WatchGuard Basic vs Total Security Suite: Welche Firebox-Lizenz lohnt sich?

Wer eine WatchGuard Firebox kauft, entscheidet gleichzeitig über die Lizenz, meist für ein bis drei Jahre. Kurz zu WatchGuard Basic vs Total Security Suite: Basic blockt bekannte Angriffe, Total erkennt zusätzlich unbekannte Malware per Sandbox, verknüpft Firewall und Endpoints und speichert Logs 365 statt 45 Tage.

Wer zu knapp lizenziert, hat bei einem Vorfall nach 45 Tagen keine Firewall-Logs mehr in der Cloud. Und ein Zero-Day-Anhang rutscht ohne Sandbox durch die Signaturprüfung. Dieser Vergleich zeigt, welche Funktionen nur die Total Security Suite enthält und für welche Betriebe sie sich rechnet. Modell, Suite und Laufzeit wählen Sie bei den Firewalls im Shop, Fragen beantworten wir über die Kontaktseite.

Was unterscheidet die Basic von der Total Security Suite bei WatchGuard?

Die Basic Security Suite enthält die klassischen UTM-Dienste: Intrusion Prevention, Gateway AntiVirus, Web-Filter, Application Control und Spam-Schutz. Die Total Security Suite ergänzt Sandboxing gegen unbekannte Malware (APT Blocker), DNS-Filterung, ThreatSync XDR, EDR Core, 365 statt 45 Tage Log-Aufbewahrung und Gold-Support. Basic schützt das Netz, Total hilft zusätzlich beim Erkennen und Aufarbeiten von Angriffen.

WatchGuard Basic vs Total Security Suite: die Funktionen im Überblick

Die Tabelle fasst die Angaben auf der WatchGuard-Übersicht der Security Services zusammen (Stand Oktober 2026).

Die Grundabwehr ist in beiden Paketen gleich. Total ergänzt Erkennung, Nachvollziehbarkeit und Gold-Support.

Wann reicht die Basic Security Suite?

Die Basic Security Suite deckt ab, was die meisten Betriebe von einer UTM-Firewall erwarten. IPS blockiert bekannte Angriffe auf Schwachstellen, Gateway AntiVirus prüft Downloads und WebBlocker sperrt schädliche oder unerwünschte Seiten. Mit Application Control legen Sie fest, welche Anwendungen ins Internet dürfen.

Basic passt gut zu diesen Fällen:

• kleine Standorte mit wenigen Arbeitsplätzen und einfachem Regelwerk
• Filialen, deren Logs ohnehin zentral in ein SIEM laufen
• Betriebe, deren Endpoints bereits ein EDR eines anderen Herstellers schützt
• Umgebungen ohne besondere Nachweispflichten bei Sicherheitsvorfällen

Die Grenze liegt bei bisher unbekannter Schadsoftware. Signaturen erkennen nur, was schon bekannt ist. Eine Sandbox fehlt in der Basic Security Suite.

Was bringt die Total Security Suite im Ernstfall?

Der APT Blocker schickt verdächtige Dateien in eine Cloud-Sandbox, also eine abgeschottete Testumgebung. Dort zeigt sich, ob die Datei sich wie Ransomware oder ein Trojaner verhält. So stoppt die Firewall auch Varianten, für die es noch keine Signatur gibt. DNSWatch blockiert Anfragen an schädliche Domains, bevor überhaupt eine Verbindung entsteht.

ThreatSync XDR bündelt Meldungen von Firewall und Endgeräten zu einem Vorfall. EDR Core überwacht Rechner laufend auf verdächtige Aktivität. Ein Beispiel: Die Firewall sieht Verbindungen zu einem Botnetz-Server, der Endpoint meldet zur gleichen Zeit einen auffälligen Prozess. XDR fasst beides zusammen und ermöglicht eine schnelle Reaktion. Wie das im Alltag aussieht, beschreibt der Beitrag zu WatchGuard ThreatSync XDR.

Für eine vollständige Endpoint-Abdeckung ergänzen viele Betriebe WatchGuard Endpoint Security Elite.

Der dritte Unterschied ist die Log-Aufbewahrung. Viele Angriffe fallen erst Wochen später auf. Ein Beispiel: Ein Phishing-Zugriff im Februar wird erst im April bemerkt. Mit 365 Tagen Logs lässt sich dann noch nachvollziehen, wann der erste Zugriff stattfand. Bei 45 Tagen fehlt dieser Teil der Spur.

Für Betriebe, die unter NIS2 fallen, erleichtert die längere Aufbewahrung die Aufarbeitung und Meldung von Vorfällen. Eine Garantie für Konformität ist sie allein nicht.

Prime Security Suite und Modellgrenzen: darauf achten

Für jüngere Modelle, die WatchGuard nach 2025 eingeführt hat, gibt es eine dritte Stufe: Die Prime Security Suite liegt zwischen Basic und Total. Sie enthält bereits APT Blocker, DNSWatch, Shadow AI und 90 Tage Log-Aufbewahrung. Betroffen sind laut Hersteller etwa Firebox T125, T145 oder T185. Im Konfigurator stehen Basic und Total, Prime fragen Sie über die Kontaktseite an.

Dazu kommen Modellgrenzen: IntelligentAV (nur Total) und das Access Portal (in allen Stufen) stehen laut WatchGuard auf Firebox T20/T20-W, T25/T25-W, T35-R und T115-W nicht zur Verfügung. Wer diese Funktionen braucht, plant eine größere Box ein. Welches Modell zu Ihrer Standortgröße passt, zeigt der Vergleich WatchGuard Firebox T25, T45 und T85.

Kosten richtig vergleichen: Laufzeit statt Jahrespreis

Der Preisunterschied zwischen den Suites hängt vom Modell und von der Laufzeit ab. Die gültigen Preise sehen Sie im Konfigurator der WatchGuard Firebox T-Serie, wo Sie Modell, Suite und Laufzeit wählen.

Vergleichen Sie die Gesamtkosten über drei Jahre. Rechnen Sie dagegen, was ein separates EDR, eine Sandbox oder ein externes Log-Archiv kosten würden. Wie sich Hardware und Lizenzen über die Laufzeit verteilen, erklärt der Beitrag Firewall Lizenzen Kosten.

Ein Wechsel von Basic auf Total ist beim Renewal, also der Verlängerung der Lizenz, möglich. Ob ein Upgrade während der Laufzeit geht, prüfen wir für Ihr Modell. Weitere Modelle und Lizenzen finden Sie im WatchGuard-Sortiment.

Häufige Fragen zu WatchGuard Basic und Total Security Suite

Enthält die Basic Security Suite einen Virenschutz?

Ja. Gateway AntiVirus prüft den Datenverkehr an der Firewall auf bekannte Schadsoftware. Eine Sandbox für unbekannte Dateien enthält erst die Total Security Suite, bei jüngeren Modellen auch die Prime Security Suite.

Kann ich später von Basic auf Total wechseln?

Ja, spätestens beim Renewal können Sie auf die Total Security Suite umsteigen. Ob ein Upgrade während der Laufzeit möglich ist, klären wir im Angebot.

Brauche ich für ThreatSync XDR zusätzliche Lizenzen?

ThreatSync XDR ist in der Total Security Suite enthalten. Damit XDR auch Endpoints auswertet, braucht es dort einen WatchGuard-Agenten. EDR Core ist in Total enthalten, den Umfang klären wir im Angebot.

Wie lange speichert WatchGuard Cloud die Firewall-Logs?

Laut WatchGuard 45 Tage mit Basic, 90 Tage mit Prime und 365 Tage mit der Total Security Suite. Reports bleiben 1 Tag (Basic), 7 Tage (Prime) oder 30 Tage (Total) verfügbar.

Funktioniert die Firebox auch ganz ohne Security Suite?

Mit Standard Support laufen Stateful Firewall, VPN und SD-WAN weiter. IPS, Virenschutz und Web-Filter fehlen dann aber. Für den Schutz am Internetzugang reicht das in der Regel nicht.

Fazit: Total für Erkennung und Nachweis, Basic für einfache Standorte

Die Basic Security Suite schützt solide gegen bekannte Bedrohungen und passt zu kleinen Standorten ohne besondere Nachweispflichten. Die Total Security Suite lohnt sich, sobald Sie unbekannte Malware abfangen, Vorfälle über Monate nachvollziehen oder Firewall und Endpoints gemeinsam auswerten wollen. Preise je Modell und Laufzeit zeigt der Konfigurator der Firebox T-Serie. Unsicher, welche Kombination aus Modell und Suite passt? Schreiben Sie uns über die Kontaktseite, wir prüfen Ihre Anforderungen.