Warum ein Consumer-Router keine echte Firewall ist
Viele kleine und mittlere Unternehmen betreiben ihr Netzwerk mit demselben Router, den sie aus dem Elektronikmarkt kennen: günstig, einfach einzurichten, und scheinbar ausreichend. Die Realität sieht anders aus. Laut BSI-Lagebericht 2024 waren KMU im Durchschnitt 23 Tage lang kompromittiert, bevor ein Angriff überhaupt bemerkt wurde – in vielen Fällen, weil schlicht kein Monitoring und keine regelbasierte Firewall vorhanden war.
Consumer-Router bieten zwar NAT und rudimentäre Paketfilterung, aber keine tiefergehende Inspektion des Datenverkehrs, keine IDS/IPS-Funktion, kein zentrales Logging und oft jahrelang keine Sicherheitsupdates. Wer sensible Kundendaten, Buchhaltungssoftware oder Remote-Zugänge betreibt, braucht mehr.
Die gute Nachricht: Mit Open-Source-Lösungen wie OPNsense und pfSense lässt sich professionelle Firewall-Technologie auch ohne Enterprise-Budget einsetzen.
OPNsense und pfSense: Die Basis
Beide Systeme basieren auf FreeBSD und teilen historische Wurzeln – pfSense existiert seit 2004, OPNsense wurde 2015 als Fork gestartet. Beide sind kostenlos als Community Edition verfügbar und bieten einen Funktionsumfang, der kommerzielle Appliances im mittleren Preissegment übersteigt.
pfSense wird von Netgate entwickelt und ist seit Jahren die bekannteste Open-Source-Firewall-Lösung. Die Community Edition ist frei verfügbar, der Fokus des Unternehmens liegt jedoch zunehmend auf kommerzieller Hardware und dem pfSense Plus-Zweig.
OPNsense legt großen Wert auf Transparenz, regelmäßige Updates (zweiwöchentlicher Release-Zyklus) und eine moderne Web-Oberfläche. Das Projekt ist aktiv und community-getrieben mit klarem Open-Source-Commitment.
Feature-Vergleich im Detail
Benutzeroberfläche und Einrichtung
OPNsense punktet mit einer modernen, übersichtlichen Oberfläche auf Bootstrap-Basis. Neue Administratoren finden sich schnell zurecht, Wizards führen durch die Grundkonfiguration. pfSense wirkt im Vergleich etwas älter und weniger konsistent, ist aber für erfahrene Administratoren ebenso gut bedienbar.
Vorteil: OPNsense für Einsteiger und Teams ohne dedizierte Firewall-Expertise.
IDS/IPS – Intrusion Detection und Prevention
Beide Systeme integrieren Suricata als IDS/IPS-Engine. OPNsense hat die Integration tiefer ins System gezogen und bietet eine komfortablere Verwaltung von Regelsätzen direkt aus der Oberfläche. pfSense unterstützt zusätzlich Snort als Alternative.
Für KMU ist IDS/IPS besonders relevant: Es erkennt bekannte Angriffsmuster, Malware-Kommunikation und Port-Scans, bevor Schaden entsteht.
VPN-Unterstützung
Beide Lösungen unterstützen OpenVPN, WireGuard und IPsec out of the box. OPNsense hat WireGuard seit längerem nativ und stabil integriert – pfSense zog nach, hatte aber anfangs Stabilitätsprobleme beim WireGuard-Kernel-Modul.
Für Remote-Arbeit und Site-to-Site-Verbindungen zwischen Standorten ist solide VPN-Unterstützung unverzichtbar.
Update-Frequenz und Sicherheitspatches
OPNsense veröffentlicht alle zwei Wochen ein Update – Sicherheitslücken werden damit deutlich schneller geschlossen als bei vielen kommerziellen Systemen. pfSense Community Edition erhält Updates seltener; kritische Patches kommen, aber der Rhythmus ist weniger vorhersehbar.
Vorteil: OPNsense bei Update-Frequenz und Transparenz.
Wann braucht ein KMU eine richtige Firewall?
Die kurze Antwort: immer. Sobald mehr als ein Gerät im Netzwerk hängt und geschäftliche Daten verarbeitet werden, reicht ein Consumer-Router nicht mehr aus. Konkrete Auslöser:
- Remote-Arbeit: VPN-Verbindungen für Mitarbeiter im Homeoffice erfordern eine verwaltbare, sichere Lösung
- DSGVO und Compliance: Datenschutzkonformität setzt technische Schutzmaßnahmen voraus – eine regelbasierte Firewall gehört dazu
- Segmentierung: Trennung von Büronetz, Servernetz und Gäste-WLAN verhindert laterale Bewegungen bei einem Angriff
- Logging: Im Ernstfall braucht man Logs – Consumer-Router speichern nichts Verwertbares
Laut Bitkom Studie 2024 hatten 43 % der befragten KMU im vergangenen Jahr einen Sicherheitsvorfall. Ein erheblicher Teil davon wäre durch korrekte Netzwerksegmentierung und eine regelbasierte Firewall vermeidbar gewesen.
Hardware-Empfehlungen
Für OPNsense und pfSense eignen sich sowohl dedizierte Appliances als auch Standard-x86-Hardware. Empfehlenswerte Optionen für KMU:
- Mini-PCs mit Intel-Netzwerkkarte (z.B. auf Basis von Intel N-Series oder i3/i5): Günstig, stromsparend, ausreichend Leistung für bis zu 500 Mbit/s mit aktiviertem IDS
- Dedizierte Firewall-Appliances (von verschiedenen Herstellern auf OPNsense/pfSense-Basis): Kompakt, lüfterlos, für Rack oder Desktop
- Ältere Enterprise-Hardware: Gebrauchte Small-Form-Factor-PCs mit Intel-NICs funktionieren hervorragend und sind kostengünstig
Mindestanforderungen: 4 GB RAM, 16 GB SSD, zwei Netzwerkkarten (WAN + LAN). Für IDS/IPS und mehrere VLANs empfehlen sich 8 GB RAM und ein Quad-Core-Prozessor.
Fazit: Welche Lösung ist die richtige?
Für die meisten KMU ohne dediziertes Netzwerk-Team ist OPNsense die empfehlenswertere Wahl: moderne Oberfläche, häufige Updates, aktive Community und native WireGuard-Integration. pfSense bleibt eine solide Alternative, besonders wenn Snort als IDS bevorzugt wird oder bereits Erfahrung mit dem System vorhanden ist.
Beide Lösungen sind einem Consumer-Router in jeder Hinsicht überlegen – und der Aufwand für die Einrichtung ist überschaubar. Wer sich dabei professionelle Unterstützung wünscht, profitiert von einer strukturierten Netzwerkplanung inklusive VLAN-Konzept, VPN und Monitoring.
Mehr zum Thema IT-Sicherheit für Mitarbeiter: IT-Sicherheitsschulung für Mitarbeiter