Firewall

Der Kartenzahlungsstandard PCI DSS verlangt in Anforderung 1.2.7 eine Prüfung der Firewall-Konfiguration mindestens alle sechs Monate, bei häufigen Netzwerkänderungen öfter. Für eine Firmenwebsite ohne Kartendaten ist das nicht verbindlich, taugt aber als Maßstab. Der Grund liegt in der Fehlerquelle: Eine vielzitierte Marktforschungsprognose führt 99 Prozent der Firewall-Einbrüche auf Fehlkonfiguration zurück, nicht auf Produktfehler. Eine Regel, deren Begründung niemand mehr benennen kann, gehört bei dieser Prüfung entfernt.

Eine Firewall, die unbekannte Verbindungen durchlässt, schützt nur gegen das, was jemand vorher ausdrücklich verboten hat. Diese Sperrliste müsste jeden denkbaren Dienst kennen: Das Portfeld von TCP ist 16 Bit breit, das ergibt 65.536 Nummern und damit 65.535 nutzbare Ports. Die umgekehrte Reihenfolge – alles sperren, die zwei oder drei benötigten Ports freigeben – lässt sich in einer Minute lesen und gegenprüfen. Deshalb bleibt „alles verbieten“ der einzige belastbare Ausgangspunkt.

Eine Firewall arbeitet nach festen Regeln; ein Sperrdienst liest Protokolldateien und schreibt daraus zeitlich begrenzte Sperren in dieselbe Firewall. Die ausgelieferte Voreinstellung von Fail2ban sperrt nach fünf Fehlversuchen innerhalb von zehn Minuten für zehn Minuten. Das bremst Rateversuche von einer Adresse. Es hält niemanden auf, der aus tausend verschiedenen Adressen je einen Versuch schickt – für die Firewall ist jede dieser Anfragen regelkonform, und der Zähler springt nie an.

In der Voreinstellung filtert eine Anwendungs-Firewall bewusst zurückhaltend: Das OWASP Core Rule Set, die Regelsammlung hinter vielen dieser Systeme, kennt vier Stufen und liefert Stufe 1 aus. Die Projektdokumentation ordnet sie so: Auf Stufe 1 treten Fehlalarme selten auf, Stufe 2 erzeugt einzelne, die man behandeln muss, Stufe 3 regelmäßig welche. Wer höher geht als Stufe 1, braucht eine benannte Person, die die Ausnahmen dauerhaft pflegt.

Vorgeschrieben ist eine Anwendungs-Firewall dort, wo Kartenzahlungen verarbeitet werden: PCI DSS 4.0 verlangt in Anforderung 6.4.2 für öffentlich erreichbare Webanwendungen eine automatisierte Lösung, die Angriffe laufend erkennt und abwehrt. Verpflichtend ist das seit dem 31. März 2025. Zugelassen ist auch der reine Meldebetrieb, aber nur, wenn jede Meldung sofort untersucht wird. Außerhalb der Kartenzahlung schreibt kein Standard eine Anwendungs-Firewall vor; dort bleibt es eine Abwägung.