Die Gemeinde Kirchheim setzt auf höchste Sicherheit

Die Firewall „genugate“ wacht zuverlässig über ihre vertraulichen Daten

Für den IT-Administrator einer bayerischen Gemeinde sind bei der Auswahl einer Firewall-Lösung vor allem fünf Kriterien entscheidend: eine nachweisbare, also zertifizierte Sicherheit, eine auch für Nicht-IT-Security-Experten gute Bedienbarkeit die Tauglichkeit für den IT-Alltag, eine vertrauenswürdige Lösung und schließlich ein zuverlässiger und gut erreichbarer Support.

Kommunen und öffentliche Verwaltungen stehen beim Thema IT-Sicherheit oft unter mehrfachem Druck. Sie haben mit Einwohnermeldedaten, Gewerbesteuerbescheiden oder den Finanzdaten der Gemeinde eine große Menge an besonders schützenswerten Informationen und dennoch nur begrenzte Ressourcen zum Schutz dieser Daten. „Wir haben nach einer Firewall-Lösung gesucht, die technisch höchste Sicherheit garantiert und gleichzeitig mit nur geringem Administrationsaufwand bedienbar und alltagstauglich ist“, fasst Andreas Pecher, IT-Administrator der oberbayerischen Gemeinde Kirchheim bei München, seine Anforderungen zusammen. Dabei nehmen die Ansprüche der internen Fachanwender als auch die Herausforderungen durch neue digitalisierte Dienstleistungen aus dem E-Government kontinuierlich zu.

Kirchheim kann mit seinen etwa 13.000 Einwohnern und seinen kurzen Wegen zur Messe München, zum Flughafen oder in die Landeshauptstadt sowohl auf steigende Einwohnerzahlen als auch auf einen gesunden Branchenmix verweisen. Die Größe der Gemeinde lässt jedoch nicht die Beschäftigung von IT-Securityspezialisten zu, sodass der Administrator für alle IT-Themen zuständig ist.

„Bei komplexeren Security-Problemen hätte ich gar nicht die Zeit, mich in die letzten technischen Details zu vertiefen. Deshalb war sowohl bei der Installation als auch beim Support die kompetente Unterstützung des Firewall-Herstellers ein Entscheidungskriterium“, so Andreas Pecher.

Zertifizierte Firewall „made in Germany“

Die alte Firewall der Gemeinde war seit Jahren im Einsatz und inzwischen völlig unterdimensioniert. Bei der Auswahl einer neuen Lösung hatte der IT-Administrator etliche Angebote verglichen. „Wir haben uns schließlich für die Firewall genugate des deutschen Herstellers genua entschieden, weil diese Lösung unsere Anforderungen am besten erfüllt. Besonders die Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik war uns sehr wichtig, da auf diesen Aspekt auch der kommunale Prüfverband achtet“, erläutert Andreas Pecher den Stellenwert einer nachweisbaren, zertifizierten Sicherheit.

„genugate“, die Firewall der genua GmbH, arbeitet in der Münchner Gemeinde Kirchheim zuverlässig und besitzt eine Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik.

Höchste Sicherheit

Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) werden Prüfungen und Bewertungen der Sicherheit von Informationstechnik nach internationalen ISO-/IEC-Standards (Common Criteria) durchgeführt. Die genugate ist die einzige Firewall weltweit, die die BSI-Zertifizierung in der Stufe EAL 4+ mit dem Prädikat „Highly Resistant“ vorweisen kann, weil sie direkten Angriffen nachweisbar höchsten Widerstand entgegensetzt.

„Die Kombination aus einer BSI-zertifizierten Sicherheit, bei der auch der komplette Quellcode vorgelegt werden muss und einer zweistufigen, Hardware-basierten Firewall-Technik aus Deutschland ist überzeugend“, fasst der IT-Administrator die Gründe zusammen.

Zweistufige Lösung überzeugt

Die Lösung von genua besteht aus den beiden Stufen „Application Level Gateway“ (ALG) und „Paketfilter“. Mit der ersten Komponente wird der komplette Inhalt des Datenstroms analysiert und auf gefährliche oder unerwünschte Inhalte gründlich untersucht. Dazu werden die ankommenden Datenpakete zunächst gestoppt – das ALG lässt keine durchgehende Verbindung zwischen Internet und lokalem Netz zu. Dadurch werden Angriffe auf der Netzebene verhindert und Risiken beispielsweise durch die erweiterten Header bei IPv6 ausgeschlossen. Die eintreffenden IP-Pakete werden zunächst zu ganzen Datensätzen zusammengesetzt, damit sie überhaupt überprüfbar werden. Prüfprogramme für alle gängigen Protokolle sowie ein Virenscanner analysieren dann den Inhalt der empfangenen Daten. Aktiver Content, Viren oder Spam werden hier zuverlässig erkannt und abgeblockt. Ist die Inhaltsprüfung bestanden, erzeugt das ALG eine neue Verbindung und schickt die Datenpakete zum zweiten Firewall-System, dem Paketfilter. Dieser prüft als weiteres Firewallsystem die Datenpakete auf der formalen Ebene: Absender- und Empfängeradresse, Protokolltyp und so weiter.  Nur wenn die Verbindung gemäß den konfigurierten Regeln erlaubt ist, leitet der Paketfilter die Daten an den Empfänger weiter. Somit ergänzen sich ALG und Paketfilter auf verschiedenen Ebenen und erreichen so die hohe Sicherheitsleistung.

Datenstrom wird vollständig analysiert

Der Firewall-Hersteller genua betont den Unterschied zu herkömmlichen Deep Packet Inspection oder Next Generation Firewalls. Bei genugate werde Wert auf eine hohe Performance gelegt. Noch wichtiger sei aber die vollständige und korrekte Analyse des gesamten Datenstroms – im Unterschied zu den Stichprobenkontrollen anderer Hersteller. So werde besonders bei verschleierten Dateiformaten und auch bei zweifelhaften URL- und IP-Quellen detailliert geprüft. Untersucht wird auch die Korrektheit von Zertifikaten. Zudem werden auch zip-komprimierte Dateien oder verschlüsselte https-Verbindungen genauestens kontrolliert.

Dem Anwender stehen in der Firewall außerdem etliche Konfigurationsmöglichkeiten zur Verfügung, um beispielsweise den Empfang bestimmter Dateitypen oder Inhalte wie Java-Skript, Audio- oder Medien-Dateien ganz oder zeitlich beschränkt auszuschließen. „Bei der Lösung wird der Vorteil einer reinen IT-Security-Firma sofort deutlich. Das gesamte Konzept ist sehr stimmig und eine zweistufige, Hardware-basierte Lösung ist in dieser Preiskategorie sonst kaum zu finden“, ergänzt der IT-Administrator den Preis-Leistungs-Aspekt.

„Die Kombination aus einer BSIzertifizierten Sicherheit, bei der auch der komplette Quellcode vorgelegt werden muss, und einer zweistufigen, Hardware-basierten Firewall-Technik aus Deutschland ist überzeugend“, bewertet Andreas Pecher, der IT-Administrator der Gemeinde Kirchheim, die Firewall-Lösung von genua. „Wir haben mit genugate eine Firewall-Lösung gefunden, die technisch höchste Sicherheit garantiert und gleichzeitig für eine Gemeinde mit nur einem IT-Administrator bedienbar und alltagstauglich ist“, fasst Andreas Pecher seine Anforderungen zusammen.

Support von einem deutschen Hersteller

Die Gemeinde Kirchheim musste bei der Einführung der Firewall-Lösung vor allem die Migration von der alten Lösung sowie die Integration zahlreicher Schnittstellen zu Fachverfahren berücksichtigen. Der IT-Administrator hebt hier die Beratung und die gute Schulung von genua vor der Einführung sowie die Unterstützung bei der Installation hervor. Das habe ihm sehr geholfen, die große Zahl kleiner Baustellen überhaupt zu bewältigen. „Es ist schon ein Riesenunterschied, ob ich einen Lieferanten aus einer anderen Zeitzone oder einen deutschen Hersteller mit einem fachlich überzeugenden Support habe“, bilanziert Andreas Pecher die Vorbereitungs- und Einführungsphase. Der Hersteller genua gibt in seinem Unternehmensblog (https://blog.genua.de) außerdem hilfreiche Tipps und Hinweise aus dem IT-Security-Umfeld.

Die neue Firewall ist bei der Gemeinde jetzt seit eineinhalb Jahren im Betrieb. Der IT-Administrator verweist auf die alltagstaugliche Anwendbarkeit der Lösung. Deshalb sei die gut nachvollziehbare Bedienbarkeit der Administrations-Oberfläche entscheidend: „Die Firewall macht immer genau das, was man ihr sagt. Auch nach eineinhalb Jahren Betrieb hatten wir noch kein  Problem.“

Info:  Die 5 wichtigsten Auswahlkriterien für eine Firewall:

Für den IT-Administrator einer bayerischen Gemeinde sind bei der Auswahl einer Firewall-Lösung vor allem diese Punkte entscheidend:

• nachweisbare, also zertifizierte Sicherheit
• gute Bedienbarkeit auch für Nicht-IT-Security-Experten
• Tauglichkeit für den IT-Alltag
• vertrauenswürdige Lösung
• zuverlässiger und gut erreichbarer Support