Firewall und VPN für kleine Unternehmen: Was tatsächlich sinnvoll ist

Eine Firewall und ein VPN gehören für viele kleine Unternehmen zu einer sinnvollen Netzwerkinfrastruktur. Das bedeutet aber nicht, dass jedes Büro eine möglichst teure Sicherheitslösung, dutzende Firewall-Regeln und dauerhaft aktive VPN-Verbindungen für alle Mitarbeiter braucht.

Entscheidend ist, welche Systeme geschützt oder aus der Ferne erreichbar sein müssen. Für ein kleines Unternehmen ist meist eine sauber konfigurierte Business-Firewall mit getrennten Netzen, regelmäßigen Updates und wenigen nachvollziehbaren Regeln wichtiger als ein besonders großes Funktionspaket. Ein VPN ist sinnvoll, wenn Mitarbeiter oder Standorte auf interne Ressourcen zugreifen müssen, die nicht öffentlich im Internet stehen sollen.

Wer dagegen fast ausschließlich mit Microsoft 365, Google Workspace oder anderen Cloud-Diensten arbeitet, braucht nicht automatisch für jeden Arbeitsplatz einen VPN-Tunnel ins Büro. Firewall und VPN sollten eine konkrete Aufgabe lösen und nicht nur vorhanden sein, weil sie zu einer vermeintlich vollständigen IT-Ausstattung gehören.

Was eine Firewall im kleinen Unternehmen tatsächlich leisten sollte

Eine Firewall kontrolliert den Netzwerkverkehr zwischen unterschiedlichen Bereichen. In kleinen Büros übernimmt häufig dasselbe Gerät zugleich die Verbindung zum Internet, die Firewall und den VPN-Zugang. Entscheidend ist deshalb weniger die Gerätebezeichnung als eine saubere Konfiguration.

Nach außen sollte die Grundregel einfach sein: Interne Systeme sind aus dem Internet nicht direkt erreichbar, sofern es keinen ausdrücklich begründeten Anwendungsfall gibt. Ein NAS, eine Windows-Remote-Desktop-Verbindung oder die Administrationsoberfläche eines Servers sollte deshalb nicht einfach per Portfreigabe ins Internet gestellt werden. Wenn ein Zugriff von außen notwendig ist, ist ein abgesicherter VPN-Zugang in vielen Fällen die bessere Lösung.

Genauso wichtig ist die Trennung innerhalb des eigenen Netzwerks. Ein Gäste-WLAN muss keinen Zugriff auf Arbeitsplatzrechner, Drucker oder Server haben. Auch Kameras, Smart-TVs, VoIP-Hardware oder andere vernetzte Geräte lassen sich je nach Umgebung sinnvoll in einen eigenen Bereich verschieben. Die Firewall sorgt dann dafür, dass zwischen diesen Bereichen nur die Verbindungen erlaubt sind, die wirklich benötigt werden.

Reicht der Router vom Internetanbieter?

Für sehr einfache Umgebungen kann ein normaler Router technisch ausreichend sein. Ein einzelnes Büro ohne interne Server, ohne Fernzugriff und mit wenigen Geräten hat andere Anforderungen als ein Unternehmen mit mehreren Netzen, Gästen, Telefonie, Kameras und mobilen Mitarbeitern.

Sobald jedoch mehrere getrennte Netze, ein geregelter Fernzugriff, zentrale Protokollierung oder planbare Wartung benötigt werden, ist ein Business-Gateway in der Regel die sauberere Grundlage. Dafür braucht es keine große Enterprise-Firewall. Für viele kleine Unternehmen reichen kompakte Systeme, wenn sie die benötigten Funktionen zuverlässig unterstützen und vernünftig administriert werden können.

Bei der Auswahl sollte außerdem nicht nur auf den beworbenen Maximaldurchsatz geschaut werden. Entscheidend ist, wie viel Leistung bei den tatsächlich genutzten Funktionen übrig bleibt, etwa bei VPN-Verschlüsselung und zusätzlichen Sicherheitsfiltern. Ein Gerät, das auf dem Datenblatt sehr schnell wirkt, kann mit aktivierten Sicherheitsfunktionen deutlich weniger Daten verarbeiten.

Wann ein VPN sinnvoll ist

Ein VPN erstellt eine verschlüsselte Verbindung zu einem anderen Netz oder einem einzelnen Zugangspunkt. Für kleine Unternehmen gibt es dabei vor allem zwei typische Anwendungsfälle.

Beim User-VPN verbindet sich ein Mitarbeiter von unterwegs oder aus dem Homeoffice mit dem Firmennetz. Das ist sinnvoll, wenn dort interne Anwendungen, Dateifreigaben, Administrationsoberflächen oder andere Ressourcen liegen, die nicht öffentlich erreichbar sein sollen.

Beim Site-to-Site-VPN werden zwei Netze dauerhaft miteinander verbunden, zum Beispiel ein Büro und eine zweite Niederlassung oder ein Büro und eine Serverumgebung. Für die Nutzer wirkt die Verbindung dann weitgehend transparent, weil nicht jeder Mitarbeiter einen eigenen Tunnel manuell aufbauen muss.

Nicht notwendig ist ein VPN dagegen allein deshalb, weil ein Mitarbeiter außerhalb des Büros arbeitet. Wenn ausschließlich Cloud-Dienste genutzt werden, die bereits verschlüsselt über HTTPS erreichbar sind und mit Mehrfaktor-Authentifizierung abgesichert werden, bringt ein zusätzlicher Umweg über das Firmennetz nicht automatisch mehr Sicherheit. Er kann im Gegenteil zusätzliche Komplexität, Bandbreitenbedarf und Fehlerquellen erzeugen.

VPN-Zugänge sollten personenbezogen und begrenzt sein

Ein häufiger Schwachpunkt ist nicht die VPN-Technik selbst, sondern die Art, wie Zugänge verwaltet werden. Ein gemeinsames VPN-Konto für mehrere Mitarbeiter ist bequem, erschwert aber die Kontrolle erheblich. Wird ein Notebook verloren oder verlässt ein Mitarbeiter das Unternehmen, lässt sich ein individueller Zugang wesentlich sauberer sperren.

Sinnvoll sind deshalb persönliche Zugänge oder gerätebezogene Schlüssel beziehungsweise Zertifikate. Wenn die eingesetzte Lösung Mehrfaktor-Authentifizierung unterstützt, sollte sie für externe Zugänge genutzt werden. Auch die Berechtigungen hinter dem VPN sollten begrenzt bleiben. Nur weil ein Mitarbeiter einen Tunnel aufbauen darf, muss er nicht automatisch jedes Gerät und jedes Netzsegment erreichen können.

Das gleiche Prinzip gilt für Dienstleisterzugänge. Ein externer Administrator benötigt möglicherweise Zugriff auf Server oder Netzwerkgeräte, aber nicht zwangsläufig auf alle Arbeitsplatznetze. Solche Grenzen lassen sich mit Firewall-Regeln und getrennten VPN-Berechtigungen technisch abbilden.

Muss der gesamte Internetverkehr durch das Büro laufen?

Ein VPN kann so eingerichtet werden, dass nur Zugriffe auf interne Systeme durch den Tunnel laufen. Alternativ kann der gesamte Internetverkehr des Geräts über das Unternehmensnetz geführt werden.

Die erste Variante, häufig Split Tunneling genannt, entlastet die Internetleitung im Büro und vermeidet unnötige Umwege. Bei einem sogenannten Full Tunnel lassen sich zentrale Filter- und Sicherheitsregeln einheitlicher anwenden. Dafür steigen der Bandbreitenbedarf am Firmenanschluss und die Abhängigkeit von der zentralen Firewall.

Welche Variante sinnvoll ist, hängt davon ab, welche Sicherheitsregeln zentral durchgesetzt werden müssen und welche Anwendungen tatsächlich über das Unternehmensnetz erreichbar sein sollen. Eine pauschal richtige Einstellung gibt es nicht.

Was bei Firewall-Regeln häufig schiefgeht

Viele Probleme entstehen im Laufe der Zeit. Für ein neues System wird kurzfristig eine Freigabe eingerichtet, später kommt eine weitere Ausnahme hinzu und nach einigen Jahren weiß niemand mehr genau, warum bestimmte Regeln existieren.

Eine gute Firewall-Konfiguration bleibt deshalb überschaubar und nachvollziehbar. Temporäre Freigaben sollten wieder entfernt, administrative Zugriffe auf definierte Netze oder VPN-Zugänge begrenzt und nicht mehr benötigte Portweiterleitungen gelöscht werden.

Ebenso wichtig ist eine aktuelle Dokumentation. Wenn niemand nachvollziehen kann, welche Netze existieren, warum bestimmte Bereiche miteinander kommunizieren dürfen oder für welchen Dienst eine Freigabe eingerichtet wurde, wird jede spätere Änderung unnötig riskant.

Die Firewall ist kein Ersatz für andere Sicherheitsmaßnahmen

Auch eine gut konfigurierte Firewall verhindert nicht jeden Angriff. Gefährlich bleiben zum Beispiel kompromittierte Benutzerkonten, schädliche Anhänge, nicht aktualisierte Anwendungen oder gestohlene Zugangsdaten.

Deshalb gehören zu einer belastbaren Grundabsicherung weiterhin aktuelle Betriebssysteme und Anwendungen, sichere Benutzerkonten, Mehrfaktor-Authentifizierung, funktionierende Backups und eine vernünftige Geräteverwaltung. Die Firewall schützt die Netzwerkgrenzen und kann Zugriffe begrenzen. Sie ersetzt diese anderen Maßnahmen nicht. Eine solche breitere Absicherung gehört bei Wernecke IT zur IT-Sicherheit für KMU.

Deshalb bringen umfangreiche Zusatzfunktionen einer Firewall nicht automatisch den größten Sicherheitsgewinn. Ein Unternehmen mit einer leistungsfähigen Security-Appliance, aber gemeinsam genutzten Administrator-Konten und nicht aktualisierten Rechnern setzt seine Prioritäten falsch.

Welche Lösung passt zu welcher Umgebung?

Situation	Sinnvolle Basis
Kleines Büro, nur Cloud-Dienste, keine internen Server	Solider Router oder Business-Gateway, getrenntes Gäste-WLAN, regelmäßige Updates
Büro mit NAS, Server oder internen Anwendungen	Business-Firewall, saubere Netzsegmentierung, keine direkten Internetfreigaben für interne Dienste
Homeoffice mit Zugriff auf interne Systeme	Persönlicher User-VPN-Zugang mit begrenzten Berechtigungen und möglichst Mehrfaktor-Authentifizierung
Mehrere Standorte	Site-to-Site-VPN zwischen den Netzen, klare Firewall-Regeln für den standortübergreifenden Verkehr
Viele unterschiedliche Geräteklassen	Getrennte Netze für Mitarbeiter, Gäste und bei Bedarf IoT- oder Infrastruktur-Geräte, technisch zum Beispiel über VLANs

Die passende Lösung hängt also weniger von der Mitarbeiterzahl allein ab als von der Struktur der IT. Zwei Unternehmen mit jeweils zehn Arbeitsplätzen können völlig unterschiedliche Anforderungen haben, wenn eines ausschließlich SaaS nutzt und das andere lokale Server, Produktionssysteme oder mehrere Standorte betreibt.

Was regelmäßig geprüft werden sollte

Für kleine Unternehmen reicht meist eine überschaubare, aber konsequente Betriebsroutine:

• Firmware und Sicherheitsupdates der Firewall werden regelmäßig eingespielt.
• VPN-Zugänge gehören konkreten Personen oder Geräten und nicht einem allgemein geteilten Konto.
• Ausgeschiedene Mitarbeiter und nicht mehr benötigte Dienstleisterzugänge werden zeitnah entfernt.
• Portfreigaben und Firewall-Regeln werden regelmäßig darauf geprüft, ob sie noch benötigt werden.
• Eine aktuelle Sicherung der Firewall-Konfiguration ist vorhanden, und die wichtigsten Netzbereiche sowie Freigaben sind dokumentiert.
• Protokolle und Warnmeldungen werden zumindest so überwacht, dass wiederkehrende Fehler oder auffällige Ereignisse nicht dauerhaft unbemerkt bleiben.

Fazit: So viel Firewall und VPN wie nötig, nicht so viel wie möglich

Für kleine Unternehmen ist eine Firewall vor allem dann sinnvoll, wenn sie klare Grenzen schafft: zwischen Internet und internem Netz, zwischen Gästen und Mitarbeitern sowie zwischen unterschiedlichen Geräte- oder Serverbereichen. Ein VPN ergänzt diese Struktur dort, wo interne Ressourcen sicher von außen oder zwischen Standorten erreichbar sein müssen. Entscheidend sind nicht möglichst viele Funktionen, sondern eine passende Dimensionierung, verständliche Regeln, individuelle Zugänge, regelmäßige Updates und eine Konfiguration, die auch später noch nachvollziehbar bleibt.

Wenn Sie klären möchten, ob Ihre bestehende Router-, Firewall- oder VPN-Struktur noch zur eigenen Umgebung passt, unterstützen wir mit unserer Leistung Firewall & VPN. Für Unternehmen in Berlin und Brandenburg prüfen wir bestehende Konfigurationen, dokumentieren den Ist-Zustand und erarbeiten einen nachvollziehbaren Übernahmepfad oder gezielte Verbesserungen. Sprechen Sie uns dazu unverbindlich an.