Firewall wechseln: So planen Unternehmen Migration und Rückfall

Ein Firewall-Wechsel gelingt, wenn die bestehende Funktion vollständig erfasst, die neue Konfiguration geprüft und der Rückfall technisch möglich ist. Der Geräteaustausch allein ist nur ein Teil des Projekts. Besonders häufig hängen VPN-Verbindungen, Portweiterleitungen, Zertifikate und öffentliche Dienste an nicht dokumentierten Einstellungen.

Das Wichtigste: Sichern Sie den Ist-Zustand, definieren Sie einen Eigentümer jeder Regel, testen Sie kritische Dienste vor der Umschaltung und vereinbaren Sie messbare Abnahmekriterien. Planen Sie ein Wartungsfenster mit Kommunikations- und Rückfallweg.

Auf dieser Seite

• Welche Konfiguration gehört in die Bestandsaufnahme?
• Wie bereiten Sie Tests und Umschaltung vor?
• Migrationscheckliste mit Abnahmekriterien
• Wann brechen Sie ab oder fallen zurück?
• Häufige Fragen

Welche Konfiguration gehört in die Bestandsaufnahme?

Erfassen Sie Netzsegmente, IP-Adressierung, Routen, Network Address Translation (NAT), eingehende Freigaben, ausgehende Regeln, virtuelle private Netze (VPN), Zertifikate, Authentisierung und Protokollierung. Ergänzen Sie Abhängigkeiten von Telefonie, Cloud-Diensten, Fernwartung und Backup-Anbindung. Nicht mehr benötigte Regeln gehören in eine fachliche Prüfung, nicht ungeprüft in den neuen Bestand.

Dokumentieren Sie auch, wer die alte und neue Firewall administriert. Bei einem Dienstleisterbetrieb müssen Änderungsfenster, Zugriffe und Supportwege mit ihm abgestimmt werden. Der Betriebsmodell-Ratgeber erklärt die Zuständigkeitsfrage.

Wie bereiten Sie Tests und Umschaltung vor?

Erstellen Sie eine sichere Konfigurationssicherung und prüfen Sie, ob sie für den Rückfall tatsächlich nutzbar ist. Bauen Sie die neue Regelbasis auf und testen Sie sie möglichst isoliert. Halten Sie für jede kritische Verbindung einen Testfall mit Ausgangslage, erwartetem Ergebnis und verantwortlicher Person fest. NIST empfiehlt für Firewall-Regeln ein geregeltes Änderungsmanagement und wiederkehrende Funktionsprüfungen.

Fiktives Beispiel: Eine Firma betreibt einen Standort-VPN-Tunnel, einen veröffentlichten Webdienst und Teams-Telefonie. Das Testprotokoll enthält je einen internen und externen Verbindungsversuch sowie die Prüfung von DNS, NAT und Protokollen. Ein bloßer Internet-Speedtest würde diese Abhängigkeiten übersehen.

Migrationscheckliste mit Abnahmekriterien

Die Tabelle macht Entscheidungen vor dem Wartungsfenster sichtbar. Ein Rückfall ist nur möglich, wenn die alte Hardware, Verkabelung, Adressen und Gegenstellen noch in einem nutzbaren Zustand sind.

Wann brechen Sie ab oder fallen zurück?

Legen Sie vorab fest, welche Funktionen zwingend laufen müssen, wie lange die Fehlersuche im Wartungsfenster dauern darf und wer den Rückfall auslöst. Prüfen Sie, ob eine alte Konfiguration nach Änderungen am Anschluss oder an Gegenstellen noch verwendbar wäre. Nach der Umschaltung dokumentieren Sie Testresultate, offene Abweichungen und den freigegebenen Betriebszustand. Eine unterbrechungsfreie Migration lässt sich ohne konkrete Architektur nicht versprechen.

Häufige Fragen

Kann man alle alten Regeln automatisch übernehmen? Eine technische Konvertierung ersetzt keine fachliche Prüfung.

Braucht der Rückfall einen Test? Ja, mindestens seine Voraussetzungen und die Verfügbarkeit der alten Konfiguration müssen geprüft werden.

Wer entscheidet über Freigaben? Die fachlich verantwortliche Stelle und die IT sollten Zuständigkeiten vor dem Wechsel festlegen.

Wann ist die Migration abgeschlossen? Wenn definierte Dienste getestet, Abweichungen zugeordnet und die Betriebsdokumentation aktualisiert sind.

Quellen und Prüfstand

• NIST SP 800-41 Rev. 1 – Firewalls and Firewall Policy
• NIST SP 800-128 – Security-Focused Configuration Management

Redaktioneller Prüfstand: 8. Oktober 2026. Anbieterfunktionen, Lizenzen und Vertragsbedingungen bitte für den konkreten Fall aktuell prüfen.

Nächster Schritt

Bei einem Anschluss- oder Anbieterwechsel sollten Firewall und Übergabe zusammengedacht werden. Besprechen Sie Ihren Standort.