Die Frage kommt in fast jedem Erstgespräch mit Unternehmen zwischen 20 und 100 Mitarbeitenden: Reicht die FortiGate 70G, oder brauchen wir die 90G? Auf den ersten Blick sehen beide gleich aus. Kleine Desktop-Geräte, lüfterlos, gleiche Prozessorgeneration, gleiches FortiOS. Der Preisunterschied ist trotzdem erheblich, und die falsche Wahl merkt man erst, wenn die Glasfaserleitung kommt oder die SSL-Inspection eingeschaltet wird.
Hier ist der Vergleich, den wir auch unseren Kunden zeigen.
Die Kurzantwort
- FortiGate 70G: ein Standort, 20 bis 50 Arbeitsplätze, Internetleitung bis etwa 500 Mbit/s, kein Bedarf an 10-Gigabit-Ports.
- FortiGate 90G: Hauptstandort mit 50 bis 150 Arbeitsplätzen, Glasfaser ab 1 Gbit/s, mehrere VLANs mit viel internem Verkehr, HA-Cluster oder Anbindung an einen 10G-Core-Switch.
Wenn Sie zwischen beiden schwanken und die Firewall fünf Jahre halten soll, nehmen Sie die 90G. Die Begründung folgt.
Die Datenblattwerte im direkten Vergleich
| Kennzahl | FortiGate 70G | FortiGate 90G |
|---|---|---|
| Firewall-Durchsatz (1518 Byte UDP) | 10 Gbps | 28 Gbps |
| IPS-Durchsatz | 2,5 Gbps | 4,5 Gbps |
| NGFW-Durchsatz | 1,5 Gbps | 2,5 Gbps |
| Threat Protection | 1,3 Gbps | 2,2 Gbps |
| IPsec-VPN (512 Byte) | 7,1 Gbps | 25 Gbps |
| SSL-Inspection | 1,4 Gbps | 2,6 Gbps |
| Gleichzeitige Sessions (TCP) | 1,4 Mio. | 3 Mio. |
| Neue Sessions pro Sekunde | 100.000 | 124.000 |
| Max. FortiAPs (gesamt / Tunnel) | 96 / 48 | 128 / 64 |
| Max. FortiSwitches | 24 | 24 |
| Anschlüsse | 10 × GE RJ45 (2 WAN, 2 FortiLink, 6 intern) | 8 × GE RJ45 + 2 × 10G (SFP+ oder RJ45) |
| Security-Prozessor | SP5 | SP5 |
| Leistungsaufnahme (Ø) | 13,4 W | 19,9 W |
| Variante mit SSD für lokale Logs | 71G | 91G |
Quelle: Fortinet-Datenblätter FortiGate/FortiWiFi 70G Series und FortiGate 90G Series, Stand 09/2026. Threat Protection gemessen mit Firewall, IPS, Application Control und Malware-Schutz bei aktiviertem Logging.
Welche Zahl wirklich zählt
Der Firewall-Durchsatz von 10 bzw. 28 Gbps ist für die Auswahl fast bedeutungslos. Er misst große UDP-Pakete ohne jede Inspektion, also genau den Betrieb, den Sie mit einer Next-Generation Firewall nicht wollen.
Entscheidend ist Threat Protection: der Durchsatz mit aktivem IPS, Application Control und Malware-Schutz. Hier liegt die 90G mit 2,2 Gbps um etwa 70 % über der 70G mit 1,3 Gbps.
Und dann kommt der Faktor, den kein Datenblatt direkt ausweist: SSL-Deep-Inspection. Laut Google Transparency Report laufen weit über 90 % der Seitenaufrufe in Chrome über HTTPS. Ohne Deep Inspection sieht die Firewall bei HTTPS nur Ziel und Zertifikat, nicht den Inhalt. Malware-Downloads über legitime Cloud-Dienste bleiben dann unsichtbar. Mit Deep Inspection sinkt der nutzbare Durchsatz spürbar. Die SSL-Inspection-Werte im Datenblatt (1,4 bzw. 2,6 Gbps) geben eine Richtung, der tatsächliche Wert hängt stark vom Verkehrsmix ab.
Unsere Faustregel aus der Praxis: Planen Sie die Internetbandbreite so, dass sie bei aktivem Schutz höchstens die Hälfte des Threat-Protection-Werts beansprucht. Das lässt Luft für interne Segmentierung, VPN und Wachstum.
Die Ports: der unterschätzte Unterschied
Die 70G hat ausschließlich Gigabit-Kupferports. Das reicht für die meisten kleineren Standorte völlig aus.
Die 90G hat zusätzlich zwei 10-Gigabit-Ports, jeweils wahlweise als SFP+ (Glasfaser) oder RJ45 (Kupfer, 10/5/2,5/1 GE). Das ist in drei Situationen entscheidend:
- Glasfaser über 1 Gbit/s: Viele Gewerbegebiete in OWL bekommen gerade Glasfaseranschlüsse mit 1 Gbit/s und mehr. Mit einem Gigabit-WAN-Port verschenken Sie Bandbreite, bevor die Firewall überhaupt prüft.
- Firewall als Gateway zwischen VLANs: Wenn die FortiGate den Verkehr zwischen Büro, Produktion, Server und Gäste-WLAN kontrolliert (und das sollte sie), läuft der interne Verkehr auch durch sie. Ein 10G-Uplink zum Core-Switch vermeidet einen Flaschenhals.
- HA-Cluster: Für geschäftskritische Standorte betreiben wir zwei FortiGates im Cluster. Die 10G-Ports erleichtern saubere Uplinks.
Rechenbeispiele aus der Praxis
Steuerkanzlei in Herford, 25 Arbeitsplätze, 250-Mbit-Leitung, Microsoft 365, DATEV. Eine 70G ist hier großzügig dimensioniert. Selbst mit SSL-Inspection und Webfilter bleibt ausreichend Reserve. Die 90G wäre Geld ohne Nutzen.
Maschinenbauer bei Bielefeld, 80 Arbeitsplätze, 1-Gbit-Glasfaser, Produktionsnetz mit Steuerungen, Fernwartung durch drei Hersteller. Klar die 90G. Die Glasfaser allein schließt die 70G praktisch aus, dazu kommt die Segmentierung zwischen IT und OT, bei der jeder Datenstrom zwischen Büro und Halle durch die Firewall läuft.
Handelsunternehmen, 45 Arbeitsplätze, 500-Mbit-Leitung, drei Filialen per VPN. Grenzfall. Rechnerisch reicht die 70G. Wenn aber in den nächsten drei Jahren ein Glasfaser-Upgrade absehbar ist oder die Filialen über SD-WAN mit zwei Leitungen angebunden werden sollen, ist die 90G die wirtschaftlichere Entscheidung, weil ein vorzeitiger Tausch teurer wird als der Aufpreis.
Was kostet der Unterschied?
Die 90G liegt im Bundle mit Lizenzen deutlich über der 70G. Der Hardwarepreis ist aber nur ein Teil der Rechnung, denn ohne FortiGuard-Lizenz arbeitet eine FortiGate nur als einfacher Paketfilter. Auf fünf Jahre gesehen machen Lizenzen und Betrieb einen größeren Anteil aus als die Hardware, und ein vorzeitiger Tausch wegen zu knapper Dimensionierung ist meist die teuerste Variante.
Welche Faktoren die Gesamtkosten bestimmen, lesen Sie in unserem Artikel Managed Firewall im Mittelstand: Wovon die Kosten abhängen. Ein konkretes Angebot erstellen wir nach dem Erstgespräch.
Häufige Fehler bei der Auswahl
Nach Mitarbeiterzahl dimensionieren. 50 Mitarbeitende in einer Kanzlei erzeugen völlig anderen Verkehr als 50 Mitarbeitende in einem Konstruktionsbüro mit CAD-Dateien in der Cloud.
Den Firewall-Durchsatz vergleichen. Siehe oben. Vergleichen Sie Threat Protection.
SSL-Inspection "später" einschalten. Später heißt in der Praxis nie, und wenn doch, reicht die Leistung nicht mehr.
Lizenzlaufzeit zu kurz wählen. 1-Jahres-Lizenzen sind pro Jahr deutlich teurer als 3- oder 5-Jahres-Bundles. Wer die Firewall ohnehin fünf Jahre nutzt, zahlt mit kurzen Laufzeiten drauf.
Fazit
Die FortiGate 70G ist eine hervorragende Firewall für kleinere Einzelstandorte mit Gigabit-Leitung oder darunter. Die 90G ist der Standard für den Mittelstand ab etwa 50 Arbeitsplätzen, sobald Glasfaser, Segmentierung oder Hochverfügbarkeit ins Spiel kommen.
Wenn Sie unsicher sind: Wir dimensionieren anhand Ihrer tatsächlichen Leitungen, Standorte und Anforderungen und sagen Ihnen auch, wenn ein kleineres Modell reicht. Mehr zu unserem Vorgehen auf der Seite Fortinet Partner OWL oder direkt im Erstgespräch unter 05221 1714333.
