Proxy und Firewall: Was ist der Unterschied?

In Diagrammen von Firmennetzwerken werden Proxy und Firewall oft nebeneinander gezeichnet; beide stehen zwischen internem Netz und Internet, und beide laufen unter „Sicherheit". Deshalb wird häufig gefragt, ob das eine das andere ersetzen kann. Die kurze Antwort lautet nein: Eine Firewall ist ein Türsteher, ein Proxy ein Vermittler. Der eine entscheidet, wer durch die Tür darf; der andere geht für Sie durch die Tür und erledigt die Aufgabe.

In diesem Artikel beschreiben wir Firewall und Proxy einzeln, zeigen, auf welcher Netzwerkschicht beide arbeiten, und erklären das Konzept der „Proxy-Firewall", in dem sich beide überschneiden. Danach betrachten wir, wie Verkehr in einem Firmennetzwerk durch beide Schichten läuft, welche Verbindungsprobleme Proxy-Nutzer wegen Firewalls haben und welche Lösung für welchen Bedarf nötig ist.

Was ist eine Firewall?#

Eine Firewall ist ein System, das ein- und ausgehenden Netzwerkverkehr nach vorab festgelegten Regeln prüft. Sie kann ein Hardwaregerät, im Betriebssystem integrierte Software oder ein Cloud-Dienst sein. Die Windows-Defender-Firewall, nftables unter Linux und spezielle Appliances in Firmennetzwerken erledigen diese Aufgabe in unterschiedlichem Maßstab.

Eine Firewall-Regel fragt im Kern: Woher kommt das Paket, wohin geht es, welches Protokoll und welchen Port nutzt es, und gehört es zu einer bestehenden Verbindung? Je nach Antwort wird das Paket durchgelassen, verworfen oder abgewiesen.

Firewall-Typen unterscheiden sich darin, wie tief sie in den Verkehr schauen. Der Leitfaden SP 800-41 Rev. 1 des NIST ordnet sie so ein:

• Paketfilter: bewertet jedes Paket für sich nach Quell- und Zieladresse, Protokoll und Port.
• Stateful-Inspection-Firewall: führt eine Tabelle offener Verbindungen. Sie akzeptiert die Antwort auf eine intern gestartete Verbindung und weist unaufgeforderte Pakete von außen ab.
• Application-Firewall: schaut in den Verkehr hinein; sie kann die Methode einer HTTP-Anfrage oder das Format einer DNS-Abfrage prüfen.
• Application-Proxy-Gateway: teilt die Verbindung zwischen Client und Server in zwei und leitet den Verkehr selbst weiter. An diesem Typ überschneiden sich Firewall und Proxy.

Was ist ein Proxy?#

Ein Proxy ist ein Zwischenserver, der die Anfrage eines Clients entgegennimmt und sie in eigenem Namen an den Zielserver weiterleitet. Die Zielseite sieht die Anfrage als von der IP-Adresse des Proxys kommend. Der Client richtet den Proxy entweder selbst ein, oder der Netzwerkadministrator leitet den Verkehr transparent an ihn weiter. Den grundlegenden Ablauf erklären wir ausführlich in Was ist ein Proxy-Server und wie funktioniert er?.

Der wichtigste Unterschied zur Firewall: Eine Firewall steht im Weg einer bestehenden Verbindung und lässt Pakete durch oder hält sie an. Ein Proxy baut zwei getrennte Verbindungen auf: eine mit dem Client und eine mit dem Ziel. Eine direkte Verbindung zwischen Client und Ziel entsteht nie.

Proxys gibt es in zwei Richtungen: den Forward-Proxy, der interne Nutzer ins Internet bringt, und den Reverse-Proxy, der vor einer Website steht und deren Server vertritt. Beide vergleichen wir in Forward-Proxy und Reverse-Proxy im Vergleich.

Der Kernunterschied: Filtern oder Vermitteln?#

Am einfachsten unterscheiden Sie beide Schichten, wenn Sie betrachten, was sie im Weg einer Anfrage tun.

Möchte ein Mitarbeiter eine Verbindung zu example.com aufbauen:

• Nur mit Firewall: Der Rechner des Mitarbeiters verbindet sich direkt mit dem Server von example.com. Die Firewall prüft, ob die Verbindung den Regeln entspricht, und lässt die Pakete in diesem Fall unverändert durch. Die Zielseite sieht die öffentliche IP-Adresse des Unternehmens (nach NAT).
• Mit Proxy: Der Rechner des Mitarbeiters verbindet sich mit dem Proxy. Der Proxy nimmt die Anfrage entgegen, prüft die Zugriffsrichtlinie und baut, sofern erlaubt, eine eigene Verbindung zu example.com auf. Die Zielseite sieht die IP-Adresse des Proxys; der Rechner des Mitarbeiters spricht nie direkt mit dem Internet.

Auf welcher Schicht arbeiten sie?#

Netzwerkverkehr wird in Schichten gedacht. Der Unterschied zwischen Firewall und Proxy wird am deutlichsten, wenn man betrachtet, auf welcher Schicht sie ihre Entscheidung treffen.

Die praktische Folge dieser Tabelle: Eine Paketfilter-Firewall kann „Verkehr zu Port 443 erlauben" sagen, weiß aber nicht, ob dieser Verkehr zu einer Nachrichtenseite oder zu einem Filesharing-Dienst geht. Ein HTTP-Proxy sieht, zu welcher Domain die Anfrage geht, und kann danach entscheiden. Ein SOCKS5-Proxy liegt dazwischen: Er kennt Zieladresse und Port, schaut aber nicht in den Inhalt. Diesen Unterschied erklären wir in SOCKS- und HTTP-Proxy im Vergleich.

Next-Generation-Firewalls (NGFW) verwischen diese Grenze: Neben Paketfilterung bieten sie Funktionen höherer Schichten wie Anwendungserkennung, Regeln pro Nutzer und Angriffserkennung. Die Grundarchitektur bleibt jedoch gleich; sie prüfen Verkehr im Weg, ohne ihn weiterzuleiten.

Was ist eine Proxy-Firewall (Application-Level-Gateway)?#

Eine Proxy-Firewall ist ein Firewall-Typ, der Verkehr nicht nur filtert, sondern ihn wie ein Proxy in zwei Verbindungen teilt. In englischen Quellen heißt sie „Application-Level Gateway" oder „Application Proxy Gateway".

So funktioniert sie:

1. Ein Client im internen Netz möchte sich mit einem externen Server verbinden; die Verbindung endet an der Proxy-Firewall.
2. Die Proxy-Firewall liest die Anfrage auf Ebene des Anwendungsprotokolls und bewertet sie anhand der Richtlinie.
3. Ist die Anfrage erlaubt, öffnet sie in eigenem Namen eine neue Verbindung zum Ziel.
4. Die Antwort des Ziels prüft sie auf dieselbe Weise und gibt sie an den Client weiter.

Der Sicherheitsvorteil dieses Aufbaus: Zwischen internem und externem Netz fließt nie ein Paket direkt. Eine fehlerhafte Anfrage, die Protokollregeln verletzt, erreicht das Ziel gar nicht. Der Nachteil: Für jedes Protokoll ist eigene Proxy-Logik nötig, und weil Verbindungen geteilt werden, braucht sie mehr Ressourcen.

Der Gedanke, dass solche Gateways das erwartete Verhalten von Protokollen nicht verändern sollten, wird auch in RFC 2979 des Internet Architecture Board behandelt: Eine Firewall sollte das normale Verhalten von Anwendungen im erlaubten Verkehr nicht verändern.

Eine Web Application Firewall (WAF) ist das serverseitige Gegenstück dieser Idee. Sie läuft als Reverse-Proxy vor einer Website und prüft eingehende HTTP-Anfragen anhand von Regeln wie SQL-Injection, fehlerhaften Headern oder Rate-Limits.

Wie sieht HTTPS-Verkehr auf diesen Schichten aus?#

Da der Großteil des Webverkehrs verschlüsselt ist, ist begrenzt, wie tief Firewall und Proxy hineinschauen können.

• Eine Firewall sieht bei einer HTTPS-Verbindung die Ziel-IP-Adresse, den Port und den Servernamen (SNI) im TLS-Handshake. Den Inhalt sieht sie nicht.
• Ein explizit eingerichteter Forward-Proxy sieht die Domain aus der Anfrage CONNECT example.com:443 und transportiert dann verschlüsselte Bytes. Den Rest der URL und den Inhalt sieht er nicht.
• Ein Unternehmens-Proxy mit TLS-Inspektion terminiert die Verbindung mit einem eigenen Zertifikat, entschlüsselt und prüft den Inhalt und verschlüsselt ihn zum Ziel hin neu. Dafür muss die eigene Zertifizierungsstelle des Unternehmens auf den Rechnern der Mitarbeitenden installiert sein.

TLS-Inspektion dient der Malware-Erkennung und der Verhinderung von Datenabfluss, macht aber den verschlüsselten Verkehr der Mitarbeitenden lesbar und braucht deshalb eine klare Richtlinie und Information. Sensible Kategorien wie Banking und Gesundheit von der Inspektion auszunehmen, ist gängige Praxis.

Wie werden beide in einem Firmennetzwerk zusammen genutzt?#

In einem typischen Firmennetzwerk durchläuft die Anfrage eines Mitarbeiters an eine Website diese Schichten:

1. Rechner des Mitarbeiters: Der Browser liest die Proxy-Einstellung des Betriebssystems oder die automatische Konfigurationsdatei des Netzes. Woher Windows diese Einstellungen liest, erklären wir in Proxy-Einstellungen in Windows und Chrome.
2. Interne Firewall: erlaubt Clients nur Verbindungen zum Proxy-Server und blockiert direkte Verbindungen ins Internet.
3. Forward-Proxy: authentifiziert den Nutzer, wendet die Domain-Richtlinie an, protokolliert die Anfrage und führt bei Bedarf TLS-Inspektion durch.
4. Externe Firewall: erlaubt nur dem Proxy-Server den Weg ins Internet und weist unaufgeforderte eingehende Verbindungen ab.
5. Internet: Die Zielseite sieht die Anfrage als von der Ausgangs-IP des Proxys kommend.

In diesem Aufbau ergänzen sich beide Schichten. Die Firewall verhindert, dass der Proxy umgangen wird: Selbst wenn ein Mitarbeiter die Proxy-Einstellung im Browser abschaltet, kommt er nicht direkt ins Internet. Der Proxy liefert das Detail, das die Firewall nicht sieht: welcher Nutzer wann welche Domain aufgerufen hat.

Auf der Serverseite ist die Reihenfolge umgekehrt: Internet → externe Firewall → WAF oder Reverse-Proxy → interne Firewall → Anwendungsserver. Szenarien zum Datenschutz im Unternehmen finden Sie auf unserer Seite zur Datensicherheit.

Kann eine Firewall eine Proxy-Verbindung blockieren?#

Ja, und ein Teil der Verbindungsprobleme von Proxy-Nutzern stammt genau daher. Symptome und wahrscheinliche Ursachen:

• Verbindungen zum Proxy-Port laufen in ein Timeout. Die Firewall eines Firmen- oder Schulnetzes erlaubt ausgehenden Verkehr womöglich nur zu den Ports 80 und 443. Läuft Ihr Proxy auf einem anderen Port wie 8000, kommt die Verbindung nie zustande. Fragen Sie Ihren Anbieter nach einem alternativen Port oder sprechen Sie mit Ihrem Netzwerkadministrator.
• Die Verbindung steht, bricht aber sofort ab. Eine Application-Firewall erkennt womöglich das Proxy-Protokoll und beendet es gemäß Richtlinie.
• Unter Windows kann sich nur eine Anwendung nicht verbinden. Eine ausgehende Regel der lokalen Firewall blockiert womöglich den Netzwerkzugriff dieser Anwendung. Ein Test desselben Proxys mit cURL zeigt, ob das Problem in der Anwendung oder im Netz liegt.
• SOCKS5 funktioniert, UDP-Verkehr kommt aber nicht durch. Die Firewall schränkt womöglich ausgehendes UDP ein; betroffen sind Anwendungen wie Spiele und Sprachanrufe.

So prüfen Sie schnell, ob der Proxy-Port aus Ihrem Netz erreichbar ist:

# Linux / macOS
nc -vz pr.proxynet.io 8000

# Windows PowerShell
Test-NetConnection pr.proxynet.io -Port 8000

Gelingt die Verbindung, liegt das Problem nicht an der Firewall, sondern an Authentifizierung oder Konfiguration. Dann können Sie mit den Diagnoseschritten zu 407 in Proxy-Authentifizierung weitermachen.

Der Unterschied zwischen Proxy, VPN und Firewall#

Weil die drei Begriffe oft verwechselt werden, hier nebeneinander:

• Eine Firewall leitet keinen Verkehr weiter; sie lässt ihn nach Regeln durch oder hält ihn an.
• Ein Proxy leitet den Verkehr bestimmter Anwendungen mit eigener IP-Adresse weiter; von sich aus verschlüsselt er nichts.
• Ein VPN trägt den gesamten Geräteverkehr durch einen verschlüsselten Tunnel zu einem anderen Server und leitet ihn von dort ins Netz.

Alle drei können gleichzeitig auf dem Gerät eines Nutzers laufen: Die lokale Firewall ist aktiv, ein VPN verschlüsselt den gesamten Verkehr, und der Browser nutzt für bestimmte Aufgaben zusätzlich einen Proxy. Den ausführlichen Unterschied zwischen Proxy und VPN erklären wir in Proxy und VPN im Vergleich.

Was braucht ein Firmennetzwerk?#

Jedes Netzwerk braucht eine Firewall; ein Netz ohne Firewall ans Internet anzuschließen, entspricht keiner anerkannten Praxis. Ein Proxy kommt hinzu, wenn bestimmte Anforderungen entstehen.

Entscheidungshilfe#

Häufig gestellte Fragen#

Kann ein Proxy eine Firewall ersetzen?#

Nein. Ein Proxy sieht nur Verkehr, der an ihn gesendet wird und ein unterstütztes Protokoll nutzt. Andere Protokolle und eingehende Verbindungen liegen außerhalb seines Bereichs. Um das gesamte Netz zu schützen, braucht es eine Firewall.

Verbirgt eine Firewall meine IP-Adresse?#

Nein. Unternehmens-Firewalls nutzen meist NAT, und Rechner im internen Netz gehen mit der öffentlichen IP-Adresse des Unternehmens ins Internet; diese Adresse gehört aber dem Unternehmen und ordnet Sie dessen Netz zu. Von einer anderen IP und einem anderen Standort aus sichtbar zu sein, ist die Aufgabe eines Proxys.

Was ist ein transparenter Proxy?#

Ein Aufbau, bei dem Netzwerkgeräte Verkehr ohne Konfiguration am Client automatisch an einen Proxy weiterleiten. Der Nutzer weiß womöglich nichts vom Proxy. In Schul- und Hotelnetzen ist das verbreitet.

Ist eine WAF dasselbe wie eine Firewall?#

Nein. Eine Netzwerk-Firewall arbeitet auf Ebene von IP-Adressen, Ports und Verbindungen. Eine WAF konzentriert sich nur auf Webverkehr, steht als Reverse-Proxy vor einer Website und prüft den Inhalt von HTTP-Anfragen.

Brauche ich privat Proxy und Firewall zusammen?#

Die integrierte Firewall Ihres Betriebssystems ist bereits aktiv und sollte es bleiben. Ein Proxy hängt vom Bedarf ab: Er kommt hinzu für Aufgaben wie das Anzeigen von Inhalten aus anderen Regionen, Datenerfassung oder das Trennen von Konten. Keiner übernimmt die Aufgabe des anderen.

Welches Proxy-Protokoll kommt leichter durch Firewalls?#

Entscheidend ist der Port, nicht das Protokoll. Eingeschränkte Netze erlauben ausgehenden Verkehr oft nur zu den Ports 80 und 443. Prüfen Sie, bevor Sie einen HTTPS-Proxy für Webverkehr oder einen SOCKS5-Proxy für Anwendungsverkehr nutzen, ob Ihr Netz Verbindungen zum Proxy-Port erlaubt.

Fazit#

Eine Firewall lässt Verkehr nach Regeln durch oder hält ihn an; ein Proxy leitet Verkehr im Namen des Clients mit eigener Verbindung und eigener IP-Adresse weiter. Die Firewall entscheidet meist auf Netzwerk- und Transportschicht, der Proxy auf Anwendungsschicht. Proxy-Firewalls und WAFs verbinden beide Ideen. In Firmennetzwerken verhindert die Firewall, dass der Proxy umgangen wird, und der Proxy liefert das Nutzer- und Domain-Detail, das die Firewall nicht sieht. Um Anfragen von verschiedenen IP-Adressen und Standorten zu senden, sehen Sie sich unsere Proxy-Dienste an.