Hardware-Firewall für kleine Unternehmen: Welche Leistungsklasse ab wie vielen Nutzern sinnvoll ist

Firewall-Durchsatz unter Last: So ermitteln Sie die passende Hardware-Firewall-Leistungsklasse für 5, 20 oder 50 Nutzer im KMU-Umfeld.

Sie haben gerade eine neue Hardware-Firewall für kleine Unternehmen in den Warenkorb gelegt, die laut Datenblatt 1 Gbit/s Durchsatz liefert. Was das Datenblatt verschweigt: Sobald Sie IDS/IPS aktivieren, schrumpft diese Zahl in der Praxis auf 400 bis 700 Mbit/s. Für ein wachsendes Büro mit 20 oder 50 Arbeitsplätzen kann das bedeuten, dass Ihre Firewall den Traffic nicht schützt, sondern schlicht drosselt.

Dieser Ratgeber überspringt die übliche Grundsatzdiskussion, ob Sie eine Firewall brauchen, und beantwortet stattdessen die konkretere Frage: Welche Leistungsklasse, welche Port-Anzahl und welcher Feature-Tier passen tatsächlich zu Ihrem Unternehmen mit 5, 20 oder 50 Nutzern? Sie erhalten eine praxisnahe Sizing-Methodik in vier Schritten: Bandbreite und Nutzerzahl kartieren, den Derating-Faktor einrechnen, die passende TERRA Firewall Appliance ableiten und entscheiden, ob eine UTM-Subscription für Content-Inspection notwendig ist. Am Ende wissen Sie genau, welches Modell Ihr Netzwerk schützt, ohne dabei zum Engpass zu werden.

Warum Herstellerangaben zum Durchsatz in die Irre führen können

Firewall-Datenblätter weisen den Durchsatz unter Idealbedingungen aus: maximale Paketgröße, ausschließlich unverschlüsselter Datenverkehr, keine aktiven Sicherheitsfunktionen. Diese Messmethodik ist in der Branche üblich, spiegelt aber nicht den Alltagsbetrieb eines Büronetzwerks wider.

Sobald IDS/IPS (Intrusion Detection/Prevention System, also Angriffserkennung und -abwehr) aktiviert ist, sinkt die reale Leistung einer Firewall Appliance laut Industriestandards um 30 bis 60 Prozent gegenüber dem Datenblattwert. Ein konkretes Beispiel: Ein Firewall-Gerät mit ausgewiesenen 500 Mbit/s Firewall-Durchsatz liefert mit aktiviertem UTM-Paket (Unified Threat Management, ein Komplettschutzpaket aus Web-Filter, Virenscanner und Angriffserkennung) möglicherweise nur 200 bis 350 Mbit/s tatsächlichen Durchsatz.

Wer eine Hardware-Firewall für kleine Unternehmen allein nach dem Spitzenwert im Datenblatt auswählt, riskiert einen Engpass, der das Netzwerk nicht schützt, sondern bremst. Eine unterdimensionierte Appliance verwirft unter Last Pakete oder deaktiviert Sicherheitsfunktionen automatisch, um den Betrieb aufrechtzuerhalten.

Besonders relevant wird dieses sogenannte Derating durch aktuelle Compliance-Anforderungen: Die NIS2-Richtlinie und die BSI-Orientierungshilfe C5 setzen voraus, dass Sicherheitsfunktionen dauerhaft aktiv sind, nicht nur im Testbetrieb. Für KMU bedeutet das: Die Datenblattzahl ist ein Ausgangspunkt für die Berechnung, nicht das Ergebnis.

Schritt 1: Nutzerzahl und Bandbreite kartieren

Bevor Sie ein Firewall-Gerät auswählen, brauchen Sie eine belastbare Zahl: den tatsächlichen Bandbreitebedarf Ihres Büros.

Gleichzeitig aktive Nutzer zählen, nicht die Gesamtbelegschaft. In der Praxis rufen selten alle Mitarbeitenden zur selben Zeit bandbreitenintensive Anwendungen ab. Planen Sie stattdessen mit der realistischen Spitzenlast: Wie viele Personen sind gleichzeitig aktiv am Netz?

Für typische Büronutzung (Web, E-Mail, Cloud-Dienste) gilt als Orientierungswert 2 bis 3 Mbit/s je gleichzeitig aktivem Nutzer als Rohbedarf vor dem Derating-Schritt. Daraus ergeben sich folgende Richtwerte:

Videokonferenzen, VoIP und Cloud-Backup separat bewerten. Eine einzelne HD-Videokonferenz benötigt je nach Codec und Plattform 1,5 bis 4 Mbit/s, VoIP-Anrufe (G.711) etwa 0,1 Mbit/s pro Leitung, und parallele Cloud-Backups können kurzzeitig den gesamten Uplink auslasten. Nutzen Sie diese Anwendungstypen regelmäßig, erhöhen Sie Ihren Rohwert entsprechend, bevor Sie weiterdimensionieren. Wie die Auswahl für typische Szenarien zeigt, lohnt es sich grundsätzlich, Spitzenlastszenarien explizit ins Profil aufzunehmen.

Den Internetanschluss als harte Obergrenze prüfen. Die Firewall muss die volle Bandbreite Ihres Anschlusses, also sowohl Download als auch Upload, unter Last ohne Verluste durchleiten. Ein 500-Mbit/s-Glasfaseranschluss setzt damit eine Mindestanforderung an den Firewall-Durchsatz, unabhängig von der Nutzerzahl. Notieren Sie diesen Wert als zweite Benchmark neben dem nutzerbasierten Rohwert; der jeweils höhere Wert ist maßgeblich für den nächsten Schritt.

Schritt 2: Den Derating-Faktor einrechnen

Mit dem Rohbedarf aus Schritt 1 haben Sie einen ersten Orientierungswert. Dieser Wert reicht jedoch nicht für die Geräteauswahl, weil er keine Sicherheitsfunktionen einkalkuliert.

Der Derating-Faktor beschreibt den Leistungsverlust, der entsteht, sobald IDS/IPS (Intrusion Detection/Prevention System, also Angriffserkennung und -abwehr), Deep Packet Inspection (DPI, tiefgehende Analyse jedes Datenpakets) und Virenscanner gleichzeitig aktiv sind. Unter diesen realen Bedingungen sinkt der tatsächliche Durchsatz um 30 bis 60 Prozent gegenüber dem Datenblattwert, der unter Idealbedingungen ohne aktive Sicherheitsfunktionen gemessen wird.

Die Formel für die Praxis:

Teilen Sie Ihren ermittelten Rohbedarf durch 0,5. Das Ergebnis ist der Mindest-Durchsatzwert, den das Gerät im Datenblatt ausweisen sollte.

Beispiel für 20 Nutzer: Rohbedarf 80 Mbit/s ÷ 0,5 = 160 Mbit/s geforderter Datenblattwert.

Planen Sie zusätzlich SSL-Inspection ein, also die Entschlüsselung und Analyse von HTTPS-Datenverkehr, verwenden Sie den strengeren Faktor 0,4. Die TLS-Dekryption ist deutlich rechenintensiver als klassische Paketfilterung, weshalb der Puffer entsprechend größer sein muss.

Beispiel für 20 Nutzer mit SSL-Inspection: 80 Mbit/s ÷ 0,4 = 200 Mbit/s geforderter Datenblattwert.

Dieser Rechenschritt ist das Kernstück jeder seriösen Auswahl einer Firewall-Lösung für kleine Unternehmen. Herstellerdatenblätter kommunizieren den Zusammenhang zwischen Spitzendurchsatz und realem UTM-Durchsatz häufig nicht explizit, weshalb er in der Kaufentscheidung oft übersehen wird.

Sizing-Tabelle: Leistungsklasse nach Arbeitsplatzanzahl

Die folgende Tabelle fasst die Ergebnisse der Derating-Rechnung für die drei praxisrelevanten Betriebsgrößen zusammen. Alle Durchsatzwerte beziehen sich auf den im Datenblatt ausgewiesenen Firewall-Durchsatz unter Idealbedingungen, nicht auf den UTM-Durchsatz.

5 Arbeitsplätze: Eine Einstiegsklassen-Appliance mit grundlegenden UTM-Funktionen deckt den Bedarf. Der Puffer zwischen Rohbedarf und Datenblattwert (Faktor ca. 2) berücksichtigt Derating durch IDS/IPS sowie gelegentliche Bandbreiten-Spitzen.

20 Arbeitsplätze: Hier sind IDS/IPS und Content-Filter keine optionalen Ergänzungen mehr, sondern betrieblicher Standard. Ab dieser Größe empfiehlt sich zudem mindestens ein dedizierter DMZ-Port (Demilitarisierte Zone: ein separates Netzwerksegment für Server mit externem Zugriff) sowie mindestens vier LAN-Ports, um Netzwerksegmente sauber zu trennen.

50 Arbeitsplätze: Die gehobene Leistungsklasse mit Multi-Gigabit-Ports und VLAN-Unterstützung (VLAN: virtuelle Netzwerksegmentierung zur Trennung von Datenbereichen) ist sinnvoll. Der Datenblattwert von mindestens 400 Mbit/s gibt ausreichend Reserve für gleichzeitige SSL-Inspection und mehrere aktive VPN-Verbindungen.

Die Richtwerte gelten für Standardbüronutzung (Web, E-Mail, Cloud-Dienste). Praxen, Kanzleien oder Betriebe mit eigenem Serverbetrieb haben abweichende Lastprofile, ähnlich wie beim Arbeitsspeicher-Sizing für Büro-PCs empfiehlt sich in diesen Fällen ein individuelles Sizing.

Schritt 3: Leistungsklasse und Modell-Tier der TERRA Firewall Appliances ableiten

TERRA Firewall Appliances basieren vollständig auf der Securepoint-Plattform und sind in mehreren Leistungsklassen erhältlich, die sich nach Firewall-Durchsatz, Port-Ausstattung und verfügbarem UTM-Funktionsumfang unterscheiden. Welche Klasse für Ihr Unternehmen passt, ergibt sich direkt aus dem bereinigten Mindestdurchsatzwert aus der Sizing-Tabelle.

Einstiegsklasse: bis 10 Arbeitsplätze

Für kleine Unternehmen bis 10 Arbeitsplätze eignen sich Einstiegsmodelle der TERRA Firewall-Reihe. Diese bieten Stateful-Packet-Inspection (zustandsbasierte Paketfilterung), VPN-Unterstützung für verschlüsselten Fernzugriff und die Option, eine UTM-Lizenz nachzurüsten. Der Firewall-Durchsatz dieser Modelle deckt den bereinigten Mindestbedarf kleiner Büroumgebungen ab.

Mittlere Klasse: 15 bis 30 Arbeitsplätze

Für Büros in diesem Bereich sind Appliances mit höheren UTM-Durchsatzwerten und mehr physischen Ports erforderlich. Sie ermöglichen VLAN-Segmentierung (Trennung von Netzwerkbereichen) und mehrere gleichzeitige VPN-Verbindungen, ohne dass aktive Sicherheitsfunktionen die Leistung spürbar einschränken.

Gehobene Klasse: ab 40 bis 50 Arbeitsplätzen

Ab dieser Größe kommen Modelle mit Multi-Gigabit-Interfaces, höheren gleichzeitigen Session-Zahlen (Anzahl gleichzeitig offener Netzwerkverbindungen) und einem erweiterten UTM-Feature-Set infrage. Diese Klasse hält auch dann ausreichend Durchsatzreserven bereit, wenn SSL-Inspection aktiv ist.

Die vollständige TERRA Firewall-Produktpalette mit Datenblattangaben zu Durchsatz und Feature-Tier je Modell finden Sie unter /Server-Netzwerk/Firewalls/. Dort lassen sich die Spezifikationen direkt mit Ihrem bereinigten Mindestdurchsatzwert abgleichen. Ergänzend dazu gibt der Ratgeber Welcher TERRA-PC für wen? einen Überblick über die TERRA-Produktlogik, der beim Einordnen der Geräteserien hilft.

Schritt 4: UTM-Subscription einplanen, wenn Content-Inspection erforderlich ist

Mit dem passenden Modell-Tier allein ist die Arbeit noch nicht abgeschlossen. Die Wahl der Leistungsklasse bestimmt, was das Gerät verarbeiten kann; die UTM-Subscription bestimmt, was es tatsächlich erkennt.

Eine Hardware-Firewall ohne aktive UTM-Subscription arbeitet ausschließlich mit Stateful-Inspection: Sie prüft, ob eine Verbindung erlaubt ist, analysiert aber nicht den Inhalt. Malware in HTTPS-Datenverkehr, Phishing-URLs und infizierte E-Mail-Anhänge passieren diesen Filter ungeprüft.

UTM-Funktionen wie Web-Filtering, Antivirus-Scanning und IPS (Intrusion Prevention System, aktive Angriffserkennung und -abwehr) arbeiten mit Signaturdatenbanken, die kontinuierlich aktualisiert werden müssen. Diese Aktualisierungen werden über die laufende Subscription geliefert. Eine veraltete Signaturdatenbank erkennt neue Bedrohungen nicht; die Funktion ist dann zwar aktiviert, aber weitgehend wirkungslos.

NIS-2 und das deutsche BSIG sowie die BSI-Empfehlungen legen KMU nahe, Content-Inspection als festen Bestandteil ihres Schutzkonzepts einzusetzen, nicht als optionale Erweiterung.

Für die Budgetplanung gilt daher: Die UTM-Subscription ist eine wiederkehrende Betriebsausgabe, vergleichbar mit einem Wartungsvertrag. Das Firewall-Gerät allein deckt den vollständigen Schutzbedarf nicht ab.

Wichtiger Hinweis zur Sizing-Rechnung: Der Durchsatzverlust durch Content-Inspection ist im Derating-Faktor aus Schritt 2 bereits berücksichtigt, sofern Sie den konservativen Wert von 0,4 bis 0,5 verwendet haben. Eine separate Korrektur ist dann nicht erforderlich.

Port-Anzahl, VLAN-Bedarf und Redundanz nach Betriebsgröße

Neben Durchsatz und UTM-Lizenz bestimmt die physische Port-Ausstattung, ob eine Appliance zur Netzwerkstruktur Ihres Betriebs passt.

Bis 10 Nutzer genügt eine Firewall Appliance mit zwei bis vier LAN-Ports, sofern ein nachgelagerter Switch die interne Verteilung übernimmt. Die Firewall trennt dabei lediglich WAN von LAN; die Segmentierung innerhalb des Büros leistet der Switch.

Ab 20 Arbeitsplätzen sollte die Firewall VLAN-fähig sein (VLAN: Virtual Local Area Network, logische Netztrennung auf einer gemeinsamen Infrastruktur). Damit lassen sich Gäste-WLAN, Arbeitsplätze und Server-Segment sauber isolieren. Das erschwert Lateral-Movement, also die unkontrollierte Ausbreitung von Schadsoftware, die sich nach einem ersten Einbruch quer durch das Netz bewegt. Eine praxisnahe VLAN-Struktur für KMU sieht typischerweise getrennte Broadcast-Domänen für Clients, Server, Voice und Gäste vor.

Ab 50 Nutzern benötigt die Appliance mindestens einen dedizierten WAN-Port, einen DMZ-Port (Demilitarisierte Zone für Server mit externem Zugriff) sowie mehrere LAN-Ports oder Trunk-Ports zur Switch-Anbindung.

Zwei weitere Faktoren verdienen besondere Aufmerksamkeit:

• WAN-Failover: Betriebe, die auf Cloud-Dienste oder VoIP angewiesen sind, sollten den automatischen Wechsel auf eine zweite Internetleitung auf Appliance-Ebene realisieren, nicht durch externe Router, da nur so nahtlose Verfügbarkeit sichergestellt ist.

• VPN-Tunnel: Die Anzahl gleichzeitiger verschlüsselter Verbindungen für Homeoffice oder Filialanbindung wird bei der Modellwahl häufig unterschätzt. Jeder aktive Tunnel belastet den Prozessor der Appliance zusätzlich und kann bei zu kleinen Modellen spürbar bremsen.

Häufige Fragen

Was ist der Unterschied zwischen einer Hardware-Firewall und einer Software-Firewall?

Eine Hardware-Firewall ist eine eigenständige physische Appliance, die zwischen Internetanschluss und internem Netzwerk sitzt und den gesamten Datenverkehr zentral prüft. Eine Software-Firewall läuft auf einem einzelnen Endgerät und schützt nur dieses Gerät. Für Unternehmen mit mehreren Arbeitsplätzen ist die Hardware-Variante daher grundsätzlich geeigneter, da sie netzwerkweite Richtlinien durchsetzt.

Ab wie vielen Nutzern lohnt sich eine dedizierte Firewall Appliance?

Bereits ab einem einzelnen Büroarbeitsplatz mit Internetzugang ist eine dedizierte Firewall Appliance sinnvoll, sobald schützenswerte Daten oder Kundendaten verarbeitet werden. Spätestens ab fünf gleichzeitig aktiven Nutzern übersteigt das Angriffsrisiko das, was ein Router-Paketfilter zuverlässig abdeckt.

Was bedeutet UTM und brauche ich das als kleines Unternehmen?

UTM steht für Unified Threat Management, also ein gebündeltes Schutzpaket auf einer Appliance: Web-Filter, Virenerkennung, Spam-Schutz und IPS in einem Gerät. Für KMU, die keine dedizierte IT-Abteilung betreiben, ist UTM empfehlenswert, weil mehrere Schutzfunktionen zentral verwaltet werden, statt auf jedem Endgerät einzeln.

Warum weicht der reale Durchsatz vom Herstellerwert ab?

Hersteller messen den Durchsatz ohne aktive Sicherheitsfunktionen. Sobald IDS/IPS, Deep Packet Inspection oder Virenscanner eingeschaltet sind, sinkt die tatsächliche Leistung um 30 bis 60 Prozent. Ein Gerät mit 500 Mbit/s im Datenblatt liefert im UTM-Betrieb unter Umständen nur 200 bis 350 Mbit/s.

Wie oft sollte eine Hardware-Firewall ausgetauscht oder aktualisiert werden?

Firmware-Updates sollten zeitnah nach Veröffentlichung eingespielt werden, da bekannte Schwachstellen aktiv ausgenutzt werden. Eine Hardware-Ablösung ist fällig, wenn der Hersteller keine Sicherheitsupdates mehr bereitstellt oder der Durchsatz unter aktivierter UTM-Last zum Engpass wird.

Fazit: In drei Schritten zur passenden Firewall Lösung

Die vorangegangenen FAQs haben die häufigsten Einzelfragen geklärt. Dieser letzte Abschnitt fasst die Methodik kompakt zusammen.

Schritt 1 ist die Bedarfsermittlung: Rohbandbreite nach Anzahl gleichzeitig aktiver Arbeitsplätze bestimmen (Richtwert: 2 bis 3 Mbit/s je Nutzer).

Schritt 2 ist das Derating: Rohbedarf durch 0,5 dividieren, um den Mindest-Datenblattwert zu erhalten, der mit aktiven IDS/IPS-Funktionen noch ausreicht. Bei geplantem SSL-Inspection gilt der Faktor 0,4.

Schritt 3 ist die Modellauswahl: Appliance wählen, deren Datenblattwert den bereinigten Mindestwert übertrifft, und die Port- sowie VLAN-Anforderungen Ihres Netzes erfüllt.

Die UTM-Subscription gehört dabei als feste Betriebsausgabe in die Planung, nicht als optionale Erweiterung. Content-Inspection verliert ohne regelmäßig aktualisierte Signaturdatenbanken rasch an Wirksamkeit, unabhängig davon, wie leistungsfähig die Hardware ist.

Die aktuelle TERRA Firewall-Produktpalette mit Durchsatzwerten und Feature-Tiers je Modell finden Sie unter TERRA Firewalls im Überblick. Wenn Sie unsicher sind, welche Leistungsklasse zu Ihrer Infrastruktur passt, steht Ihnen das Team für eine individuelle Beratung unter /beratung zur Verfügung.

Weiterführende Ratgeber zu Server-Infrastruktur und Netzwerkkomponenten finden Sie im Bereich Server und Netzwerk.

Passend zum Thema im Shop

• Firewalls im Shop – Hardware-Firewalls für kleine Netzwerke
• Ratgeber: Firewall für kleine Unternehmen – was eine Hardware-Firewall leistet
• TERRA Server – Tower- und Rack-Server für kleine Unternehmen
• Ratgeber: USV richtig auswählen – Leistung und Überbrückungszeit bestimmen
• Kaufberatung starten – der Berater nennt passende Modelle aus dem aktuellen Sortiment
• Alle Magazin-Artikel – weitere Praxisbeiträge rund um TERRA-Hardware

Weitere Artikel im Magazin

• Gaming-PC für Flugsimulation: andere Hardware als für Shooter
• pfSense-Firewall in Deutschland kaufen: Worauf Sie achten sollten
• PC für die Arztpraxis: Welcher Rechner in Anmeldung, Behandlungsraum und Backoffice gehört

Stand: 09.09.2026. Redaktion Terra-Shop24.de. Preise und Verfügbarkeiten finden Sie tagesaktuell auf den Produktseiten.