Personal Firewalls: So konfiguriert man sie richtig

Um sich vor direkten Hacker und Malware-Angriffen von außen zu schützen, ist es wichtig, die eingehenden Verbindungen in der Firewall richtig zu filtern. Dabei ist zu beachten, dass es Dienste gibt, die relativ sicher sind, etwa SSH, und andere, die immer durch Sicherheitslücken von sich reden machen. Dazu zählt etwa das File-and-Print-Sharing SMB von Windows, das auf jedem Rechner standardmäßig installiert ist.

Die meisten Massenviren und -würmer, die sich rasant verbreitet haben, nutzten als Hauptverbreitungsweg Lücken im SMB-Filesharing von Windows und das damit eng verknüpfte Microsoft-RPC-Protokoll. Das gilt sowohl für ältere Schädlinge wie Blaster als auch für neuere wie Conficker.

Dass SSH als relativ sicher gilt, heißt nicht, dass es sich grundsätzlich nicht lohnt, es abzusichern. So gab es unter Debian und Ubuntu das Problem, dass einige Version aufgrund eines Bugs schwache Keys verwendet hatten, die man leicht erraten konnte.

Eine wichtige Rolle bei der Firewall-Konfiguration spielt, wie man bereits durch einen NAT-Router abgesichert ist. Befindet man sich in einem Intranet mit privaten Adressen, so ist es von außen grundsätzlich nicht möglich, auf einen Rechner im Intranet zuzugreifen. Dabei gibt es natürlich Ausnahmen. Etwa wenn der NAT-Router UPnP oder NAT-PMP unterstützt und eine Software explizit eine Portweiterleitung anfordert.

Auch das heißt nicht, dass man im Intranet sicher ist. In einer großen Firma können sich beispielsweise tausende andere Computer im selben Intranet befinden. Auch wenn man keinen absichtlichen Angriff auf den eigenen Rechner erwartet, kann ein ungewollter Angriff durch einen mit Malware verseuchten PC erfolgen.

Dasselbe kann im Heimnetz zuhause passieren. Wer beispielsweise Gäste in sein Heimnetzwerk lässt, macht sich angreifbar. Die meisten neuen WLAN-Router bieten die Möglichkeit eines "Gastnetzes". In dieses Netz kann man Besucher lassen. Sie bekommen Zugang zum Internet, jedoch keine Verbindung zum eigenen Heimnetz.

Wer seinen Rechner direkt am Kabel- oder DSL-Modem betreibt, bekommt eine öffentliche IP-Adresse. In diesem Fall muss immer eine Firewall zur Absicherung verwendet werden, da der eigene Rechner direkt aus dem gesamten Internet erreichbar ist.