Firewall absichern: Deine Firewall ist die Haustür, und Angreifer klopfen nicht mehr

von Daniel

Schlagzeile 'Deine Firewall ist die Haustür.' neben einer goldenen Tür in einer Backsteinmauer mit violettem Schlüsselloch und einer Fußmatte mit der Aufschrift 'Willkommen'. — Die Fußmatte war ironisch gemeint. Die Botnetze haben sie wörtlich genommen.

Was haben deine Firewall, dein VPN-Gateway und Norberts Gartentor gemeinsam? Alle drei stehen an der Grundstücksgrenze, alle drei sollen Fremde draußen halten, und bei allen dreien hat seit Jahren keiner mehr nachgeschaut, ob das Schloss noch funktioniert.

Der Unterschied: Norberts Gartentor wird nicht von staatlich finanzierten Hackergruppen im Akkord abgeklappert. Deine Firewall schon.

Was ist eigentlich ein Edge-Gerät?

Edge-Geräte (vom englischen edge, also Rand) sind alles, was an der Kante zwischen deinem Firmennetz und dem Internet sitzt: Firewalls, VPN-Gateways, Router, Load Balancer, Remote-Desktop-Gateways, manchmal auch das NAS mit der praktischen Fernzugriffs-Funktion. Sie sind per Definition aus dem Internet erreichbar. Das ist ihr Job.

Und genau das macht sie so attraktiv. Wer die Firewall übernimmt, steht nicht vor der Tür. Der steht im Flur, mit Hausschlüssel, und die Alarmanlage hält ihn für den Hausmeister.

Merksatz: Das Gerät, das dich schützen soll, ist auch das Gerät, das jeder im Internet anfassen darf.

Die Zahlen: vom Nebenschauplatz zum Haupteingang

Der Verizon Data Breach Investigations Report 2025 (DBIR, die jährliche Pflichtlektüre der Branche) hat das schwarz auf weiß: Das Ausnutzen von Schwachstellen war bei 20 Prozent der Einbrüche der Einstieg, nur knapp hinter gestohlenen Zugangsdaten mit 22 Prozent. Und unter den ausgenutzten Lücken lag der Anteil von Edge-Geräten und VPNs bei 22 Prozent. Im Report davor waren es 3 Prozent.

Fast eine Verachtfachung in einem Jahr. Da legst di nieder.

Noch unangenehmer: Nur rund 54 Prozent dieser Edge-Lücken wurden laut Report vollständig geschlossen, und bis zum Patch vergingen im Median 32 Tage. Angreifer brauchen dagegen nach einer Veröffentlichung oft nur Tage, manchmal Stunden.

Edge-Geräte im Visier, laut Verizon DBIR 2025: Der Anteil von Edge-Geräten und VPNs an ausgenutzten Lücken stieg von 3 Prozent im DBIR 2024 auf 22 Prozent im DBIR 2025. Nur 54 Prozent der Edge-Lücken wurden vollständig geschlossen. Der Median bis zum Patch einer Edge-Lücke lag bei 32 Tagen. — 32 Tage: genug Zeit für einen Urlaub. Oder für einen Angreifer, um sich bei dir häuslich einzurichten.

Diese Woche live: Firewalls brennen im Doppelpack

Falls du denkst, das sei Statistik von gestern: Allein in den letzten Tagen gab es gleich zwei Paradebeispiele.

Palo Alto und PHP2Shell

Am 28. Oktober warnte Palo Alto Networks, dass Angreifer die PHP2Shell-Lücken (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2) gegen Management-Interfaces von PAN-OS-Firewalls ausnutzen, die offen im Internet hängen. Eine mutmaßlich China-nahe Gruppe kombinierte das laut Berichten mit der Linux-Rechteausweitung Fragnesia (CVE-2026-46300) und kam so bis auf root. Palo Altos erste Empfehlung war nicht etwa ein exotischer Workaround, sondern: Management-Interface sofort aus dem Internet nehmen.

Cisco und das VPN, das sich selbst neu startet

Ebenfalls am 28. Oktober meldete Cisco eine aktiv ausgenutzte Lücke im SSL-VPN von Secure Firewall ASA und FTD (CVE-2026-76418, CVSS 8.6). Ein Angreifer ohne Anmeldung kann die Firewall zum Neustart zwingen. Kein Datenklau, aber stell dir vor, dein VPN fliegt Montagmorgen alle zehn Minuten weg, während das halbe Team im Homeoffice sitzt. Barbara aus der Buchhaltung wird dich finden.

Warum es gerade den Mittelstand erwischt

Edge-Geräte sind in vielen Firmen klassische Set-and-forget-Kisten: einmal vom Dienstleister eingerichtet, läuft, also fasst sie keiner mehr an. Dazu kommt:

Auf einer Firewall läuft kein EDR (Endpoint Detection and Response, also der Virenscanner mit Hirn). Wenn dort jemand drin ist, schaut meistens niemand zu.
Logs liegen oft nur auf dem Gerät selbst. Wer root hat, räumt hinter sich auf.
Updates heißen Wartungsfenster, Wartungsfenster heißen Überstunden, und Überstunden heißen: nächsten Monat vielleicht.
Nach Herstellerende (End of Life) gibt es gar keine Patches mehr, die Kiste läuft aber fröhlich weiter.

Ja mei, könnte man sagen. Nur dass Angreifer genau mit diesem Ja mei rechnen.

So sicherst du deine Firewall ab

1. Inventur: Was hängt überhaupt am Netz?

Du kannst nur absichern, was du kennst. Schau dir von außen an, welche Dienste deine öffentliche IP-Adresse anbietet. Wichtig: wirklich von außen scannen (zum Beispiel über den Handy-Hotspot) und nur eigene Systeme.

Bash

# Von AUSSEN scannen, nicht aus dem Büro-LAN heraus.
# 203.0.113.10 durch deine eigene öffentliche IP ersetzen.
# Nur Systeme scannen, die dir gehören oder für die du eine Freigabe hast!
nmap -Pn -sV -p 22,80,443,4443,8443,10443 203.0.113.10

Taucht da eine Login-Seite für die Administration auf, hast du dein To-do Nummer eins gefunden.

2. Management-Interface raus aus dem Internet

Die Verwaltungsoberfläche deiner Firewall gehört ins interne Netz oder hinter ein separates Management-VPN, erreichbar nur von definierten Admin-Rechnern. Nicht ins offene Internet, auch nicht mit starkem Passwort, auch nicht nur ganz kurz. Das ist die Maßnahme, die diese Woche bei Palo Alto den Unterschied gemacht hätte.

3. Patchen mit Ansage statt nach Gefühl

Abonnier die Sicherheitsmeldungen deines Herstellers und behalte den Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA im Auge (KEV, die Liste der Lücken, die nachweislich ausgenutzt werden). Steht dein Hersteller dort mit einem neuen Eintrag, ist das kein Thema fürs nächste Wartungsfenster, sondern für heute.

Bash

# Die 20 neuesten KEV-Einträge für typische Edge-Hersteller anzeigen
# (benötigt curl und jq)
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq -r '.vulnerabilities[]
      | select(.vendorProject | test("Palo Alto|Cisco|Fortinet|Ivanti|SonicWall"; "i"))
      | [.dateAdded, .cveID, .vendorProject, .product] | @tsv' \
  | sort -r | head -20

4. MFA aufs VPN, und zwar richtig

Ein VPN-Zugang nur mit Benutzername und Passwort ist 2026 ungefähr so zeitgemäß wie ein Faxgerät mit WLAN. Mehr-Faktor-Authentifizierung schützt zwar nicht vor einer Lücke im Gerät selbst, aber sie verhindert, dass geklaute Zugangsdaten (und die gibt es tonnenweise) direkt zum Ziel führen.

5. Logs runter von der Kiste

Schick die Logs deiner Edge-Geräte per Syslog an ein separates System, idealerweise eines, auf das man von der Firewall aus nicht schreibend zugreifen kann. Dann kann ein Angreifer mit root zwar viel, aber nicht mehr unbemerkt seine Spuren verwischen.

6. Lebensende im Kalender

Notier dir für jedes Edge-Gerät, wann der Hersteller den Support beendet. Ein Gerät ohne Updates an der Außengrenze ist kein Sparmodell, sondern eine Einladung mit Fußmatte.

Und wenn es schon zu spät ist?

Wenn ein Hersteller-Advisory auf dein Gerät passt und das Management-Interface offen war: nicht nur patchen und hoffen. Prüf die vom Hersteller veröffentlichten Kompromittierungsindikatoren (IoCs, also die Fußabdrücke der Angreifer), setz das Gerät im Zweifel neu auf und tausch alle Zugangsdaten und Zertifikate, die darüber gelaufen sind. Ein Patch schließt die Tür, wirft aber niemanden raus, der schon drin ist.

Fazit

Deine Firewall ist kein Türsteher, der allein aufpasst. Sie ist die Haustür, und die braucht ein gutes Schloss, regelmäßige Wartung und jemanden, der ab und zu nachschaut. Mach die Inventur diese Woche, nicht nächstes Quartal. Mach MFA an. Think purple.