Zeit für eine neue Perspektive Nicht die Firewalls versagen, sondern die Verwaltung und Prozesse dahinter

Anbieter zum Thema

FireMon Deutschland GmbH

Verizon Deutschland GmbH

dtm Datentechnik Moll GmbH

VON ZUR MÜHLEN'SCHE GmbH

Kentix GmbH

Wenn Enterrise-Firewalls versagen, liegt das nicht an der fehlenden Technik. Es liegt vielmehr daran, dass die Zuständigkeiten unklar formuliert sind, die Prozesse uneinheitlich sind und der Erfolg nicht anhand von Ergebnissen gemessen wird.

Aus aktuellen Daten geht hervor: Mehr als 60 Prozent der Enterprise-Firewalls scheitern beim ersten Compliance-Audit mit hoher Kritikalität, über ein Drittel sogar auf der höchsten Stufe. Das sind keine Einzelfälle. Diese Symptome weisen auf eine Governance-Lücke hin, eine, die sich weder mit mehr Tools, noch mit mehr Personal oder schnellen Änderungen beheben lässt.

Security at Scale ist ein Governance-Problem

Heutige Firewalls befinden sich nicht mehr nur am Perimeterrand. Sie steuern Zugriffe über hybride Rechenzentren, Multicloud-Plattformen, Edge-Services und Tausende verteilte Endpunkte hinweg. Was einst ein statischer Umriss war, ist heute ein dynamisches, sich ständig veränderndes Geflecht aus Zugangspunkten und Richtlinien.

Wenn Policy Drift, Rule Sprawl oder Fehlkonfigurationen auftreten, sind dies nicht nur ein technische, sondern auch operative Probleme und es zeigt: Niemand trägt wirklich die Verantwortung dafür, dass die Firewall auch das tut, was von ihr erwartet wird.

Die Muster, die dabei zu beobachten sind, sind nicht zufällig. Sie ergeben sich daraus, wie Unternehmen Verantwortlichkeiten zuweisen, Richtlinien umsetzen und Performance bewerten. Genau deshalb ist die neue Funktion „Govern“, die dem „NIST Cybersecurity Framework 2.0“ hinzugefügt wurde, so bedeutsam. Sie erkennt an, was zu viele Vorstände immer noch übersehen: Compliance Audits ohne Governance sind reiner Aktionismus.

Was sich nicht nachweisen lässt, funktioniert nicht

Der „Verizon Data Breach Investigations Report“ erzählt Jahr für Jahr die gleiche Geschichte: Es sind menschliche Fehler, überstürzte Änderungen und mangelnde Prozessdisziplin, die zu Sicherheitslücken führen. Meist ist nicht eine fehlende Firewall-Regel die Grundursache, sondern der fehlende Nachweis, dass bestehende Regeln in einer sich kontinuierlich wandelnden Umgebung noch funktionieren.

Bildergalerie

Bildergalerie mit 5 Bildern

Governance darf nicht länger eine nachrangige Angelegenheit sein. Sie muss zu einer führenden Funktion werden, die mit klarer Verantwortung, messbaren Ergebnissen und echter Rechenschaftspflicht einhergeht. Konkret bedeutet das: Unternehmen, die Governance zur obesten Priorität machen, verhalten sich in folgenden fünf Punkten grundlegend anders.

1. Verantwortung zuweisen, nicht Unklarheit schaffen

Das Risiko fehlerhafter oder unsicherer Firewall-Richtlinien entsteht häufig durch unklare Zuständigkeiten zwischen den beteiligten Teams. Um dem entgegenzuwirken, sollte eine verantwortliche Person mit den erforderlichen Befugnissen benannt werden, nicht nur für Audit-Zeiträume, sondern auch für den laufenden Betrieb. Diese Person muss befugt sein, Änderungen zu unterbrechen, Risiken zu kennzeichnen und die Einhaltung der Richtlinien sicherzustellen, etwa im Hinblick auf Betriebszeiten oder Kostenkontrolle.

2. Compliance kontinuierlich gestalten

Vierteljährliche Audits liefern lediglich Momentaufnahmen, während sich Unternehmensumgebungen fortlaufend und mitunter stündlich verändern. Schwerwiegende Verstöße sollten durch klar definierte Verantwortlichkeiten, Service-Level-Agreements (SLAs) und nachvollziehbare Rechenschaftsmechanismen adressiert werden. Automatisierte Richtlinienprüfungen sollten fester Bestandteil der Änderungs- und Freigabe-Workflows sein.

3. Geschäftsrelevante Ergebnisse messen

Die Anzahl der Regeln und das Änderungsvolumen sind keine Indikatoren für den Erfolg. Aussagekräftiger sind stattdessen Kennzahlen wie die mediane Dauer bis zur Behebung von Verstößen, der Anteil vorab simulierter Änderungen oder der Prozentsatz der Regeln mit eindeutig zugewiesener Verantwortlichkeit. Diese Metriken sollten gemeinsam mit den KPIs für Verfügbarkeit und Sicherheit ausgewiesen werden.

4. Upstream-Übergaben korrigieren

Viele Policy-Fehler entstehen durch kurzfristige und unklare Anforderungen seitens der Applikationsteams. Einheitliche Standards sollten daher den Kontext, eine fundierte Least-Privilege-Begründung sowie eine an den Applikationslebenszyklus gekoppelte Ablaufregel (Rule Expiration) umfassen.
Wird eine Applikation außer Betrieb genommen, muss auch der zugehörige Policy-Footprint konsequent entfernt werden. Zu bewerten sind die Risiken, nicht Aktivitäten.

5. Risiken statt Aktivitäten bewerten

Erfolg wird erst durch eine nachweisbare, über die Zeit messbare Verbesserung deutlich. Die Bewertung der Risikoposition sollte im Vergleich zu ähnlichen Unternehmen (Peers) oder zur eigenen historischen Entwicklung erfolgen. Strategische Entscheidungen müssen auf belastbaren Daten und Evidenz basieren und nicht auf Annahmen oder Hoffnung.

Die wahren Kosten: Nacharbeit, Verzögerung und Vertrauensverlust

Probleme bei Firewalls führen nicht nur zu Befunden in Audits. Sie verursachen Ausfälle, verzögern Produkt-Releases und zwingen Sicherheitsteams zu fragwürdigen Ausnahmen, die die Richtlinien vollständig umgehen. Wenn Teams die Wirksamkeit ihrer Kontrollen nicht nachweisen können, greifen sie oft zu stumpfen Instrumenten wie pauschalen Regeln, Ad-hoc-Änderungen und manuellen Behelfslösungen.

Jede dieser Entscheidungen erhöht wiederum die Komplexität, schwächt die Sicherheit und untergräbt das Vertrauen, bei Auditoren, Kunden und Aufsichtsbehörden gleichermaßen.

Zeit für eine neue Perspektive: Firewall-Governance nach dem Vorbild von Financial Governance

CFOs tragen die Verantwortung für wirksame Finanzkontrollen und die Betriebszeit (Uptime) wird als operative Disziplin angesehen. Warum sollten Sicherheitskontrollen anders behandelt werden?

Die technische Durchsetzung von Firewalls ist ausgereift. Was fehlt, ist ein strategischer Ansatz: ein durchdachtes System aus klaren Verantwortlichkeiten, Automatisierung, Messbarkeit und einer entsprechenden Kultur, das Richtlinien skalierbar unter Kontrolle hält. Ein System, in dem jede Regel einen definierten Zweck, einen Plan und ein Ablaufdatum hat.

(ID:50652456)