"Was kostet das?" ist die ehrlichste Frage im Erstgespräch. Eine seriöse Zahl lässt sich aber erst nennen, wenn Standorte, Leitungen und Anforderungen bekannt sind, denn die bestimmen den Aufwand stärker als die Mitarbeiterzahl. Deshalb zeigen wir hier, woraus sich die Kosten einer Managed Firewall zusammensetzen, welche Faktoren sie treiben und mit welchen Fragen Sie Angebote verschiedener Anbieter vergleichbar machen.
Die vier Kostenblöcke
Jede Managed Firewall besteht aus vier Teilen. Manche Anbieter weisen sie einzeln aus, andere packen alles in eine Monatspauschale. Vergleichbar werden Angebote erst, wenn Sie sie auf diese vier Blöcke zurückrechnen.
1. Hardware
Die Firewall selbst, bei uns in der Regel eine Fortinet FortiGate. Für Unternehmen zwischen 20 und 150 Mitarbeitenden sind das meist die Modelle 70G, 90G oder 120G. Welches Modell passt, hängt von Bandbreite, Standortzahl und SSL-Inspection ab, nicht nur von der Mitarbeiterzahl. Details im Vergleich FortiGate 70G vs. 90G.
Für geschäftskritische Standorte kommt ein zweites Gerät als Hochverfügbarkeits-Cluster (HA) dazu. Das verdoppelt die Hardware, verhindert aber, dass ein Hardwaredefekt die gesamte Firma vom Netz trennt.
2. Security-Lizenzen (FortiGuard)
Ohne Lizenz ist eine Next-Generation Firewall nur ein Paketfilter. IPS, Malware-Schutz, Webfilter und Application Control kommen über das FortiGuard-Abonnement. Für den Mittelstand ist meist das Bundle Unified Threat Protection (UTP) richtig. Fortinet verkauft Hardware und Lizenz häufig als Bundle über 1, 3 oder 5 Jahre. Längere Laufzeiten sind pro Jahr deutlich günstiger.
Wichtig für die Gesamtrechnung: Über die Laufzeit machen Lizenzen und Betrieb einen größeren Anteil aus als die Hardware. Ein Angebot, das nur den Gerätepreis nennt, sagt deshalb wenig.
3. Einrichtung (einmalig)
Ist-Aufnahme, Konzept, Regelwerk, Vorkonfiguration, Umschaltung im Wartungsfenster, Tests und Dokumentation. Der Aufwand hängt vor allem davon ab, wie aufgeräumt das bestehende Regelwerk ist. Eine Migration von einer über zehn Jahre gewachsenen Firewall mit 400 Regeln dauert länger als eine Neuinstallation. Rechnen Sie je nach Umfang mit ein bis vier Personentagen pro Standort.
4. Betrieb (monatlich)
Das ist der eigentliche Managed Service: Updates, Regelpflege, Monitoring, Reaktion auf Vorfälle, Reporting. Hier unterscheiden sich Angebote am stärksten, und hier verstecken sich die größten Unterschiede in der Leistung.
Am Markt finden Sie zwei Welten:
- Reines Firewall-Management zu Bürozeiten: Updates und Regeländerungen, aber niemand schaut nachts oder am Wochenende auf die Alarme.
- Komplettpakete mit Hardware im Mietmodell, Lizenzen, Betrieb und Überwachung in einer Monatspauschale.
24/7-Monitoring durch ein SOC ist in vielen günstigen Angeboten nicht enthalten. Genau das ist aber der Teil, der nachts um drei den Unterschied macht und den Cyberversicherer inzwischen abfragen.
Was die Kosten treibt
| Faktor | Warum er zählt |
|---|---|
| Bandbreite und SSL-Inspection | bestimmen das Firewall-Modell |
| Anzahl der Standorte | je Standort ein Gerät, dazu SD-WAN und VPN |
| Hochverfügbarkeit | zweites Gerät plus Lizenz am Hauptsitz |
| Lizenz-Bundle und Laufzeit | ATP, UTP oder Enterprise; 3 bis 5 Jahre sind pro Jahr günstiger |
| Zustand des alten Regelwerks | Aufräumen kostet Zeit bei der Migration |
| Produktionsnetz und Fernwartung | OT-Segmentierung und Herstellerzugänge brauchen Konzept |
| Service-Level | Bürozeiten oder 24/7, Reaktionszeit, Anzahl Regeländerungen |
Zwei typische Szenarien
Ingenieurbüro in Herford, 40 Arbeitsplätze, ein Standort. 500-Mbit-Leitung, Microsoft 365, 15 Mitarbeitende regelmäßig im Homeoffice. Passend ist eine FortiGate 70G mit UTP-Lizenz, VPN mit Multi-Faktor-Authentifizierung und getrennten Netzen für Büro, Server und Gäste. Einrichtung in ein bis zwei Tagen, Betrieb mit Monitoring.
Produktionsunternehmen bei Bielefeld, 120 Mitarbeitende, Hauptsitz plus Niederlassung. Glasfaser mit 1 Gbit/s, Fertigungshalle mit Steuerungen, Fernwartungszugänge für drei Maschinenhersteller. Passend sind zwei FortiGate 90G im HA-Cluster am Hauptsitz, eine 70G in der Niederlassung, SD-WAN, Trennung von IT und Produktionsnetz, zeitlich begrenzte Fernwartungszugänge und Logs im SOC. Hier steckt der größere Aufwand in der Einrichtung und im 24/7-Betrieb, nicht in der Hardware.
Und im Vergleich: selbst betreiben?
Die Alternative zur Managed Firewall ist nicht "kostenlos", sondern interne Arbeitszeit. Realistisch braucht eine sauber betriebene Firewall mit Updates, Regelpflege, Log-Auswertung und VPN-Nutzerverwaltung zwei bis vier Stunden pro Woche, und zwar ohne Nacht, Wochenende und Urlaubsvertretung.
Dem gegenüber steht das Risiko: Laut der Bitkom-Studie Wirtschaftsschutz 2026 entstehen der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage jährlich 211 bis 270,8 Mrd. € Schaden, rund drei Viertel davon durch Cyberangriffe. Ein einziger Produktionsstillstand von einer Woche trifft einen Mittelständler empfindlich. Mit dem Kostenrechner auf unserer Startseite können Sie das für Ihr Unternehmen überschlagen.
Checkliste: So machen Sie Angebote vergleichbar
Fragen Sie jeden Anbieter konkret:
- Ist 24/7-Monitoring enthalten, oder nur Wartung zu Bürozeiten?
- Welche Reaktionszeit gilt bei einem kritischen Vorfall, und steht sie im Vertrag?
- Wer spielt Sicherheitsupdates ein, und wie schnell nach Veröffentlichung einer kritischen Lücke?
- Wie viele Regeländerungen sind in der Pauschale enthalten?
- Welches Lizenz-Bundle ist kalkuliert (ATP, UTP oder Enterprise)?
- Wem gehört die Hardware am Vertragsende, und was passiert bei End-of-Life?
- Bekomme ich Lesezugriff und monatliche Reports?
- Wo werden Logs gespeichert, wie lange, und in welchem Land?
Ein günstiges Angebot, das bei den Punkten 1 bis 3 ausweicht, ist kein günstiges Angebot.
Fazit
Die Kosten einer Managed Firewall hängen weniger von der Mitarbeiterzahl ab als von Bandbreite, Standorten, Hochverfügbarkeit und vor allem vom Leistungsumfang im Betrieb. Vergleichen Sie Angebote deshalb über die vier Kostenblöcke und die Checkliste oben, nicht über den Gerätepreis.
Wie unser Service aufgebaut ist, sehen Sie auf der Seite Managed Firewall. Ein konkretes Angebot für Ihre Umgebung erstellen wir nach einem kostenfreien Erstgespräch: 05221 1714333 oder Kontakt.
