Wer redet da mit dem Internet? Die Lücke zwischen Firewall und Virenscanner

Veröffentlicht am 16. September 2026 · Lesezeit rund 6 Minuten · von Silz-Networks, IT-Systemhaus in Eppertshausen

Was Firewall und Virenscanner leisten — und was nicht

In den meisten Betrieben steht die Grundausstattung: eine Firewall am Übergang ins Internet, ein Virenschutz auf den Arbeitsplätzen, dazu ein Spam-Filter vor dem Postfach. Das ist richtig und deckt den größten Teil ab.

Eine Lücke bleibt trotzdem, und sie ist größer, als viele vermuten: die Kommunikation einzelner Anwendungen und Browser mit dem Internet. Die Firewall sieht im Wesentlichen, dass eine Verbindung aufgebaut wird — nicht unbedingt, welches Programm sie aufbaut und wohin genau. Der Virenscanner prüft Dateien — aber eine Verbindung zu einem frisch registrierten Server ist keine Datei.

Genau in dieser Lücke passiert der moderne Angriff: Ein Makro, ein manipulierter Browser-Zusatz oder ein scheinbar harmloses Hilfsprogramm baut eine Verbindung nach außen auf und lädt von dort nach, was es eigentlich vorhat.

Wie Application Control arbeitet

Systeme wie XProtect 365 setzen eine Ebene tiefer an als die Firewall: Sie sitzen auf dem Arbeitsplatz selbst und prüfen jede Internetverbindung und jede aufgerufene Adresse in Echtzeit. Dabei sehen sie zusätzlich, welches Programm die Verbindung überhaupt aufbaut — diese Information fehlt einer klassischen Firewall.

Dazu kommt eine Verwaltungsoberfläche, über die Sie selbst festlegen, welche Webseiten und Dienste im Betrieb erlaubt oder gesperrt sind. Kein Ticket, kein Anruf bei uns — Sie ändern das selbst.

Der Lernmodus: der Grund, warum es im Alltag funktioniert

Der Haken an jeder strengen Filterlösung ist bekannt: Sie blockiert im Zweifel etwas Wichtiges, und dann steht die Arbeit. Deshalb startet das System in einem Lernmodus.

Etwa eine Woche lang wird nichts blockiert. Stattdessen beobachtet das System, was im Betrieb normal ist: Outlook, Teams, Microsoft 365, Ihre Branchensoftware, die Webseiten, die Ihre Leute täglich brauchen. Das wird als vertrauenswürdig eingestuft.

Danach wechselt das System in den Schutzmodus. Ab diesem Zeitpunkt sind nur noch bekannte und freigegebene Verbindungen erlaubt. Alles Unbekannte wird blockiert — und genau das ist der Punkt: Ein Schadprogramm, das eine Verbindung zu einem Server aufbaut, der in Ihrem Betrieb noch nie gebraucht wurde, kommt nicht durch.

Was Sie danach sehen

• Welche Anwendungen kommunizieren. Erfahrungsgemäß die größte Überraschung — es sind fast immer mehr, als erwartet.
• Welche Geräte auffällig sind. Auch Drucker, Kameras und Steuerungen bauen Verbindungen auf.
• Was blockiert wurde. Nachvollziehbar, mit Zeitpunkt und Programm — statt eines Rätsels, warum etwas nicht geht.
• Zentrale Freigabe. Sperren und Ausnahmen lassen sich jederzeit selbst anpassen.

Ehrlich: was das nicht leistet

Application Control ist kein Ersatz für Firewall oder Virenschutz, sondern eine zusätzliche Ebene. Es ersetzt auch keine Datensicherung — wenn doch etwas durchkommt, entscheidet weiterhin das Backup darüber, wie teuer der Tag wird.

Und es erzeugt Aufwand: In den ersten Wochen nach dem Schutzmodus kommen Rückfragen, weil eine selten genutzte Anwendung erstmals blockiert wird. Das legt sich nach etwa drei bis vier Wochen. Wer diese Phase nicht einplant, ist frustriert — wer sie einplant, hat danach deutlich mehr Übersicht als vorher.

Wie wir vorgehen würden

Wir zeigen das System zuerst in einer unverbindlichen Live-Demonstration an einem echten Fall, nicht an einer Folie. Danach starten wir mit einer kleinen Gruppe im Lernmodus — meist Verwaltung und Geschäftsführung, weil dort die Abläufe am vielfältigsten sind. Erst wenn das sauber läuft, kommt der Rest dazu.