Firewall-Auswahl für KMU 2026: So wählen Sie die richtige Firewall

Die Firewall-Auswahl für KMU muss 2026 drei Fragen beantworten: Wie viel Durchsatz behält das Gerät, während es verschlüsselten Verkehr prüft, welche Sicherheitsdienste sind in der Lizenz enthalten, und wer betreibt das Gerät? Die richtige Firewall wählt man nicht nach der größten Zahl im Datenblatt, sondern nach dem Threat-Protection-Wert bei aktivierten Schutzfunktionen und nach dem realen Verkehr des Unternehmens.

Warum ist die Firewall-Auswahl 2026 anders?

Die Firewall-Auswahl 2026 unterscheidet sich von der vor fünf Jahren, weil der Großteil des Webverkehrs verschlüsselt ist, Ransomware kleine Unternehmen häufiger trifft als Großkonzerne und das klassische SSL-VPN durch IPsec und Zero-Trust-Zugriff abgelöst wird. Diese drei Veränderungen verschieben das Auswahlkriterium von der reinen Bandbreite hin zur Prüfung verschlüsselten Verkehrs und zum identitätsbasierten Zugriff.

Die erste Veränderung ist der verschlüsselte Verkehr. Eine Firewall kann die Datei, den Befehl oder das Datenleck in einer HTTPS-Verbindung nicht erkennen, ohne sie zu öffnen. Die SSL/TLS-Prüfung ist die ressourcenintensivste Operation einer Appliance; deshalb schrumpft der eindrucksvolle Firewall-Durchsatz aus dem Datenblatt auf einen deutlich kleineren Wert, sobald die Prüfung eingeschaltet wird. Eine NGFW, die verschlüsselten Verkehr nicht prüft, verhält sich in der Praxis wie ein besserer Router.

Die zweite Veränderung ist die Bedrohungslage. Der Verizon Data Breach Investigations Report 2025 (DBIR) stellte in 44 Prozent der untersuchten Sicherheitsverletzungen Ransomware fest; bei kleinen und mittleren Unternehmen lag der Anteil bei 88 Prozent, bei Großunternehmen bei 39 Prozent. Angreifer wissen, dass Unternehmen mit kleinem Sicherheitsbudget leichtere Ziele sind, und die Firewall bleibt in diesem Bild die erste und grundlegendste Verteidigungsschicht.

Die dritte Veränderung betrifft den Fernzugriff. Fortinet entfernt das SSL-VPN in der FortiOS-7.6-Reihe schrittweise und benennt IPsec und ZTNA als empfohlenen Weg; prüfen Sie in den offiziellen Release Notes, was auf welchem Modell und in welcher Version entfernt wurde. Ein heute gekauftes Gerät sollte Remote-Mitarbeiter über einen IPsec-Client oder einen identitätsbasierten Anwendungszugriff anbinden, nicht über ein SSL-VPN-Portal.

Auch die Compliance weist in dieselbe Richtung. Der Leitfaden zur Sicherheit personenbezogener Daten (technische und administrative Maßnahmen) der türkischen Datenschutzbehörde KVKK nennt Firewall und Netzwerk-Gateway als erste Verteidigungslinie gegen unbefugten Zugriff aus dem Internet und zählt Patch-Management sowie das Abschalten ungenutzter Dienste zu den vorrangigen Maßnahmen. Für jedes Unternehmen, das in der Türkei personenbezogene Daten verarbeitet, ist eine korrekt konfigurierte Firewall damit nicht nur eine technische, sondern auch Teil einer rechtlichen Pflicht; prüfen Sie stets die aktuelle Gesetzeslage und den offiziellen Leitfaden. Wer die Grundfunktionen auffrischen möchte, beginnt mit unserem Leitfaden Was ist eine FortiGate-Firewall?.

Bedarfsanalyse: Welche Fragen müssen Sie zuerst beantworten?

Die Firewall-Bedarfsanalyse beginnt mit sieben Fragen: Wie viele Benutzer und Geräte gibt es, wie schnell ist die Internetleitung heute und in drei Jahren, wie viele Standorte und Remote-Mitarbeiter werden angebunden, welche Server sind von außen erreichbar, welche Cloud-Dienste werden genutzt, welche Vorschriften gelten, und wer betreibt das Gerät? Die Antworten bestimmen Modellklasse und Lizenzpaket.

Der häufigste Fehler, den wir in der Praxis sehen, ist eine Analyse, die mit der Benutzerzahl beginnt und endet. Fortinet-Datenblätter nennen keine Benutzerzahlen, denn ein Buchhaltungsbüro mit 30 Personen und ein Videostudio mit 30 Personen erzeugen nicht denselben Verkehr. Zählen Sie neben den Computern auch IP-Telefone, Drucker, Kameras, Kassen- und POS-Geräte sowie die Smartphones im Gäste-WLAN; gerade diese Geräte treiben die Zahl gleichzeitiger Sitzungen nach oben.

Ein Unternehmen, das diese Tabelle ausgefüllt hat, besitzt nun ein Profil. Ein Betrieb mit einem Standort, 25 Benutzern, einer 200-Mbit/s-Leitung, zwei Remote-Mitarbeitern und einem Buchhaltungsserver kauft nicht aus derselben Modellklasse wie ein Fertigungsunternehmen mit drei Standorten, 120 Benutzern und einem ERP-Server in der Zentrale. Das Profil schriftlich festzuhalten sorgt dafür, dass im Angebotsgespräch Ihre Kriterien zählen und nicht die des Anbieters.

Welcher Wert im Datenblatt zählt wirklich?

Im Firewall-Datenblatt ist für KMU nicht der Firewall-Durchsatz entscheidend, sondern der Threat-Protection-Durchsatz: die Geschwindigkeit, die bei gleichzeitig aktivem IPS, Antivirus und Application Control gemessen wird. Wo verschlüsselter Verkehr geprüft wird, ist der zweite kritische Wert der SSL-Inspection-Durchsatz; wo Standorte per Tunnel verbunden werden, der IPsec-VPN-Durchsatz.

Die wichtigsten Datenblattwerte bedeuten Folgendes:

• Firewall-Durchsatz: Reine Weiterleitungsgeschwindigkeit ohne aktives Sicherheitsprofil, gemessen mit verschiedenen Paketgrößen (1518 / 512 / 64 Byte UDP). Die größte Zahl im Marketingmaterial und die am wenigsten aussagekräftige für die Entscheidung.
• IPS-Durchsatz: Geschwindigkeit, wenn nur die Intrusion-Prevention-Engine aktiv ist.
• Threat-Protection-Durchsatz: Geschwindigkeit bei gleichzeitig aktivem IPS, Antivirus und Application Control. Dieser Wert kommt den realen Betriebsbedingungen eines KMU am nächsten.
• SSL-Inspection-Durchsatz: Die Geschwindigkeit, die das Gerät beim Entschlüsseln und Prüfen verschlüsselten Verkehrs hält. Wird die tiefe Prüfung für alle Benutzer aktiviert, ist dies die praktische Obergrenze.
• IPsec-VPN-Durchsatz: Kapazität für verschlüsselten Verkehr über Standort- oder Fernzugriffstunnel.
• Gleichzeitige Sitzungen und neue Sitzungen pro Sekunde: Die beiden Kapazitätswerte, die in geräteintensiven Umgebungen und Gästenetzen Engpässe verursachen.

Die Faustregel, die wir in unseren Projekten anwenden: Der Threat-Protection-Wert sollte mindestens das Anderthalbfache der Geschwindigkeit betragen, die Ihre Internetleitung in drei Jahren voraussichtlich hat; wird die tiefe SSL-Prüfung für alle Benutzer aktiviert, darf der SSL-Inspection-Wert nicht unter die heutige Leitungsgeschwindigkeit fallen. Die folgende Tabelle stellt vier FortiGate-Einstiegsmodelle mit den Werten aus den offiziellen Fortinet-Datenblättern nebeneinander.

Die Werte stammen aus den Fortinet-Datenblättern; die aktuelle Produktmatrix finden Sie in der Fortinet Product Matrix. Die Tabelle spricht eine klare Sprache: 60F und 70G haben denselben Firewall-Durchsatz, doch bei aktiver SSL-Prüfung behält die 70G mehr als das Doppelte an Kapazität. Die Unterschiede zwischen den Modellen, einschließlich Portausstattung, ASIC-Generation und WLAN-/PoE-Varianten, haben wir in unserem Vergleich der FortiGate 40F, 60F, 70G und 90G ausführlich untersucht; die gesamte Serie finden Sie auf unserer FortiGate-Lösungsseite.

Wie wählen Sie Sicherheitsfunktionen und Lizenzpaket?

Die Wahl des Firewall-Lizenzpakets ist so entscheidend wie die Wahl der Hardware: Dasselbe FortiGate-Modell bietet mit FortiGuard ATP, UTP oder Enterprise ein anderes Schutzniveau. Die Pakete bauen aufeinander auf: ATP liefert den Bedrohungsschutz, UTP ergänzt Web- und DNS-Sicherheit, Enterprise fügt Data Loss Prevention und IoT-Transparenz hinzu. Für die meisten KMU, deren Benutzer im Internet arbeiten, ist UTP der Ausgangspunkt.

Eine NGFW ohne Lizenz leistet nur zustandsbehaftete Paketfilterung und VPN; ohne Signatur-Updates erkennt sie neue Bedrohungen nicht. Lesen Sie beim Vergleich von Angeboten deshalb Gerät, Lizenz und Support als eine einzige Position. Die grundsätzliche Ausrichtung der Pakete ist wie folgt; da der Hersteller die Inhalte aktualisiert, prüfen Sie bei der Bestellung den aktuellen Ordering Guide:

• ATP (Advanced Threat Protection): Umfasst IPS, Application Control und einen Malware-Schutz, der Antivirus mit cloudbasierter Sandbox-Analyse kombiniert. Ein bedrohungsorientiertes, schmaleres Paket für Umgebungen, in denen die Inhaltsfilterung auf einer anderen Ebene erfolgt.
• UTP (Unified Threat Protection): Ergänzt den ATP-Umfang um URL- (Web-)Filter, DNS-Filter, Videofilter und die Blockierung von Botnet- und Command-and-Control-Kommunikation. Ein ausgewogenes Paket für das klassische Büro, aus dem Benutzer im Internet arbeiten.
• Enterprise Protection: Das umfangreichste Paket, das den UTP-Umfang um Dienste wie Data Loss Prevention (DLP), Überwachung der Angriffsfläche mit Risikobewertung, KI-gestützte Inline-Malware-Prävention und IoT-Geräteerkennung erweitert.

Die zweite Entscheidung neben der Lizenz ist die Support-Stufe. FortiCare Premium bietet technischen Support rund um die Uhr und Hardwareaustausch; die Stufe Elite ergänzt schnellere Reaktionsziele und zusätzliche Leistungen. Die Laufzeit (1, 3 oder 5 Jahre) beeinflusst Gesamtkosten und Verlängerungsaufwand unmittelbar: Eine längere Laufzeit senkt den Stückpreis, lässt das Risiko des Technologiewandels aber bei Ihnen. Den Umfang der Pakete beschreiben wir ausführlich in unserem Beitrag zu den Unterschieden zwischen FortiGuard UTP, ATP und Enterprise.

Reicht eine Firewall allein? Switches, WLAN und Fernzugriff

Eine Firewall allein reicht nicht; eine Bedrohung, die im Netz beginnt (ein infiziertes Notebook, ein Smartphone im Gäste-WLAN, ein falsch konfigurierter VPN-Client), passiert die Firewall am Internetübergang nie. 2026 sollte eine KMU-Architektur als integriertes Ganzes geplant werden, in dem Firewall, verwaltete Switches, Unternehmens-WLAN und identitätsbasierter Fernzugriff aus einer Konsole betrieben werden.

Segmentierung ist das Rückgrat dieser Architektur. Benutzerrechner, Server, IP-Kameras und IoT-Geräte, Gästenetz und Verwaltungsschnittstellen liegen in getrennten VLANs, und der Verkehr zwischen den Segmenten läuft durch die Firewall-Richtlinie. Will sich Ransomware vom Rechner eines Benutzers ins Serversegment ausbreiten, trifft sie auf Richtlinie und IPS. Dafür muss der Switch der Zugangsebene mit der Firewall kommunizieren; das FortiLink-Protokoll macht aus einem FortiSwitch eine Port-Erweiterung, die über die FortiGate-Oberfläche verwaltet wird. Die Auswahlkriterien haben wir in unserem Leitfaden zu FortiSwitch und FortiLink zusammengetragen.

Für das WLAN gilt dasselbe Prinzip: Werden Unternehmens-Access-Points über die Firewall verwaltet, landen Gäste-, Mitarbeiter- und IoT-SSIDs direkt im passenden VLAN und unterliegen demselben Richtliniensatz. Beim Fernzugriff lautet das Ziel, Benutzern nach Prüfung von Identität und Gerätezustand nur die Anwendungen zu öffnen, für die sie berechtigt sind, statt eines Tunnels, der das gesamte Netz freigibt; diesen Ansatz vergleichen wir in unserem Beitrag Was ist ZTNA? mit dem VPN.

Zuletzt die Kontinuität: Ist der Internetzugang geschäftskritisch, planen Sie Leitungsredundanz mit zwei WAN-Anschlüssen und SD-WAN; ist ein Geräteausfall nicht hinnehmbar, ein Hochverfügbarkeitscluster (HA) mit einem zweiten Gerät. HA bedeutet das doppelte Hardwarebudget für das gewählte Modell; deshalb kommt bei einem KMU mit einem Standort meist zuerst die Leitungsredundanz und danach die Geräteredundanz.

Wie berechnen Sie die Gesamtbetriebskosten?

Die Gesamtbetriebskosten einer Firewall bestehen nicht nur aus dem Gerätepreis; über drei bis fünf Jahre zählen Lizenzabonnement, Support-Stufe, Installation und Migration, der Arbeitsaufwand für den täglichen Betrieb und die indirekten Kosten eines möglichen Ausfalls zusammen. Nach unserer Praxiserfahrung übersteigen Abonnement und Betrieb am Ende der Laufzeit häufig den Anteil der Hardware.

Um das Budget richtig aufzustellen, führen Sie die Positionen getrennt auf:

1. Hardware: Modell, WLAN-/PoE-Variante, zweites Gerät für HA, bei Bedarf FortiSwitch und FortiAP.
2. Abonnement: FortiGuard-Paket (UTP/ATP/Enterprise) und Laufzeit; Verlängerungskalender.
3. Support: FortiCare-Stufe und Austauschzeit für Hardware.
4. Installation und Migration: Übernahme bestehender Regeln, Regelbereinigung, Tests und Wartungsfenster.
5. Betrieb: Stunden für Patches und Firmware-Updates, Regeländerungen, Protokollauswertung und Vorfallsbearbeitung.
6. Ausfallrisiko: Kosten der Zeit, in der das Geschäft wegen Fehlkonfiguration oder Defekt stillsteht.

Die preisbestimmenden Faktoren entlang von Modell, Lizenzpaket und Laufzeit erläutern wir im Beitrag Was bestimmt den FortiGate-Preis?; wie sich die Firewall gegenüber den übrigen Sicherheitsposten einordnet, zeigt unser Leitfaden zum IT-Sicherheitsbudget 2026. Die Position Betrieb macht den eigentlichen Unterschied zwischen eigenem Team und Managed Service:

Welches Modell zu Ihnen passt, können Sie mit einer Umfangs- und Verantwortungsmatrix in unserem Beitrag Was ist ein Managed-Firewall-Service? abwägen.

Checkliste für die Auswahl Schritt für Schritt

Die Firewall-Auswahl-Checkliste umfasst zehn Schritte: Inventar, Leitungskapazität, Threat-Protection-Schwelle, SSL-Prüfentscheidung, Lizenzpaket, Fernzugriffsmodell, Segmentierung, Protokollierung und Compliance, Betriebsmodell und Lebenszyklusplan. Ein Unternehmen, das jeden Schritt schriftlich beantwortet, vergleicht im Angebotsstadium nur noch kaufmännische Bedingungen, keine Modelle.

1. Inventar erstellen: Benutzer, Geräte, Server, Standorte und Remote-Mitarbeiter notieren; IoT- und Gästegeräte nicht vergessen.
2. Leitungskapazität drei Jahre vorausdenken: Heutige Geschwindigkeit und geplante Ausbauten festhalten.
3. Threat-Protection-Schwelle festlegen: Mindestens das Anderthalbfache der künftigen Leitungsgeschwindigkeit anstreben.
4. SSL-Prüfung entscheiden: Alle Benutzer oder nur riskante Kategorien? Die Entscheidung bestimmt die SSL-Inspection-Schwelle.
5. Lizenzpaket wählen: UTP, ATP oder Enterprise; die Laufzeit zusammen mit dem Verlängerungsprozess planen.
6. Fernzugriffsmodell klären: IPsec-Client, ZTNA oder beides?
7. Segmentierung entwerfen: VLAN-Plan, Trennung von Gästen und IoT, Switch-Verwaltung über FortiLink.
8. Protokollierung und Compliance planen: Ort und Dauer der Protokollaufbewahrung nach KVKK und Gesetz 5651; aktuelle Gesetzeslage prüfen.
9. Betriebsmodell wählen: Eigenes Team oder Managed Service; die Support-Stufe entsprechend festlegen.
10. Lebenszyklus festschreiben: Lizenzende, Firmware-Richtlinie und die Person, die die End-of-Life-Hinweise des Herstellers verfolgt.

Wenn Sie auch andere Hersteller als Fortinet prüfen, füllen Sie dieselbe Liste für jeden Kandidaten aus; unser Vergleich von FortiGate mit Palo Alto, Sophos und Check Point zeigt, welche Punkte sich zwischen den Herstellern wirklich unterscheiden. Als unabhängiger Lösungspartner gehen wir so vor, dass wir zuerst diese Liste ausfüllen und das Modell zuletzt wählen; Projekte, die es umgekehrt machen, bezahlen entweder ungenutzte Kapazität oder machen das Gerät beim ersten Leitungsausbau zum Engpass.

Häufig gestellte Fragen

Was ist das wichtigste Kriterium bei der Firewall-Auswahl für KMU?

Der Threat-Protection-Durchsatz bei allen aktivierten Sicherheitsprofilen und die Frage, wer das Gerät betreibt. Der reine Firewall-Durchsatz im Datenblatt spiegelt die realen Betriebsbedingungen nicht wider; mit aktiver Prüfung sinkt die Kapazität deutlich. Ein nicht betreutes Gerät schützt nicht, egal wie leistungsfähig es ist.

Was ist der Unterschied zwischen Firewall-Durchsatz und Threat-Protection-Durchsatz?

Der Firewall-Durchsatz ist die reine Weiterleitungsgeschwindigkeit ohne aktives Sicherheitsprofil. Der Threat-Protection-Durchsatz wird bei gleichzeitig aktivem IPS, Antivirus und Application Control gemessen. Bei der FortiGate 60F beträgt der erste Wert 10 Gbit/s, der zweite 700 Mbit/s; entscheidend ist der zweite.

Welches FortiGate-Modell passt zu wie vielen Benutzern?

Fortinet-Datenblätter nennen keine Benutzerzahlen; ausschlaggebend ist das Verkehrsprofil. Grob gilt: 40F für Kleinstbüros und POS-Standorte, 60F für die klassische Filiale, 70G für Büros mit aktiver SSL-Prüfung, 90G als Zentrale eines Netzes mit mehreren Standorten. Die endgültige Wahl hängt von Leitungsgeschwindigkeit und Prüfentscheidung ab.

Ist die SSL/TLS-Prüfung Pflicht?

Sie ist nicht verpflichtend, aber ohne sie sieht die Firewall keine Schadsoftware im verschlüsselten Verkehr. Der praktikable Weg ist, datenschutzsensible Kategorien wie Banking und Gesundheit auszunehmen und den übrigen Verkehr zu prüfen. Diese Entscheidung bestimmt unmittelbar die SSL-Inspection-Schwelle des gewählten Modells.

Arbeitet die Firewall nach Ablauf der Lizenz weiter?

Ja; Routing, Richtlinien und VPN funktionieren weiter. Allerdings enden die FortiGuard-Signatur- und Datenbankaktualisierungen, IPS und Antivirus bleiben auf alten Signaturen und die Webfilter-Kategorien werden nicht mehr aktualisiert. Das Verlängerungsdatum im Lebenszyklusplan festzuhalten verhindert diese Lücke.

Schreibt die KVKK eine Firewall vor?

Der Leitfaden zur Sicherheit personenbezogener Daten der türkischen Datenschutzbehörde nennt Firewall und Gateway als erste Verteidigungslinie und zählt sie zu den vorrangigen technischen Maßnahmen. Es gibt keine Pflicht zu einem bestimmten Produkt, wohl aber die Pflicht, die Datensicherheit zu gewährleisten. Prüfen Sie die aktuelle Gesetzeslage und den offiziellen Leitfaden.

Fazit

Die richtige Firewall zu wählen ist 2026 die Summe dreier Entscheidungen: ein Modell, dessen Threat-Protection- und SSL-Inspection-Kapazität zu Ihrem Bedarfsprofil passt, das Lizenzpaket, das dieses Modell zu einer echten NGFW macht, und das Betriebsmodell, das das Gerät am Leben hält. Ein KMU, das auf die bei vollem Schutz gemessenen Werte statt auf die größte Zahl im Datenblatt schaut, Lizenz und Support-Stufe zusammen mit der Hardware plant und Switches, WLAN und Fernzugriff in dieselbe Architektur einbettet, gibt sein Budget für echten Schutz aus und nicht für ungenutzte Kapazität.

Um das Profil Ihres Unternehmens gemeinsam zu erstellen und Kandidatenmodelle sowie Lizenzpakete an Ihrem Bedarf zu messen, können Sie ein kostenloses Erstgespräch mit dem Team von Sora Yazılım vereinbaren und ein Angebot auf Basis einer Bedarfsanalyse anfordern.