Mythos 1: «Mit einer Firewall bin ich sicher»
Wer glaubt, mit einer Firewall alleine genug für die Sicherheit getan zu haben, irrt sich. Die Firewall filtert den Netzwerkverkehr. DVD- und USB-Laufwerke bleiben nicht zu unterschätzende Einfallstore, wie der Wurm Conficker beweist. Die Firewall ist ausserdem machtlos gegen Vireninfektionen – verwenden Sie unbedingt auch eine Antiviren-Software, etwa das kostenlose AntiVir. Runden Sie bestmöglichen Schutz mit regelmässigen Updates aller Programme und kritischem Anwenderverhalten ab.

Mythos 2: «Dank Stealth-Modus bin ich unsichtbar»
Der Stealth-Modus, den manche Firewall integriert hat, suggeriert Unsichtbarkeit und damit völligen Schutz vor Angreifern. Die Realität: Der Stealth-Modus schweigt zwar bei Ping-Anfragen, erhält der Hacker aber nicht die Antwort «Destination unreachable» (Nicht erreichbar), braucht er nur eins und eins zusammenzuzählen und weiss, dass dort ein Rechner existiert. Der Stealth-Modus der Firewall bremst den Angriff also höchstens aus.

Mythos 3: «Indem ich Ports schliesse, erhöhe ich die Sicherheit»
Grundsätzlich bedeuten weniger offene Ports weniger Angriffsfläche. Es gibt aber eine Methode, mit der Hacker geschlossene Ports umgehen: Beim sogenannten «Tunneln» schicken Angreifer über einen offenen Port dienstfremde Daten. Um den Netzwerkdienst auszutricksen, haben sie die Daten vorher in dessen Format konvertiert. Beispiel: Über einen HTTP-Tunnel (Port 80) werden FTP-Daten ausgetauscht, obwohl der FTP-Port (21) geschlossen ist. Die FTP-Daten wurden dafür in ein HTTP-Protokoll eingebettet. Besonders beliebt sind HTTPS-Tunnel, da die Verschlüsselung von HTTPS der Firewall keine Daten-Einsicht erlaubt. Nachteil für Hacker ist der relativ grosse Aufwand, da sowohl der Opfer-Rechner als auch der Serverdienst entsprechend gleich konfiguriert sein müssen.
Auf der nächsten Seite lesen Sie mehr über die fünf wichtigsten Firewall-Begriffe.

Firewall
Eine Firewall (Brandwand auf Deutsch) ist mit einem Grenzübergang vergleichbar. Sie überwacht den Datenverkehr im Netzwerk und lässt aufgrund bestimmter Regeln vermeintlich gefährliche Datenpakete nicht passieren. Man unterscheidet zwischen Hardware-Firewall, die vor den Rechner geschaltet, und der Personal- oder Desktop-Variante, die darauf installiert wird.

Zwei-Wege-Firewall
Als Zwei-Wege-Firewall bezeichnet man Firewalls, die nicht nur eingehende Daten, sondern auch ausgehende Daten kontrollieren. Eine Zwei-Wege-Brandmauer bringt auch Spyware zum Schweigen, die sich bereits eingenistet hat und ungewünscht Daten nach draussen schicken will.
Intrusion Detection System (IDS)
IDS (Einbruchmelde-Anlage) ist die Alarmanlage der Brandmauer: Versucht Schad-Software, Ihren Filter auszutricksen, schlägt das IDS Alarm. Voraussetzung: Das System erkennt ein Angriffsmuster. Mögliche Malware-Tricks sind das Abschalten der Firewall oder das Verwenden als sicher eingestufter Software für die eigene Verbindung.
Ports
Die Port-Adresse ist Teil der Adresse, die den Bestimmungsort verschickter Datenpakete kennzeichnet. Sie ordnet Daten einem Netzwerkprotokoll zu, beispielsweise hat HTTP den Port 80 und POP3 für E-Mail-Server die 110. Im Idealfall sind nur die Ports geöffnet, die wirklich benötigt werden, um die Angriffsfläche auf das System möglichst klein zu halten – auch eine Aufgabe der Firewall. Angreifer suchen mit Portscannern nach geöffneten Ports.
Client-Rechte und Server-Rechte
Programme, die nur angeforderte Datenpakete empfangen, benötigen lediglich Client-Rechte. Beispiel: Der Browser, der eine Webseite anfordert. Tools, die auch unangeforderte Daten empfangen wollen, brauchen Server-Rechte. Diese Tools öffnen eigenständig Ports und sind damit potenziell gefährlicher als Client-Software. Beispiel: Ein FTP-Server.

Dieser Artikel wurde von unserem PC-Welt-Kollegen Benjamin Schischka verfasst.