Firewall-Arten für Softwareentwickler einfach erklärt

Firewalls begegnen Dir als Entwickler an mehreren Stellen. Auf Deinem Linux-Rechner schützt eine Host-Firewall geöffnete Dienste. Im Firmennetz kontrolliert eine Gateway-Firewall den Datenverkehr zwischen Netzwerksegmenten. Eine Web Application Firewall schützt dagegen gezielt Webanwendungen. Diese Systeme werden alle als Firewall bezeichnet, erfüllen aber unterschiedliche Aufgaben. Ein direkter Vergleich von UFW, OPNsense und Cloudflare WAF wäre deshalb wenig sinnvoll.

In diesem Artikel erkläre ich Dir kompakt und schnell die Unterschiede. Wenn Dich das Thema interessiert, so findest Du zu allen Firewallarten auf IRC-Security.de eine ausführliche Erklärung zu allen Firewall-Arten.

Als Softwareentwickler solltest Du über die Grundfunktionen und Arten einige Eckdaten kennen. Egal, ob Du für eine Uni-Prüfung lernst, oder für die AP1 oder AP2 für Fachinformationer (Anwendungsentwiklung FIAE / Systemintegration FiSi oder Daten- und Prozessanalyse, FIDP ) der IT-Berufe.

Für Dich als Fachinformatiker Anwendungsentwicklung werden in AP1 und AP2 hauptsächlich Firewall-Grundlagen abgefragt. Konkrete Produkte wie OPNsense, pfSense oder FortiGate sind normalerweise kein eigener Lernstoff.

Was ist eine Firewall?

Kurz: Eine Firewall kontrolliert Netzwerkverkehr anhand definierter Regeln. Sie entscheidet beispielsweise anhand von IP-Adresse, Port, Protokoll, Verbindungsstatus oder Anwendung, ob Datenverkehr erlaubt oder blockiert wird.

Wichtige Grundbegriffe:

• IP-Adresse: Numerische Adresse eines Geräts oder Netzwerkanschlusses.
• Port: Logischer Endpunkt eines Netzwerkdienstes, beispielsweise Port 443 für HTTPS.
• Protokoll: Regelwerk für die Datenübertragung, beispielsweise TCP, UDP, HTTP oder DNS.
• TCP: Verbindungsorientiertes Transportprotokoll mit Bestätigung und Fehlerkontrolle.
• UDP: Verbindungsloses Transportprotokoll ohne garantierte Zustellung.
• Regel: Bedingung, die festlegt, welcher Netzwerkverkehr erlaubt, abgewiesen oder protokolliert wird.
• Policy: Grundsätzliche Vorgabe für den Umgang mit Netzwerkverkehr.
• Default Deny: Alles ist verboten, was nicht ausdrücklich erlaubt wurde.
• Default Allow: Alles ist erlaubt, was nicht ausdrücklich blockiert wurde.
• Logging: Aufzeichnung von Firewall-Ereignissen zur Kontrolle und Fehlersuche.

Funktionsweise von Firewall-Systemen (AP1/AP2-Relevanz)

Für die IHK-Prüfung in AP1 und AP2 solltest Du die grundlegende Funktionsweise von Firewalls kennen. Die folgenden Konzepte sind prüfungsrelevant. Also wie eine Firewall filtert, da zählen schon Paketfilter dazu, Whitelist, Blacklist und weitere Begriffe.

Paketfilterung

Eine Firewall untersucht jedes Netzwerkpaket anhand festgelegter Kriterien. Dazu gehören typischerweise:

• Quell- und Ziel-IP-Adresse
• Quell- und Ziel-Port
• Protokoll (TCP, UDP, ICMP)
• Verbindungsstatus (bei Stateful Firewalls)
• Richtung des Datenverkehrs (eingehend oder ausgehend)

Firewall-Platzierung

Firewalls werden an unterschiedlichen Stellen im Netzwerk eingesetzt:

• Host-Firewall: Läuft direkt auf einem Endgerät oder Server.
• Netzwerk-Firewall: Steht zwischen zwei oder mehr Netzwerksegmenten.
• Gateway-Firewall: Kontrolliert den Übergang zwischen einem internen Netz und dem Internet.

Sicherheitszonen

Firewalls trennen Netzwerke in Zonen mit unterschiedlichen Vertrauensstufen:

• Trust: Vertrauenswürdiges internes Netzwerk.
• Untrust: Nicht vertrauenswürdiges Netzwerk, meist das Internet.
• DMZ: Netzwerk für öffentlich erreichbare Server.

Regelverarbeitung

Firewall-Regeln werden in einer festgelegten Reihenfolge abgearbeitet. Die erste zutreffende Regel bestimmt, was mit einem Paket geschieht. Deshalb ist die Reihenfolge der Regeln wichtig.

Default Policy

Die Standardrichtlinie legt fest, was passiert, wenn keine Regel zutrifft:

• Default Deny: Nicht ausdrücklich erlaubter Verkehr wird blockiert. Dies ist die sicherere Einstellung.
• Default Allow: Nicht ausdrücklich blockierter Verkehr wird erlaubt.

NAT (Network Address Translation)

NAT übersetzt private IP-Adressen in öffentliche Adressen. Dadurch können mehrere Geräte im internen Netz über eine gemeinsame öffentliche Adresse kommunizieren. NAT ist keine Sicherheitsfunktion im eigentlichen Sinn, wird aber oft in Verbindung mit Firewalls eingesetzt.

Typische AP1/AP2-Fragen mit Antworten

Frage: Was ist der Unterschied zwischen einer stateful und einer stateless Firewall?

Eine stateless Firewall prüft jedes Paket einzeln, ohne den Verbindungsstatus zu speichern. Eine stateful Firewall speichert den Zustand aktiver Verbindungen und kann Antwortpakete einer erlaubten Verbindung automatisch zuordnen.

Frage: Was versteht man unter einer DMZ?

Eine DMZ (Demilitarized Zone) ist ein getrenntes Netzwerk für Server, die aus dem Internet erreichbar sein müssen. Sie steht zwischen dem vertrauenswürdigen internen Netz und dem Internet, sodass ein Angriff auf einen öffentlichen Server nicht direkt ins interne Netz durchdringen kann.

Frage: Welche Aufgabe hat eine Default Policy?

Die Default Policy legt fest, was passiert, wenn keine Firewall-Regel auf ein Paket zutrifft. Bei Default Deny wird nicht ausdrücklich erlaubter Verkehr blockiert — dies ist die sicherere Einstellung. Bei Default Allow wird nicht ausdrücklich blockierter Verkehr erlaubt.

Frage: Was beschreibt das Prinzip Defense in Depth?

Defense in Depth bedeutet, mehrere voneinander unabhängige Schutzmaßnahmen zu kombinieren. Eine einzelne Firewall deckt nicht alle Sicherheitsbereiche ab. Erst die Kombination aus Host-Firewall, Netzwerk-Firewall, DNS-Filter, WAF und Monitoring ergibt einen umfassenden Schutz.

Frage: Was ist der Unterschied zwischen einer Host-Firewall und einer Netzwerk-Firewall?

Eine Host-Firewall läuft direkt auf einem Endgerät oder Server und schützt dessen Netzwerkzugänge. Eine Netzwerk-Firewall steht zwischen zwei oder mehr Netzwerksegmenten und kontrolliert den Verkehr zwischen ihnen.

Stateful und Stateless Firewalls

• Eine Stateless Firewall prüft jedes Paket einzeln. Sie berücksichtigt nicht automatisch, ob das Paket zu einer bereits bestehenden Verbindung gehört.

• Eine Stateful Firewall speichert den Zustand aktiver Verbindungen. Antwortpakete einer erlaubten Verbindung können dadurch automatisch zugeordnet werden.

Der gespeicherte Verbindungszustand wird als Connection Tracking bezeichnet. Moderne Betriebssystem- und Router-Firewalls arbeiten normalerweise zustandsbehaftet.

Host-Firewalls unter Linux

Eine Host-Firewall läuft direkt auf einem Rechner und schützt dessen Netzwerkzugänge. Sie kontrolliert beispielsweise, ob ein Webserver, eine Datenbank oder ein SSH-Dienst aus dem Netzwerk erreichbar ist.

Unter Linux übernimmt das Kernel-Subsystem Netfilter die Verarbeitung und Filterung von Netzwerkpaketen.

nftables

NFTables hast Du sicher schon oft gelesen, ggf. in Verbindung mit iptables

nftables ist das moderne Linux-System zur Konfiguration von Paketfilterung, NAT und weiteren Netzwerkregeln. Es verwaltet Regeln in Tabellen und Ketten.

• Tabelle: Container für zusammengehörige Firewall-Regeln.
• Kette oder Chain: Geordnete Liste von Regeln für einen bestimmten Verarbeitungspunkt.
• Hook: Stelle im Netzwerkstack, an der eine Kette ausgeführt wird.
• NAT: Network Address Translation, also die Übersetzung von Netzwerkadressen.
• Masquerading: Form von Source NAT, bei der interne Geräte über die öffentliche Adresse des Routers kommunizieren.

nftables eignet sich für Server, Container-Hosts, Router und individuelle Firewall-Konfigurationen.

Empfehlung: Wann nftables?

• Server-Administratoren und DevOps-Engineers, die präzise Kontrolle über Paketfilterung brauchen
• Entwickler mit eigenen Linux-Servern oder Container-Hosts
• Netzwerk-Engineers, die NAT, Masquerading oder komplexe Routing-Szenarien konfigurieren
• Weniger geeignet für Einsteiger ohne Linux-Kenntnisse

iptables

iptables ist das ältere Verwaltungswerkzeug für Linux-Firewall-Regeln. Viele vorhandene Skripte und Anleitungen verwenden es weiterhin. Bei neuen Projekten sollte normalerweise nftables bevorzugt werden, aber Du solltest mit iptables umgehen können.

iptables und nftables sind keine vollständigen Firewall-Programme mit eigener Verwaltungsoberfläche. Sie konfigurieren die Paketfilterung des Linux-Kernels.

Aber sie retten Dein Leben, wenn nicht jedes Paket in Dein System findet.

UFW

UFW, ausgeschrieben Uncomplicated Firewall, vereinfacht die Konfiguration einer Linux-Firewall.

Eine Regel wie:

sudo ufw allow 22/tcp

'''

erlaubt eingehende TCP-Verbindungen auf Port 22, der üblicherweise für SSH verwendet wird.

SSH, ausgeschrieben Secure Shell, ermöglicht den verschlüsselten Fernzugriff auf einen Rechner.

UFW eignet sich besonders für einzelne Linux-Rechner und kleinere Server. Für komplexe Router-Regeln, mehrere Zonen oder umfangreiche Netzwerksegmentierung ist es weniger komfortabel.

#### Empfehlung: Wann UFW?

- **Einsteiger** und **Entwickler**, die schnell eine grundlegende Firewall auf einem Linux-Rechner brauchen
- **Homelab-Nutzer** mit einzelnen Servern wie Raspberry Pi oder VPS
- **Studenten**, die sich an eine Linux-Firewall herantasten wollen
- Weniger geeignet für Unternehmensnetzwerke mit mehreren Zonen

#### firewalld

firewalld ist ein Firewall-Manager, der vor allem bei Fedora, Red Hat Enterprise Linux und verwandten Distributionen eingesetzt wird. Er verwendet Zonen, um Netzwerkschnittstellen oder Quellen unterschiedlichen Vertrauensstufen zuzuordnen.

##### Typische Zonen sind:

- **public**: Nicht vertrauenswürdiges öffentliches Netzwerk.
- **home:** Vergleichsweise vertrauenswürdiges Heimnetz.
- **internal:** Internes Unternehmens- oder Servernetz.
- **trusted:** Netzwerkverkehr wird weitgehend akzeptiert.
- **drop:** Nicht ausdrücklich erlaubter Verkehr wird verworfen/gedroppt.

**firewalld** verwendet bei aktuellen Installationen nftables als Backend.
Es kann distributionen geben, bei denen ggf. noch iptables genutzt wird. 

> Ein Backend ist die technische Komponente, welche die eigentlichen Regeln umsetzt.

#### Empfehlung: Wann firewalld?

- **Unternehmens-Administratoren** mit Fedora, RHEL, CentOS oder Rocky Linux
- **Server-Administratoren** in Unternehmensumgebungen, die Zonen-basierte Verwaltung brauchen
- **Entwickler** auf Red-Hat-basierten Distributionen
- Weniger geeignet für Ubuntu/Debian-Systeme (dort ist UFW verbreiteter)

<AdSlot position="article-middle" />

## Netzwerk- und Gateway-Firewalls

Eine Netzwerk-Firewall schützt nicht nur einen einzelnen Rechner. 
Sie kontrolliert den Verkehr zwischen vollständigen Netzwerken.

Als Gateway wird ein System bezeichnet, das Datenverkehr zwischen unterschiedlichen Netzwerken weiterleitet. 
Im Heimnetz übernimmt meistens der Router diese Aufgabe.

#### Typische Einsatzbereiche sind:

- Trennung von LAN, WLAN, Servern und IoT-Geräten
- Kontrolle des Internetzugangs
- Weiterleitung von Ports
- Aufbau von VPN-Verbindungen
- Verwaltung mehrerer Internetanschlüsse
- Protokollierung des Netzwerkverkehrs

LAN bezeichnet das lokale Netzwerk. IoT steht für Internet of Things und umfasst vernetzte Geräte wie Kameras, Sensoren oder smarte Steckdosen.
Ich erwähne dies, da diese Begriffe oft in Prüfungen abgefragt werden. Du solltest sie kennen. 


### Vollständige Firewall- und Router-Distributionen

Eine Firewall-Distribution ist ein vollständiges Betriebssystem, das speziell als Router und Firewall entwickelt wurde. Es wird auf einem eigenen Rechner, einer Appliance oder einer virtuellen Maschine installiert.

Eine Appliance ist ein Gerät, dessen Hard- und Software für eine bestimmte Aufgabe zusammengestellt wurden.

## OPNsense

OPNsense ist eine FreeBSD-basierte Firewall- und Router-Distribution mit Weboberfläche.
Aktuell liest Du von OPNSense  viel in Fachforen und sozialen Medien. 


Sie unterstützt unter anderem:

- Stateful Firewall
- NAT
- VLANs
- DHCP
- DNS
- VPN
- Multi-WAN
- Traffic Shaping
- IDS und IPS
- Plugins


FreeBSD ist ein Unix-artiges Betriebssystem und kein Linux.
VLAN, ausgeschrieben Virtual Local Area Network, trennt mehrere logische Netzwerke auf derselben physischen Infrastruktur.
DHCP verteilt automatisch IP-Adressen und weitere Netzwerkeinstellungen.
DNS übersetzt Domainnamen wie irc-coding.de in IP-Adressen.
VPN, ausgeschrieben Virtual Private Network, stellt eine verschlüsselte Verbindung zu einem entfernten Netzwerk her.
Multi-WAN ermöglicht die Verwendung mehrerer Internetanschlüsse.
Traffic Shaping priorisiert oder begrenzt Netzwerkverkehr.



**OPNsense** verwendet **PF**, den Paketfilter aus der BSD-Welt. 
Der integrierte DNS-Resolver Unbound kann Domains rekursiv auflösen und über Blocklisten sperren.

### Empfehlung: Wann OPNsense?

- **Homelab-Nutzer** und **Entwickler**, die ein eigenes Netzwerk mit VLANs und VPN betreiben
- **Kleine bis mittlere Unternehmen**, die eine mächtige Open-Source-Firewall ohne Lizenzkosten suchen
- **Security-Enthusiasten**, die IDS/IPS und DNS-Filterung in einer Oberfläche wollen
- Weniger geeignet für Einsteiger ohne Netzwerkgrundkenntnisse

## pfSense

pfSense ist ebenfalls eine FreeBSD-basierte Firewall- und Router-Distribution. 
Auch diese wird sehr stark in den Fachforen empfohlen und beworben und gilt ebenfalls als mächtig. 

Sie wird als pfSense Community Edition und als kommerziell unterstützte pfSense-Plus-Variante angeboten.

Der Funktionsumfang umfasst unter anderem:

- Firewall und NAT
- VLANs
- VPN
- Multi-WAN
- Captive Portal
- Traffic Shaping
- Hochverfügbarkeit
- Erweiterungspakete

Ein **Captive Portal** ist eine vorgeschaltete Anmeldeseite, wie sie in Gäste-WLANs verwendet wird.
Hochverfügbarkeit bedeutet, dass ein zweites System den Betrieb übernehmen kann, wenn die primäre Firewall ausfällt.
Das Erweiterungspaket **pfBlockerNG** ergänzt pfSense um IP- und DNS-basierte Blocklisten.

### Empfehlung: Wann pfSense?

- **Unternehmen**, die kommerziellen Support und eine Plus-Variante mit Zertifikationen brauchen
- **Homelab-Nutzer**, die eine bewährte Lösung mit großer Community suchen
- **Bildungseinrichtungen** und **MSP**, die Hochverfügbarkeit und Captive Portal nutzen
- Weniger geeignet für Nutzer, die eine rein Open-Source-Lösung ohne kommerzielle Aspekte wollen

<AdSlot position="article-middle" />

## IPFire

IPFire ist eine eigenständige Linux-basierte Firewall-Distribution. 
Sie richtet sich vor allem an kleine und mittlere Netzwerke.

**IPFire** arbeitet mit farblich benannten Netzwerkzonen:

- RED: Nicht vertrauenswürdiges Netzwerk, normalerweise das Internet.
- GREEN: Internes vertrauenswürdiges Netzwerk.
- BLUE: Separates WLAN.
- ORANGE: Demilitarisierte Zone für öffentlich erreichbare Dienste.

Eine DMZ, ausgeschrieben **Demilitarized Zone** ( prüfungsrelevant ! ), ist ein getrenntes Netzwerk für Server, die aus dem Internet erreichbar sein müssen.

### Empfehlung: Wann IPFire?

- **Kleine Netzwerke** und **Homelabs**, die eine einfache Zonentrennung (RED/GREEN/BLUE/ORANGE) wollen
- **Bildungseinrichtungen**, die ein anschauliches Firewall-Konzept lehren
- **Einsteiger**, die das Zonen-Konzept praktisch verstehen wollen
- Weniger geeignet für große Unternehmensnetzwerke oder komplexe Routing-Szenarien

## OpenWrt

OpenWrt ist eine Linux-Distribution für Router und eingebettete Geräte. 
Sie ersetzt auf unterstützter Hardware die Hersteller-Firmware.

OpenWrt eignet sich für:

- Router
- Access Points
- VLANs
- VPN
- Firewall-Regeln
- zusätzliche Netzwerkpakete

Wie würdest Du in einer mündlich Prüfung Firmware beschreiben, ohne den folgesatz zu lesen ( Stufe very easy) ? 

Eine Firmware ist die hardwarenahe Software eines Geräts. 
Ein Access Point stellt WLAN-Verbindungen bereit und verbindet sie mit dem kabelgebundenen Netzwerk.

### Empfehlung: Wann OpenWrt?

- **Bastler** und **Homelab-Nutzer** mit kompatibler Router-Hardware
- **Entwickler**, die die Hersteller-Firmware durch eine Open-Source-Lösung ersetzen wollen
- **Community-Projekte** wie Freifunk, die offene Netzwerke betreiben
- Weniger geeignet für Unternehmensumgebungen ohne Hardware-Kontrolle

## VyOS

**VyOS** ist ein Linux-basiertes Netzwerkbetriebssystem mit Schwerpunkt auf Routing, VPN und Automatisierung. 
Es wird hauptsächlich über eine strukturierte Kommandozeile konfiguriert.

VyOS unterstützt unter anderem:

- statisches und dynamisches Routing
- Firewall-Regeln
- NAT
- VPN
- DHCP und DNS
- BGP und OSPF
- Konfigurationsautomatisierung

Dynamisches Routing ermöglicht Routern, Netzwerkwege **automatisch** auszutauschen.
BGP wird unter anderem für den Austausch von Routen zwischen großen Netzwerken und Internetprovidern verwendet.
OSPF verteilt Routinginformationen innerhalb eines organisatorisch zusammengehörigen Netzwerks.

**VyOS** ist für Netzwerklabore, virtuelle Router und automatisierte Infrastrukturen interessant. Für Einsteiger ist es weniger komfortabel als OPNsense oder pfSense.

### Empfehlung: Wann VyOS?

- **Netzwerk-Engineers** und **ISP**, die dynamisches Routing mit BGP und OSPF konfigurieren
- **Entwickler**, die virtuelle Router in Laboren oder CI/CD-Pipelines automatisieren
- **Cloud-Infrastruktur-Teams**, die Routing-as-Code betreiben
- Weniger geeignet für Einsteiger oder reine Heimnetzwerke

<AdSlot position="article-middle" />

## Integrierte Router- und Netzwerkplattformen

Netzwerkplattformen kombinieren Gateway, Firewall, Switches, WLAN und zentrale Verwaltung. 
Sie sind stärker an einen Hersteller und dessen Hardware gebunden.

## Ubiquiti UniFi

**UniFi** ist eine Netzwerkplattform von Ubiquiti. 
Sie umfasst Gateways, Switches, Access Points, Kameras und eine zentrale Verwaltungssoftware.

UniFi bietet unter anderem:

zonenbasierte Firewall-Regeln
VLAN-Verwaltung
VPN
DNS- und Inhaltsfilter
Verwaltung von Switches und WLAN
Netzwerkstatistiken

Der Vorteil liegt in der einheitlichen Oberfläche. Die Konfigurationsfreiheit ist geringer als bei einer selbst zusammengestellten Linux- oder OPNsense-Lösung.

### Empfehlung: Wann UniFi?

- **KMU** und **größere Homelabs**, die ein einheitliches Netzwerk aus Gateway, Switches und WLAN wollen
- **Organisationen**, die zentrale Verwaltung ohne tiefes Netzwerkwissen schätzen
- **Entwickler** mit Smart-Home- oder IoT-Setup, die VLANs visuell verwalten wollen
- Weniger geeignet für Nutzer, die maximale Konfigurationsfreiheit brauchen

### MikroTik RouterOS

RouterOS ist das Linux-basierte Netzwerkbetriebssystem von MikroTik. 
Es läuft hauptsächlich auf MikroTik-Geräten, ist aber auch für PCs und virtuelle Maschinen verfügbar.

RouterOS unterstützt:

- Routing
- Stateful Firewall
- NAT
- VLANs
- VPN
- WLAN
- Hotspots
- Bandbreitensteuerung
- dynamische Routingprotokolle

Die Konfiguration ist sehr umfangreich, setzt aber mehr Netzwerkwissen voraus als typische Heimrouter.

### Empfehlung: Wann MikroTik RouterOS?

- **ISP** und **Netzwerk-Profis**, die leistungsfähige Hardware zu günstigen Preisen brauchen
- **Budget-bewusste Unternehmen** und **Homelab-Nutzer**, die Features wie BGP und OSPF nutzen wollen
- **Entwickler** in Regionen, in denen MikroTik-Hardware weit verbreitet ist
- Weniger geeignet für Nutzer, die eine einfache Weboberfläche ohne CLI-Erfahrung wollen

## TP-Link Omada

Omada ist eine zentral verwaltete Netzwerkplattform von TP-Link. Sie umfasst Gateways, Switches, Access Points und Controller.

Ein Controller ist eine zentrale Verwaltungsinstanz für mehrere Netzwerkgeräte.

Omada richtet sich vor allem an kleinere Unternehmen, Büros und größere Heimnetzwerke. Der Schwerpunkt liegt auf zentraler Verwaltung und einem aufeinander abgestimmten Hardware-Ökosystem.

### Empfehlung: Wann TP-Link Omada?

- **Kleinere Unternehmen** und **Büros**, die ein einfach verwaltbares Netzwerk suchen
- **Größere Heimnetzwerke**, die mehr als ein Standard-Router bieten sollen
- **Installateure**, die ein Preis-leistungs-starkes Ökosystem brauchen
- Weniger geeignet für fortgeschrittene Nutzer mit speziellen Routing-Anforderungen

<AdSlot position="article-middle" />

## Next-Generation Firewalls
Dieser Begriff ist eher prüfungswürdig und man liest ihn oft, Du solltest grob wissen, was damit gemeint ist. 

Eine Next-Generation Firewall, kurz NGFW, kombiniert klassische Paketfilterung mit zusätzlichen Sicherheitsfunktionen.

Dazu gehören:

- Erkennung von Anwendungen
- IDS und IPS
- Webfilter
- Malware-Erkennung
- Benutzerzuordnung
- TLS-Inspection
- zentrale Richtlinienverwaltung

IDS, ausgeschrieben Intrusion Detection System, erkennt verdächtigen Netzwerkverkehr und meldet ihn.
IPS, ausgeschrieben Intrusion Prevention System, kann erkannten schädlichen Verkehr zusätzlich blockieren.
TLS-Inspection entschlüsselt kontrolliert verschlüsselten Datenverkehr, prüft ihn und verschlüsselt ihn erneut. Dafür müssen die Endgeräte der Zertifizierungsstelle der Firewall vertrauen. Der Einsatz ist technisch, rechtlich und datenschutzrechtlich sorgfältig zu planen.

Bekannte NGFW-Anbieter sind Fortinet, Palo Alto Networks, Sophos, Check Point und Cisco.

## Web Application Firewalls

Eine Web Application Firewall, kurz WAF, schützt gezielt Webanwendungen und APIs. 
Sie analysiert HTTP- und HTTPS-Anfragen.

Eine WAF kann beispielsweise Angriffe erkennen oder blockieren:

SQL-Injection: Einschleusen manipulierter SQL-Befehle in Datenbankabfragen.
Cross-Site Scripting: Einschleusen von JavaScript in Webseiten.
Path Traversal: Zugriff auf Dateien außerhalb des vorgesehenen Verzeichnisses.
Bot-Traffic: Automatisierte Anfragen durch Programme.
HTTP-Flood: Überlastung einer Anwendung durch sehr viele HTTP-Anfragen.
HTTP ist das Übertragungsprotokoll des Webs. HTTPS ergänzt HTTP um TLS-Verschlüsselung.
API steht für Application Programming Interface und bezeichnet eine Schnittstelle, über die Programme Daten und Funktionen austauschen.

> All diese Begriffe sollten nicht neu für sein, wenn doch, dann lerne sie. Dies sind reguläre IT-Begriffe aber auch typischer Prüfungsstoff ( AP1/AP2 und Informatik-Prüfungen)


Bekannte WAF-Lösungen sind ModSecurity, Coraza, Cloudflare WAF, AWS WAF und Azure Web Application Firewall.

**Eine WAF ersetzt keine Netzwerk- oder Host-Firewall.**

## Cloud-Firewalls

Cloud-Plattformen stellen eigene Mechanismen zur Filterung virtueller Netzwerke bereit.

Beispiele sind:

- AWS Security Groups
- AWS Network ACLs
- Azure Network Security Groups
- Azure Firewall
- Google Cloud Firewall Policies

Eine Security Group kontrolliert den erlaubten Netzwerkverkehr einer Cloud-Ressource.
Eine Network ACL ist eine regelbasierte Zugriffsliste für ein virtuelles Netzwerk oder Subnetz.
ACL steht für Access Control List und bezeichnet eine Liste erlaubter oder verbotener Zugriffe.
Cloud-Regeln schützen nur die zugeordneten Cloud-Ressourcen. Eine falsch konfigurierte Anwendung oder ein öffentlich erreichbarer Speicher wird dadurch nicht automatisch sicher.
Container- und Kubernetes-Firewalls
Container teilen sich normalerweise den Kernel ihres Hosts, laufen aber in voneinander getrennten Umgebungen.
Docker ist eine Plattform zum Erstellen und Ausführen von Containern.
Kubernetes verwaltet Container-Anwendungen über mehrere Systeme hinweg.
Eine Kubernetes NetworkPolicy legt fest, welche Pods miteinander kommunizieren dürfen. Ein Pod ist die kleinste ausführbare Einheit in Kubernetes und enthält einen oder mehrere Container.

**Werkzeuge wie Cilium und Calico setzen solche Netzwerkregeln um.**

Cilium verwendet unter anderem eBPF. eBPF ermöglicht die kontrollierte Ausführung kleiner Programme innerhalb des Linux-Kernels und wird für Netzwerkverarbeitung, Sicherheit und Monitoring verwendet.

Container-Regeln ergänzen die Host-Firewall. Sie ersetzen sie nicht.


## DNS Filter 
Siehe Artikel [Pi-hole vs. AdGuard Home vs. NextDNS](/pihole-vs-adguard-home-vs-nextdns) um eine gute Übersicht zu gewinnen. 


DNS-Filter sind keine vollständigen Firewalls
DNS-Filter wie Pi-hole, AdGuard Home, NextDNS, Unbound-Blocklisten oder pfBlockerNG verhindern die Auflösung gesperrter Domains.

Sie können Werbung, Tracking-Server und bekannte Schadsoftware-Domains blockieren. Sie prüfen aber normalerweise nicht den vollständigen Netzwerkverkehr.

Ein Client kann DNS-Filter unter Umständen umgehen, beispielsweise durch:

- einen externen DNS-Server
- DNS over HTTPS
- direkte Verwendung einer IP-Adresse
- einen VPN-Tunnel

DNS over HTTPS, kurz DoH, überträgt DNS-Anfragen verschlüsselt über HTTPS.

DNS-Filter sind deshalb eine zusätzliche Schutzschicht und kein vollständiger Ersatz für eine Firewall.

## Welche Firewall brauchst Du als Entwickler?

| Einsatzbereich | Geeignete Technik |
| --- | --- |
| Linux-Desktop | UFW oder firewalld |
| Linux-Server | nftables, UFW oder firewalld |
| Docker-Host | Host-Firewall plus kontrollierte Container-Regeln |
| Homelab-Gateway | OPNsense, pfSense, IPFire oder OpenWrt |
| Virtuelles Netzwerklabor | VyOS, OPNsense oder RouterOS |
| Einheitliches Netzwerk mit WLAN und Switches | UniFi, Omada oder MikroTik |
| Webanwendung | Host-Firewall plus WAF |
| Kubernetes | NetworkPolicies mit Cilium oder Calico |
| Cloud-Anwendung | Cloud-Firewallregeln plus Host- und Anwendungsschutz |
| Domain- und Werbeblockierung | Pi-hole, AdGuard Home oder integrierter DNS-Filter |

## Mehrere Schutzschichten kombinieren

Eine einzige Firewall deckt nicht alle Sicherheitsbereiche ab. 
Ein sinnvoll abgesichertes Entwicklungsnetz kann beispielsweise so aufgebaut sein:

- OPNsense kontrolliert den Übergang zwischen Internet, LAN, Servernetz und IoT-Netz.
- VLANs trennen Geräte mit unterschiedlichen Sicherheitsanforderungen.
- firewalld oder UFW schützt jeden Linux-Server zusätzlich.
- Ein DNS-Filter blockiert unerwünschte Domains.
- Eine WAF schützt öffentlich erreichbare Webanwendungen.
- IDS oder IPS erkennt verdächtigen Netzwerkverkehr.
- Logging und Monitoring machen Angriffe und Fehlkonfigurationen sichtbar.

Dieses Prinzip wird als Defense in Depth bezeichnet. Dabei werden mehrere voneinander unabhängige Schutzmaßnahmen kombiniert.


UFW, firewalld, iptables und nftables schützen oder steuern einzelne Linux-Systeme. OPNsense, pfSense, IPFire, OpenWrt und VyOS übernehmen die Rolle einer zentralen Firewall und eines Routers. UniFi, MikroTik und Omada verbinden Firewall, Routing, WLAN und Netzwerkverwaltung. Eine WAF schützt Webanwendungen, während Cloud- und Container-Firewalls virtuelle Infrastrukturen absichern.

DNS-Filter, IDS und IPS ergänzen diese Systeme, erfüllen aber jeweils andere Aufgaben.

Für Entwickler ist nicht nur entscheidend, welches Produkt verwendet wird. Entscheidend ist, an welcher Stelle im Netzwerk die Kontrolle erfolgt und welche Angriffsebene damit tatsächlich abgedeckt wird.

<AdSlot position="article-bottom" />

## FAQ Firewall-Arten für Softwareentwickler - Fragen und Antworten :

Versuche nur die Frage zu lesen und formuliere die Antwort erst selbst. 

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">1. Was ist der Unterschied zwischen einer Host-Firewall und einer Netzwerk-Firewall?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine Host-Firewall läuft direkt auf einem Endgerät oder Server und schützt dessen Netzwerkzugänge. Eine Netzwerk-Firewall steht zwischen zwei oder mehr Netzwerksegmenten und kontrolliert den Verkehr zwischen ihnen.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">2. Was ist der Unterschied zwischen stateful und stateless Firewall?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine stateless Firewall prüft jedes Paket einzeln ohne Verbindungsstatus. Eine stateful Firewall speichert den Zustand aktiver Verbindungen und kann Antwortpakete automatisch zuordnen.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">3. Was ist eine DMZ?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine DMZ (Demilitarized Zone) ist ein getrenntes Netzwerk für Server, die aus dem Internet erreichbar sein müssen. Sie steht zwischen dem vertrauenswürdigen internen Netz und dem Internet.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">4. Was bedeutet Default Deny?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Default Deny bedeutet, dass aller Netzwerkverkehr verboten ist, der nicht ausdrücklich durch eine Regel erlaubt wurde. Dies ist die sicherere Standardrichtlinie.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">5. Was ist NAT und wofür wird es verwendet?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">NAT (Network Address Translation) übersetzt private IP-Adressen in öffentliche Adressen. Dadurch können mehrere Geräte im internen Netz über eine gemeinsame öffentliche Adresse kommunizieren.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">6. Was ist der Unterschied zwischen UFW und firewalld?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">UFW (Uncomplicated Firewall) ist eine einfache Firewall-Verwaltung für Ubuntu und Debian. firewalld wird vor allem bei Fedora, RHEL und CentOS eingesetzt und verwendet Zonen, um Netzwerkschnittstellen unterschiedlichen Vertrauensstufen zuzuordnen.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">7. Was ist eine Web Application Firewall (WAF)?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine WAF schützt gezielt Webanwendungen und APIs. Sie analysiert HTTP- und HTTPS-Anfragen und kann Angriffe wie SQL-Injection, Cross-Site Scripting und Path Traversal erkennen oder blockieren.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">8. Was ist eine Next-Generation Firewall (NGFW)?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine NGFW kombiniert klassische Paketfilterung mit zusätzlichen Sicherheitsfunktionen wie Anwendungserkennung, IDS/IPS, Webfilter, Malware-Erkennung und TLS-Inspection.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">9. Was bedeutet Defense in Depth?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Defense in Depth ist das Prinzip, mehrere voneinander unabhängige Schutzmaßnahmen zu kombinieren. Eine einzige Firewall deckt nicht alle Sicherheitsbereiche ab. Erst die Kombination aus Host-Firewall, Netzwerk-Firewall, DNS-Filter, WAF und Monitoring ergibt einen umfassenden Schutz.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">10. Was ist der Unterschied zwischen OPNsense und pfSense?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Beide sind FreeBSD-basierte Firewall-Distributionen. OPNsense ist ein Fork von pfSense mit stärkerem Open-Source-Fokus und regelmäßigeren Updates. pfSense wird als Community Edition und kommerziell unterstützte Plus-Variante angeboten.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">11. Was ist Connection Tracking?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Connection Tracking ist das Speichern des Zustands aktiver Verbindungen durch eine stateful Firewall. Dadurch können Antwortpakete einer erlaubten Verbindung automatisch zugeordnet werden.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">12. Was ist der Unterschied zwischen nftables und iptables?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">nftables ist das moderne Linux-System zur Konfiguration von Paketfilterung. iptables ist das ältere Verwaltungswerkzeug. Bei neuen Projekten sollte nftables bevorzugt werden, aber iptables-Kenntnisse sind weiterhin relevant.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">13. Was ist TLS-Inspection?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">TLS-Inspection entschlüsselt kontrolliert verschlüsselten Datenverkehr, prüft ihn und verschlüsselt ihn erneut. Dafür müssen die Endgeräte der Zertifizierungsstelle der Firewall vertrauen. Der Einsatz ist technisch, rechtlich und datenschutzrechtlich sorgfältig zu planen.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">14. Was ist eine Kubernetes NetworkPolicy?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Eine Kubernetes NetworkPolicy legt fest, welche Pods miteinander kommunizieren dürfen. Werkzeuge wie Cilium und Calico setzen solche Netzwerkregeln um. Container-Regeln ergänzen die Host-Firewall, ersetzen sie aber nicht.</div>
  </div>
</div>

<div itemscope itemprop="mainEntity" itemtype="https://schema.org/Question">
  <h3 itemprop="name">15. Welche Firewall ist für Einsteiger am besten geeignet?</h3>
  <div itemscope itemprop="acceptedAnswer" itemtype="https://schema.org/Answer">
    <div itemprop="text">Für einzelne Linux-Rechner ist UFW die einfachste Wahl. Für ein Homelab-Gateway ist OPNsense oder IPFire empfehlenswert. Beide bieten Weboberflächen und sind gut dokumentiert.</div>
  </div>
</div>