Firewalls schützen den Übergang zwischen dem Internet und den internen Systemen eines Unternehmens. Gleichzeitig sind sie selbst hochkomplexe, internetexponierte Systeme – und damit ein attraktives Ziel für Angreifer. Wenn ein Hersteller regelmässig kritische Schwachstellen beheben muss, entstehen beim Kunden Kosten, die in keiner Preisliste stehen: zusätzliche Betriebsaufwände, Notfall-Wartungen, Tests, Risikoanalysen und im schlimmsten Fall ein Sicherheitsvorfall.
Anschaffungspreis vs. Gesamtkosten
Der Anschaffungspreis ist nur ein Teil der Gesamtkosten. Nach dem Kauf müssen Firmware- und Software-Releases laufend geprüft, bewertet, getestet und eingespielt werden. Bei einer normalen Produktpflege lässt sich dieser Aufwand planen. Eine kritische Schwachstelle in einer internetexponierten Management-Schnittstelle verändert die Situation jedoch sofort: Die Organisation muss innert kurzer Zeit klären, ob sie betroffen ist, ob ein Workaround existiert und ob die Wartung ausserhalb des regulären Betriebsfensters erfolgen muss.
Besonders teuer wird es, wenn Schwachstellen wiederholt auftreten oder wenn sie bereits aktiv ausgenutzt werden. Dann reicht es nicht, ein Update einzuspielen. Teams müssen Logs und Konfigurationen untersuchen, nach Anzeichen einer Kompromittierung suchen und unter Umständen Zugangsdaten, Zertifikate oder Infrastruktur ersetzen.
Statistik
Eine Orientierung bietet CVE Details. Dort lassen sich Schwachstellen nach Hersteller, Produkt, Jahr und Schweregrad auswerten. Ergänzend sollte man die Einträge der CISA Known Exploited Vulnerabilities Catalog prüfen. Dieser Katalog enthält Schwachstellen, für die eine Ausnutzung in freier Wildbahn dokumentiert ist.
Die Zahlen müssen allerdings richtig interpretiert werden. Viele CVEs bedeuten nicht automatisch, dass ein Produkt unsicherer ist: Unterschiede bei Produktumfang, Meldepraxis, Versionierung und der Dauer der Marktpräsenz beeinflussen die Statistik. Aussagekräftiger als eine einzelne Gesamtzahl sind deshalb mehrere Kennzahlen:
- Wie viele Schwachstellen sind kritisch oder hoch eingestuft?
- Wie viele wurden tatsächlich aktiv ausgenutzt?
- Wie oft betreffen die Lücken die internetexponierte Management-Oberfläche?
- Wie schnell stellt der Hersteller eine belastbare Lösung bereit?
- Wie viele Notfallmeldungen und Releases gab es in den letzten Jahren?
Vergleich & Auswahl
Eine belastbare Beschaffungsentscheidung sollte CVE-Daten mit dem eigenen Betriebskonzept verbinden. Folgende Fragen helfen dabei:
- Wie viele kritische Schwachstellen gab es in den letzten drei bis fünf Jahren im konkret evaluierten Produkt?
- Wie viele davon betrafen VPN, SSL Inspection oder die Management-Oberfläche?
- Wie schnell veröffentlichte der Hersteller Fixes, und waren die Hinweise verständlich und umsetzbar?
- Gibt es langfristig unterstützte Versionen und planbare Upgrade-Pfade?
- Wie gut funktionieren Hochverfügbarkeit, zentralisiertes Management und automatisierte Updates?
- Welche Unterstützung bietet der Hersteller bei der forensischen Abklärung eines möglichen Angriffs?
- Wie hoch sind die internen und externen Betriebskosten über die gesamte Vertragsdauer?
Für den Vergleich sollte man nicht nur die Anzahl aller CVEs zählen. Sinnvoll ist eine gewichtete Betrachtung: Schweregrad, tatsächliche Ausnutzung, betroffene Funktion, Zeit bis zur Behebung und erforderlicher Betriebsaufwand werden gemeinsam bewertet. Die Ergebnisse sollten zudem auf die eingesetzte Version und die tatsächlich aktivierten Funktionen bezogen werden.
Fazit
Regelmässige kritische Schwachstellen machen eine Firewall nicht automatisch zu einem schlechten Produkt. Sie erhöhen aber den Aufwand und das Betriebsrisiko. Wer diese Faktoren bei der Evaluation ignoriert, vergleicht nur den sichtbaren Teil der Kosten.
Eine sichere und wirtschaftliche Entscheidung berücksichtigt deshalb die gesamte Lebensdauer: Anschaffung, Lizenzen, Support, Patch- und Testaufwand, Notfallbereitschaft sowie das Risiko eines Sicherheitsvorfalls. CVE Details, die NVD und der CISA-Katalog liefern dafür wertvolle Ausgangsdaten. Die wichtigste Kennzahl bleibt jedoch die Frage: Wie viel Aufwand verursacht diese Plattform in unserer konkreten Umgebung – und wie verlässlich hilft uns der Hersteller, wenn es ernst wird?