Woraus sich die Kosten einer Firewall zusammensetzen
Ein Firewall-Angebot besteht fast immer aus fünf Bausteinen. Wer nur auf den Gerätepreis schaut, vergleicht den kleinsten davon.
- Hardware: das Gerät, dimensioniert nach Internetbandbreite, Zahl der Nutzer und den Schutzfunktionen, die gleichzeitig laufen. Für Hochverfügbarkeit kommt ein zweites Gerät dazu.
- Schutzlizenz: Angriffserkennung (IPS), Virenschutz am Übergang, Webfilter, Erkennung von Anwendungen und laufend aktualisierte Signaturen. Die Hersteller verkaufen sie als Pakete mit einem, drei oder fünf Jahren Laufzeit.
- Support und Garantie: Firmware-Updates, Herstellersupport und Austausch bei Defekt. Bei den meisten Herstellern steckt das im Lizenzpaket.
- Einrichtung: Netzplan, Regelwerk, VPN mit Mehrfaktor-Anmeldung, Anbindung an das Benutzerverzeichnis, Tests und Dokumentation.
- Betrieb: Updates einspielen, Regelwerk pflegen, Warnungen auswerten, Konfiguration sichern und Lizenzen rechtzeitig verlängern.
Was kostet eine Firewall? Richtwerte nach Unternehmensgröße
Die folgenden Werte sind Richtwerte am Markt, netto, Stand November 2026, kein Angebot. Grundlage sind Preise deutscher Händler für Geräte von WatchGuard, Fortinet, Sophos und Check Point mit einem Jahr Schutzpaket. Was Sie tatsächlich zahlen, hängt von Modell, Lizenzpaket, Aktionen der Hersteller und vom Händler ab.
| Größe | Geräteklasse, Beispiele | Gerät mit 1. Lizenzjahr | Verlängerung pro Jahr | Einrichtung |
|---|---|---|---|---|
| Bis 50 Arbeitsplätze, ein Standort | Desktop-Geräte wie FortiGate 40F bis 70G, WatchGuard Firebox T-Serie, Sophos XGS 88 bis 128, Check Point Quantum Spark | 1.000 bis 3.000 € | 400 bis 1.500 € | 1 bis 2 Arbeitstage |
| 50 bis 250 Arbeitsplätze | Geräte wie FortiGate 90G bis 120G, WatchGuard Firebox M-Serie, Sophos XGS 2100 bis 2300, Check Point Quantum Force 3920 | 3.000 bis 10.000 € | 1.500 bis 6.000 € | 2 bis 4 Arbeitstage |
| 250 bis 500 Arbeitsplätze, mehrere Standorte | Größere Rack-Geräte im Cluster mit zentraler Verwaltung | 10.000 bis 30.000 € | 5.000 bis 15.000 € | 5 bis 10 Arbeitstage |
| Zusätzlich je Filiale | Kleines Desktop-Gerät | 800 bis 2.000 € | 300 bis 1.000 € | 0,5 bis 1 Tag, mit Vorlage weniger |
Zur Einordnung einige Preise eines deutschen Händlers, abgefragt im November 2026, netto: Eine FortiGate 60F kostet als reines Gerät rund 900 Euro, mit einem Jahr UTP-Paket rund 1.420 Euro. Eine Sophos XGS 108 mit einem Jahr Xstream Protection liegt bei rund 1.370 Euro, eine XGS 128 bei rund 2.790 Euro. Eine Check Point Quantum Force 3920 mit einem Jahr SandBlast-Paket kostet rund 6.200 Euro. Andere Händler und Projektpreise liegen oft darunter.
Die Zahl der Nutzer allein ist ein schlechter Maßstab für die Auswahl. Wichtiger sind die Internetbandbreite und die Schutzfunktionen, die tatsächlich laufen sollen, vor allem die Prüfung verschlüsselter Verbindungen. Sie kostet die meiste Leistung.
Warum die Schutzlizenz jedes Jahr wieder anfällt
Die Lizenz ist kein Freischaltcode für das Gerät, sondern ein Abonnement für laufend aktualisierte Schutzfunktionen. Neue Angriffsmuster, Schadsoftware und gefährliche Webseiten kommen täglich hinzu, die Signaturen dafür liefert der Hersteller. Läuft das Paket aus, arbeiten meist nur noch Paketfilter, Routing und VPN. Je nach Hersteller entfallen auch Firmware-Updates und der Austausch bei Defekt. Dann bleiben auch Schwachstellen im Gerät selbst offen.
Die Pakete heißen bei jedem Hersteller anders: Basic und Total Security Suite bei WatchGuard, UTP- und Enterprise-Paket bei Fortinet, Standard und Xstream Protection bei Sophos, NGTP- und SandBlast-Paket (SNBT) bei Check Point. Wie teuer die Verlängerung im Verhältnis zum Einstieg ist, schwankt stark. Einige Beispiele aus Händlerpreisen im November 2026, netto:
- Sophos XGS 108: Die Verlängerung von Xstream Protection kostet rund 590 Euro im Jahr, gut 40 Prozent des Preises für Gerät und erstes Jahr. Bei der XGS 128 sind es rund 1.430 Euro, gut die Hälfte.
- Check Point Quantum Force 3920: Ein weiteres Jahr SandBlast kostet rund 5.700 Euro, also über 90 Prozent des Einstiegspreises mit Gerät.
- WatchGuard: Bei größeren Modellen wie der Firebox M395 liegt die Verlängerung der Total Security Suite nach Listenpreisen in derselben Größenordnung wie Aktionsangebote für Gerät und erstes Jahr.
- Mehrjährige Pakete mit drei oder fünf Jahren sind pro Jahr günstiger, binden aber Budget und Hardware länger.
Für die Planung heißt das: Rechnen Sie die Lizenz für jedes Jahr der geplanten Nutzungsdauer ein, meist fünf Jahre, und lassen Sie sich den Verlängerungspreis vorab schriftlich nennen.
Rechenbeispiel: Gesamtkosten über fünf Jahre
Beispiel mit typischen Werten: 80 Arbeitsplätze an einem Standort mit Glasfaser, Fernzugriff für 30 Mitarbeitende mit Mehrfaktor-Anmeldung, zwei Firewalls im Cluster für Hochverfügbarkeit. Hardware und Lizenzen sind Richtwerte am Markt, die Arbeitszeit ist mit 120 Euro pro Ingenieurstunde gerechnet. Alle Beträge netto, kein Angebot.
| Posten | Annahme | Betrag netto |
|---|---|---|
| Zwei Firewalls mit erstem Lizenzjahr | Mittelklasse, zweites Gerät für den Cluster | 6.000 bis 10.000 € |
| Einrichtung | 24 bis 40 Ingenieurstunden für Regelwerk, VPN mit MFA, Tests und Dokumentation | 2.880 bis 4.800 € |
| Lizenzen für das 2. bis 5. Jahr | 4 × 2.000 bis 4.500 € | 8.000 bis 18.000 € |
| Betrieb und Updates | 1 bis 2 Stunden pro Monat über fünf Jahre | 7.200 bis 14.400 € |
| Summe über fünf Jahre | 24.080 bis 47.200 €, rund 400 bis 790 € pro Monat |
In diesem Beispiel kosten Lizenzen und Betrieb über fünf Jahre deutlich mehr als die Geräte. Ein Angebot mit günstiger Hardware und teurer Verlängerung kann am Ende teurer sein als eines mit höherem Einstiegspreis.
Wie das zweite Gerät im Cluster lizenziert wird, unterscheidet sich je nach Hersteller. WatchGuard bietet dafür eigene, günstigere HA-Geräte an. Bei Sophos nutzt das passive Gerät im Active-Passive-Betrieb die Abonnements des aktiven. Fortinet hat für einige kleinere Modelle eigene HA-Lizenzen, sonst braucht dort jedes Gerät im Cluster eigene Lizenzen. Fragen Sie im Angebot ausdrücklich danach, der Unterschied macht über fünf Jahre schnell mehrere tausend Euro aus.
Reicht eine Fritzbox als Firewall?
Ein Router für Privatkunden wie die Fritzbox filtert Verbindungen aus dem Internet und lässt nur Antworten auf eigene Anfragen durch. Das ist ein Grundschutz. Es fehlt aber, was ein Unternehmen braucht: Erkennung von Angriffen und Schadsoftware, Regeln zwischen internen Netzen wie Büro, Gäste, Server und Produktion, Fernzugriff mit Mehrfaktor-Anmeldung, zentrale Protokolle, Berichte und Hochverfügbarkeit. Für ein sehr kleines Büro ohne Fernzugriff und ohne sensible Daten kann ein Router genügen. Ab etwa zehn Arbeitsplätzen, mit Fernzugriff, mit Servern im Haus oder wenn NIS2 gilt, empfehlen wir eine eigene Firewall. Wie Sie Netze sinnvoll trennen, zeigt der Ratgeber VLAN im Unternehmen auf unserer Schwesterseite.
Kaufen, Wartungsvertrag oder Managed Firewall?
| Modell | Passt, wenn | Darauf achten |
|---|---|---|
| Kauf mit eigener Betreuung | Sie eine eigene IT haben, die Updates und Regelwerk pflegt | Lizenzverlängerung im Kalender, sonst fällt der Schutz weg |
| Kauf mit Wartungsvertrag | Sie die Geräte besitzen, die Pflege aber abgeben möchten | Leistungen und Reaktionszeiten schriftlich festhalten, etwa in einem SLA |
| Managed Firewall | Sie feste monatliche Kosten und einen Ansprechpartner möchten | Laufzeit, Eigentum an der Hardware, Herausgabe der Konfiguration bei Vertragsende |
Managed-Firewall-Angebote für kleine Umgebungen liegen am Markt meist bei etwa 100 bis 400 Euro pro Monat, mit Gerät, Lizenzen und Pflege. Mit Hochverfügbarkeit, mehreren Standorten oder Überwachung rund um die Uhr steigt der Betrag deutlich (Richtwerte am Markt, netto, Stand November 2026, kein Angebot). Vergleichen Sie, was enthalten ist: wie viele Änderungen am Regelwerk, wie schnell Updates eingespielt werden und ob jemand die Warnungen tatsächlich auswertet.
Worauf Sie beim Vergleich von Angeboten achten
- Es zählt der Durchsatz mit aktivem IPS, Virenschutz und Prüfung verschlüsselter Verbindungen, nicht der höchste Firewall-Wert im Datenblatt. Ein zu kleines Gerät bremst die Glasfaser.
- Nur Angebote mit gleichem Lizenzpaket sind vergleichbar. Reiner Support ist etwas anderes als das volle Schutzpaket.
- Lassen Sie sich die Verlängerung für das zweite bis fünfte Jahr nennen, nicht nur den Einstiegspreis.
- Beim Fernzugriff zählt, wie viele VPN-Nutzer enthalten sind, ob MFA vorgesehen ist und ob ZTNA infrage kommt. Mehr dazu im Artikel ZTNA oder VPN.
- Ein Angebot ohne Regelwerk, Tests und Dokumentation ist eine Lieferung, keine Firewall-Einführung.
- Mit nur einem Gerät steht bei einem Defekt das Internet still. Klären Sie, wie schnell Ersatz kommt.
- Prüfen Sie, bis wann der Hersteller das Modell mit Updates versorgt. Ein günstiges Auslaufmodell wird schnell teuer.
Wie Unite2Link Sie unterstützt
Wir dimensionieren die Firewall nach Bandbreite, Nutzerzahl, Standorten und den Schutzfunktionen, die Sie tatsächlich brauchen, und rechnen Ihnen Gerät, Lizenzen und Betrieb über drei und fünf Jahre offen vor, gern auch für ein Angebot, das Ihnen bereits vorliegt. Unser Team ist für WatchGuard zertifiziert und setzt Fortinet und Check Point ebenso ein. Die Stärken der drei Hersteller vergleicht der Artikel Firewall-Vergleich. Für Arbeitszeit gilt: Techniker ab 80 Euro, Ingenieur ab 120 Euro pro Stunde, netto. Wir arbeiten bei Ihnen vor Ort und online.
Wenn mehrere Standorte verbunden werden sollen, lesen Sie auch SD-WAN oder MPLS. Wenn NIS2 für Sie gilt, ordnet der Artikel NIS2-Risikomanagement die Firewall in die Pflichtmaßnahmen ein. Alle Leistungen finden Sie unter Cybersicherheit.