Die Grenzen

Eine Firewall erledigt eine genau definierte Aufgabe. Sie filtert den Datenstrom nach vorgegebenen Regeln. Aber viele Anwender glauben, dass sie durch den Einsatz einer Firewall vor allen Gefahren aus dem Internet geschützt sind, und gehen deshalb Risiken ein, die eine Firewall nicht abdeckt.

Das tun Firewalls, das nicht
Ein direkter Angriff aus dem Internet auf ein System, das durch eine Firewall geschützt ist, funktioniert selten. Denn dafür sind die Regeln einer Firewall zu eindeutig: Unaufgefordert zugesandte oder manipulierte Datenpakete verwirft das Schutz-Tool.

Doch arbeiten Angreifer heute mit anderen Mitteln. Oft schleusen sie Schadcode über Sicherheitslücken in Browsern ein. Diesen findet weder der Paketfilter noch das IDS. Mit viel Glück wird der Code vielleicht von Content-Filter oder IPS geblockt, aber darauf bauen kann man nicht.

Das zuständige Schutz-Tool für diesen Fall ist der Virenwächter: Er muss verhindern, dass sich der Schadcode im System einnistet. Bei neuen Viren kann aber auch der Wächter versagen.

Ein Plus von Desktop-Firewalls ist es, dass sie Schadcode melden, wenn dieser Daten ins Internet senden will. Hier kann das Tool so etwas wie die letzte Rettung sein. Hardware-Firewalls blocken solche Verbindungen übrigens nur, wenn diese über ungewöhnliche Ports stattfinden sollen. Aktuelle Schädlinge können sich aber problemlos auch über Port 80 mit dem Internet verbinden, und dieser Port ist bei fast jeder Hardware-Firewall offen, denn darüber surfen Sie Web-Seiten an.

Systembedingte Schwächen
Vor allem Desktop-Firewalls haben eine Reihe von Schwächen. Sie laufen auf demselben System, das sie schützen sollen. Dadurch sind sie und der PC für Angreifer ein einfacheres Ziel. Zum einen, da der PC mit einer öffentlichen IP-Adresse im Internet auftaucht. Bei Hardware-Firewalls ist das dank NAT (siehe oben) nicht der Fall.
Zudem tauchen schon seit Jahren immer wieder Schädlinge auf, die nach ihrer Aktivierung auf dem PC als erstes die Desktop-Firewall ausschalten und erst dann Daten ins Web senden.

Außerdem kann jede Software Bugs haben. Das Installieren eines Programms – zumal eines Online-Programms – birgt somit immer das Risiko, eine neue Sicherheitslücke zu öffnen.

Diese Schwächen von Desktop-Firewalls sind systembedingt – aber nicht so gravierend, dass man deshalb auf dieses Schutz-Tool verzichten sollte. Zwei Meinungen zu dem Thema finden Sie unten.