Was alle drei Hersteller können
Fortinet, WatchGuard und Check Point bieten Next-Generation Firewalls mit Erkennung von Anwendungen, Angriffserkennung (IPS), Schutz vor Schadsoftware, Webfilter, Prüfung verschlüsselter Verbindungen sowie VPN für Standorte und mobile Mitarbeitende. Alle drei unterstützen Hochverfügbarkeit im Cluster, die zentrale Verwaltung mehrerer Geräte und die Anbindung an ein Benutzerverzeichnis. Die Unterschiede liegen in Leistung pro Euro, Bedienung, Ökosystem und Lizenzmodell.
Weitere verbreitete Hersteller sind etwa Sophos und Palo Alto Networks. Dieser Vergleich beschränkt sich auf die drei, mit denen unser Team arbeitet: Für WatchGuard ist es zertifiziert, Fortinet und Check Point setzen wir ebenso ein.
Fortinet, WatchGuard und Check Point im Überblick
| Kriterium | Fortinet | WatchGuard | Check Point |
|---|---|---|---|
| Produktlinien | FortiGate mit FortiOS | Firebox T-Serie (Desktop) und M-Serie (Rack) mit Fireware | Quantum Spark für kleine Standorte, Quantum Force für größere Umgebungen |
| Leistung pro Euro | Sehr hoch, eigene Sicherheitsprozessoren | Gut | Mittel, Schwerpunkt auf Schutzwirkung und Verwaltung |
| Verwaltung | FortiManager und FortiAnalyzer oder FortiGate Cloud | WatchGuard Cloud, sehr einfach | Management-Server mit SmartConsole oder als Cloud-Dienst, sehr umfangreich |
| SD-WAN | Im Betriebssystem enthalten, ausgereift | SD-WAN-Regeln mit Messung von Verlust, Latenz und Jitter | Quantum SD-WAN verfügbar |
| Ergänzende Produkte | Switches, Access Points, NAC, Endpoint, ZTNA | MFA mit AuthPoint, Endpoint-Schutz, Auswertung über mehrere Produkte | E-Mail-, Endpoint- und Cloud-Sicherheit |
| Einarbeitung | Mittel | Niedrig | Höher |
| Typischer Einsatz | Filialnetze, viele Standorte, hohe Bandbreiten | Ein bis wenige Standorte, kleines IT-Team | Hohe Sicherheitsanforderungen, große Regelwerke, viele Prüfungen |
| Bei uns | Setzen wir ebenso ein | Team zertifiziert | Setzen wir ebenso ein |
Fortinet: Leistung und SD-WAN
FortiGates arbeiten mit eigenen Sicherheitsprozessoren, die Verschlüsselung und Paketverarbeitung beschleunigen. Dadurch erreichen sie auch mit aktiven Schutzfunktionen hohe Durchsätze, oft mit einem kleineren Modell als bei anderen Herstellern. Das SD-WAN ist Teil des Betriebssystems FortiOS und gehört zu den ausgereiftesten am Markt. Deshalb passt Fortinet besonders zu Filialnetzen mit vielen Standorten. Über die Security Fabric lassen sich Switches, Access Points, Endpoint-Schutz und Zugriffskontrolle des Herstellers aus einer Oberfläche steuern.
Die Kehrseite ist der große Funktionsumfang. Viele Optionen bedeuten viele Stellschrauben, und eine FortiGate mit Standardeinstellungen schützt deutlich weniger, als sie könnte. Wer Fortinet einsetzt, sollte Zeit für ein sauberes Regelwerk, abgestimmte Profile für die Schutzfunktionen und eine feste Update-Routine einplanen.
WatchGuard: einfache Verwaltung, solide Funktionen
Die Stärke von WatchGuard ist die klare Bedienung. Über WatchGuard Cloud verwalten auch kleine IT-Teams mehrere Fireboxen, Berichte und Warnungen ohne eigenen Management-Server. Mit AuthPoint gibt es eine eigene Lösung für die Mehrfaktor-Anmeldung, die sich direkt mit VPN und Firewall verbinden lässt, dazu Endpoint-Schutz und eine Auswertung von Bedrohungen über mehrere Produkte hinweg. Die Schutzfunktionen stecken in zwei Paketen, der Basic Security Suite und der Total Security Suite. Das macht Angebote gut vergleichbar.
Für Unternehmen mit einem oder wenigen Standorten und ohne eigenes Sicherheitsteam ist WatchGuard oft die pragmatischste Wahl. Bei sehr hohen Bandbreiten mit allen Schutzfunktionen oder bei großen Filialnetzen lohnt der Leistungsvergleich mit Fortinet. Fragen Sie die Verlängerung der Total Security Suite früh an, weil sie bei größeren Modellen einen erheblichen Teil der Gesamtkosten ausmacht.
Check Point: Kontrolle für große Regelwerke
Check Point baut seit den 1990er-Jahren Firewalls. Die Verwaltung ist auf große, gewachsene Regelwerke ausgelegt, mit sauberer Trennung von Rollen, ausführlicher Protokollierung, Revisionsständen und Werkzeugen, die Prüfungen erleichtern. Verwaltet wird über einen eigenen Management-Server mit der Oberfläche SmartConsole oder als Cloud-Dienst. Für kleine Standorte gibt es die Quantum-Spark-Geräte mit vereinfachter Verwaltung.
Für Unternehmen mit hohen Anforderungen, etwa aus Finanzwesen und Energie oder mit regelmäßigen Audits, ist diese Struktur ein Vorteil. Die Einarbeitung ist aufwendiger als bei den anderen beiden, und die zentrale Verwaltung wird separat lizenziert oder als Dienst bezogen. Für ein einzelnes Büro mit 30 Arbeitsplätzen ist das meist mehr, als nötig ist.
Lizenzmodelle im Vergleich
Bei allen drei Herstellern besteht der Preis aus Hardware und Abonnements. Die Abonnements enthalten Updates, Herstellersupport und die laufend aktualisierten Schutzfunktionen. Angeboten werden sie als Pakete mit einem bis fünf Jahren Laufzeit.
- Fortinet bündelt die Schutzfunktionen in FortiGuard-Paketen, etwa Unified Threat Protection (UTP) oder Enterprise Protection. Zentrale Verwaltung und Protokollauswertung kommen je nach Größe als eigene Produkte oder Cloud-Dienste dazu. Im Cluster braucht meist jedes Gerät eigene Lizenzen, für einige kleinere Modelle gibt es inzwischen HA-Lizenzen.
- WatchGuard bietet Standard Support, Basic Security Suite und Total Security Suite. Für das zweite Gerät im Cluster gibt es günstigere HA-Geräte.
- Check Point lizenziert Pakete je Gateway, etwa NGTP oder SandBlast (SNBT). Die zentrale Verwaltung wird separat lizenziert oder als Cloud-Dienst bezogen. Die jährliche Verlängerung liegt nahe am Einstiegspreis: Für eine Quantum Force 3920 kostete ein weiteres Jahr SandBlast im November 2026 rund 5.700 Euro, Gerät mit erstem Jahr rund 6.200 Euro (Händlerpreise, Richtwerte am Markt, netto, kein Angebot).
Beim Vergleich von Angeboten müssen Laufzeit und Paketinhalt gleich sein. Ein günstiges Gerät mit Basispaket ist nicht mit einem teureren Gerät mit vollem Schutz vergleichbar. Richtwerte für Hardware, Lizenzen und Betrieb über fünf Jahre finden Sie im Artikel Was kostet eine Firewall.
Worauf es mehr ankommt als auf die Marke
- Dimensionierung: Vergleichen Sie den Durchsatz mit allen aktiven Schutzfunktionen und Prüfung verschlüsselter Verbindungen, nicht den Höchstwert im Datenblatt.
- Alle drei Hersteller mussten in den vergangenen Jahren kritische, aktiv ausgenutzte Schwachstellen in VPN-Komponenten schließen: Fortinet 2024 im SSL-VPN, Check Point 2024 im Remote-Access-VPN, WatchGuard 2025 im IKEv2-VPN. Sicher ist, wer Updates innerhalb von Tagen einspielt, nicht innerhalb von Monaten.
- Ohne gültiges Schutzpaket ist eine Next-Generation Firewall kaum mehr als ein Router.
- Eine teure Firewall mit zu offenen Regeln schützt weniger als eine günstige mit sauberem, dokumentiertem Regelwerk.
- Jedes VPN braucht Mehrfaktor-Anmeldung, ohne Ausnahme. Ob ein klassisches VPN noch passt, klärt der Artikel ZTNA oder VPN.
- Die beste Plattform ist die, die Ihr Team oder Ihr Dienstleister sicher beherrscht und regelmäßig pflegt.
Welche Firewall passt zu Ihnen, und wie wir helfen
Für Filialnetze und Unternehmen mit vielen Standorten empfehlen wir meist Fortinet, vor allem wegen des integrierten SD-WAN. Wann sich das gegenüber MPLS lohnt, zeigt der Artikel SD-WAN oder MPLS. Für Unternehmen mit einem oder wenigen Standorten und kleinem IT-Team ist es oft WatchGuard. Für hohe Sicherheitsanforderungen, große Regelwerke und regelmäßige Prüfungen ist es Check Point. Wenn bereits eine Lösung im Einsatz ist und gut gepflegt wird, ist ein Herstellerwechsel selten nötig.
So treffen Sie die Auswahl in fünf Schritten:
- Anforderungen festhalten: Bandbreite je Standort heute und in drei Jahren, Zahl der Nutzer im Fernzugriff, Standorte, Prüfanforderungen von Kunden, Versicherung oder Aufsicht.
- Schutzfunktionen festlegen, die tatsächlich laufen sollen, insbesondere die Prüfung verschlüsselter Verbindungen. Sie kostet die meiste Leistung.
- Modelle der drei Hersteller anhand der Datenblattwerte mit allen Schutzfunktionen vergleichen, nicht anhand des reinen Firewall-Durchsatzes.
- Angebote mit gleichem Lizenzpaket und gleicher Laufzeit einholen und über fünf Jahre rechnen, inklusive Verlängerung und Betrieb.
- Verwaltung im Alltag prüfen: Wer pflegt das Regelwerk, wie werden Updates eingespielt, wer reagiert auf Warnungen?
Für Unternehmen, die unter NIS2 fallen, zählt am Ende weniger die Marke als der Nachweis: dokumentiertes Regelwerk, Mehrfaktor-Anmeldung im Fernzugriff, Updates nach Plan und regelmäßige Prüfungen. Wie das in die Pflichtmaßnahmen passt, erklärt der Artikel NIS2-Risikomanagement nach § 30 BSIG.
Wir vergleichen die Hersteller anhand Ihrer Bandbreiten, Standorte, Nutzerzahlen und Prüfanforderungen, dimensionieren das passende Modell und übernehmen Einrichtung, Übernahme des Regelwerks und Betrieb, bei Ihnen vor Ort und online. Für Arbeitszeit gilt: Techniker ab 80 Euro, Ingenieur ab 120 Euro pro Stunde, netto. Mehr auf der Seite Cybersicherheit.