Glossar · einfach erklärt

FWaaS (Firewall as a Service)

Firewall as a Service (FWaaS) stellt Firewall-Funktionen als Cloud-Dienst bereit: Der Verkehr von Standorten und Nutzern wird durch die Cloud-Firewall geleitet und dort nach zentralen Richtlinien gefiltert — von Port- und Protokollregeln bis zu Anwendungserkennung und Intrusion Prevention.

Der Gewinn liegt im Betriebsmodell: Statt an jedem Standort eine Appliance zu kaufen, zu patchen und zu erneuern, gibt es eine Richtlinie, die überall gilt — elastisch skaliert und ohne Hardware-Lebenszyklus.

Wie funktioniert FWaaS?

Standorte werden per Tunnel, Nutzer per Agent an das Netzwerk des Anbieters angebunden; dort läuft die Filterung an global verteilten Standorten. Regeln folgen Identitäten und Anwendungen statt nur IP-Adressen: Die Buchhaltung darf auf das Finanzsystem, das Gastnetz nicht ins Firmennetz — unabhängig davon, wo sich die Beteiligten befinden.

Als Baustein von SASE teilt sich FWaaS Identitäten, Logs und Richtlinien mit ZTNA, SWG und CASB. Änderungen wirken in Minuten global, statt Appliance für Appliance ausgerollt zu werden.

FWaaS im Vergleich zur Appliance

  • Eine zentrale Richtlinie statt gerätespezifischer Regelwerke je Standort.
  • Kein Hardware-Lifecycle: Kapazität, Patches und Features liefert die Plattform.
  • Schutz auch für Homeoffice und mobile Nutzer — nicht nur hinter der Box.
  • Skaliert mit Verschlüsselung und Bandbreite, wo Appliances an Grenzen stoßen.

Häufige Fragen zu FWaaS (Firewall as a Service)

Ersetzt FWaaS die Firewall im Rechenzentrum?

Für den Standort- und Nutzerverkehr in der Regel ja. Lokale Sonderfälle — etwa OT-Netze oder interne Segmentierung — behalten oft eigene Kontrollen. Typisch ist eine Übergangsphase, in der FWaaS Standort für Standort übernimmt und Appliances ausgemustert werden.

Was unterscheidet FWaaS von einer NGFW?

Funktional bietet FWaaS die Merkmale einer Next-Generation Firewall — Anwendungserkennung, IPS, Identitätsbezug. Der Unterschied ist das Betriebsmodell: als Cloud-Dienst mit zentraler Richtlinie und elastischer Kapazität statt als Hardware mit festen Grenzen an jedem Standort.

Wie kommen Standorte an die Cloud-Firewall?

Über Standard-Tunnel vom vorhandenen Router oder SD-WAN-Gerät zum nächstgelegenen Standort des Anbieters. Nutzer außerhalb der Standorte verbinden sich per Agent. Das Routing übernimmt die Plattform; Redundanz entsteht über mehrere Anbieterstandorte.

Ist FWaaS Teil von SASE?

Ja — FWaaS ist der Netzwerk-Filterbaustein der SASE-Architektur, neben ZTNA für Anwendungszugriff, SWG für Web-Verkehr und CASB für SaaS-Kontrolle. Gemeinsame Identitäten und Richtlinien machen aus vier Funktionen eine Plattform.

Was passiert bei einem Ausfall des Anbieters?

Seriöse FWaaS-Plattformen laufen auf global verteilten Netzen mit Anycast: Fällt ein Standort aus, übernehmen andere automatisch. Wichtiger als das Einzel-Rechenzentrum ist die Architekturfrage — deshalb gehören Netzgröße und Redundanzmodell in jede Anbieterauswahl.

Offene Fragen dazu in Ihrer Umgebung? KAEMI berät Sie anforderungsorientiert und übernimmt auf Wunsch auch das laufende Management.