OPNsense vs. FortiGate im Mittelstand 2026: wo Open Source punktet und wo Fortinet unangefochten bleibt

Die Frage kommt im Mittelstand mittlerweile fast jedes Jahr auf den Tisch: OPNsense oder FortiGate? Der Fortinet-Vertrag läuft aus, die FortiCare-Verlängerung flattert ins Haus, und auf einmal steht die Lizenzrechnung neben einem Angebot für eine Open-Source-Firewall mit Hardware aus der DACH-Region. Wir sitzen in genau diesen Entscheidungen regelmäßig mit dabei und schreiben hier auf, was wir in den letzten zwei Jahren wirklich gesehen haben — ohne Benchmarks, die niemand nachprüfen kann, und ohne Hersteller-Bashing.

Dieser Vergleich richtet sich an Geschäftsführer, IT-Leiter und Admins im Mittelstand zwischen 20 und 300 Nutzern, die genau wissen wollen, wo die Grenzen beider Welten liegen. Für reine Konzern-Setups mit mehreren hundert Außenstandorten und globalem SOC gelten teils andere Spielregeln — die klammern wir hier bewusst aus.

OPNsense vs FortiGate: zwei grundverschiedene Lizenzmodelle

Der entscheidende Unterschied liegt nicht in der Oberfläche oder im Regelwerk, sondern im Geschäftsmodell. Wer das versteht, hat 80 Prozent der Entscheidung schon getroffen.

FortiGate: Subscription pro Appliance

Fortinet verkauft die Hardware einmalig und darauf gestapelt ein oder mehrere Service-Bundles — früher ATP und UTP, heute Enterprise Protection und ähnliche Pakete. Alles, was man als modern Firewall bezeichnen würde, hängt am Abo:

• FortiGuard IPS, Antivirus, Web-Filter, Application Control — jährliche Lizenz pro Gerät
• FortiCare Support — jährliche Lizenz, ohne die man keine RMA bekommt
• SD-WAN-Features wie ADVPN benötigen entsprechende Lizenz-Stufe
• FortiManager/FortiAnalyzer — separate Appliances oder Cloud-Instanzen, oft eigene Lizenzen
• VDOM-Lizenzen für mandantenfähige Setups kosten extra

Positiv: Das Preisschild für das erste Jahr sieht oft harmlos aus, weil Fortinet im Enterprise-Vertrieb aggressiv rabattiert. Nach drei bis fünf Jahren wird die Lizenzkurve dann steiler, weil Renewals selten den Erstpreis halten. Hardware-Lock-in ist ein zweiter Punkt: Beim Modellwechsel zur nächsten Generation wandern Lizenzen nicht mit, das muss man ehrlich einplanen.

OPNsense: Hardware-only mit optionaler Business-Edition

Bei OPNsense ist die Software kostenlos und vollständig. Es gibt alle Features von Tag eins — keine künstliche Stufung, keine lizenzpflichtigen Add-ons. Was Geld kostet, sind:

• Hardware — entweder vom Reseller wie DATAZONE oder selbst beschafft
• OPNsense Business Edition — optionales Abo mit stabileren Release-Zyklen und kommerziellem Support über Deciso
• Externe Threat-Feeds — Suricata-Regeln, GeoIP-Datenbanken, CrowdSec, falls man kommerzielle Quellen will
• Partner-Support — Monats- oder Jahrespauschale bei einem Dienstleister wie uns

Der Vorteil: Die Software läuft weiter, auch wenn kein Vertrag mehr existiert. Lizenzkurve ist flach, planbar, und das Ganze funktioniert auch auf gebrauchter oder umgewidmeter Hardware. Der Nachteil: Es gibt keinen Hersteller-SOC, der nachts Alarm schlägt, und keine einzelne Hotline-Nummer, die weltweit vier Zeitzonen abdeckt. Das übernimmt bei uns der Partner.

Feature-Vergleich: wo FortiGate noch führt

Bei allen OPNsense-Erfolgen muss man ehrlich bleiben: FortiGate hat Bereiche, in denen Fortinet objektiv weiter ist. Diese Punkte sollte man kennen, bevor man die Migration anstößt.

SD-WAN

FortiGate hat seit Jahren eines der ausgereiftesten SD-WAN-Konzepte im Markt. Application-aware Steering, SLA-basiertes Routing, ADVPN mit on-demand Shortcut-Tunneln zwischen Außenstandorten — das ist in der FortiOS-Welt ein kommerzielles Produkt mit zugehöriger GUI im FortiManager. OPNsense hat Multi-WAN mit Policy-based Routing, Gateway-Groups und Monitoring, aber kein Produkt mit dem Namen SD-WAN. Für ein Setup mit drei WAN-Leitungen und zehn Außenstellen reicht das sauber. Für fünfzig Außenstellen mit dynamischer Hub-and-Spoke-Topologie ist FortiGate klar der bequemere Weg.

SSL/TLS-Inspection

TLS-Inspection auf FortiGate ist ein One-Click-Thema: Zertifikat generieren, Policy aktivieren, Ausnahmen für Banking und Health-Checks pflegen — fertig. Die ASIC-beschleunigten Modelle schaffen das auch bei größeren Durchsätzen ohne Einbruch. Bei OPNsense gibt es TLS-Inspection über den Squid-Proxy mit MITM-Zertifikat, das funktioniert technisch, ist aber in Betrieb und Pflege deutlich sperriger. Für den Mittelstand ist die ehrliche Frage ohnehin, ob TLS-Inspection sinnvoll ist. In Produktion sehen wir sie vor allem dort, wo die Cyberversicherung oder ein Branchenstandard sie fordert.

Reporting und Threat-Dashboards

FortiAnalyzer liefert out-of-the-box eine aufbereitete Threat-Landscape mit Dashboards, Scheduled Reports als PDF und einem Compliance-Blick, der im Audit gut aussieht. OPNsense liefert Rohdaten — Logs, Suricata-Events, Netflow — und man baut sich sein Reporting typischerweise mit ELK/OpenSearch, Graylog oder Grafana Loki selbst. Für eine 50-Nutzer-Kanzlei ist das Overkill, für eine Produktion mit Audit-Pflicht kann man die ersten Monate mit einer FortiAnalyzer-Lizenz vergleichsweise schnell abhaken.

Hersteller-Support und globale Zeitzonen

FortiCare mit 24/7-Hotline in mehreren Sprachen ist für einen Konzern mit Außenstandorten in Asien und Nordamerika ein echter Vorteil. Bei OPNsense hat man entweder einen Partner-Vertrag mit definierten Reaktionszeiten oder Community-Support. Beides ist im DACH-Mittelstand oft völlig ausreichend, aber ehrlich: Für den globalen Betrieb mit eigenem Follow-the-Sun-Konzept passt die Fortinet-Logik besser.

Wo OPNsense FortiGate schlägt

Jetzt die andere Seite. In den folgenden Punkten gewinnt OPNsense — und zwar deutlich.

Lizenzkosten über fünf Jahre

Rechnet man eine mittelgroße FortiGate-Appliance mit Enterprise-Bundle über fünf Jahre durch und stellt eine vergleichbar dimensionierte OPNsense-Appliance mit Partner-Support daneben, landet OPNsense in nahezu jedem Szenario deutlich günstiger. Konkrete Zahlen sind projektabhängig und schwanken mit Hardware- und Supportpreisen — deshalb kein Benchmark hier, sondern eine ehrliche TCO-Rechnung bei Bedarf. Wir haben zu solchen TCO-Vergleichen in unserem Beitrag zu Storage-Kosten Cloud vs TrueNAS ausführlich geschrieben; die Logik ist bei Firewalls strukturell dieselbe.

Datenhoheit und Transparenz

OPNsense ist Open Source. Jede Zeile Code ist einsehbar, jeder Update-Kanal nachvollziehbar, und es gibt keine proprietären Telemetrie-Streams, die der Admin erst mühsam abstellen muss. Für Behörden, Rechtsanwaltskanzleien, Steuerberater und Unternehmen mit ernsthaftem DSGVO-Anspruch ist das kein Marketing-Punkt, sondern ein harter Compliance-Vorteil. Dazu passt unser Beitrag zur Firewall-Auswahl für kleine Unternehmen 2026, der die Größenklassen daneben stellt.

Erweiterbarkeit ohne Lizenz-Gate

Wer bei OPNsense ein zusätzliches Feature braucht — CrowdSec, Zabbix-Agent, Netdata, Netflow-Export, zusätzliche VPN-Protokolle — installiert ein Plugin oder ergänzt die Konfiguration. Keine zusätzliche SKU, keine Freischaltung, kein neues Hardware-Modell nötig. Für die typischen Mittelstands-Setups mit WireGuard für Homeoffice, IPsec zu Partnerbetrieben und Suricata als IDS ist das enorm bequem. Siehe auch Fortinet FortiGate Migration auf OPNsense für den konkreten Umstiegspfad.

Hardware-Flexibilität

OPNsense läuft auf einer schlanken DEC-Appliance von Deciso genauso wie auf einem Supermicro-Server, einem Dell-Edge-Gerät oder einer virtuellen Maschine auf dem bestehenden Proxmox-Cluster. Das macht Konsolidierungs- und Erneuerungsstrategien einfacher. FortiGate ist an die eigene Hardware oder zumindest an FortiOS-zertifizierte Umgebungen gebunden. Zu passender Hardware haben wir unsere OPNsense Hardware-Empfehlung 2026 ausführlich beschrieben.

Wann OPNsense, wann FortiGate — unsere Entscheidungs-Matrix

Statt einer Pauschalempfehlung geben wir Ihnen die Fragen, die wir im Erstgespräch wirklich stellen.

Für OPNsense sprechen

• 20 bis 150 Nutzer, ein bis fünf Standorte, keine globale Außenstruktur
• Vorhandenes Open-Source-Mindset im Team oder beim Dienstleister
• Datenhoheit, Transparenz oder DSGVO-Fokus hat Gewicht
• Planbare, flache Lizenzkurve ist wichtiger als Hersteller-SOC
• Monitoring und Logging übernimmt ein Stack wie Graylog, Zabbix oder ELK
• Fortinet-Erfahrung im Haus zählt eher weniger als Linux/BSD-Erfahrung
• Partner-Modell mit SLA über einen Dienstleister wie DATAZONE ist akzeptabel

Für FortiGate sprechen

• Konzern-Setup mit zehn und mehr Außenstandorten, SD-WAN gefragt
• Fortinet-Umfeld bereits vorhanden — FortiSwitch, FortiAP, FortiClient
• 24/7-Hersteller-Support in mehreren Zeitzonen ist Pflicht
• Audit-Berichte und Compliance-Dashboards müssen out-of-the-box kommen
• TLS-Inspection ist operativ unverhandelbar und muss skalieren
• Das Team hat FortiOS-Zertifizierungen und keinen Appetit auf Neuerlernen

Beide Welten können im Mittelstand erfolgreich sein — wir betreuen beide. Was wir in den letzten zwei Jahren allerdings deutlich häufiger sehen, ist der Wechsel von FortiGate zu OPNsense bei Betrieben zwischen 20 und 150 Nutzern. Der Grund ist fast immer die zweite oder dritte Renewal-Rechnung, bei der der Vorstand plötzlich auf die TCO über fünf Jahre schaut.

Migrationspfad — was man einplanen muss

Wer von FortiGate auf OPNsense wechselt, sollte sich nicht von Oberflächen-Vergleichen täuschen lassen. Die Konzepte sind ähnlich, aber die Werkzeuge heißen anders. Firewall-Policies lassen sich auf OPNsense First-Match-Regelwerk mappen, VPN-Konfigurationen sind in der Regel neu aufzubauen, und das Monitoring muss parallel laufen, bis die Umstellung nachts durchläuft. Wir empfehlen einen zweistufigen Betrieb über zwei bis vier Wochen — das ist entspannter als jeder Big-Bang. Details stehen im verlinkten Migrations-Artikel.

Hardware-seitig haben Sie entweder eine fertige OPNsense-Appliance direkt über uns oder nutzen vorhandene Serverkapazität. Für Backups und Archive, die mit der neuen Firewall-Welt sauber zusammenspielen sollen, ist ein TrueNAS-System oft der passende zweite Baustein — unseren TrueNAS-Konfigurator und den TrueNAS-Support nutzen Mittelständler, die beide Welten konsolidieren wollen.

FAQ zu OPNsense vs FortiGate

Ist OPNsense wirklich eine ernstzunehmende FortiGate-Alternative Mittelstand?

Ja — in der Größenklasse 20 bis 150 Nutzer ohne globale Außenstruktur ist OPNsense funktional vollwertig. Grenzen zeigen sich bei industriellem SD-WAN mit vielen Standorten, bei Compliance-Reporting out-of-the-box und bei globalem 24/7-Hersteller-Support.

Was kostet eine OPNsense-Lösung über fünf Jahre im Vergleich zu FortiGate?

Konkrete Zahlen hängen stark von Hardware-Klasse, Nutzerzahl und Support-Modell ab — deshalb nennen wir hier keinen EUR-Betrag. In Projekten, die wir real begleitet haben, liegt OPNsense über fünf Jahre regelmäßig signifikant unter FortiGate mit vergleichbarem Enterprise-Bundle. Eine individuelle TCO-Rechnung erstellen wir auf Anfrage.

Kann OPNsense SD-WAN wie FortiGate?

Teilweise. Multi-WAN mit Policy-based Routing, Gateway-Monitoring und Load-Balancing bringt OPNsense sauber mit. Was fehlt, ist ein beworbenes SD-WAN-Produkt mit zentraler GUI für hundert Außenstandorte und automatischem Hub-and-Spoke-Shortcut. Für den typischen Mittelstand reicht das — für ein Franchise mit 80 Filialen ist FortiGate bequemer.

Was passiert mit meiner FortiGate-Hardware beim Umstieg?

In der Regel wird sie außer Betrieb genommen oder weiterverkauft. OPNsense läuft auf eigener Hardware. Einige Kunden lassen die FortiGate noch sechs bis zwölf Monate als Cold-Spare im Rack, falls operativ etwas nachgezogen werden muss — technisch nötig ist das nicht.

Welchen Support bietet DATAZONE für OPNsense?

Wir bieten für OPNsense Monats- und Jahrespauschalen mit definierten Reaktionszeiten, inklusive proaktivem Patch-Management, Monitoring und planbarem Pflegebudget. Details auf unserer Seite zu OPNsense als IT-Service.

Wie lange dauert eine typische Migration FortiGate zu OPNsense?

Für ein KMU mit einem Standort, zehn bis dreißig Nutzern, zwei VPN-Verbindungen und Standard-Policies rechnen wir mit zwei bis vier Wochen Projektdauer inklusive Testbetrieb. Komplexere Setups mit mehreren Standorten, Dual-WAN und VLAN-Zoo brauchen entsprechend länger — aber auch die haben wir in planbaren Fenstern umgestellt.