Updates
Zwischenupdates und Hauptversionen im Wartungsfenster, nach Sicherung der Konfiguration.
Sicherung der Konfiguration
Regelmäßig und vor jeder Änderung versioniert außerhalb der Firewall gesichert.
Hochverfügbarkeit
CARP-Paar mit Konfigurationsabgleich, nach technischer Prüfung.
OPNsense-Firewall betreuen lassen
Wir betreiben Ihre OPNsense-Firewall: Updates, Regeländerungen nach Ihrem Auftrag, 24/7-Monitoring, Sicherung der Konfiguration und VPN-Zugänge. Hardware und Zugänge bleiben bei Ihnen.
- OPNsense
- Suricata IDS/IPS
- WireGuard
- IPsec
- HA mit CARP
Ausgangslage
Die Firewall schützt das Netz, aber wer schützt die Firewall?
Eine Firewall wird einmal eingerichtet und danach selten angefasst. Genau das macht sie zum Risiko.
Updates bleiben liegen
Die Firewall steht direkt am Internet; Lücken in erreichbaren Diensten wie VPN oder Weboberfläche treffen sie unmittelbar. Ein verschobenes Update ist hier besonders teuer.
Gewachsenes Regelwerk
Freigaben für alte Projekte bleiben bestehen, niemand weiß mehr, warum eine Regel existiert.
Keine Sicherung der Konfiguration
Fällt die Hardware aus, muss die Konfiguration aus dem Gedächtnis neu aufgebaut werden.
Ein Admin, kein Vertreter
VPN-Zugänge und Ausnahmen kennt oft nur eine Person.
Leistungen
Leistungsumfang im Firewall-Betrieb
Acht Bausteine für OPNsense auf Hardware, als VM oder in der Cloud. Nicht enthalten: Hardware vor Ort, Penetrationstests, andere Firewall-Produkte.
Regelpflege nach Auftrag
Auf Anweisung einer berechtigten Person, mit Anlass und Zeitpunkt dokumentiert.
VPN
WireGuard, IPsec und OpenVPN für Standorte und Mitarbeitende; Zugänge anlegen und entziehen.
Regelwerk-Prüfung
Ungenutzte und zu weit gefasste Freigaben markieren, Bereinigung nach Ihrer Freigabe.
24/7-Monitoring
Erreichbarkeit, Gateways, Auslastung, VPN-Tunnel, Zertifikate, HA-Status; Reaktion auf P1-Incidents nach Service Level.
Angriffserkennung (IDS/IPS)
Suricata aus OPNsense: Regelsätze pflegen, Alarme auswerten; IPS nach technischer Prüfung.
Ablauf
So übernehmen wir Ihre Firewall
Vier Schritte vom Zugang bis zum laufenden Betrieb.
- 01
Bestandsaufnahme
Version, Schnittstellen, Regelwerk, VPN, Plugins und Hochverfügbarkeit.
- 02
Sicherung und Zugang
Konfiguration sichern, eigener Admin-Zugang mit zweitem Faktor, Notfallzugang dokumentieren.
- 03
Monitoring anbinden
Anbindung an das 24/7-Monitoring und Festlegung der Alarmwege.
- 04
Laufender Betrieb
Updates im Wartungsfenster, Änderungen nach Auftrag, Bericht über durchgeführte Arbeiten.
Preis
Preis nach Firewall und Service Level
Anzahl der Firewalls, Hochverfügbarkeit, VPN-Umfang und Service Level bestimmen den Aufwand. Den Preis nennen wir nach der Bestandsaufnahme im Angebot. Einzelne Arbeiten ohne laufenden Vertrag berechnen wir zum Supportsatz von 120 € netto / Stunde.
Firewall-BetriebPreis im Angebot
Einordnung
Firewall selbst betreiben oder betreuen lassen
OPNsense ist schnell installiert. Der Aufwand liegt im Betrieb danach: Updates, Regelwerk, Angriffserkennung und Nachweise.
| Aufgabe | Selbst betreiben | Firewall-Betrieb (WZ-IT) |
|---|---|---|
| Sicherheitsupdates | wenn jemand Zeit hat | im Wartungsfenster, nach Sicherung |
| Regeländerungen | oft ohne Dokumentation | nach Auftrag, mit Anlass und Zeitpunkt |
| Angriffserkennung | selten eingerichtet | Suricata mit gepflegten Regelsätzen |
| Nachweise (z. B. NIS2) | eigene Planung | Änderungen und Updates dokumentiert |
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen
- Updates im vereinbarten Wartungsfenster, Regeländerungen nach Ihrem Auftrag, 24/7-Monitoring, versionierte Sicherung der Konfiguration und Betrieb der VPN-Zugänge. Die Firewall bleibt Ihre: auf eigener Hardware, als VM oder in der Cloud.
- OPNsense veröffentlicht zwei Hauptversionen im Jahr, erkennbar an den Versionsreihen wie 26.1 und 26.7, dazu Zwischenupdates mit Sicherheitskorrekturen. Zwischen dem 30. April und dem 12. Mai 2026 kamen vier relevante Sicherheitslücken zusammen; der Beitrag zu OPNsense 26.1.8 beschreibt den Fall.
- Sie. Regeln ändern wir nach Auftrag einer berechtigten Person, dokumentieren Anlass, Änderung und Zeitpunkt und weisen auf erkennbare Risiken hin, etwa eine Freigabe aus dem Internet auf einen internen Dienst.
- Das Monitoring erfolgt 24/7. Fällt die Firewall aus, ist in der Regel das gesamte Netz betroffen; das ist in der Regel ein P1-Incident, auf den wir nach dem vereinbarten Service Level reagieren. Mit einem Hochverfügbarkeits-Paar (CARP) übernimmt die zweite Firewall die gemeinsamen Adressen automatisch.
- WireGuard, IPsec und OpenVPN, die OPNsense von Haus aus mitbringt: Standortverbindungen und Zugänge für Mitarbeitende. Für Zero-Trust-Zugänge ohne offene Ports gibt es zusätzlich Managed NetBird.
- Ja, nach technischer Prüfung. Die Angriffserkennung von OPNsense basiert auf Suricata. Als IDS meldet sie verdächtigen Verkehr, als IPS verwirft sie ihn zusätzlich. Wir wählen Regelsätze wie ET Open oder die Listen von abuse.ch aus, pflegen sie, werten Alarme aus und binden sie in das Monitoring ein. Ob der IPS-Modus passt, hängt von Hardware, Durchsatz und Fehlalarmquote ab und wird vorher im IDS-Modus geprüft.
- Er liefert technische Nachweise. Die NIS2-Richtlinie verlangt in Artikel 21 unter anderem Maßnahmen zur Sicherheit bei Wartung von Netz- und Informationssystemen einschließlich Schwachstellenmanagement, Backup-Management und Konzepte für die Zugriffskontrolle. Dokumentierte Updates, versionierte Konfigurationssicherungen und protokollierte Regeländerungen belegen solche Maßnahmen. Ob Ihr Unternehmen unter NIS2 fällt, klären Sie mit Ihrer Rechtsberatung; wir leisten keine Rechtsberatung. Mehr dazu auf der Seite Compliance.
- Nein. Wir betreuen OPNsense auf Ihrer vorhandenen Hardware, als virtuelle Maschine oder in Ihrer Cloud. Bei der Auswahl neuer Hardware beraten wir auf Wunsch.
- Der Preis hängt von Anzahl der Firewalls, Hochverfügbarkeit, VPN-Umfang und Service Level ab und steht im Angebot. Einzelne Arbeiten wie ein Update oder eine Regeländerung ohne laufenden Vertrag berechnen wir zum Supportsatz von 120 € netto / Stunde.
Wissen
Weiterführende Seiten
Sicherheitslücken, Netzwerkzugänge und angrenzende Leistungen.
Guides
- OPNsense 26.1.8: zwei kritische RCE-LückenVier relevante CVEs in zwölf Tagen und was das für das Patch-Management heißt.
- Linux-Server härtenCheckliste nach CIS und BSI, mit Firewall und Netzwerkdiensten.
- Linux-Patch-ManagementProzess, Fristen und Nachweis für Sicherheitsupdates.
- Managed NetBirdZero-Trust-Zugänge ohne offene Ports; WZ-IT ist offizieller NetBird-Reseller.
Bewertungen & Projekte
Betrieb, der Kunden spürbar entlastet
Kundenstimmen zu Monitoring, Updates, Wartung, Support und stabilen produktiven Systemen.
Vernetzung & Provisioning
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
Steve KirchnerGeschäftsführer, nextGYM GmbH
International
Gebaut im Ruhrgebiet. Produktiv weltweit.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Ausgewählte Projekte
- LiveRemote-Access-Plattform für verteilte WasseraufbereitungsanlagenABCO Water Systems · Australien · Secure Access & OT
- 81%AWS-Migration mit deutlich geringeren laufenden KostenEVA Real Estate · VAE · Cloud-Exit & Infrastruktur
- 98%Neue Standorte in Minuten statt Stunden bereitstellennextGYM GmbH · Deutschland · Automatisierung & IoT
Kundenstimmen ansehen
Anfrage
Firewall-Betrieb anfragen
Für eine erste Einschätzung genügen Anzahl der Firewalls, Version, VPN-Verbindungen und ob ein HA-Paar besteht. Zugangsdaten benötigen wir erst nach einer Beauftragung.
- Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
- Fachliche Einschätzung Ihrer Situation
- Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Jakob ÖschlbergerInno7 GmbH
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.