Sovereign Edge Firewall

Sovereign Edge Firewall ist eine maßgeschneiderte Netzwerk- Sicherheits-Architektur mit Dual-Provider-Hochverfügbarkeit, segmentierten Sicherheitszonen und vollständiger Auditierbarkeit. Open-Source-basiert, lizenzkostenfrei, ohne Vendor-Lock-in — produktiv im Einsatz.

  flowchart LR
    A[Internet] --> B[Provider A]
    A --> C[Provider B]
    B --> D{"HA-State-Manager"}
    C --> D
    D --> E[Aktive Firewall]
    E --> F[Transparenter Proxy<br/>SSL-Offloading]
    F --> G[Internes Netzwerk]

Worum es geht

Klassische Vendor-Firewalls (Fortinet, Cisco, Palo Alto, SonicWall & Co.) bedeuten wiederkehrende Lizenzgebühren, Telemetrie-Datenflüsse in die Hersteller-Cloud und ein Konfigurationsmodell, das niemand außer dem Hersteller komplett versteht. Wenn eine Spezial-Anforderung nicht im Produkt-Backlog des Herstellers vorgesehen ist, gibt es sie schlicht nicht — oder nur über teure Custom-Engineering-Verträge.

Die Sovereign Edge Firewall ersetzt diesen Stack durch eine auditierbare Open-Source-Lösung, die genau das tut, was nötig ist — und nichts darüber hinaus. Jede Regel sichtbar, jede Designentscheidung nachvollziehbar, jede Datenbewegung dokumentiert.

Dual-Provider-Hochverfügbarkeit

Zwei unabhängige Internet-Uplinks (z. B. Glasfaser + LTE/5G oder zwei unterschiedliche Carrier) werden parallel angebunden. Ein Überwachungsdienst beobachtet kontinuierlich die Verfügbarkeit jedes Uplinks und schaltet bei Ausfall des primären Anschlusses binnen Sekunden auf den zweiten um.

• 🔁 Automatisches Failover — Link-State, Gateway-Erreichbarkeit und Latenz werden permanent überwacht. Ausfall → Umschaltung in unter 5 Sekunden.
• 🛣️ Symmetrische Behandlung — Beide Provider arbeiten unter denselben Regeln. Kein “guter” und “schlechter” Pfad.
• 🎯 Selektives Routing — Bestimmte Dienste oder Kundengruppen können gezielt auf den zweiten Provider gelenkt werden (z. B. zur Lastverteilung oder anonymisierten Egress).
• 🚨 Automatisches Failback — Sobald der primäre Uplink wieder gesund ist, fließt der Verkehr automatisch zurück.
• 💼 Geschäftskontinuität — Eine Carrier-Störung bedeutet keine Geschäftsunterbrechung. Kundenkontakt, Bestellungen, interne Tools bleiben erreichbar.

Zonen-Segmentierung

Statt einer flachen “Innen/Außen”-Topologie operiert die Firewall auf einem mehrstufigen Zonen-Modell. Jede Zone hat ihr eigenes Sicherheits- und Egress-Profil; Lateral-Bewegungen zwischen Zonen sind per Default geblockt.

• 🟢 Client-Zone — Mitarbeiter-Workstations mit Content-Inspection und Caching.
• 🟡 VPN-Zone — Fernzugriffs- und Site-to-Site-Tunnel mit eigenem Egress-Profil.
• 🟣 Anonymisierungs-Zone — Geschützter Pfad für sensible Tätigkeiten (Recherche, Whistleblower-Kanäle).
• 🔷 Privacy-Zone — Zusätzliche Anonymisierungsebene für sehr sensible Workloads.
• 🔴 DMZ — Extern erreichbare Services hinter gehärtetem Reverse-Proxy.

Die Zonen-Trennung ist ein zentrales Sicherheits-Asset gegenüber Vendor-Firewalls, die typischerweise nur ein einfaches LAN/DMZ-Modell unterstützen.

Transparente Sicherheits-Lagen

Die Firewall integriert mehrere Sicherheits- und Privacy-Mechanismen direkt auf Netzwerk-Ebene — Endgeräte profitieren ohne lokale Konfiguration.

• 🛡️ SSL-Offloading als Virenschutz — Verschlüsselter Web-Verkehr (HTTPS) wird am Gateway terminiert, der Klartext-Inhalt durch einen Virenscanner geprüft und anschließend an das Endgerät weitergeleitet. Über 90 % aller Web-Bedrohungen verstecken sich heute hinter TLS — ohne diese Schicht ist klassischer Virenschutz auf dem Endgerät blind für verschlüsselte Malware-Downloads, Phishing-Payloads und Drive-by-Exploits.
• 🌐 HTTP-Inspection — Inhaltliche Prüfung und Caching auch für unverschlüsselten Web-Verkehr.
• 🚫 Content-Filter — Werbung, Tracker und bekannt schädliche Domains werden vor Auslieferung herausgefiltert.
• 🧅 Anonymisierungs-Schicht — Komplette Zonen können transparent über das Tor-Netzwerk geroutet werden — auch DNS-Anfragen.
• 🔷 Privacy-Schicht — Zweite Anonymisierungs-Schicht für maximalen Schutz sensibler Workloads.
• 🌍 Selektiver Geo-Routing-Egress — Verkehrsklassen können gezielt über bestimmte geografische Punkte geroutet werden.

CEO-Sicht zu SSL-Offloading: Endgeräte-Virenscanner (Defender, Bitdefender, …) sehen ohne Gateway-SSL-Termination nur den verschlüsselten Stream — sie können infizierte Dateien erst nach dem Entpacken auf dem Endgerät erkennen, also wenn es schon zu spät ist. Mit SSL-Offloading am Edge wird Malware blockiert, bevor sie das Endgerät überhaupt erreicht.

Operative Sicherheits-Mechanismen

• 🛑 Default-Deny — Alles wird blockiert, was nicht explizit erlaubt ist. Spoofing-Schutz, Reverse-Path-Validation, Anti-Scan-Heuristiken.
• 🚪 Automatische Brute-Force-Abwehr — Wiederholt auffällige Quell-IPs werden automatisch in eine persistente Blocklist überführt und sofort getrennt.
• ⚡ Rate-Limiting — Pro Quell-IP harte Limits für parallele Verbindungen und Connect-Rate. Überschreitung → automatische Sperrung.
• 🚫 Mehrstufige Blocklists — Eigene Blocklists, Spammer-Listen und dynamisch befüllte Angreifer-Tabellen werden persistent gehalten und beim Reload automatisch geladen.
• 🧊 Verkehrs-Normalisierung — TCP-Reassembly, MSS-Clamping und Fingerprinting-Schutz — besonders relevant für Mobilfunk-Uplinks (5G) und VPN-Tunnel.
• 🌐 Vollständiges IPv4 + IPv6 — Dual-Stack out-of-the-box, inkl. moderner ICMPv6-Mechanik.
• 📈 Hohe Connection-State-Kapazität — Hunderttausende paralleler Sessions, auch unter Last keine Limit-Engpässe.

Warum das ein CEO-Thema ist

• 💰 Lizenzkosten = 0 € — Keine Subscription, keine Wartungsverträge mit jährlichen Preiserhöhungen, keine Lizenz-Audits. Einmalige Hardware-Investition, danach laufende Kosten nahe null.
• 🛡️ Souveränität — Vollständige Kontrolle über Regelwerk und Datenflüsse. Keine Hersteller-Cloud, kein Phone-Home, keine versteckten Telemetrie-Kanäle. Wichtig für Compliance, Wettbewerbsschutz und politische Resilienz.
• 📊 Auditierbarkeit — Das komplette Regelwerk passt in eine einzige Datei mit ~380 kommentierten Zeilen. Im Vergleich: Vendor-Firewalls sind Multi-Tausend-Zeilen-XML mit undokumentierten Default-Logiken, deren Verhalten nur der Hersteller wirklich kennt.
• 🔧 Anpassbarkeit — Spezialanforderungen (eigene Zonen-Modelle, Anonymisierungs-Schichten, Per-Service-Egress) sind in der Vendor-Welt entweder gar nicht abbildbar oder nur über teure Custom-Engineering-Verträge — hier sind sie selbstverständlich.
• ♻️ Langlebigkeit — Keine End-of-Sale-Daten, kein erzwungener Hardware-Tausch nach 5 Jahren, keine Major-Upgrades, die den Betrieb gefährden. Das System läuft so lange, wie die Hardware lebt.
• 🧪 Disaster Recovery in Minuten — Komplette Konfiguration in Version Control. Bei Hardware-Ausfall: neue Box bestücken, Konfiguration einspielen, fertig — unter 30 Minuten.

Technologisches Fundament

Realisiert auf Open-Source-Basis (BSD oder Linux möglich) — alle Komponenten Teil etablierter, langjährig gepflegter Projekte. Konkrete Toolauswahl bewusst nicht im CEO-Sales-Material — die Architektur ist plattform-portabel.

Sovereign Edge Firewall — Custom-Firewall · Dual-Provider-HA · 5+ Sicherheitszonen · Lizenzkostenfrei · Produktiv im Einsatz