Firewall-Status

Der Check Firewall-Status prüft, ob die eingebaute Firewall des Betriebssystems aktiviert ist, und löst einen Alarm aus, wenn sie deaktiviert ist. Er läuft unter Windows (Windows-Firewall), Linux (ufw, firewalld oder iptables) und macOS (Application Layer Firewall) in einem festen 60-Minuten-Intervall.

Voraussetzungen

• Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
• Das Zielgerät muss einen verbundenen Agent haben.

Schritte

1. Gehe zu Geräte und öffne das Gerät.
2. Klicke auf den Tab Checks → Check hinzufügen → Firewall-Status.
3. Konfiguriere den Schweregrad mit Warnung bei deaktiviert und Kritisch bei deaktiviert.
4. Klicke auf Check hinzufügen.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Tab Checks des Geräts. Öffne den Check, um jedes Profil und seinen Status zu sehen.

Einstellungen

• Setze auf Windows-Servern Kritisch bei deaktiviert auf Ja. Ein Server mit deaktivierter Firewall ist ein ernstes Sicherheitsrisiko.
• Auf Arbeitsplätzen reicht in der Regel eine Warnung — der Benutzer hat die Firewall möglicherweise vorübergehend zur Fehlersuche deaktiviert.
• Drittanbieter-Firewalls, die die Betriebssystem-Firewall abschalten, werden als deaktivierte Firewall gemeldet. Schalte auf diesen Geräten Kritisch bei deaktiviert aus, damit das Ergebnis auf Warnstufe bleibt, schalte zusätzlich Warnung bei deaktiviert aus, damit das Ergebnis auf OK bleibt, oder nutze Auf diesem Gerät deaktivieren auf dem Tab Checks des Geräts.

Ergebnisse

Das Gesamtergebnis ist der schlechteste Schweregrad über alle Profile und — unter Windows — den Firewall-Dienst. Ein Fehlschlag nennt seinen Grund in der Detailansicht des Checks: eine nicht lesbare Registrierung, ein Zeitlimit, eine leere Abfrage oder ein unerwarteter Fehler. So kannst du ein Leseproblem von einer deaktivierten Firewall unterscheiden.

Der Check erfasst:

• Firewall aktiviert / deaktiviert
• Pro-Profil-Status unter Windows (Domain, Private, Public — die Profilnamen werden unübersetzt angezeigt)
• Ob der Windows-Firewall-Dienst (mpssvc) läuft
• Ein benannter Profileintrag unter Linux (ufw, firewalld oder iptables) und unter macOS (macOS-Firewall oder, bei aktiviertem Tarnmodus, macOS-Firewall (Tarnmodus))
• Schweregrad des Ergebnisses pro Profil

Plattformunterschiede

• Windows: Der Check prüft alle drei Firewall-Profile (Domain, Private, Public) und liest deren Status aus der Registrierung statt vom Firewall-Dienst. So liefert er auch dann eine Antwort, wenn der Firewall-Dienst oder WMI auf dem Gerät nicht sauber läuft. Pro Profil hat eine Gruppenrichtlinie Vorrang vor einer MDM-Richtlinie (etwa Intune), diese wiederum vor der lokalen Einstellung. Ein Profil ganz ohne Wert gilt als aktiviert — das ist die Windows-Voreinstellung. Außerdem liest der Check den Status des Windows-Firewall-Dienstes (mpssvc). Ein gestoppter Dienst bedeutet, dass die Regeln nicht durchgesetzt werden, selbst wenn alle Profile als aktiviert gemeldet werden — er hebt das Ergebnis daher genauso an wie ein deaktiviertes Profil. Einen Dienststatus, den der Check nicht lesen kann, wertet er als laufend; er hebt dann nichts an.
• Linux: Der Check prüft ufw, firewalld und iptables in dieser Reihenfolge und meldet das erste vorhandene zurück. Ein einfaches iptables-Setup, das sämtlichen Datenverkehr zulässt, wird als deaktiviert gemeldet; es gilt nur dann als aktiviert, wenn es Datenverkehr aktiv verwirft oder ablehnt (restriktive DROP/REJECT-Richtlinien oder -Regeln).
• macOS: Der Check meldet, ob die Application Layer Firewall (ALF, abgefragt über defaults read /Library/Preferences/com.apple.alf globalstate) aktiviert ist, einschließlich Tarnmodus. Das gemeldete Profil ist macOS-Firewall oder macOS-Firewall (Tarnmodus). Der Check prüft pf (Packet Filter) nicht.

FAQ

Was vergleiche ich, wenn Windows und der Check unterschiedliche Firewall-Zustände anzeigen?

Vergleiche bei einer Abweichung zwischen Windows und dem Check zuerst den Zeitpunkt des letzten Check-Ergebnisses und das betroffene Profil. Der Check prüft alle drei Profile, nicht nur das aktuell verwendete Netzwerkprofil.

Für lokale und per Gruppenrichtlinie gesetzte Werte liest er EnableFirewall in diesen Unterordnern:

Profil im Ergebnis	Unterordner
Domain	DomainProfile
Private	StandardProfile
Public	PublicProfile

Die Basispfade sind HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall für Gruppenrichtlinien und HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy für lokale Einstellungen. 0 bedeutet deaktiviert, 1 aktiviert. Berücksichtige dabei die oben beschriebene Rangfolge mit MDM und den separaten Dienststatus. Ein fehlender Wert bedeutet nicht automatisch „deaktiviert“.

Lies die Werte zur Diagnose aus; ändere sie nicht auf Verdacht in der Registrierung. Korrigiere eine verwaltete Einstellung in der zuständigen Gruppenrichtlinie oder MDM-Konfiguration und vergleiche anschließend ein neues Check-Ergebnis.