Ein Regelwerk ist ein Dokument, kein Konfigurationsstand

Was der Alltag tatsächlich verlangt

Der größte Anteil der Arbeit ist Verhandlung, nicht Konfiguration. Jemand will eine Verbindung, beschreibt sie unvollständig, und die eigentliche Leistung besteht darin, herauszufinden, was fachlich gebraucht wird, und daraus die engste Regel zu bauen, die den Zweck erfüllt. Wer stattdessen freigibt, was verlangt wurde, sammelt in fünf Jahren ein Regelwerk an, das keiner mehr anfassen will.

Der zweite Anteil ist Fehlersuche mit Beweislast. Die Firewall wird bei jeder gestörten Verbindung zuerst beschuldigt, und meistens zu Unrecht. Die Arbeit besteht darin, in der Verbindungstabelle und im Protokoll zu zeigen, ob ein Paket überhaupt ankam, an welcher Regel es endete, ob die Adressumsetzung greift, ob der Rückweg über denselben Pfad läuft und ob Namensauflösung oder Paketgröße im Spiel sind. Diese Nachweise sind das, was die Rolle für andere Teams wertvoll macht.

Der dritte Anteil ist die Pflege des Bestands: turnusmäßige Durchsicht des Regelwerks, Entfernen von Regeln ohne Treffer, Auflösen von Regeln, die von anderen verdeckt werden, Aktualisierung der Geräte selbst und die Frage, ob die Protokolle überhaupt jemand liest. Protokollierung ohne Auswertung ist eine der häufigsten Selbsttäuschungen im Betrieb: Es wird alles mitgeschrieben, und niemand sieht hinein, bis es zu spät ist.

Der Weg in die Rolle

Der Einstieg führt fast immer über das Netz. Wer Adressierung, Wegewahl, Adressumsetzung, Namensauflösung und die Funktionsweise von Transportverschlüsselung sicher beherrscht, lernt eine Firewall in Wochen. Umgekehrt geht es selten gut: Wer die Oberfläche eines Herstellers bedienen kann, ohne zu verstehen, warum eine Verbindung asymmetrisch läuft, gerät bei der ersten ungewöhnlichen Störung an eine Wand.

Bei den Nachweisen sind Herstellerzertifikate in dieser Rolle mehr wert als in vielen anderen, weil Betriebe eine bestimmte Produktwelt einsetzen und dafür jemanden brauchen. Der übliche Aufbau besteht aus einer Administratorenprüfung und einer darauf aufbauenden Expertenprüfung. Achte darauf, dass die Programme regelmäßig umgebaut werden, prüfe also vor der Anmeldung, welche Prüfung aktuell zu deinem Stand gehört. Ein zweiter Hersteller im Lebenslauf ist deutlich mehr wert als eine dritte Prüfung beim selben.

Ein Weg, der unterschätzt wird, ist die quelloffene Firewall im eigenen Labor. Wer eine solche Umgebung mit zwei Netzen, Adressumsetzung, einem Fernzugang und einer Protokollauswertung selbst aufgesetzt hat, versteht danach jedes kommerzielle Produkt schneller, weil er weiß, was darunter passiert. Das ist außerdem die einzige Umgebung, in der du eine Fehlkonfiguration ohne Folgen ausprobieren darfst.

Für den formalen Rahmen lohnt ein Blick in das IT-Grundschutz-Kompendium des BSI, das einen eigenen Baustein zu Firewalls enthält, und in die europäische Richtlinie zur Cybersicherheit, die Netzsicherheit ausdrücklich zu den geforderten Risikomanagementmaßnahmen zählt. Beides liefert dir die Begründung, die du brauchst, wenn eine Aufräumaktion Arbeitszeit kosten soll.

Woran zwei Leute mit gleicher Berufsdauer auseinandergehen

Der erste Unterschied ist der Umgang mit dem Wort nein. Es gibt Administratoren, die Anträge ablehnen, und solche, die fragen, was fachlich erreicht werden soll, und dann eine engere Variante vorschlagen, die den Zweck erfüllt. Die zweite Sorte wird früh in Projekte geholt und kann dort Architektur beeinflussen, statt am Ende Löcher in ein fertiges Konzept zu bohren.

Der zweite Unterschied ist die Bereitschaft, das eigene Regelwerk zu prüfen. Ein Durchgang, bei dem Regeln ohne Treffer, verdeckte Regeln und abgelaufene Freigaben herausfallen, ist unbeliebt, weil er nichts Neues schafft und Konflikte erzeugt. Wer ihn trotzdem regelmäßig durchzieht und die Ergebnisse dokumentiert, hat im Prüfungsfall die Unterlagen, die andere in drei Nächten zusammensuchen.

Der dritte Unterschied ist Automatisierung. Regelwerke lassen sich beschreiben und aus einer Quelle erzeugen, Änderungen lassen sich vor dem Einspielen gegen Regeln prüfen, und Auswertungen lassen sich planmäßig fahren. Wer damit anfängt, verlässt die Rolle des Bedieners und wird zu der Person, die im nächsten Netzprojekt gefragt wird, bevor es entworfen wird.

Wohin die Rolle führt

Die erste Richtung ist die Tiefe im Netz: Wegewahl über mehrere Standorte, Fernzugang für Beschäftigte und Dienstleister, Anbindung von Umgebungen bei Cloud-Anbietern und die Verlagerung von Sicherheitsfunktionen an den Rand des Netzes. Wer dorthin geht, bleibt technisch, arbeitet aber zunehmend an Architektur statt an einzelnen Regeln.

Die zweite Richtung führt in die Erkennung. Eine Firewall erzeugt Protokolle, aber sie wertet sie nicht aus. Wer beginnt, Auffälligkeiten im Verkehr zu untersuchen und Erkennungsregeln zu bauen, arbeitet auf den Sicherheitsbetrieb zu, und das ist ein anderer Arbeitsrhythmus mit Schichten und Alarmen. Die Fehlersuche nach einem tatsächlichen Vorfall ist wiederum ein eigenes Feld mit eigenen Anforderungen an Beweissicherung.

Die dritte Richtung ist die Steuerung. Informationssicherheitsbeauftragte, Sicherheitsarchitekten und Leitungen des Netzbetriebs kommen häufig aus dieser Rolle, weil sie gelernt haben, technische Notwendigkeit und geschäftliche Anforderung gegeneinander abzuwägen und die Abwägung aufzuschreiben. Genau das ist die Fähigkeit, die in diesen Positionen gebraucht wird.