Managed Firewall oder interne Betreuung?

Ein verdächtiger Login um 2:17 Uhr, eine plötzlich geöffnete Fernwartungsverbindung oder ein neues Sicherheitsupdate mit kritischer Lücke: Genau dann entscheidet sich, ob Managed Firewall oder interne Betreuung mehr als eine Kostenfrage ist. Für mittelständische Unternehmen geht es um die Handlungsfähigkeit am nächsten Morgen, den Schutz vertraulicher Daten und nachvollziehbare Verantwortung gegenüber Kunden, Mitarbeitenden und Behörden.

Die Firewall ist längst nicht nur das Gerät am Internetanschluss. Sie ist ein zentraler Kontrollpunkt für Datenverkehr, Zugriffe und Angriffsversuche. Ob sie intern betreut oder als Managed Service betrieben wird, sollte daher nicht nach Bauchgefühl entschieden werden. Maßgeblich sind reale Ressourcen, Reaktionszeiten, Transparenz und die Frage, wer Verantwortung übernimmt, wenn etwas auffällig wird.

Warum die Firewall im Mittelstand besondere Aufmerksamkeit braucht

Viele gewachsene Unternehmen haben eine Firewall, aber keine durchgängige Sicherheitsroutine. Regeln wurden vor Jahren für einen Dienstleister angelegt, VPN-Zugänge ehemaliger Mitarbeitender bestehen noch oder Warnmeldungen laufen in ein Postfach, das niemand täglich prüft. Solche stillen Risiken bleiben häufig unentdeckt, bis ein Angriff oder ein Ausfall sie sichtbar macht.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die IT-Bedrohungslage weiterhin als angespannt bis kritisch. Im BSI-Lagebericht 2024 wird von durchschnittlich rund 309.000 neuen Schadprogramm-Varianten pro Tag berichtet. Gleichzeitig nutzt Ransomware nicht nur technische Schwachstellen, sondern auch gestohlene Zugangsdaten und schlecht abgesicherte Fernzugänge. Eine Firewall kann solche Risiken deutlich begrenzen – aber nur, wenn Konfiguration, Aktualisierung und Überwachung tatsächlich stattfinden.

Auch rechtlich ist Wegsehen keine Option. Artikel 32 der DSGVO verlangt angemessene technische und organisatorische Maßnahmen, die sich am Risiko orientieren. Dazu gehören unter anderem die Belastbarkeit der Systeme, die Fähigkeit zur schnellen Wiederherstellung sowie ein regelmäßiger Prozess zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen. Eine installierte, aber unbetreute Firewall erfüllt diesen Anspruch nicht automatisch.

Managed Firewall oder interne Betreuung: Die entscheidenden Unterschiede

Bei interner Betreuung verantwortet das eigene IT-Team Betrieb, Updates, Regelwerk, Protokollauswertung und Eskalation. Dieses Modell kann sehr gut funktionieren, wenn qualifizierte Fachkräfte vorhanden sind, klare Vertretungen geregelt sind und Sicherheitsaufgaben im Tagesgeschäft nicht untergehen. Besonders Unternehmen mit einer größeren IT-Abteilung, spezialisierten Sicherheitsrollen und festen Bereitschaften behalten so eine hohe unmittelbare Steuerungsmöglichkeit.

In der Realität mittelständischer Betriebe ist die interne IT jedoch oft für deutlich mehr zuständig: Arbeitsplätze, ERP, Telefonie, Microsoft-Umgebung, neue Mitarbeitende, Lieferantenanfragen und Störungen. Firewall-Überwachung wird dann zur Aufgabe für freie Zeit. Das ist kein Vorwurf, sondern eine Kapazitätsfrage. Ein Sicherheitsereignis richtet sich nicht nach Bürozeiten oder Urlaubsplänen.

Bei einer Managed Firewall übernimmt ein spezialisierter Dienstleister die laufenden Sicherheitsaufgaben nach klar vereinbartem Umfang. Dazu zählen typischerweise die Prüfung von Warnmeldungen, zeitnahe Updates, die Pflege von Regeln, Reporting und definierte Reaktionswege. Der Vorteil liegt nicht allein darin, dass jemand die Technik verwaltet. Entscheidend ist der verbindliche Prozess: Wer prüft welche Meldung? Welche Vorfälle werden wann eskaliert? Welche Änderung wurde aus welchem Grund vorgenommen?

Eine Managed Firewall entbindet die Geschäftsführung allerdings nicht von ihrer Verantwortung. Sie verlagert operative Aufgaben, nicht die Pflicht zur Auswahl und Kontrolle eines geeigneten Partners. Deshalb sind transparente Leistungsbeschreibungen, dokumentierte Zuständigkeiten und verständliche Berichte wichtiger als ein günstiger Monatspreis.

Interne Betreuung ist sinnvoll, wenn Kompetenz dauerhaft verfügbar ist

Interne Betreuung kann die richtige Wahl sein, wenn das Unternehmen mindestens zwei entsprechend qualifizierte Personen hat, die Firewall-Konfiguration nachvollziehbar dokumentiert ist und eine echte Vertretung besteht. Zusätzlich sollten Updates und kritische Meldungen auch außerhalb der Kernarbeitszeit geregelt sein. Wer nur auf einen einzelnen Administrator setzt, schafft ein personelles Sicherheitsrisiko – selbst wenn diese Person fachlich hervorragend arbeitet.

Zudem muss intern ausreichend Zeit für Prävention eingeplant sein. Dazu gehören die Bereinigung alter Regeln, die Prüfung von VPN- und Admin-Zugängen, die Segmentierung kritischer Systeme und regelmäßige Tests der Alarmierung. Ohne feste Zeitbudgets wird aus interner Betreuung schnell reaktive Störungsbearbeitung.

Managed Services passen, wenn Verlässlichkeit planbar werden soll

Ein Managed-Modell ist besonders sinnvoll, wenn Sicherheit kontinuierlich laufen muss, die interne IT klein ist oder sich auf die Fachanwendungen und den Betrieb konzentrieren soll. Es schafft planbare Verantwortlichkeiten und reduziert die Abhängigkeit von einzelnen Personen. Gerade bei mehreren Standorten, Homeoffice, Cloud-Diensten und externen Dienstleistern steigt der Nutzen einer zentral betreuten Sicherheitsarchitektur deutlich.

Dabei sollte der Anbieter nicht nur Meldungen weiterleiten. Gute Betreuung erkennt Auffälligkeiten im Kontext, stimmt notwendige Maßnahmen ab und dokumentiert sie. Ein Bericht, der ausschließlich technische Ereigniscodes auflistet, schafft keine Kontrolle. Ein verständlicher Monatsbericht dagegen zeigt beispielsweise blockierte Angriffe, geänderte Regeln, offene Risiken und empfohlene Entscheidungen.

Der Datenschutz entscheidet auch über den Dienstleister

Wer Firewall-Protokolle überwacht, verarbeitet möglicherweise IP-Adressen, Nutzerkennungen, Zeitstempel und Zugriffsverhalten. Das sind sicherheitsrelevante Daten, die datenschutzkonform behandelt werden müssen. Ein Auftragsverarbeitungsvertrag, klare Zugriffsrechte und nachvollziehbare Lösch- und Aufbewahrungsfristen gehören deshalb in jede Beauftragung.

Für viele mittelständische Unternehmen ist zudem entscheidend, wo Daten verarbeitet werden und welche Unterauftragnehmer Zugriff erhalten. Eine Sicherheitslösung darf nicht zur Blackbox werden. Deutsche Datenverarbeitung, transparente Verantwortlichkeiten und ein klar benannter Ansprechpartner erleichtern die DSGVO-konforme Steuerung erheblich. Das gilt besonders für Unternehmen, die sensible Kunden-, Personal- oder Konstruktionsdaten verarbeiten.

Die ENISA weist in ihren aktuellen Bedrohungsanalysen regelmäßig darauf hin, dass Identitäten und Zugangsdaten zu den wichtigsten Angriffszielen gehören. Daraus folgt für die Firewall-Betreuung: Externe Zugänge dürfen nicht dauerhaft als Ausnahme bestehen bleiben. Sie müssen dokumentiert, möglichst restriktiv eingerichtet und regelmäßig überprüft werden. Multifaktor-Authentifizierung und getrennte Administrationszugänge gehören in diesem Zusammenhang zur Mindestabsicherung.

Zwei Praxisfälle aus Sicherheitsanalysen

In einem anonymisierten Fall aus dem produzierenden Mittelstand war eine leistungsfähige Firewall vorhanden, wurde aber seit fast zwei Jahren nur bei konkreten Störungen angefasst. Die Sicherheitsanalyse zeigte 23 aktive VPN-Konten, darunter Zugänge ehemaliger Dienstleister. Mehrere Regeln erlaubten einen deutlich breiteren Zugriff als notwendig. Nach der Bereinigung der Konten, der Segmentierung von Produktions- und Büro-Netz sowie festen Freigabeprozessen war die Angriffsfläche messbar kleiner – ohne den laufenden Betrieb zu behindern.

Ein anderes Unternehmen mit rund 80 Arbeitsplätzen betreute die Firewall intern über einen einzelnen IT-Verantwortlichen. Während dessen Urlaub blieb eine kritische Warnung mehrere Tage unbeachtet. Es kam zwar zu keinem Schaden, doch der Fall machte die Lücke sichtbar: Es gab keine Vertretung, keine dokumentierte Eskalation und keinen regelmäßigen Statusbericht an die Geschäftsleitung. Das Unternehmen entschied sich nicht gegen interne IT, sondern für eine geteilte Verantwortung: Die interne Stelle steuert Anforderungen und Freigaben, die laufende Überwachung und Alarmbearbeitung erfolgt betreut.

Diese Fälle zeigen: Die bessere Lösung ist selten eine ideologische Entscheidung für extern oder intern. Sie entsteht aus einer ehrlichen Bestandsaufnahme.

So treffen Sie eine belastbare Entscheidung

Stellen Sie zunächst nicht die Frage, welches Modell günstiger ist, sondern welche Sicherheitsleistung nachweisbar erbracht werden muss. Können kritische Warnungen täglich und bei Bedarf außerhalb der Bürozeit geprüft werden? Sind alle Firewall-Regeln dokumentiert und fachlich begründet? Gibt es für Administratoren, Urlaub und Krankheit verbindliche Vertretungen? Und erhält die Geschäftsführung einen verständlichen Überblick über Risiken und Maßnahmen?

Wenn diese Fragen intern klar mit Ja beantwortet werden können, ist die eigene Betreuung eine tragfähige Option. Fehlen Zeit, Spezialwissen oder Vertretung, ist ein Managed Service oft wirtschaftlicher als der erste ernsthafte Sicherheitsvorfall. Die Kosten eines Ausfalls umfassen schließlich nicht nur Technik, sondern Stillstand, Lieferverzug, Kommunikation, Wiederherstellung und Vertrauensverlust.

Vor einer Entscheidung empfiehlt sich eine unabhängige Sicherheitsanalyse. Sie sollte nicht mit einer Produktpräsentation beginnen, sondern mit Fakten: Welche Zugänge existieren? Welche Datenflüsse laufen über die Firewall? Welche Regeln sind kritisch? Welche Protokolle werden wie lange aufbewahrt? Erst danach lässt sich ein Betreuungsmodell definieren, das zum Unternehmen passt.

Sicherheit entsteht nicht dadurch, dass eine Firewall irgendwo im Netzwerk steht. Sie entsteht, wenn Zuständigkeiten, Überwachung und Datenschutz so klar geregelt sind, dass Ihr Unternehmen auch bei einem auffälligen Ereignis ruhig und handlungsfähig bleibt.