Was ist ein Managed-Firewall-Service? Für wen, welcher Umfang?

Ein Managed-Firewall-Service ist ein Vertrag, bei dem ein spezialisiertes Team den täglichen Betrieb Ihrer Firewall übernimmt: Überwachung rund um die Uhr, kontrolliertes Änderungsmanagement der Richtlinien, Patch- und Firmware-Updates, Log-Auswertung, Incident Response, regelmäßiges Reporting und Lizenzverfolgung, alles im Rahmen eines definierten SLA. Das Gerät bleibt in Ihrem Unternehmen; die Betriebslast und der Großteil der Verantwortung wechseln zum Dienstleister.

Was ist ein Managed-Firewall-Service?

Ein Managed-Firewall-Service bedeutet, dass ein vertraglich gebundenes Expertenteam anstelle Ihrer eigenen Mitarbeiter die Firewall im Tagesgeschäft betreibt: Überwachung, Regeländerungen, Updates, Log-Analyse und Incident Response. Hardware und Lizenzen bleiben Ihr Eigentum; es ändert sich nur, wer das Gerät mit welchem Prozess und mit welchen Zusagen verwaltet.

Die meisten Unternehmen betrachten ein Firewall-Projekt als abgeschlossen, sobald das Gerät geliefert ist und das Internet funktioniert. Eine Firewall ist jedoch kein Gerät, das man einmal einrichtet und dann vergisst. Geht ein neuer Server in Betrieb, wird eine Regel ergänzt; verlässt ein Mitarbeiter das Unternehmen, wird sein VPN-Konto geschlossen; meldet der Hersteller eine kritische Schwachstelle, wird die Firmware aktualisiert; taucht in den Logs ein wiederholter Scan auf, wird die IP gesperrt. Bleibt diese Arbeit aus, läuft das Gerät weiter, aber das Schutzniveau sinkt unbemerkt.

Das Risiko liegt meist weniger in der Wahl des falschen Produkts als im falschen oder unvollständigen Betrieb des richtigen Produkts: vergessene temporäre Regeln, aufgeschobene Firmware-Updates, Logs, die niemand liest. Genau dieses Problem löst ein Managed-Firewall-Service: Er holt die Betriebsdisziplin aus dem Gedächtnis einer einzelnen Person heraus und verankert sie in einem definierten Prozess.

Die Grenzen des Services werden im Vertrag gezogen: Welche Geräte sind im Umfang, zu welchen Zeiten wird geleistet, wer genehmigt Änderungen und welche Compliance-Berichte werden erstellt. Solange diese vier Fragen offen sind, bedeutet „Managed Firewall“ bei jedem Anbieter etwas anderes.

Wer braucht einen Managed-Firewall-Service?

Einen Managed-Firewall-Service brauchen Unternehmen, die kein eigenes Team haben, das die Firewall außerhalb der Geschäftszeiten überwacht und Schwachstellenmeldungen verfolgt, sowie Unternehmen mit mehreren Standorten, Remote-Mitarbeitern oder regulatorischen Pflichten wie dem türkischen Datenschutzgesetz KVKK und dem Gesetz 5651. Für Unternehmen mit einem voll besetzten Security Operations Center (SOC) ist meist das Co-Managed-Modell passender.

Aus unserer Praxiserfahrung sind dies die deutlichsten Anzeichen für Bedarf:

• Die IT-Abteilung besteht aus ein bis zwei Personen, die gleichzeitig für Server, Drucker, Anwendersupport und die Firewall zuständig sind. Die Firewall ist der am wenigsten dringende, aber kritischste Punkt auf der Liste und wird ständig verschoben.
• Niemand weiß, wann das letzte Firmware-Update eingespielt wurde. Sicherheitsbulletins des Herstellers erreichen niemanden oder werden gelesen, aber nicht umgesetzt.
• Das Regelwerk ist über Jahre gewachsen, und „vorübergehende“ Regeln, deren Urheber und Zweck niemand mehr kennt, sind dauerhaft geworden. Unser Leitfaden zur Bereinigung von Firewall-Regeln und Richtlinienprüfung ist ein eigener Einstiegspunkt für Diagnose und Bereinigung.
• Logs werden gesammelt, aber niemand sieht sie an. Der Unterschied zwischen Logs aufbewahren und Logs auswerten zeigt sich erst, wenn ein Vorfall eintritt.
• Es gibt mehrere Filialen oder Standorte, jeweils mit eigenem Gerät, eigener Richtlinie und eigenem Lizenzablaufdatum.
• Die Bedrohungssignaturen wurden nicht mehr aktualisiert, weil eine Lizenz abgelaufen ist, und das Unternehmen hat es erst bemerkt, als etwas schiefging.

Treffen drei oder mehr dieser Anzeichen auf Ihr Unternehmen zu, liegt das Problem in der operativen Kapazität und nicht in der Technik; die Lösung ist ein anderes Betriebsmodell, kein neues Gerät.

Was umfasst ein Managed-Firewall-Service?

Ein Managed-Firewall-Service umfasst sieben Kernpositionen: kontinuierliche Überwachung, Änderungsmanagement der Richtlinien (Regeln), Patch- und Firmware-Management, Log-Auswertung, Reaktion auf Sicherheitsvorfälle, regelmäßiges Reporting sowie Lizenz- und Abonnementverfolgung. Bei manchen Anbietern ist der Umfang enger; fragen Sie beim Angebotsvergleich daher nach Häufigkeit und Ergebnis jeder Position.

Jede Zeile dieser Tabelle wird erst dann zu einer Zusage, wenn Häufigkeit und Ergebnis schriftlich festgehalten sind, nicht wenn ein Anbieter sagt, er mache das. „Log-Auswertung“ kann bei einem Anbieter eine automatische Alarm-E-Mail bedeuten und bei einem anderen eine wöchentliche Prüfung durch Menschen mit Befundliste. Die Lizenzverfolgung wird häufig übersehen; läuft ein Abonnement aus, werden Antivirus-, IPS- und Webfilter-Signaturen nicht mehr aktualisiert, und weil das Gerät sichtbar weiterläuft, bemerkt es niemand.

Intern, Managed und Co-Managed: Vergleich des Leistungsumfangs

Firewall-Management lässt sich in drei Modellen betreiben: intern (die gesamte Verantwortung liegt beim eigenen Team), vollständig verwaltet (Überwachung, Änderungen und Reaktion beim Dienstleister, Genehmigung beim Kunden) und Co-Managed (Routinebetrieb beim Dienstleister, der Kunde behält Konsolenzugriff und Notfallbefugnis). Die Wahl hängt von der Fachtiefe im Unternehmen und der Kapazität außerhalb der Geschäftszeiten ab.

Im Co-Managed-Modell ist die Änderungskollision der kritischste Punkt: Wenn beide Seiten auf demselben Gerät Regeln ändern können, muss in einem einzigen Aufzeichnungssystem festgehalten werden, wer wann was geändert hat, und nach jeder Änderung muss eine Konfigurationssicherung erfolgen. Sonst macht eine Seite unwissentlich kaputt, was die andere gerade repariert hat.

Wie funktionieren SLA-Modelle und Änderungsmanagement?

Ein Managed-Firewall-SLA sollte zwei getrennte Zusagen enthalten: eine Reaktionszeit für Änderungsanfragen (mit eigenen Klassen für Notfall-, Standard- und Projektänderungen) sowie eine Erkennungs- und Reaktionszeit für Sicherheitsvorfälle. Ein Vertrag, der nur die Verfügbarkeit des Geräts verspricht, verkauft Infrastrukturmanagement, kein Sicherheitsmanagement.

Gängige Branchenpraxis ist die Einteilung von Änderungsanfragen in drei Klassen:

• Notfalländerung: um einen laufenden Angriff zu stoppen oder einen geschäftskritischen Zugang wiederherzustellen. Erwartet wird eine Reaktion im Stundenbereich; die Genehmigung kann nachträglich erfolgen, die Dokumentation ist aber Pflicht.
• Standardänderung: Routineanfragen wie der Zugriff auf einen neuen Server, ein neuer VPN-Benutzer oder das Öffnen eines Ports für eine Anwendung. Wird im Rahmen von Werktagen geplant und durchläuft die Genehmigungsmatrix.
• Projektänderung: Firmware-Hauptversionswechsel, Anbindung einer neuen Filiale, Architekturänderungen wie SD-WAN oder ZTNA. Wird separat geplant und meist an ein Wartungsfenster gebunden.

Bei Sicherheitsvorfällen sind die beiden zu erfragenden Kennzahlen die mittlere Erkennungszeit (MTTD) und die mittlere Reaktionszeit (MTTR). Verpflichtet sich ein Anbieter nicht schriftlich zu diesen beiden Werten, sagt „24/7-Überwachung“ nur, dass ein Alarm erzeugt wird, nicht, dass jemand handelt. Einen Referenzrahmen für den Lebenszyklus von Firewall-Richtlinien bietet NIST SP 800-41 Rev. 1.

Das Änderungsmanagement selbst ist ein Zyklus aus fünf Schritten: Anfrage (wer, welche Quelle, welches Ziel, warum, wie lange), technische Prüfung (Konflikte mit bestehenden Regeln, zu weit gefasste Zugriffe, Prinzip der geringsten Rechte), Genehmigung (eine befugte Person auf Kundenseite), Umsetzung und Prüfung (Backup, Regel schreiben, testen) und Dokumentation (mit Begründung und Rollback-Plan). Der Anbieter sollte diesen Zyklus an ein Ticketsystem koppeln; Änderungen, die „auf Zuruf“ erfolgen, bleiben im Audit ohne Nachweis.

Der Vertrag sollte außerdem die Eskalationskette (wer, nach wie vielen Minuten, über welchen Kanal), den Berichtsrhythmus und die Servicegutschrift bei Nichteinhaltung einer Zusage festlegen. Ein Anbieter, der keine Gutschriften zusagen will, verrät damit, wie sehr er seinen eigenen Reaktionszeiten vertraut.

Faktoren für Leistungsumfang und Kosten

Die Kosten eines Managed-Firewall-Service werden bestimmt durch Anzahl und Klasse der Geräte, Servicezeiten (8x5 oder 24/7), monatliches Änderungsvolumen, Log-Aufbewahrungsdauer, Anforderungen an das Compliance-Reporting, Anzahl der Standorte und die Hochverfügbarkeitsarchitektur (HA). Zwei Unternehmen mit demselben Gerät können wegen dieser Faktoren sehr unterschiedliche Gebühren zahlen; deshalb werden Angebote über den Leistungsumfang verglichen.

• Geräteanzahl und -klasse: Ein Zentralgerät zu verwalten ist ein anderer Aufwand als zehn Geräte in zehn Filialen. Auch die Geräteklasse (Einstiegsmodell für den Schreibtisch oder Rechenzentrumsmodell) bestimmt die Komplexität der Richtlinien. Ist das Modell noch nicht gewählt, erklärt unser Leitfaden zur Firewall-Auswahl für KMU die Kriterien der Dimensionierung.
• Servicezeiten: Der Unterschied zwischen 8x5- und 24/7-Überwachung sind die Personalkosten für die Bereitschaft außerhalb der Geschäftszeiten. Laut dem Sophos Active Adversary Report 2026 wurden 88 Prozent der Ransomware-Payloads außerhalb der Geschäftszeiten des Opfers ausgeführt; hier sollte also zuletzt gespart werden.
• Änderungsvolumen: Wenige Regeländerungen pro Monat und ein Softwareunternehmen, das jede Woche eine neue Anwendung freischaltet, können nicht gleich bepreist werden. Pakete definieren meist ein monatliches Änderungskontingent.
• Log-Aufbewahrung und -Analyse: Logs auf dem Gerät zu halten ist eine Sache; die langfristige Speicherung und regelmäßige Analyse auf einer zentralen Plattform wie FortiAnalyzer ist eine eigene Position. Aufbewahrungspflichten nach dem Gesetz 5651 und KVKK können sie verpflichtend machen; prüfen Sie die aktuelle Gesetzeslage und die offiziellen Leitfäden.
• Compliance-Reporting: Regelmäßige Nachweise für technische Maßnahmen nach KVKK, interne Audits oder Kundenaudits erfordern zusätzliche Arbeit.
• Lizenz- und Abonnementstatus: FortiGuard-Paket und FortiCare-Supportstufe sind separate Positionen außerhalb des Services; der Managed Service übernimmt jedoch deren Verfolgung und Verlängerungsplanung.
• HA und Architektur: Aktiv-Passiv-Paare, SD-WAN, mehrere WAN-Anbindungen oder ZTNA-Designs erhöhen sowohl die Betriebs- als auch die Änderungskomplexität.

Angebote mit „monatlicher Pauschale“, die vor Klärung dieser Faktoren eingeholt werden, verbergen entweder den Leistungsumfang oder verwandeln sich beim ersten Vorfall in Zusatzkosten. Die richtige Reihenfolge lautet: zuerst den Umfang schreiben, dann den Preis anfragen.

Der Managed-Firewall-Umfang von Sora Yazılım

Sora Yazılım erbringt als unabhängiger Lösungspartner mit Sitz in der Türkei Überwachung, Änderungsmanagement der Richtlinien, Patch- und Firmware-Planung, Log-Auswertung, Incident Response, monatliches Reporting und Lizenzverfolgung für Firewalls, allen voran FortiGate, in einem einzigen Servicerahmen. Der Umfang wird je nach vorhandenem Team als vollständig verwaltet oder als Co-Managed aufgesetzt.

In unseren Projekten strukturieren wir den Service wie folgt:

• Überwachung: Verfügbarkeit, Ressourcennutzung, VPN-Tunnel und HA-Zustand der FortiGate-Geräte werden kontinuierlich überwacht; kritische Alarme folgen einer definierten Eskalationskette.
• Änderungsmanagement der Richtlinien: Jede Anfrage wird als Ticket erfasst, nach dem Prinzip der geringsten Rechte geprüft, nach Ihrer Genehmigung umgesetzt und mit Begründung dokumentiert. Das Regelwerk wird periodisch geprüft.
• Patch und Firmware: Herstellerbulletins werden verfolgt; kritische Schwachstellen werden schnell, geplante Versionen im Wartungsfenster und nach vorheriger Konfigurationssicherung eingespielt. Die operativen Details beschreibt unser Beitrag zu FortiGate-Wartung und -Instandsetzung.
• Log-Auswertung: Logs werden regelmäßig in FortiAnalyzer oder Ihrer vorhandenen Log-Plattform geprüft; Befunde wie wiederholte Scans, ungewöhnlicher Länderverkehr und fehlgeschlagene Administratoranmeldungen werden berichtet.
• Incident Response: Das Unterbrechen verdächtigen Verkehrs, das Deaktivieren von Konten und die Beweissicherung erfolgen innerhalb der im SLA definierten Zeit; jeder Vorfall wird mit Ursache und dauerhafter Maßnahme abgeschlossen.
• Reporting: Monatliche Managementzusammenfassung (Bedrohungen, Verfügbarkeit, Änderungen, Lizenzstatus) und auf Wunsch Anhänge mit Compliance-Nachweisen.
• Lizenzverfolgung: Ablaufdaten von FortiGuard und FortiCare werden im Kalender geführt, Verlängerungsoptionen vorab vorgelegt und Unterbrechungen der Signaturaktualisierung verhindert.

Zusammen mit der regelmäßigen Firewall-Wartung kann der Managed Service vom selben Team betrieben werden wie unser Service für DevOps und Infrastrukturmanagement, der Ihre Server und Ihr Netzwerk abdeckt; so werden Firewall, Server und Backup in einer gemeinsamen Betriebsdisziplin zusammengeführt. Benötigen Sie nur eine zweite Meinung, ist auch der Einstieg über eine vertragsfreie FortiGate-Beratung möglich.

Wie plant man den Übergang?

Der Übergang zu einem Managed-Firewall-Service wird in vier Schritten geplant: Inventarisierung der vorhandenen Geräte, Regeln und Lizenzen; Bereinigung und Dokumentation des Regelwerks; bei Bedarf Migration vom Altgerät auf eine neue Plattform; anschließend schriftliche Festlegung von Genehmigungsmatrix, Eskalationskette und Berichtskalender. Die ersten dreißig Tage sind als Beobachtungsphase reserviert.

1. Erhebung und Inventar: Welche Geräte gibt es, auf welcher Firmware, welche Lizenzen laufen wann ab, welche Regeln wurden von wem und wozu geschrieben. Das Ergebnis dieses Schritts ist der Leistungsumfang selbst.
2. Bereinigung des Regelwerks: Ungenutzte, verdeckte und zu weit gefasste Regeln werden vor der Übernahme entfernt; jede verbleibende Regel erhält einen Verantwortlichen und eine Begründung. Die Methode beschreiben wir Schritt für Schritt im Leitfaden zur Regelbereinigung.
3. Migration bei Bedarf: Ist das Gerät aus dem Herstellersupport gefallen oder reicht seine Kapazität nicht, wird der Wechsel vor Servicebeginn geplant. Unser Migrationsplan von der Alt-Firewall zu FortiGate ist eine Roadmap für einen unterbrechungsfreien Wechsel.
4. Prozessdesign: Genehmigungsmatrix (wer genehmigt welche Änderung), Eskalationskette, Wartungsfenster, Berichtskalender und Konsolenzugriffsrollen werden schriftlich festgehalten. Im Co-Managed-Modell wird hier das einheitliche Aufzeichnungssystem eingerichtet, das Änderungskollisionen verhindert.
5. Die ersten dreißig Tage: Alarmschwellen werden auf Ihren Verkehr abgestimmt, Fehlalarme aussortiert und der erste Monatsbericht gemeinsam gelesen, um die Erwartungen zu kalibrieren.

Häufig gestellte Fragen

Wem gehört das Gerät bei einem Managed-Firewall-Service?

In den meisten Modellen sind Hardware und Lizenzen Ihr Eigentum; der Anbieter übernimmt nur den Betrieb. Manche Anbieter bieten das Gerät auch im Mietmodell an. Der Vertrag sollte Eigentum am Gerät, Eigentum an den Konfigurationssicherungen und die Übergabebedingungen bei Vertragsende eindeutig regeln.

Was ist der Unterschied zwischen Managed Service und Firewall-Wartung?

Die Wartung umfasst Firmware, Backups und allgemeine Zustandsprüfungen durch periodische Besuche oder Fernsitzungen. Ein Managed Service ergänzt kontinuierliche Überwachung, Änderungsmanagement, Incident Response und eine SLA-Zusage. Wartung ist periodisch; ein Managed Service ist kontinuierlich.

Brauchen wir einen Managed Service, wenn wir ein eigenes IT-Team haben?

Mit eigenem Team passt das Co-Managed-Modell: Routinebetrieb, Überwachung außerhalb der Geschäftszeiten und Firmware-Planung bleiben beim Anbieter, während Sie Konsolenzugriff und kritische Entscheidungen behalten. Ihr internes Team wird von täglichen Regelanfragen entlastet und kann sich auf Projekte konzentrieren.

Reicht Firewall-Management für die Einhaltung von KVKK und Gesetz 5651?

Allein nicht, aber es deckt einen wesentlichen Teil der technischen Maßnahmen ab: Zugriffskontrolle, Protokollierung, aktuelle Software und Vorfallaufzeichnungen. Für Pflichten wie Aufbewahrungsfristen und Zeitstempel prüfen Sie die aktuelle Gesetzeslage und die offiziellen Leitfäden; die rechtliche Bewertung muss separat erfolgen.

Braucht der Anbieter unsere Genehmigung, bevor er eine Änderung vornimmt?

Ja bei Standard- und Projektänderungen; die Genehmigungsmatrix wird im Vertrag festgelegt. Bei Notfalländerungen, etwa um einen laufenden Angriff zu stoppen, darf der Anbieter zuerst handeln und danach informieren; die Grenzen dieser Befugnis müssen aber ebenfalls schriftlich vorliegen.

Funktioniert die Firewall weiter, wenn die Lizenz abläuft?

Das Gerät leitet weiterhin Verkehr, aber die Signaturen für Antivirus, IPS, Webfilter und Anwendungskontrolle werden nicht mehr aktualisiert, sodass der Schutz schnell veraltet. Die Lizenzverfolgung im Managed Service existiert genau, um diese stille Lücke zu verhindern.

Fazit

Ein Managed-Firewall-Service verwandelt die Firewall von einem gekauften Gerät in einen betriebenen Prozess. Den Umfang mit sieben Positionen zu definieren (Überwachung, Änderungsmanagement der Richtlinien, Patch und Firmware, Log-Auswertung, Incident Response, Reporting, Lizenzverfolgung), das zur eigenen Kapazität passende Modell aus intern, vollständig verwaltet und Co-Managed zu wählen und im SLA schriftliche Reaktionszeiten für Änderungen und Vorfälle zu verlangen, sind die drei wesentlichen Schritte zur Wahl des richtigen Anbieters.

Um Ihre aktuelle Firewall-Umgebung gemeinsam zu bewerten und ein umfangbasiertes Angebot zu erhalten, können Sie ein kostenloses Erstgespräch mit Sora Yazılım vereinbaren; wir erarbeiten Inventar und Regelanalyse mit Ihnen und berichten unparteiisch, welches Modell passt.