Firewall und DMZ — Netze kontrolliert verbinden
Eine Firewall ist eine Regelmaschine, kein Allheilmittel. In der Prüfung geht es darum, welche Art welche Aufgabe erfüllt — und warum eine DMZ zwischen zwei Grenzen liegt.
Was eine Firewall tut
Sie prüft Datenverkehr an einer Netzgrenze und erlaubt oder verbietet ihn nach Regeln. Grundprinzip guter Konfiguration: alles verbieten, Ausnahmen erlauben (Whitelist) — nicht umgekehrt.
Firewall-Typen
| Typ | Arbeitsweise | Grenze |
|---|---|---|
| Paketfilter | prüft Kopfzeilen: Quell-/Ziel-IP, Port, Protokoll | kennt keinen Zusammenhang, kein Verbindungsgedächtnis |
| Stateful Inspection | führt eine Zustandstabelle: Antwortpakete werden automatisch durchgelassen | kein Blick in den Inhalt |
| Application Layer Gateway / Proxy | untersucht Anwendungsprotokolle (HTTP, SMTP), bricht Verbindungen auf | langsamer, wartungsintensiver |
| NGFW | zusätzlich Deep Packet Inspection, Anwendungserkennung, IDS/IPS-Funktionen | komplex, hoher Ressourcenbedarf |
| Personal Firewall | regelt auf dem Endgerät, welche Programme nach außen dürfen | kein Schutz vor Fehlern im eigenen Prozess |
DMZ — die entmilitarisierte Zone
Ein Server, der aus dem Internet erreichbar sein muss (Web-, Mailserver), gehört nicht ins interne Netz. Die DMZ ist ein eigenes Netz zwischen äußerer und innerer Firewall:
- Aus dem Internet erreichbar — aber nur über die freigegebenen Ports.
- Zugriff auf das interne Netz ist streng begrenzt (typisch: nur einzelne Datenbank-Ports).
- Ein kompromittierter DMZ-Server gefährdet nicht direkt das interne Netz.
Was Firewalls nicht können
- Fehler in freigegebenen Diensten verhindern (z. B. Webanwendung mit Lücke auf Port 443).
- Angriffe über erlaubte Kanäle erkennen (Phishing-Mail an einen Nutzer, der den Anhang öffnet).
- Social Engineering aufhalten.
Typische Prüfungsfallen
- UDP zustandslos: Bei UDP ist „Stateful" nur eingeschränkt möglich — Antworten werden über Zeitfenster zugeordnet.
- Ingress/Egress verwechseln: Egress-Filter prüfen ausgehenden Verkehr.
- „Firewall schützt vor Viren": nein, dafür Endpoint-Schutz. Eine Firewall regelt Erreichbarkeit.
- Portfreigaben dokumentieren: Jede Freigabe braucht Begründung und Verfallsdatum.
Weiter üben
Das Grundlagenwissen steht hier frei — geübt wird in der Lernplattform: über 1.300 Prüfungsfragen mit ausführlicher Erklärung zu jeder Antwort, Fortschritt im eigenen Konto.
Passende Videos
Externer Inhalt, geöffnet in einem neuen Tab. Keine Einbettung — solange du nicht selbst klickst, werden keine Daten an YouTube übertragen.