Firewall fuer kleine Unternehmen 2026: der ehrliche Vergleich

Die Frage kommt in fast jedem Erstgespraech mit einem neuen KMU-Kunden: Reicht die FritzBox eigentlich als Firewall, oder brauchen wir richtig etwas? Und wenn ja — OPNsense, Sophos, Fortinet? Was ist realistisch fuer einen Betrieb mit 12 Mitarbeitern, was fuer eine Kanzlei mit 40 Nutzern und drei Standorten?

Wir betreuen in Bayern Firewalls in genau diesem Groessenbereich, von 5 bis 50 Nutzern. Dieser Artikel ist der Vergleich, den wir intern selbst als Entscheidungsgrundlage nutzen — mit ehrlichen Grenzen, ohne Herstellerbrille und ohne Benchmarks, die niemand nachpruefen kann.

Was eine Business Firewall 2026 leisten muss

Der Anspruch an eine Firewall hat sich in den letzten fuenf Jahren deutlich verschoben. Ein reines Paketfilter-Geraet mit NAT und ein paar Portfreigaben ist 2026 keine Business Firewall mehr, sondern ein Router mit Filterfunktion. Was Kunden heute wirklich brauchen, laesst sich in sechs Punkten zusammenfassen:

• Trennung von Netzsegmenten per VLAN, mindestens fuer Gaeste, Buero, Server, VoIP und ggf. Produktion
• VPN fuer Homeoffice und Standortvernetzung, idealerweise WireGuard und IPsec parallel
• DNS-Filterung und Blocklisten, um Phishing- und Malware-Domains zu blockieren
• Intrusion Detection oder Prevention mit gepflegten Regelsaetzen
• TLS-Inspection oder L7-Filter dort, wo Compliance oder Versicherung es fordern
• Zentrales Logging mit einer Aufbewahrung, die zu NIS2 und Cyberversicherung passt

Wer diese Liste durchgeht, merkt schnell: Eine FritzBox schafft davon vielleicht die Haelfte — und die andere Haelfte nur mit Krueckenloesungen. Damit ist die eigentliche Vergleichsebene gesetzt, und wir koennen die Kandidaten der Reihe nach anschauen.

FritzBox als Business Firewall — ehrliche Grenzen

Die FritzBox ist ein exzellenter Consumer-Router und ein passabler Micro-Business-Router fuer ein bis fuenf Nutzer. Sie kann VLANs eingeschraenkt, hat einen einfachen Paketfilter, WireGuard seit FRITZ!OS 7.50, MyFRITZ! als DDNS und einen ordentlichen VoIP-Stack. Fuer Handwerksbetriebe mit drei Arbeitsplaetzen und ein wenig Homeoffice ist das oft ausreichend.

Aber: Fuer alles, was Segmentierung, IDS/IPS, saubere Logs oder mehrere WAN-Uplinks braucht, ist sie das falsche Werkzeug. Kein Suricata, kein GeoIP-Blocking auf ernstem Niveau, keine granulare NAT-Regel, kein zentrales Logging mit Syslog-Fanout. Wer die FritzBox als Business Firewall fuer 15 Mitarbeiter einsetzt, spart nicht Geld, sondern verschiebt Kosten in Vorfaelle, die spaeter viel teurer werden.

Unsere Faustregel: Bis ca. fuenf Nutzer und ohne Compliance-Anforderungen kann die FritzBox bleiben. Ab dem sechsten Arbeitsplatz oder sobald DSGVO-nahe Daten, Kanzlei-Themen oder Steuerberatung im Spiel sind, gehoert etwas Groesseres davor. Wer den Wechselpfad im Detail sehen will, findet ihn in unserem Beitrag zur FritzBox-Abloesung durch OPNsense.

OPNsense als Business Firewall 2026

OPNsense ist unsere Standardempfehlung fuer den Groessenbereich von 5 bis 50 Nutzern. Die Gruende sind pragmatisch: Open Source unter 2-Clause-BSD, keine Lizenzkosten pro Nutzer, ein reifes Plugin-Oekosystem und eine Hardware-Wahl, die vom kleinen Fanless-Mini-PC bis zum HA-Cluster reicht.

Feature-seitig deckt OPNsense 2026 alle Punkte aus unserer Anfangsliste ab: WireGuard und IPsec im Kernel, Unbound mit Blocklisten, Suricata IDS/IPS mit ET-Pro-Kategorien, ClamAV-Anbindung, HAProxy als Plugin, CARP fuer High Availability, MFA per TOTP und WebAuthn. Fuer L7-Filter gibt es Zenarmor als kostenpflichtiges Plugin, wobei die Free Edition fuer viele KMU-Projekte reicht.

Die ehrliche Einschraenkung: OPNsense braucht Betriebs-Know-how. Wer keinen Dienstleister hat und intern niemanden mit Netzwerkverstaendnis, sollte nicht auf eine selbstverwaltete OPNsense setzen. Genau dort setzt unser OPNsense-Managed-Service an — wir liefern Hardware, richten ein und betreiben die Firewall inklusive Updates und Regeln. Preisrahmen fuer Hardware plus Einrichtung nennen wir individuell nach Groesse und Anforderungen, weil Netzwerkbandbreite, IDS-Last und HA-Bedarf massiv variieren.

pfSense Plus im KMU-Kontext

pfSense Plus ist technisch weiterhin ein ausgereiftes Produkt. Netgate hat allerdings mit dem Lizenzmodell 2024 klar gemacht, dass die Community Edition kein Feature-Ziel mehr ist. Fuer KMU, die neu einsteigen, ergibt pfSense heute nur in zwei Konstellationen Sinn: Bestehende Installationen mit sauberer Doku und internem Wissen, oder Netgate-Hardware-Kunden, die den Ganzheitspfad bewusst waehlen.

Wer die Unterschiede im Detail nachlesen will, findet unseren technischen Vergleich unter OPNsense vs. pfSense. Fuer diesen Artikel bleibt die Kurzfassung: Fuer neue KMU-Projekte 2026 waehlen wir OPNsense, weil das Lizenzmodell klarer, die Plugin-Landschaft aktiver und der Update-Rhythmus verlaesslicher ist.

Sophos XGS — die klassische Business-Firewall

Sophos XGS ist die “haben wir schon immer so gemacht”-Wahl vieler Systemhaus-Angebote. Die Geraete sind solide, das Sophos Central als zentrale Management-Konsole ist ausgereift, und fuer Kunden, die auch Sophos Endpoint einsetzen, entsteht ein sinnvolles Zusammenspiel per Synchronized Security.

Ehrlich muss man auch sagen: Sophos XGS ist ein Abo-Produkt. Ohne aktive Lizenz sind IDS/IPS, Web-Filter, App Control und Sandbox-Funktionen tot. Die Grundhardware laeuft dann noch als Paketfilter, aber der Sinn der Beschaffung ist damit weg. Die Lizenzkosten sind gestaffelt (Xstream Protection ist die typische KMU-Konfiguration) und werden hier bewusst nicht in EUR genannt, weil sie sich pro Modell, Laufzeit und Distributor unterscheiden — fuer eine konkrete Groesse geben wir Preisrahmen im Angebot.

Sophos XGS passt aus unserer Sicht dann, wenn ein Kunde bereits im Sophos-Oekosystem lebt, wenn Zentrale und Filialen einheitlich gemanagt werden muessen und wenn Wert auf einen benannten Hersteller-Ansprechpartner gelegt wird. Fuer klassische 10-Mann-Betriebe ohne bestehende Sophos-Landschaft ist es 2026 selten die beste Wahl.

Fortinet FortiGate — Enterprise-Optik im KMU-Kleid

FortiGate 40F, 60F und 80F sind die kleinen Modelle, die typischerweise in KMU-Angeboten auftauchen. Die Hardware ist gut, FortiOS bietet einen breiten Funktionsumfang, und der Fortinet Security Fabric ist ein durchdachtes Konstrukt. Der Haken heisst wie bei Sophos: Ohne aktive UTM-Bundles ist die Firewall funktional halbiert.

Zwei Punkte, die 2026 wichtiger sind als frueher: Erstens hat Fortinet in den letzten Jahren mehrere schwere Zero-Days gehabt, die sehr schnell aktive Patch-Prozesse noetig machten. Wer FortiGate einsetzt, muss das intern oder ueber einen Dienstleister sauber abbilden koennen. Zweitens ist die Migration weg von FortiGate durchaus machbar, wir haben sie mehrfach begleitet — der Ablauf steht in unserem Beitrag zur Migration von FortiGate auf OPNsense.

Fuer wen passt FortiGate 2026 im KMU-Bereich? Am ehesten fuer Kunden mit mehreren Standorten, die bereits SD-WAN nutzen oder aufbauen wollen, und die einen laufenden Vertragsrahmen mit Fortinet-Partnern haben. Fuer den klassischen Ein-Standort-Mittelstaendler ist die Kombination aus Lizenzkosten und Update-Disziplin oft nicht das beste Preis-Leistungs-Verhaeltnis.

Groessenklassen: welche Firewall passt fuer wie viele Nutzer

Die folgende Matrix ist unsere gelebte Empfehlung aus KMU-Projekten. Sie ist bewusst grob, weil die Realitaet immer Details kennt, aber sie hilft bei der ersten Einordnung.

Groesse	Realistische Optionen	Was wir typischerweise machen
1 bis 5 Nutzer	FritzBox, kleine OPNsense-Appliance	FritzBox reicht oft; OPNsense wenn VPN/Compliance
5 bis 15 Nutzer	OPNsense Standard-Appliance, Sophos XGS 116/126	OPNsense in 90 Prozent der Faelle
15 bis 30 Nutzer	OPNsense, Sophos XGS 136/2100, FortiGate 60F	OPNsense oder Sophos je nach Umfeld
30 bis 50 Nutzer	OPNsense HA-Cluster, Sophos XGS 2100/3100, FortiGate 80F/100F	OPNsense HA oder Sophos je nach Compliance

Was wir bewusst nicht machen: feste EUR-Preise in einen Blogartikel schreiben. Hardwarepreise schwanken zwischen Distributoren und Chargen, Lizenzen werden je nach Laufzeit anders kalkuliert, und ein HA-Setup ist etwas anderes als eine Single-Node-Installation. Ein realistisches Angebot bekommen Sie bei uns nach einem Kurzgespraech, in dem wir Bandbreite, Standorte, VPN-Bedarf und Compliance klaeren.

Lizenzehrlichkeit: wo laufen die Kosten wirklich hin

Ein Punkt, der in Firewall-Vergleichen oft untergeht: Nicht die Hardware ist die groesste Kostenposition, sondern die wiederkehrenden Lizenzen und die Betriebsaufwaende. Ein FortiGate 60F ohne UTM-Bundle ist ein anderes Geraet als eines mit vollem Bundle. Ein Sophos XGS ohne Xstream Protection ist ein Bruchteil dessen wert, was die Marketingfolie verspricht.

OPNsense ist an dieser Stelle einfach: Keine Nutzerlizenzen, keine Feature-Bundles. Wer Zenarmor Premium will, zahlt fuer Zenarmor. Wer ET-Pro-Regeln will, zahlt fuer die ET-Pro-Subscription. Sonst nichts. Das macht die Kalkulation ueber vier bis fuenf Jahre Betriebszeit deutlich planbarer als bei geschlossenen Systemen.

Unsere Praxis-Empfehlung nach Segment

• Handwerksbetrieb, 3 bis 8 Nutzer, ein Standort, kein Homeoffice-Zwang: FritzBox, wenn keine Compliance dagegen spricht. OPNsense, sobald VPN oder VLAN gefordert ist.
• Kanzlei oder Praxis, 5 bis 20 Nutzer, DSGVO- und Berufsrecht-nah: OPNsense mit DNS-Filter, Suricata und WireGuard. Fuer Arztpraxen siehe auch unseren Beitrag zur Verordnung fuer Arztpraxen.
• Mittelstand, 20 bis 50 Nutzer, ein bis zwei Standorte, gemischtes Homeoffice: OPNsense HA oder Sophos XGS je nach bestehendem Oekosystem.
• Filialbetrieb mit mehreren Standorten und SD-WAN-Ambitionen: OPNsense mit HAProxy und Multi-WAN oder FortiGate, wenn Fortinet-Vertragsrahmen vorhanden.

Fuer die Umsetzung sind wir Ihr Ansprechpartner in Bayern — Details zu unserem Firewall-Service finden Sie unter OPNsense-Betreuung durch DATAZONE.

FAQ zur Business Firewall 2026

Reicht die FritzBox als Business Firewall fuer 10 Mitarbeiter?

Kurzfassung: eher nein. Bis fuenf Nutzer ohne Compliance-Anforderung ist sie vertretbar. Ab zehn Mitarbeitern fehlen Segmentierung, IDS/IPS, saubere Logs und mehrfache WAN-Uplinks — und die kann man mit der FritzBox nicht sauber nachruesten.

Was kostet eine OPNsense-Firewall fuer ein KMU?

Wir nennen bewusst keine festen EUR-Preise, weil Hardware, Bandbreite, HA-Bedarf und Support-Umfang das Bild dominieren. Der Preisrahmen bewegt sich fuer Standardprojekte zwischen “kleine Fanless-Appliance mit Einrichtung” und “HA-Cluster mit Managed Service” — Sie bekommen ein konkretes Angebot nach einem Kurzgespraech.

Ist Open Source im geschaeftlichen Umfeld ueberhaupt sinnvoll?

Ja, wenn ein professioneller Betrieb dahintersteht. OPNsense wird von Deciso weiterentwickelt und hat eine aktive Community. Fuer KMU ist der entscheidende Punkt nicht “Open Source vs. Closed Source”, sondern “Wer betreibt die Firewall verlaesslich”. Genau das leisten wir als Managed Service.

Sophos oder Fortinet — was ist besser fuer KMU?

Beides sind ausgereifte Produkte. Sophos passt eher, wenn zentrales Management ueber Sophos Central bereits genutzt wird oder Sophos Endpoint im Einsatz ist. Fortinet passt eher, wenn SD-WAN oder Multi-Site-Anforderungen bestehen. Fuer neue Projekte ohne Vorlast waehlen wir 2026 oft OPNsense, weil die Kostenstruktur planbarer ist.

Wie oft muss eine Business Firewall erneuert werden?

Hardware-seitig planen wir fuer OPNsense-Appliances typischerweise fuenf bis sieben Jahre. Sophos und Fortinet haengen stark am Lizenzmodell — oft ist die Hardware technisch laenger tragbar, als der Hersteller-Support gedacht ist. Wichtig ist die jaehrliche Ueberpruefung von Regelwerk, IDS-Regeln und VPN-Konfiguration.

Braucht ein 15-Mitarbeiter-Betrieb wirklich IDS/IPS?

Ja, in fast allen Faellen. Cyberversicherungen fragen inzwischen aktiv nach Intrusion Detection und Logging, und NIS2-nahe Kundenketten geben Anforderungen weiter. Suricata auf einer OPNsense mit ET-Community-Regeln ist der einfachste Weg, diesen Punkt sauber abzudecken — ohne Zusatzlizenz und ohne Vendor-Lock-in.