Firewall-Support abgelaufen: Was dann wirklich passiert

Wenn wir einen neuen Kunden übernehmen, gehört ein Blick auf die Firewall zu den ersten Handgriffen. In den vergangenen zwei Jahren war bei etwa jedem vierten Betrieb, der zu uns kam, mindestens ein Sicherheitsdienst auf dem Gerät abgelaufen — teils seit Monaten, in einem Fall seit über drei Jahren. Aufgefallen war es in keinem einzigen Fall von selbst.

Das liegt daran, dass ein abgelaufener Firewall-Support nicht zwangsläufig etwas abschaltet. Bei den Geräten, die wir am häufigsten betreuen, arbeitet die Hardware unverändert weiter: Internet funktioniert, das VPN steht, die Portfreigaben gelten. Stillgelegt ist nur der Teil, für den man eigentlich bezahlt hat.

Eine moderne Firewall besteht aus zwei Hälften. Die eine ist die Kiste selbst: Sie trennt Netze, setzt Regeln durch, baut VPN-Verbindungen auf. Das kann sie, solange Strom da ist.

Die andere Hälfte ist ein Abonnement. Dahinter stecken Dienste, die permanent aktualisiert werden müssen, weil sich ihr Gegenstand permanent ändert:

• Erkennung von Angriffsmustern im Datenverkehr
• Prüfung von Dateien und Downloads auf Schadcode
• Kategorien und Bewertungen von Webseiten, damit bekannte Verteilerseiten blockiert werden
• Filterung von E-Mails, sofern sie über die Firewall läuft
• Firmware-Aktualisierungen — also Fehlerbehebungen am Gerät selbst

Was beim Ablauf geschieht, hängt vom Hersteller ab — und die beiden Verhaltensweisen sind grundverschieden:

• Die Dienste schalten ab. Bei manchen Herstellern ist mit dem Ablauftag Schluss. Die Schutzfunktionen sind weg, und das fällt auf. Unangenehm — aber wenigstens sichtbar.
• Der Betrieb läuft weiter. Bei anderen arbeitet das Gerät ohne gültige Dienste normal weiter. Es leitet Daten durch, es meldet keinen Fehler, die Häkchen stehen alle noch. Es kommen nur keine neuen Angriffsmuster mehr an und keine neue Firmware.

Welches der beiden Verhalten Ihr Gerät zeigt, lässt sich nicht raten — das ist eine Frage, die man vor dem Kauf einmal klärt und danach nie wieder stellt.

Der zweite Fall ist der gefährlichere. Ein Gerät, das sich beschwert, wird repariert. Eines, das schweigt, läuft jahrelang so weiter.

Vor allem die Firmware-Updates — und das ist der Punkt, der in der Diskussion regelmäßig untergeht. Sicherheitslücken in Firewalls sind seit einigen Jahren ein bevorzugtes Ziel, weil das Gerät per Definition aus dem Internet erreichbar ist. Wird eine solche Lücke bekannt, veröffentlicht der Hersteller eine korrigierte Firmware. Ohne gültigen Support kommen Sie an diese Firmware nicht heran.

Damit kehrt sich die Rolle des Geräts um: Was das Netz schützen soll, ist dann selbst der am leichtesten angreifbare Punkt darin — erreichbar, bekannt, unpatchbar.

Der zweite Verlust ist der Support im engeren Sinn. Fällt das Gerät aus, gibt es ohne Vertrag keinen Austausch am nächsten Werktag und keine Hotline. Bei einer Firewall bedeutet Ausfall: kein Internet, keine Außenanbindung, keine Standortkopplung. Ein Ersatzgerät zu beschaffen, zu konfigurieren und einzubauen, dauert selbst im günstigen Fall zwei bis drei Tage.

Weil bei einem still weiterlaufenden Gerät kein Ereignis stattfindet. Ein abgelaufener Vertrag erzeugt dann keine Störung, kein Fenster, keinen roten Punkt — er erzeugt Stille. Die Hinweismails des Herstellers gehen an die Adresse, die bei der Erstbestellung eingetragen wurde. Das ist häufig ein früherer Dienstleister, ein Sammelpostfach, das niemand mehr liest, oder ein Mitarbeiter, der das Unternehmen verlassen hat.

Dazu kommt die Laufzeit. Firewall-Abos laufen meist über drei Jahre. Drei Jahre sind lang genug, dass die Beschaffung vergessen ist und in der Zwischenzeit der Zuständige gewechselt hat.

Bei einer Übernahme im Frühjahr stand eine Firewall im Serverschrank, die technisch tadellos lief. Der Kunde war zufrieden, es hatte nie Probleme gegeben. Der Sicherheitsdienst war seit dem Sommer davor abgelaufen, die Firmware entsprechend anderthalb Jahre alt.

Was uns länger beschäftigt hat als das Ablaufdatum: Zwei Regeln erlaubten Zugriffe aus dem Internet auf interne Server, die vor Jahren einmal für einen Anbieter eingerichtet worden waren. Der Anbieter war seit mindestens zwei Jahren nicht mehr im Einsatz. Die Regeln standen noch.

Ob in dieser Zeit jemand darüber zugegriffen hat, lässt sich nicht mehr feststellen — die Protokolle reichten nicht so weit zurück. Wir haben die Regeln entfernt und das Gerät auf einen aktuellen Stand gebracht. Sicher sagen können wir nur, dass seither nichts mehr offen steht.

Nicht jeder abgelaufene Vertrag gehört verlängert. Zwei Fälle, in denen wir davon abraten:

Das Gerät ist zu alt. Hersteller pflegen ein Modell nur eine begrenzte Zeit. Läuft dieses Datum in absehbarer Zeit ab, zahlen Sie für Dienste auf einer Plattform, die bald gar keine Firmware mehr bekommt. Dann ist ein Neugerät die günstigere Rechnung, auch wenn sie im ersten Moment höher aussieht.

Die Leistung passt nicht mehr. Eine Firewall, die vor sechs Jahren für eine 50-Mbit-Leitung gekauft wurde, bremst heute eine Glasfaseranbindung spürbar aus, sobald die Prüffunktionen aktiv sind. Die Verlängerung würde ein Problem konservieren.

Und ein dritter, seltener Fall: Ein Betrieb mit fünf Arbeitsplätzen, ohne Server, ohne Fernzugriff, komplett in der Cloud, braucht nicht zwingend dasselbe Paket wie ein Produktionsbetrieb mit drei Standorten. Über den Zuschnitt lässt sich reden — über die Firmware-Versorgung nicht.

Am schnellsten am Gerät selbst: In der Verwaltungsoberfläche jeder gängigen Firewall gibt es eine Übersicht der abonnierten Dienste mit dem jeweiligen Ablaufdatum. Wer den Zugang nicht hat, fragt seinen Dienstleister — die Angabe ist in zwei Minuten heraussuchbar, und wenn das jemand nicht beantworten kann, ist das für sich genommen schon eine Antwort.

Und wissen Sie, wie sich Ihr Gerät beim Ablauf überhaupt verhält — schaltet es ab oder läuft es weiter? Beim ersten Verhalten merken Sie es am selben Tag, beim zweiten unter Umständen nie.

Worauf man sich nicht verlassen sollte: darauf, dass eine Erinnerung kommt. Tragen Sie das Ablaufdatum ins eigene Kalendersystem ein, ein Vierteljahr vor dem Termin. Das ist die ganze Maßnahme.

Wie das mit dem Rest zusammenhängt — mit der Aufteilung des Netzes, mit Sicherungen, mit Zugängen —, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand. Warum ein flaches Netz die Wirkung jeder Firewall halbiert, haben wir gesondert aufgeschrieben.

Falls Sie gerade nicht sicher sind, wie es bei Ihnen aussieht: Wir sehen uns Ihre Firewall einmal an und sagen Ihnen, was läuft, was abgelaufen ist und welche Regeln aus früheren Jahren noch offen stehen. Für Betriebe in Hohenlohe und rund um Heilbronn kommen wir dafür auch vorbei.