In Projekten mit hohen Compliance-Anforderungen taucht regelmäßig die Frage auf, ob Azure Firewall Standard genügt oder ob es doch Azure Firewall Premium sein muss. In vielen Tenants ist Standard tatsächlich die Grundausstattung, weil Basic für produktive Umgebungen zu stark eingeschränkt ist. Sobald aber Intrusion Detection und TLS-Inspektion gefragt sind oder die Webfilterung feiner gesteuert werden soll, lohnt es sich, die Premium-Variante genauer anzusehen.

Das IDPS in Premium kann Angriffe auch aktiv blockieren

Das bekannteste Merkmal von Azure Firewall Premium ist das Intrusion Detection and Prevention System (IDPS), das Angriffe anhand von Signaturen erkennt. Hier unterscheiden sich die beiden Varianten deutlich. Standard hat überhaupt keinen IDPS-Modus. Premium lässt sich dagegen in den Modi „Alert only“ und „Alert and deny“ betreiben, erkennt Angriffe also und blockiert sie auf Wunsch sofort. Wer sich nicht allein auf Monitoring verlassen will, sondern eine aktive Abwehr verlangt, merkt diesen Unterschied schnell. In den vergangenen Monaten war die „Deny“-Option bei Zertifizierungen und Audits mehrfach ein klarer Pluspunkt. Die IDPS-Signaturen werden außerdem automatisch aktualisiert und decken ein breites Spektrum ab (Details).

Das folgende Mermaid-Diagramm zeigt die Entscheidungslogik zwischen Standard und Premium einschließlich der IDPS-Optionen:

flowchart TD
    Start["Firewall-Anforderung"] --> Standard["Azure Firewall Standard"]
    Start --> Premium["Azure Firewall Premium"]
    Standard -->|"Kein IDPS"| Monitoring["Nur Protokollierung"]
    Premium -->|"Alert only"| Alarm["Angriff erkannt"]
    Premium -->|"Alert and deny"| Block["Angriff blockiert"]

Abbildung: IDPS-Funktionsvergleich zwischen Standard und Premium.

Wie wichtig die passende Schutzebene ist, merkt man vor allem im Betrieb großer Hub-Spoke- oder Virtual-WAN-Architekturen. Wer sensible Workloads oder exponierte APIs betreibt, wird auf die Deny-Funktion von Premium kaum verzichten können, auch wenn sie zusätzlichen Aufwand und höhere Kosten bedeutet.

TLS-Inspektion ist in regulierten Branchen oft Pflicht

TLS-Inspektion wird häufig unterschätzt, obwohl sie in Branchen mit strengen Regularien vorgeschrieben ist. Azure Firewall Premium kann ein- und ausgehenden HTTPS-Verkehr transparent entschlüsseln und prüfen. Grundlage dafür ist ein Intermediate-CA-Zertifikat, das sich direkt aus Azure Key Vault beziehen lässt (zur Anleitung). Das passende Zertifikat muss also im Key Vault liegen, und die Managed Identity der Firewall braucht die Berechtigung, darauf zuzugreifen. Bei der Einrichtung gibt es ein paar Stolpersteine, im laufenden Betrieb arbeitet die Funktion aber stabil. In vielen Tenants, die ich betreue, ist „SSL break and inspect“ inzwischen einer der Hauptgründe für Premium, sobald sensible Datenströme kontrolliert werden müssen.

Praxis-Tipp: Bevor die TLS-Inspektion aktiviert wird, sollten die Zertifikatsverteilung und das Vertrauen in die Root-CA auf den Clients geklärt sein. Fehler an dieser Stelle ziehen sonst erheblichen Supportaufwand nach sich.

Premium filtert auch nach Webkategorien und einzelnen URLs

Premium bietet außerdem eine Filterung nach Webkategorien und einzelnen URLs. Mit Standard steuert man lediglich IP-Adressen und FQDNs, mit Premium lassen sich dagegen gezielt etwa Social Media, Streamingdienste oder bestimmte Filehoster sperren oder freigeben. Das ist vor allem dann wichtig, wenn in Abstimmung mit dem Betriebsrat bestimmte Inhalte grundsätzlich ausgeschlossen werden sollen. Wer Wert auf aussagekräftige Protokolle legt, profitiert zudem von den strukturierten Log-Analytics-Tabellen (mehr dazu) wie AZFWNetworkRule, AZFWApplicationRule und AZFWIdpsSignature. Damit werden die Auswertungen deutlich genauer.

Mit dieser KQL-Abfrage lassen sich blockierte Webkategorien auswerten (Log Analytics → Logs, Rolle: Log Analytics Reader, Diagnoseeinstellung aktiv):

AZFWApplicationRule
| where Action == "Deny" and isnotempty(WebCategory)
| summarize count() by WebCategory

Der Firewall Manager vererbt zentrale Einstellungen über Parent-Policies

Über Azure Firewall Manager verwaltet man mehrere Firewalls zentral und versieht sie mit Parent/Child-Policies. In Hub-Spoke- oder Virtual-WAN-Topologien, in denen mehrere Firewalls verteilt laufen, ist das ein ausgesprochen nützliches Werkzeug. Richtig zur Geltung kommt die Policy-Hierarchie allerdings erst mit Premium, weil sich dann etwa IDPS-Einstellungen zentral in Parent-Policies festlegen und an die Child-Firewalls vererben lassen. Im Alltag sorgt das für ein einheitliches Regelwerk und spart Zeit bei Audits, Updates und Regeländerungen.

Premium gehört gezielt dorthin, wo der Internetverkehr ankommt

Das hat natürlich seinen Preis. Je nach Region kostet Azure Firewall Premium schnell ein Mehrfaches von Standard, dazu kommen Gebühren pro verarbeitetem Gigabyte und unter Umständen Zusatzkosten für Log Analytics. Eine ehrliche Bestandsaufnahme gehört deshalb vor jede Entscheidung. In vielen Projekten setze ich Premium bewusst im Hub ein, wo der Nord-Süd-Verkehr aus dem Internet ankommt. Die Spokes kommen dagegen oft mit Standard aus, vor allem wenn dort nur Ost-West-Kommunikation läuft. In Virtual-WAN-Umgebungen rechnet sich Premium vor allem an den Internet-Edge-Punkten, flächendeckend dagegen nur selten.

Die Netzarchitektur wirkt sich außerdem auf die Wahl weiterer Netzwerkfunktionen in Azure aus. Wer Private Endpoints unter strikter Kontrolle betreibt, muss Firewall-Integration und DNS sauber aufsetzen. Welche Fehler dabei typischerweise passieren und wie man sie vermeidet, habe ich hier beschrieben: Azure Private Endpoints: DNS – typische Fehler in der Praxis. Seit der Abschaltung von „Default Outbound Access“ gehört auch dieses Thema zur Pflichtlektüre für jede Architektur: Default Outbound Access in Azure: End of an era, now what?.

Premium ist selten die Grundausstattung, aber oft unverzichtbar

Azure Firewall Premium passt nicht in jede Umgebung. Die Investition lohnt sich aber immer dann, wenn IDPS, echte TLS-Inspektion oder eine feine Webfilterung verlangt werden. Wer im VNet „nur“ Ost-West-Isolation braucht, kommt nach meiner Erfahrung mit Standard meist gut zurecht. Müssen dagegen Compliance-Vorgaben erfüllt, ein SOC-Monitoring betrieben oder der Internetzugang streng gefiltert werden, gehören die Mehrkosten für Premium in die Planung – allerdings nur für die Stellen, an denen es wirklich gebraucht wird. Eine sauber dokumentierte Policy-Hierarchie und die strukturierten Logs erleichtern späteres Troubleshooting und Audits erheblich. Wer sich für Premium entscheidet, sollte die Funktionen dann auch konsequent nutzen. Sonst bleibt es ein teures Häkchen in der Architekturübersicht.