FortiGate Firewall und Fortinet Security Fabric für KMU
Wir planen, richten ein und betreiben Ihre Fortinet-Umgebung – für kleine und mittlere Unternehmen mit einem oder mehreren Standorten, remote und vor Ort in Leipzig und Aachen.
Kennen Sie das?
Vier Situationen, die wir in Fortinet-Umgebungen von KMU häufig antreffen
Einmal eingerichtet, nie gepflegt
Die FortiGate läuft seit Jahren auf derselben Firmware. Wer sie eingerichtet hat, ist nicht mehr im Haus, und eine Dokumentation gibt es nicht.
Gewachsene Firewall-Regeln
Über die Jahre sind Regeln dazugekommen, aber kaum welche entfallen. Niemand kann mehr sagen, wofür „any to any“ auf Position 12 einmal gedacht war.
Lizenz unbemerkt abgelaufen
Die Firewall leitet weiter Daten durch und wirkt gesund. Die Signaturen sind aber seit Monaten nicht mehr aktuell, und niemandem ist es aufgefallen.
VPN-Probleme im Homeoffice
Verbindungen brechen ab, einzelne Laptops kommen nicht ins Netz, und nach einem Firmware-Update funktioniert das alte SSL-VPN nicht mehr wie zuvor.
Eine Plattform statt vieler Einzelgeräte
Die Fortinet Security Fabric verbindet Firewall, Switches, WLAN, Endgeräte und Protokollierung über ein gemeinsames Betriebssystem und eine gemeinsame Verwaltung. Für ein KMU heißt das: Ein Netz wird an einer Stelle gepflegt, und die FortiGate kennt den Zustand der übrigen Komponenten.
Sie müssen dafür nicht alles auf einmal kaufen. Viele Umgebungen starten mit der FortiGate und ergänzen Switches, Access Points oder den FortiAnalyzer erst später. Wichtig ist, dass von Anfang an ein Zielbild besteht, damit spätere Erweiterungen nicht zu Umbauten führen.
FortiGate Firewall: Einrichtung und Pflege
Die FortiGate ist der Kern jeder Fortinet-Umgebung. Sie verbindet die Firewall mit Angriffserkennung, Webfilter und VPN in einem Gerät. Wie gut sie schützt, hängt aber weniger vom Modell ab als von der Konfiguration und ihrer laufenden Pflege.
Policy-Design statt Regelsammlung
Wir trennen geschäftskritische Anwendungen von Verwaltungs-, Gast- und IoT-Verkehr und arbeiten mit Standardprofilen statt Einzelfallregeln. Ausnahmen werden mit Grund dokumentiert. Die HTTPS-Prüfung setzen wir risikoorientiert ein: Wo sie Nutzen bringt, läuft sie vollständig, und sensible Verbindungen wie Online-Banking nehmen wir gezielt aus. Übernehmen wir eine bestehende FortiGate, räumen wir zuerst nicht genutzte Regeln auf und werten dazu die Trefferzähler aus.
VPN für Standorte und Mitarbeitende
Standorte verbinden wir per IPsec, bei mehreren Filialen oft kombiniert mit SD-WAN und einer zweiten Internetleitung. Für Mitarbeitende im Homeoffice richten wir den Zugang mit Mehrfaktor-Anmeldung ein. Ein Punkt betrifft viele Bestandsgeräte: Fortinet hat den SSL-VPN-Tunnelmodus aus aktuellen FortiOS-Versionen entfernt. Wer noch darauf setzt, sollte vor dem nächsten größeren Firmware-Update auf IPsec umstellen. Diese Umstellung planen wir mit einer Pilotgruppe, damit der Fernzugriff nicht an einem Stichtag für alle ausfällt.
HA-Cluster
Im HA-Cluster übernimmt eine zweite, baugleiche FortiGate, wenn die erste ausfällt. Beide brauchen denselben Firmware-Stand und jeweils eine eigene Lizenz. Sinnvoll ist das, wenn ohne Firewall Produktion, Telefonie oder der Zugriff der Standorte stehen. Wir richten den Cluster ein und testen das Umschalten bei der Abnahme, denn ein ungetesteter Cluster ist nur eine Vermutung.
Firmware-Pflege
Fortinet veröffentlicht regelmäßig Sicherheitshinweise, und Firewalls sind ein beliebtes Angriffsziel. Wir beobachten diese Hinweise, wählen eine ausgereifte FortiOS-Version statt automatisch der neuesten und halten den offiziellen Upgrade-Pfad ein. Vor jedem Update sichern wir die Konfiguration und legen einen Weg zurück fest. Verwaltungszugänge sind bei uns grundsätzlich nicht aus dem Internet erreichbar.
Modellübersicht für KMU
Die Nutzerzahl ist nur eine erste Orientierung. Entscheidend ist der Durchsatz mit aktivierter Sicherheitsprüfung, nicht der höchste Firewall-Wert auf dem Datenblatt. Als Faustregel:
| Modell | Typischer Einsatz | Worauf wir achten |
|---|---|---|
| FortiGate 40F | Kleine Büros und Außenstellen, grob bis 25 Personen | Wenig Reserve und wenige Anschlüsse, gut als Filialgerät |
| FortiGate 60F | Das verbreitete KMU-Modell, grob 25 bis 75 Personen | Kein lokaler Protokollspeicher, dafür gibt es die 61F oder einen FortiAnalyzer |
| FortiGate 70G / 90G | Größere Hauptstandorte, grob 50 bis 150 Personen und mehr | Neuere Generation mit mehr Reserve für Prüfung, VPN und schnelle Internetleitungen |
Beim Modell lohnt auch ein Blick auf den Arbeitsspeicher. Geräte mit 2 GB wie die 40F und die 60F unterstützen in aktuellen FortiOS-Versionen keine proxybasierten Funktionen mehr. Für viele kleine Umgebungen reicht das, wer solche Funktionen braucht, sollte es aber vor dem Kauf klären. Wir dimensionieren anhand Ihrer Leitungen, Standorte und geplanten Prüfungen.
Lizenzen und FortiGuard
Die Hardware allein schützt nur begrenzt. FortiGuard liefert die laufend aktualisierten Sicherheitsdienste, etwa Virenschutz, Angriffserkennung und Webfilter, und FortiCare regelt Support, Geräteaustausch und den Zugang zu Firmware. Beides kaufen Sie meist gebündelt und für eine feste Laufzeit.
Für die meisten KMU ist das UTP-Bundle (Unified Threat Protection) die passende Grundlage: Es deckt die üblichen Schutzdienste ab. Das Enterprise-Bundle ergänzt weitere Dienste, zum Beispiel für die Erkennung von IoT-Geräten und die Bewertung der eigenen Konfiguration. Der genaue Umfang ändert sich mit der Zeit, deshalb prüfen wir ihn vor einer Empfehlung anhand der aktuellen Übersicht von Fortinet.
Was passiert, wenn die Lizenz ausläuft?
Die FortiGate arbeitet weiter: Regeln und VPN bleiben aktiv, das Internet funktioniert. Genau das macht den Fall tückisch, denn die Signaturen veralten still, und der Webfilter kann Seiten nicht mehr zuverlässig bewerten. Mit dem Ende von FortiCare fallen außerdem Support, Geräteaustausch und der Zugriff auf neue Firmware weg. Wir halten die Laufzeiten nach und melden uns rechtzeitig vor dem Ablauf.
FortiSwitch und FortiAP
FortiSwitch wird per FortiLink direkt über die FortiGate verwaltet. VLANs und Port-Profile pflegen Sie dann dort, wo auch die Firewall-Regeln liegen. Wir beginnen beim Gebäude: Wo braucht es PoE für Telefone und Access Points, wo ein strikt getrenntes Gäste-VLAN, wo 802.1X? Einheitliche Port-Profile sorgen dafür, dass der zweite Standort genauso aufgebaut ist wie der erste. Bei einem Wechsel von anderen Herstellern planen wir den Umstieg Schrank für Schrank und dokumentieren ihn.
FortiAP ist das passende WLAN dazu. Der Controller steckt bereits in der FortiGate, ein eigener Controller ist also nicht nötig. Mitarbeitenden-, Gäste- und Geräte-WLAN laufen in eigene Zonen, für die dieselben Firewall-Regeln gelten wie im kabelgebundenen Netz. Vor der Installation klären wir Standorte und Ausleuchtung, damit das WLAN auch im Lager oder hinter Brandschutztüren trägt.
FortiClient für den Fernzugriff
FortiClient verbindet Laptops per VPN mit dem Unternehmensnetz. Die kostenlose VPN-Variante reicht für kleine Teams oft aus, bietet aber weder zentrale Verwaltung noch Herstellersupport. Ab einer gewissen Gerätezahl lohnt sich die Verwaltung über FortiClient EMS. Wir verteilen den Client über Ihre vorhandene Softwareverteilung, vergeben VPN-Profile nach AD-Gruppe, sodass die Buchhaltung andere Ziele erreicht als der Außendienst, und testen neue Versionen zuerst mit einer kleinen Gruppe.
FortiAnalyzer: Protokolle, Berichte und Nachweise
Kleine FortiGate-Modelle speichern kaum Protokolle. Kommt es zu einem Vorfall, fehlt dann oft genau der Zeitraum, um den es geht. FortiAnalyzer sammelt die Daten aller Fortinet-Geräte zentral, wertet sie aus und erstellt regelmäßige Berichte. Er läuft als Appliance, als virtuelle Maschine oder als Cloud-Dienst.
Interessant wird das auch mit Blick auf NIS2 und andere Nachweispflichten: Betroffene Unternehmen müssen Sicherheitsvorfälle erkennen, bewerten und melden können, und dafür braucht es belastbare Protokolle. FortiAnalyzer ersetzt kein Sicherheitskonzept, liefert aber die Datenbasis. Die Aufbewahrungsdauer stimmen wir mit Ihnen und Ihrem Datenschutz ab, denn Protokolle enthalten auch personenbezogene Daten.
So arbeiten wir
Vier Schritte, egal ob neue FortiGate oder bestehende Umgebung
Bestandsaufnahme
Wir erfassen Geräte, Firmware, Lizenzlaufzeiten, Regeln und VPN-Zugänge. Bei einer bestehenden Umgebung sehen Sie danach, wo sie steht.
Konzept
Wir legen Modelle, Lizenzen, Zonen und Zugänge fest und klären, welche Ausbauschritte jetzt nötig sind und welche warten können.
Umsetzung
Einrichtung oder Umstellung im abgestimmten Wartungsfenster, mit getestetem Rückweg, Abnahme und vollständiger Dokumentation.
Betrieb
Firmware, Lizenzen und Regeländerungen übernehmen wir auf Wunsch laufend oder übergeben sauber an Ihr internes Team.
Den laufenden Betrieb bieten wir im Rahmen unserer Managed Services an. Herstellerübergreifende Themen finden Sie unter Firewall & VPN, die Anbindung von Filialen unter Standortvernetzung. Wenn Sie zuerst einen Überblick über Ihre gesamte IT möchten, ist der Fit IT Check ein guter Einstieg.
Fortinet oder eine Alternative?
Fortinet passt gut, wenn Sie mehrere Standorte verbinden, das Netz klar trennen wollen, Nachweispflichten haben oder Firewall, Switches und WLAN aus einer Verwaltung betreiben möchten. Dafür nehmen Sie laufende Lizenzen und mehr Einrichtungsaufwand in Kauf.
Nicht jedes Unternehmen braucht das. Für ein kleines Büro ohne besondere Prüfanforderungen kann UniFi von Ubiquiti völlig ausreichen. pfSense ist interessant, wenn Sie Open Source bevorzugen und das nötige Wissen im Haus haben. Wir sagen Ihnen offen, wenn wir für Ihre Situation etwas anderes als Fortinet empfehlen.
Häufige Fragen zu FortiGate und Fortinet
Antworten zu Modellen, Lizenzen und dem Betrieb Ihrer FortiGate Firewall
Das hängt von Nutzerzahl, Internetleitung, Anzahl der VPN-Zugänge und den aktivierten Prüfungen ab. Grob passt die 40F zu kleinen Büros und Außenstellen, die 60F zu vielen KMU, die 70G oder 90G zu größeren Hauptstandorten. Wir dimensionieren nach dem Durchsatz mit aktivierter Sicherheitsprüfung, nicht nach dem Spitzenwert im Datenblatt.
Die Firewall läuft weiter, und auch VPN und Regeln bleiben aktiv. Die FortiGuard-Dienste bekommen aber keine Updates mehr, sodass der Schutz nach und nach veraltet. Ohne FortiCare entfallen außerdem Support, Geräteaustausch und der Zugang zu neuer Firmware.
Bei einer einzelnen kleinen Firewall ohne besondere Nachweispflichten oft nicht, dort kann auch FortiGate Cloud genügen. Sinnvoll wird er bei mehreren Standorten, längeren Aufbewahrungsfristen oder wenn Sie regelmäßige Berichte benötigen. Wichtig ist vor allem, dass Protokolle das Gerät überhaupt verlassen, denn kleine Modelle speichern kaum etwas lokal.
Ja. Wir beginnen mit einer Bestandsaufnahme von Firmware, Lizenzen, Regeln und VPN-Zugängen und zeigen Ihnen, wo Handlungsbedarf besteht. Die Konfiguration muss dafür nicht von uns stammen. Die Zugänge sollten Sie jedoch vorab sichern, denn bei einem Dienstleisterwechsel fehlen häufig die Administrator- oder FortiCloud-Daten.
Ganz ohne Unterbrechung geht das nur im HA-Cluster: Dort wird zuerst das zweite Gerät aktualisiert, dann wird umgeschaltet. Eine einzelne FortiGate startet beim Update neu, deshalb planen wir dafür ein Wartungsfenster ein. In beiden Fällen sichern wir vorher die Konfiguration und halten den offiziellen Upgrade-Pfad ein.
Ja, wenn ein Firewall-Ausfall Ihren Betrieb direkt stoppt, zum Beispiel in der Produktion oder am Hauptstandort mit angebundenen Filialen. Nein, wenn Sie einige Stunden überbrücken können oder ein Ersatzgerät reicht. Bedenken Sie: Das zweite Gerät braucht ebenfalls eine Lizenz, und gegen den Ausfall der Internetleitung hilft ein Cluster nicht.
Standorte verbinden wir per IPsec, Mitarbeitende über FortiClient mit Mehrfaktor-Anmeldung und Profilen nach AD-Gruppe. Bestehende SSL-VPN-Zugänge stellen wir schrittweise um, weil Fortinet den Tunnelmodus aus aktuellen FortiOS-Versionen entfernt hat. Vor der Umstellung für alle testen wir mit einer Pilotgruppe.
Wie steht es um Ihre Fortinet-Umgebung?
Lassen Sie Firmware, Lizenzen und Regeln Ihrer FortiGate prüfen – als eigener Termin oder als Teil unseres Fit IT Check.