Sie haben Fragen zu Produkte und Dienstleistungen?
IT Security Blog abonnieren um immer auf dem neuesten Stand zu bleiben.
Unsere KI-Lösungen
Managed Security
Checks zum Einstieg
Weitere IT-Sicherheitslösungen
Managed Services
Weitere IT-Servicelösungen
Karriere bei BRANDMAUER IT
Kostenlose Downloads
Weiterbildungen
Kostenlose Webinaraufzeichnungen
Unser Blog
Kundenstimmen und Partner
Coworking bei uns
Software-Lösungen
3 Min. Lesezeit
Eric Weis
:
12.08.2026, 10:29:33
Eine klassische Firewall prüft, welcher Datenverkehr grundsätzlich erlaubt ist, und lässt ihn dann durch. Moderne Angriffe verstecken sich aber genau in diesem erlaubten Verkehr, in verschlüsselten Verbindungen, in scheinbar harmlosen Anwendungen, in Datenpaketen, die auf den ersten Blick unauffällig wirken. Eine Next-Generation-Firewall schließt genau diese Lücke.
Eine Next-Generation-Firewall, kurz NGFW, ist die Weiterentwicklung der klassischen Firewall. Während eine klassische Firewall Datenverkehr anhand von IP-Adressen und Ports filtert, sieht eine NGFW tiefer in den eigentlichen Inhalt der Datenpakete hinein. Sie erkennt nicht nur, woher ein Datenpaket kommt, sondern auch, welche Anwendung dahintersteckt und ob sich darin verdächtiges Verhalten verbirgt.
Möglich wird das durch mehrere Technologien, die in einer NGFW zusammenspielen: Deep Packet Inspection prüft den tatsächlichen Inhalt von Datenpaketen, Intrusion Prevention erkennt und blockiert bekannte Angriffsmuster in Echtzeit, und Application Control identifiziert, welche Anwendung für eine Verbindung verantwortlich ist, unabhängig vom verwendeten Port.
Neben der technologischen Unterscheidung zwischen klassischer Firewall und Next-Generation-Firewall gibt es eine zweite wichtige Frage: Wo und wie wird die Firewall betrieben? Hier haben sich im Wesentlichen drei Modelle etabliert.
Ein physisches Gerät, das im Netzwerk zwischen Internet und internen Systemen platziert wird. Bietet meist die höchste Performance und wird von den meisten Unternehmen mit eigener Infrastruktur eingesetzt.
Läuft als Programm auf einem Server oder virtualisiert. Flexibler in der Skalierung als Hardware, benötigt aber Rechenleistung des Host-Systems.
Wird als Dienstleistung aus der Cloud bereitgestellt, ohne eigene Hardware vor Ort. Besonders geeignet für Unternehmen mit mehreren Standorten oder verteilten Cloud-Umgebungen.
Häufig wird zusätzlich der Begriff UTM (Unified Threat Management) verwendet. Eine UTM-Firewall bündelt mehrere Sicherheitsfunktionen wie Virenschutz, Spam-Filter und Intrusion Prevention in einem einzigen Gerät. Viele Next-Generation-Firewalls, auch unsere eingesetzten Sophos XGS-Geräte, vereinen UTM-Funktionen bereits mit den erweiterten NGFW-Fähigkeiten.
Unabhängig vom gewählten Modell gilt: Ohne sauber gepflegte Firewall-Regeln verliert selbst die beste Hardware ihre Wirkung. Über die Zeit sammeln sich oft Ausnahmen an die nie wieder überprüft werden.
Prüft den tatsächlichen Inhalt von Datenpaketen, nicht nur Absender und Empfänger, und erkennt so auch Bedrohungen, die sich in scheinbar harmlosem Verkehr verstecken.
Erkennt bekannte Angriffsmuster in Echtzeit und blockiert sie automatisch, bevor sie das Netzwerk erreichen, statt nur nachträglich Alarm zu schlagen.
Identifiziert, welche Anwendung für eine Verbindung verantwortlich ist, unabhängig vom verwendeten Port, und erlaubt so eine viel gezieltere Steuerung als reine Portfilter.
Prüft auch verschlüsselten Datenverkehr auf Bedrohungen, ein zentraler Baustein, da der überwiegende Teil des heutigen Internetverkehrs verschlüsselt ist.
| Kriterium | Klassische Firewall | Next-Generation-Firewall |
|---|---|---|
| Filterbasis | IP-Adressen und Ports | Inhalt, Anwendung und Verhalten |
| Verschlüsselter Verkehr | Wird nicht inhaltlich geprüft | Wird per SSL/TLS-Inspection analysiert |
| Bedrohungserkennung | Nur bekannte, klar definierte Muster | Zusätzlich Intrusion Prevention in Echtzeit |
| Anwendungskontrolle | Nicht möglich | Anwendungen werden erkannt und gezielt gesteuert |
EIN KURZER FAKTENCHECK
Laut dem "The State of Global Cyber Security 2025"-Report von Check Point Software basierten 96 Prozent der ausgenutzten Schwachstellen auf bereits länger bekannten Sicherheitslücken, ein Hinweis auf mangelhaftes Patchmanagement und veraltete Filterlisten. Eine NGFW allein löst dieses Problem nicht vollständig, reduziert aber durch die zusätzlichen Erkennungsebenen die Wahrscheinlichkeit erheblich, dass eine bekannte Lücke unbemerkt ausgenutzt wird.
Eine NGFW ist nur so gut wie ihre Konfiguration und Pflege. Regeln müssen regelmäßig überprüft, Firmware aktualisiert und Alarme ausgewertet werden, Aufgaben, für die in vielen KMU schlicht keine Kapazität vorhanden ist. Genau hier setzt ein Managed Firewall Service an: Statt die Technologie selbst zu betreiben, übernimmt ein spezialisiertes Team Konfiguration, Monitoring und Updates dauerhaft.
Mehr zu unserem Ansatz für den laufenden Betrieb einer Next-Generation-Firewall erfahren Sie auf unserer Seite zum Managed Firewall Service.
Wir analysieren Ihre aktuelle Situation und zeigen konkret, wo Handlungsbedarf besteht, in 30 Minuten unverbindlich.
Kostenloses Erstgespräch anfragen
FAQ
Eine klassische Firewall filtert Datenverkehr anhand von IP-Adressen und Ports. Eine Next-Generation-Firewall prüft zusätzlich den tatsächlichen Inhalt von Datenpaketen, erkennt Anwendungen unabhängig vom Port und kann auch verschlüsselten Datenverkehr auf Bedrohungen analysieren.
Für Unternehmen mit sensiblen Daten, regulatorischen Anforderungen wie NIS2 oder einer wachsenden Angriffsfläche ist eine NGFW heute nahezu Standard. Kleinere Unternehmen mit sehr geringem Risiko können unter Umständen noch mit einer klassischen Firewall auskommen, sollten die Entscheidung aber bewusst und nicht aus Gewohnheit treffen.
SSL/TLS-Inspection ermöglicht es einer NGFW, auch verschlüsselten Datenverkehr auf Bedrohungen zu prüfen. Da ein Großteil des heutigen Internetverkehrs verschlüsselt ist, würden ohne diese Funktion viele Angriffe komplett unentdeckt bleiben. Mehr Details dazu erfahren Sie in unserem Artikel SSL Inspection: Fluch oder Segen?
Nein. Eine NGFW muss laufend konfiguriert, mit aktueller Firmware versorgt und überwacht werden. Ohne kontinuierliche Pflege verliert auch die beste Firewall-Technologie an Wirksamkeit, unabhängig davon, wie fortschrittlich sie ursprünglich war.
Die Kosten richten sich nach Unternehmensgröße, Anzahl der Standorte und gewähltem Leistungsumfang. Ein individuelles Angebot lässt sich in einem unverbindlichen Erstgespräch klären.
Lassen Sie uns in einem kurzen Gespräch klären, was der sinnvollste nächste Schritt für Ihr Unternehmen ist.
Erstgespräch vereinbaren
Eric Weis : 01.06.2026, 16:16:19
Geschäftsführer fragen mich häufig „Warum sollten diese Gesetzestexte für mich als Geschäftsführer wichtig sein?“ oder "Wann genau ist ein...
Eric Weis : 15.10.2024, 11:13:05
Bestimmt haben Sie schon von SSL (Secure Sockets Layer) gehört. Heute wird es meist als TLS (Transport Layer Security) bezeichnet und ist ein...
Volker Bentz : 13.07.2026, 11:08:45
Ein Sicherheitsvorfall meldet sich selten an. Die Firewall zeigt seit Wochen unbemerkt Fehlkonfigurationen, ein Patch fehlt seit dem letzten Update,...