Firewall, IDS und IPS: Unterschiede und sinnvoller Einsatz im Unternehmen

Eine Firewall kontrolliert Kommunikationsverbindungen nach Regeln. IDS und IPS ergänzen diese Kontrolle um Angriffserkennung: Ein Intrusion Detection System meldet verdächtige Muster, ein Intrusion Prevention System kann Datenverkehr zusätzlich blockieren. Die Begriffe werden in Produkten oft kombiniert, sollten aber funktional getrennt verstanden werden.

Die Firewall bildet die Regelbasis

Firewall-Regeln beschreiben, welche Quelle mit welchem Ziel, Protokoll und Port kommunizieren darf. Ein gutes Regelwerk erlaubt nur notwendige Verbindungen, trennt Netzwerkbereiche und protokolliert relevante Ablehnungen. Breite Regeln wie „intern darf überall hin“ reduzieren den Nutzen späterer Segmentierung.

Zustandsbehaftete Firewalls berücksichtigen, ob Pakete zu einer bestehenden Verbindung gehören. Moderne Systeme können zusätzlich Anwendungen erkennen, Webinhalte filtern oder verschlüsselten Verkehr unter bestimmten Voraussetzungen untersuchen.

IDS erkennt und meldet

Ein IDS analysiert beobachteten Datenverkehr oder Ereignisse und erzeugt bei verdächtigen Merkmalen einen Alarm. Signaturbasierte Erkennung sucht bekannte Muster. Verhaltens- oder anomaliebasierte Verfahren versuchen Abweichungen vom erwarteten Zustand zu erkennen.

Ein Alarm beweist nicht automatisch einen erfolgreichen Angriff. Kontext, betroffenes System, Richtung, Häufigkeit und weitere Ereignisse müssen bewertet werden.

IPS greift aktiv ein

Ein IPS sitzt so im Datenpfad, dass es verdächtige Verbindungen blockieren kann. Dadurch kann es Angriffe früher stoppen, aber auch legitimen Verkehr beeinträchtigen. Vor der aktiven Blockierung sind Beobachtungsphase, passende Regelwerke und getestete Ausnahmen sinnvoll.

Verschlüsselung und Leistungsgrenzen

Bei verschlüsseltem Verkehr sieht ein Netzwerk-IPS ohne zusätzliche Entschlüsselung nur begrenzte Inhalte. TLS-Inspektion erhöht Sichtbarkeit, bringt aber Datenschutz-, Zertifikats-, Kompatibilitäts- und Leistungsfragen mit sich. Nicht jede Verbindung sollte oder darf entschlüsselt werden.

Aktivierte Sicherheitsfunktionen reduzieren je nach Hardware den möglichen Durchsatz. Dimensionierung muss deshalb mit den tatsächlich genutzten Funktionen erfolgen, nicht nur mit einem theoretischen Firewall-Datenblatt.

Betrieb entscheidet über Wirksamkeit

Signaturen, Software und Regeln benötigen Updates. Alarme brauchen Verantwortliche und Eskalationswege. Ausnahmen sollten begründet, befristet und später geprüft werden. Ich stimme Firewall, IDS/IPS, VLANs, Endpunktschutz und Monitoring aufeinander ab.

Ergebnisse in einen Reaktionsprozess überführen

Eine Meldung muss genug Kontext liefern, um zwischen Fehlalarm, Richtlinienverstoß und möglichem Angriff zu unterscheiden. Dazu gehören Quelle, Ziel, Zeit, betroffene Systeme und bereits ausgeführte Blockierungen. Schwere Ereignisse benötigen einen geregelten Weg für Eingrenzung, Beweissicherung, Wiederherstellung und Information der verantwortlichen Personen.

Das können Sie selbst prüfen

• Reduzieren Sie Firewall-Regeln auf erforderliche Quellen, Ziele, Protokolle und Ports.
• Beobachten und bewerten Sie IDS-Meldungen, bevor Regeln aktiv blockieren.
• Planen Sie Ausnahmen, Signaturupdates, Protokollierung und Verantwortlichkeiten.
• Dimensionieren Sie Durchsatz mit den tatsächlich aktivierten Sicherheitsfunktionen.

Diese Fragen helfen bei der Einordnung

• Welche Netzwerkbereiche und Dienste benötigen besonderen Schutz?
• Wer bewertet Alarme und darf blockierende Ausnahmen verändern?
• Welche verschlüsselten Verbindungen dürfen technisch und organisatorisch untersucht werden?

Wenn mehrere Punkte offen sind: Dann lohnt sich zuerst eine Bestandsaufnahme. So sehen Sie, welche Baustelle dringend ist und was später warten kann.