pfSense-Firewall in Deutschland kaufen: Worauf Sie achten sollten
pfSense CE vs. Plus, Netgate-Appliance oder eigene Hardware – Bezugswege, Support, Lizenz, Ports und Datenschutz im Überblick. Plus: die TERRA-Alternative mit deutschem Support.
Wer nach „pfSense Shop Deutschland“ oder „Netgate 4200 kaufen“ sucht, hat meist schon eine Vorentscheidung getroffen: Die Firewall soll auf einer Open-Source-Basis laufen. Bevor Sie bestellen, lohnt sich ein genauer Blick auf Bezugswege, Hardware, Support und Lizenzfragen – denn genau dort unterscheiden sich die Angebote, nicht bei der Software selbst. Dieser Artikel vertieft den pfSense-Abschnitt aus unserem Ratgeber Firewall für kleine Unternehmen und ordnet ehrlich ein, wo eine kommerzielle Appliance mit deutschem Support die sinnvollere Wahl ist.
Was pfSense ist – und was nicht
pfSense ist ein Firewall- und Router-Betriebssystem auf Basis von FreeBSD. Es bringt die klassischen Firewall-Funktionen mit: Paketfilter, NAT, VPN-Gateways, DHCP- und DNS-Dienste, mehrere WAN-Anschlüsse und eine Weboberfläche zur Verwaltung. Über Paketerweiterungen lassen sich weitere Funktionen nachrüsten, etwa Proxy- oder Intrusion-Detection-Dienste.
Hinter pfSense steht das US-Unternehmen Netgate. Es entwickelt die Software, bietet dazu passende Hardware-Appliances an und vertreibt kommerziellen Support. Wichtig für die Kaufentscheidung ist der Unterschied zwischen den beiden Ausgaben:
pfSense CE (Community Edition): die frei verfügbare Open-Source-Variante. Sie kann kostenlos heruntergeladen und auf eigener Hardware installiert werden. Hilfe gibt es über Dokumentation und Community-Foren, nicht über einen vertraglich zugesicherten Hersteller-Support.
pfSense Plus: die kommerzielle Ausgabe von Netgate. Sie ist auf den Netgate-Appliances vorinstalliert und wird vom Hersteller gepflegt; Support-Leistungen sind an entsprechende Verträge gebunden.
Für die Praxis heißt das: pfSense ist kein einzelnes Produkt, das man „kauft“, sondern ein Betriebssystem. Gekauft wird entweder die Hardware, auf der es läuft, oder ein Paket aus Hardware, Software und Support.
Drei Wege, eine pfSense-Firewall in Deutschland zu beziehen
1. Netgate-Appliance über einen Reseller
Netgate vertreibt seine Appliances – darunter das Desktop-Modell Netgate 4200 – über den eigenen Online-Shop und über autorisierte Vertriebspartner. In Deutschland gibt es einige IT-Händler, die diese Geräte im Sortiment führen. Prüfen Sie beim Kauf drei Dinge: Ist der Händler tatsächlich Netgate-Partner (Hinweis auf der Netgate-Website), liegt der Ware pfSense Plus mit gültiger Lizenz bei, und wie läuft im Fall der Fälle die Abwicklung von Gewährleistung, Rücksendung und Support? Ein deutscher Ansprechpartner ist hier wertvoll – auch dann, wenn der eigentliche Software-Support beim Hersteller bleibt.
Bitte beachten Sie: Terra-Shop24.de führt keine Netgate-Hardware. Wir nennen diesen Weg hier, weil er zu einer ehrlichen Übersicht gehört.
2. Eigene Hardware mit pfSense CE
Der klassische Weg vieler Administratoren: ein kleiner x86-Rechner mit mindestens zwei Netzwerkschnittstellen, darauf pfSense CE. Das kann ein ausgedienter Büro-PC mit zusätzlicher Netzwerkkarte sein oder ein kompaktes Mini-System, das genau für diesen Zweck angeschafft wird. Vorteil: Sie bestimmen Prozessor, Speicher und Anzahl der Ports selbst und zahlen nur die Hardware. Nachteil: Kompatibilität (insbesondere der Netzwerkchips unter FreeBSD), Einrichtung und Betrieb liegen komplett in Ihrer Hand. Für eine Firewall im Dauerbetrieb sollten Sie außerdem auf ein lüfterloses oder zumindest leises Gehäuse achten, wenn das Gerät im Büro und nicht im Serverraum steht.
3. Kommerzielle Appliance mit deutschem Support
Die dritte Option ist keine pfSense-Lösung, gehört aber in jede seriöse Abwägung: eine fertige UTM-Firewall (Unified Threat Management) eines Herstellers mit Support aus Deutschland. Bei Terra-Shop24.de sind das die TERRA-Firewalls der WORTMANN AG mit der UTM-Software des deutschen Sicherheitsherstellers Securepoint aus Lüneburg. Zwei Baureihen stehen zur Wahl: die TERRA FIREWALL BLACK DWARF G5 für bis zu 10 Benutzer mit 2x Gigabit-LAN, integriertem WLAN und optionalem LTE-Modul sowie die TERRA FIREWALL BLACK DWARF PRO G5 für bis zu 15 Benutzer mit 4x Gigabit-LAN, WLAN, optionalem LTE und auf Wunsch als 19-Zoll-Einbau. Beide gibt es als UTM-Firewall inklusive Securepoint-Infinity-Lizenz mit 12 oder 36 Monaten Mindestlaufzeit oder als reines VPN-Gateway ohne UTM-Lizenz. Eine Übersicht finden Sie in der Kategorie Firewalls.
Kaufkriterien im Detail
Support und Wartungsvertrag
Das ist der Punkt, an dem sich die Wege am deutlichsten trennen. Bei pfSense CE gibt es keinen Hersteller, den Sie im Störungsfall anrufen können; Sie sind auf eigene Kenntnisse, einen externen Dienstleister oder die Community angewiesen. Bei Netgate-Appliances hängt der Umfang an der gebuchten Support-Stufe und läuft in englischer Sprache über den Hersteller. Bei einer verwalteten UTM wie den TERRA-Firewalls mit Securepoint-Technologie kommen Signatur- und Firmware-Updates vom Hersteller, und der Support sitzt in Deutschland. Fragen Sie sich ehrlich: Wer im Betrieb kann ein Firewall-Regelwerk lesen, wenn abends das VPN nicht mehr aufbaut?
Lizenz und Updates
pfSense CE ist lizenzkostenfrei; Updates spielen Sie selbst ein und entscheiden auch selbst, wann. pfSense Plus ist an die Netgate-Hardware bzw. einen Lizenzvertrag gebunden. Bei der Securepoint-Infinity-Lizenz der TERRA-Firewalls gilt: Sie wählen beim Kauf 12 oder 36 Monate Mindestlaufzeit; die Lizenz verlängert sich nach Ablauf automatisch um 12 Monate, wenn sie nicht vier Wochen vor Ablauf gekündigt wird. Die Aktivierung erfolgt über das Securepoint-Portal. Notieren Sie sich das Ablaufdatum – gleich welche Lösung Sie wählen –, denn eine Firewall ohne aktuelle Filterlisten verliert einen Großteil ihres Schutzes.
Hardware: Ports, Durchsatz, Lüfter
Zählen Sie zuerst die benötigten Netzwerkschnittstellen. Zwei Ports reichen für die einfache Trennung von Internet und Firmennetz. Sobald Gäste-WLAN, Kassensystem, Telefonanlage oder ein Serverbereich getrennt laufen sollen, brauchen Sie mehr physische Anschlüsse oder VLAN-Fähigkeit auf Firewall und Switch. Beim Durchsatz zählt nicht die Angabe für reines Routing, sondern der Wert bei aktivierten Sicherheitsfunktionen (Virenscan, Webfilter, VPN-Verschlüsselung) – der liegt deutlich niedriger. Als Anhaltspunkt für kleine Betriebe ist die Herstellerangabe „maximale Benutzer“ hilfreich, weil sie Filterleistung und Durchsatz zusammen berücksichtigt. Kalkulieren Sie Wachstum ein und zählen Sie dauerhaft aktive Geräte wie IP-Telefone, Drucker und Kameras mit. Ob das Gerät lüfterlos ist, entscheidet über den Aufstellungsort: im Büro sollte eine Firewall nicht hörbar sein, im Serverraum ist ein 19-Zoll-Einbau praktischer.
Dokumentation und Einarbeitung
pfSense ist gut dokumentiert, aber die Dokumentation ist überwiegend englisch und richtet sich an Administratoren. Eine kommerzielle UTM liefert in der Regel deutschsprachige Anleitungen und einen Hersteller, der Konfigurationsfragen beantwortet. Planen Sie in jedem Fall Zeit für die Ersteinrichtung ein: Regelwerk, VPN-Zugänge und Netztrennung sauber aufzusetzen ist bei keiner Lösung ein Nachmittagsprojekt. Wer das nicht selbst leisten will, holt sich einmalig Unterstützung vom IT-Dienstleister.
Datenschutz
Eine Firewall verarbeitet Verbindungsdaten aller Mitarbeiter. Prüfen Sie daher, welche Daten das Gerät an den Hersteller sendet (etwa für Cloud-basierte Reputationsdienste oder Telemetrie), ob sich das abschalten lässt und wo die Server dafür stehen. Bei pfSense CE haben Sie hier volle Kontrolle, aber auch die volle Verantwortung für Protokollierung und Löschfristen. Bei den TERRA-Firewalls mit Securepoint-Technologie wirbt der Hersteller mit DSGVO-konformer Ausrichtung und einem Unternehmenssitz in Deutschland – ein Punkt, der Auftraggebern und Cyberversicherern in Sicherheitsfragebögen oft wichtig ist. Unabhängig vom Produkt gehört die Firewall in Ihr Verzeichnis der Verarbeitungstätigkeiten.
Welche Lösung passt zu wem?
Die Entscheidung hängt weniger von der Technik als von den Menschen ab, die das Gerät betreiben:
Sie haben eigene IT-Kompetenz oder einen Administrator mit FreeBSD-/pfSense-Erfahrung: pfSense CE auf eigener Hardware oder eine Netgate-Appliance mit pfSense Plus sind legitime, technisch ausgereifte Optionen. Sie gewinnen Flexibilität und tragen die Verantwortung für Regelwerk, Updates, Monitoring und Fehlersuche selbst.
Sie führen ein kleines Unternehmen ohne eigene IT-Abteilung: Eine verwaltete UTM mit Lizenz und deutschem Support rechnet sich meist schon nach dem ersten Vorfall – oder schlicht dadurch, dass sich niemand neben dem Tagesgeschäft in Firewall-Regelwerke einarbeiten muss. Bis 10 Benutzer ist die BLACK DWARF G5 der Einstieg, darüber oder bei mehreren Netzbereichen die PRO G5.
Sie brauchen nur eine Standortvernetzung: Sollen ausschließlich VPN-Verbindungen zu Außenstellen oder Heimarbeitsplätzen aufgebaut werden, ist ein VPN-Gateway ohne UTM-Lizenz vorgesehen.
Ein Zwischenweg ist ebenfalls üblich: pfSense im Homelab oder als zweite Instanz zum Lernen, während im Firmennetz eine Appliance mit Wartungsvertrag läuft.
Häufige Fragen
Kann ich pfSense kostenlos nutzen?
Ja, pfSense CE (Community Edition) ist Open-Source-Software und kann kostenlos heruntergeladen und auf eigener Hardware installiert werden. Kosten entstehen für die Hardware, für optionale Support-Verträge und – nicht zu unterschätzen – für die Arbeitszeit bei Einrichtung und Betrieb.
Was ist der Unterschied zwischen pfSense CE und pfSense Plus?
pfSense CE ist die frei verfügbare Community-Ausgabe für eigene Hardware. pfSense Plus ist die kommerzielle Ausgabe von Netgate, die auf den Netgate-Appliances vorinstalliert ist und vom Hersteller gepflegt wird. Support-Leistungen sind bei Plus an entsprechende Verträge gebunden.
Verkauft Terra-Shop24.de Netgate-Appliances oder pfSense-Hardware?
Nein. Terra-Shop24.de führt die TERRA-Firewalls der WORTMANN AG mit Securepoint-UTM-Technologie in den Baureihen BLACK DWARF G5 und BLACK DWARF PRO G5. Netgate-Geräte beziehen Sie über den Netgate-Shop oder autorisierte Vertriebspartner.
Brauche ich zusätzlich zur Firewall noch einen Router?
Die Firewall wird zwischen Internetanschluss und Firmennetz gesetzt. Ob Ihr vorhandener Router weiter genutzt wird oder die Firewall die Einwahl übernimmt, hängt von Ihrem Anschluss ab. Klären Sie die Konstellation vor der Bestellung – bei den TERRA-Firewalls prüfen wir das gern mit Ihnen.
Wer richtet eine TERRA-Firewall ein?
Die Geräte werden als Hardware mit Lizenz geliefert; die Konfiguration übernehmen Sie oder Ihr IT-Dienstleister. Ein Grundschutz ist schnell aktiv, für Regelwerk, VPN und Netztrennung empfiehlt sich eine saubere einmalige Einrichtung.
Fazit
pfSense ist eine ausgereifte Open-Source-Firewall – aber „pfSense kaufen“ bedeutet in Wirklichkeit, sich für einen Betriebsweg zu entscheiden: eigene Hardware mit CE, eine Netgate-Appliance mit pfSense Plus über einen Reseller oder eine kommerzielle UTM mit deutschem Support. Wer die Eigenverantwortung tragen kann und will, fährt mit pfSense gut. Wer eine Firewall braucht, die ohne eigene IT-Abteilung gepflegt wird, findet in der Kategorie Firewalls die TERRA-Modelle mit Securepoint-Technologie; bei der Auswahl hilft der Ratgeber Firewall für kleine Unternehmen oder unser KI-Kaufberater.
Stand: 06.09.2026. Redaktion Terra-Shop24.de. Preise und Verfügbarkeiten finden Sie tagesaktuell auf den Produktseiten.