Rechner
Teil von Betriebsnetze einrichten: VLAN, WLAN und Firewall für kleine Unternehmen
Router oder Firewall im Vergleich nach Schutz, Kosten und Administration
Router oder Firewall im Vergleich für Unternehmen: Schutzfunktionen, Kosten von 150 bis 3.500 Euro netto und Administrationsaufwand von 1 bis 10 Stunden pro Monat.
Das Wichtigste auf einen Blick
- Integrierte Router-Firewalls sichern kleine Netze mit Paketfilter und Gastnetz ab.
- Dedizierte Firewalls prüfen zusätzlich Anwendungen, Verbindungszustände und Inhalte.
- Anschaffung und Lizenzen kosten 150 bis 3.500 Euro netto, je nach Geräteklasse.
- Der Administrationsaufwand liegt bei 1 bis 10 Stunden pro Monat.
- Das BSI empfiehlt getrennte Netze und restriktive Zugriffsregeln für beide Bauformen.
Wo die Trennlinie zwischen Router und Firewall verläuft
Ein Router verbindet Netze und leitet Pakete anhand von Adressen weiter. Viele Geräte für kleine Betriebe bringen Paketfilter und Network Address Translation bereits mit. Eine dedizierte Firewall steht als eigenes System zwischen den Netzen und prüft zusätzlich Verbindungszustände, Anwendungen und Inhalte. Die Grenze verläuft damit nicht am Begriff, sondern am Funktionsumfang.
AVM liefert mit den FRITZ!Box-Modellen für kleine Betriebe Router, die Paketfilter, Portfreigaben und ein Gastnetz enthalten. Für wenige Arbeitsplätze ohne Außenstellen reicht das häufig aus. Sobald mehrere Subnetze, standortübergreifende VPN-Zugänge oder lückenlose Protokolle nötig werden, stoßen diese Geräte an ihre Grenzen.
Integrierte Router-Firewalls erhalten Herstellerupdates selten mit neuen Sicherheitsfunktionen. Dedizierte Systeme trennen Verwaltung, Datenverkehr und Updates, verursachen aber eigenen Wartungsaufwand.
Schutzfunktionen im direkten Vergleich
| Kriterium | Router mit integrierter Firewall | Dedizierte Firewall |
|---|---|---|
| Paketfilter | vorhanden, meist einfache Regeln | granular, pro Zone und Dienst |
| Zustandsprüfung | teilweise, oft ohne Auswertung | standardmäßig mit Sitzungsprotokoll |
| Anwendungserkennung | selten | Teil der NGFW-Funktionen |
| Netzsegmentierung | Gastnetz und VLAN in höheren Klassen | mehrere Zonen und Schnittstellen |
| Protokollierung | kurz, lokal auf dem Gerät | zentral, exportierbar |
| Typischer Einsatz | bis etwa 20 Arbeitsplätze | ab mehreren Subnetzen und Standorten |
Unabhängig von der Bauform gelten einige Grundregeln. Das BSI beschreibt in seinen Empfehlungen zur Server- und Speichersicherheit, wie Speicher, Dienste und Zugriffe abzusichern sind. Firewall-Regeln sollten demnach nur benötigte Ports öffnen. Der administrative Zugang gehört auf getrennte Wege.
Für Fernzugriffe gilt: Router bieten meist einen VPN-Server für wenige Tunnel. Dedizierte Firewalls verwalten mehrere Profile, Benutzergruppen und Zertifikate zentral. Wer Außenstellen anbindet, kommt mit Router-Bordmitteln selten aus.
Kosten und Administrationsaufwand im Rechenbeispiel
Das folgende Beispiel rechnet mit 25 Arbeitsplätzen, einem Standort und drei Jahren Nutzungsdauer. Alle Preise sind Nettobeträge ohne Schulung.
- Router-Firewall: Gerät 150 bis 300 Euro netto, Einrichtung rund 3 Stunden.
- Dedizierte Firewall der Einstiegsklasse: Hardware 600 bis 1.200 Euro netto, Lizenz 300 bis 900 Euro netto pro Jahr.
- Dedizierte Firewall mit hoher Auslastung: Gerät, drei Jahre Lizenz und Support 3.000 bis 3.500 Euro netto.
- Administration: 1 bis 2 Stunden pro Monat beim Router, 4 bis 10 Stunden pro Monat bei dedizierten Systemen.
- Schulung, Regelpflege und Auswertung der Protokolle sind in diesen Werten nicht enthalten.
Über drei Jahre liegen die Gesamtkosten je nach Variante zwischen 150 und 3.500 Euro netto. Der Unterschied entsteht weniger beim Gerät als bei Lizenzen, Support und Pflegezeit.
Hardwarepreise allein sagen wenig aus. Lizenzen werden jährlich oder für drei Jahre abgerechnet und steigen mit der Zahl der geschützten Arbeitsplätze. Wer nur gelegentlich filtert, zahlt weniger als ein Betrieb mit ständiger Auswertung.
Prüfliste vor der Auswahl
- Anzahl der Netze und Standorte festhalten.
- Erforderliche VPN-Zugänge und deren Verschlüsselung klären.
- Protokollpflichten und Aufbewahrungsfristen mit der Geschäftsführung abstimmen.
- Regelwerk und Änderungsprozess schriftlich festlegen.
- Zeitbudget für Updates und Auswertung im Monat einplanen.
Anbieter und Geräteklassen im Überblick
Sophos bietet Firewalls mit Netzwerkschutz samt Anwendungserkennung, VPN und zentraler Verwaltung über eine Management-Konsole. Fortinet beschreibt für seine Next-Generation-Firewalls Filterung bis auf Anwendungsebene, Bedrohungssignaturen und zentrale Steuerung.
Cisco führt Router, Switches, WLAN-Komponenten und Firewalls in einem Portfolio für Umgebungen mit mehreren Standorten. AVM bleibt bei Routern für kleine Büros und Heimarbeitsplätze. Für die Auswahl zählen Bedarf an Segmenten, Protokollen und Auswertungen, nicht die Geräteklasse allein.
Häufige Fragen
Reicht ein Router mit Firewall für ein Büro mit zehn Arbeitsplätzen?
Ja, wenn ein einzelnes Netz ohne Außenstellen betrieben wird. Das Gerät kostet 150 bis 300 Euro netto, die Pflege liegt bei 1 bis 2 Stunden pro Monat. Mehrere Subnetze oder VPN-Zugänge ändern die Rechnung.
Wann lohnt sich eine dedizierte Firewall?
Sobald mehrere Subnetze, Anwendungsfilter oder Standortanbindungen nötig sind. Die Hardware startet bei etwa 600 Euro netto, mit Lizenzen und Support über drei Jahre sind 3.000 bis 3.500 Euro netto üblich.
Wie viel Administrationsaufwand ist realistisch?
Je nach Regelwerk 1 bis 10 Stunden pro Monat. Einfache Regeln brauchen wenig Pflege, Anwendungsfilter und Protokollauswertung deutlich mehr.
Können Router und Firewall parallel laufen?
Ja. Der Router übernimmt die Netzanbindung, die Firewall filtert dahinter. Diese Trennung erleichtert den Austausch einzelner Komponenten und die getrennte Protokollierung.
Welche Angaben gehören in die Ausschreibung?
Anzahl der Netze, Nutzer und Standorte, benötigte VPN-Tunnel, Vorgaben zur Protokollaufbewahrung sowie Wartungsfenster. Diese Angaben machen Angebote vergleichbar.