazit: Mit Any-Regeln und Ausnahmen anfangen

Ein aufgeräumtes Regelwerk verkleinert die Angriffsfläche, macht Änderungen planbar und erleichtert Prüfungen. Beginnen Sie mit den Any-Regeln und den befristeten Ausnahmen, das sind die schnellsten Gewinne. Stößt Ihre Firewall dabei an Grenzen, finden Sie passende Geräte unter Firewalls für KMU und Unternehmen, Modelle der Hersteller bei WatchGuard und Sophos. Die laufenden Kosten sind in Firewall-Lizenzkosten aufgeschlüsselt. Nicht sicher, welches Modell zu Ihrem Standort passt? Fragen Sie uns direkt.