WatchGuard Firewall in Berlin – Firebox, Lizenzen und VPN aus einer Hand

• WatchGuard und die Firebox
• Unser Angebot
• Lizenzstufen
• Modelle
• End of Life
• Updates
• Einrichtung und Betrieb
• Wo wir abraten
• Warum SSP
• Häufige Fragen

WatchGuard und die Firebox in zwei Absätzen

WatchGuard Technologies ist ein Hersteller für Netzwerksicherheit mit Sitz in Seattle, gegründet 1996. Nach eigenen Angaben arbeitet das Unternehmen mit mehr als 17.000 Fachhändlern und Dienstleistern und schützt über 250.000 Kunden. Neben Firewalls bietet WatchGuard auch Endpoint-Schutz, Mehrfaktor-Anmeldung und WLAN an – bei uns geht es um das Kernprodukt, die Firewall-Reihe Firebox.

Eine Firebox ist eine Next-Generation-Firewall: Sie vereint Firewall, VPN, Intrusion Prevention, Virenschutz, Web- und Anwendungsfilter und auf Wunsch eine Sandbox in einem Gerät. Das Betriebssystem heißt Fireware; verwaltet wird über die Weboberfläche, die Windows-Software WatchGuard System Manager oder zentral über WatchGuard Cloud. Was eine Firewall im Unternehmen grundsätzlich leisten muss – unabhängig vom Hersteller –, haben wir auf der Seite Firewall für Unternehmen zusammengefasst.

Was wir bei WatchGuard für Sie tun

Leistung	Worum es geht	Mehr dazu
Firebox-Firewalls, T- und M-Serie	Auswahl nach Anschluss und Bedarf, Lieferung, Einrichtung, Austausch alter Geräte	Firebox-Modelle
Basic Security Suite – Verlängerung	Sicherheitsdienste und Herstellersupport ohne Lücke verlängern und aktivieren	Lizenzverlängerung
IPSec VPN Client für Windows	Fernzugriff für Homeoffice und Außendienst, Lizenz pro Nutzer	VPN Client
APT Blocker	Sandbox-Analyse unbekannter Dateien als Ergänzung zur Basic Security Suite	APT Blocker

Dazu kommt, was eine Firewall erst wirksam macht: ein Regelwerk, das zu Ihrem Betrieb passt, getrennte Netze, abgesicherte Fernzugänge und Updates, die tatsächlich eingespielt werden.

Standard Support, Basic oder Total Security – die drei Stufen

Die Hardware ist bei WatchGuard nur die halbe Rechnung. Schutzdienste, Updates und Herstellersupport kommen als Abonnement dazu, in drei Stufen:

Leistung	Standard Support	Basic Security Suite	Total Security Suite
Firewall, VPN, SD-WAN	ja	ja	ja
Intrusion Prevention, Gateway AntiVirus	–	ja	ja
WebBlocker, Application Control, spamBlocker	–	ja	ja
Reputation Enabled Defense, Network Discovery	–	ja	ja
APT Blocker (Sandbox)	–	als Zusatzlizenz	ja
IntelligentAV, DNSWatch	–	–	ja
ThreatSync (XDR), EDR Core	–	–	ja
Herstellersupport rund um die Uhr	Standard	Standard	Gold

Wir bieten die Firebox grundsätzlich mit Security Suite und Support an, in der Regel mit der Basic Security Suite, bei Bedarf ergänzt um den APT Blocker. Eine Firewall soll scannen, prüfen und blockieren – ohne Suite tut sie das nicht. Standard Support allein ist nur für ein reines VPN-Gateway sinnvoll. Die Total Security Suite lohnt sich, wenn Sie ThreatSync und EDR Core tatsächlich nutzen oder Protokolle ein Jahr lang in WatchGuard Cloud vorhalten wollen – das rechnen wir im Einzelfall mit Ihnen durch. Was beim Ablauf einer Lizenz passiert und warum sich spätes Verlängern nicht lohnt, steht auf der Seite zur Lizenzverlängerung.

Welche Firebox passt

WatchGuard hat 2025 beide Modellreihen erneuert. Die aktuelle Generation bringt 2,5-Gigabit-Anschlüsse, bei größeren Modellen Glasfaser-Ports und bei den W-Modellen WLAN nach Wi-Fi 7.

Klasse	Modelle (Beispiele)	Typischer Einsatz
Tabletop, Einstieg	T115-W, T125	Kleinbüro, Praxis, kleine Außenstelle
Tabletop	T145, T185	Büro mit eigenen Servern, mehrere VPN-Standorte, Glasfaseranschluss
Rackmount	M295, M395	Zentrale mit Serverraum
Rackmount, groß	M495, M595, M695	Große Standorte, 10-Gigabit-Anbindung, viele VPN-Tunnel

Die Auswahl hängt weniger am Spitzenwert im Datenblatt als an drei Fragen: Wie schnell ist der Internetanschluss in zwei Jahren? Soll HTTPS-Verkehr geprüft werden? Und wie viele Standorte und mobile Nutzer verbinden sich per VPN?

Wann eine Firebox ersetzt werden muss

WatchGuard stellt Modelle zuerst aus dem Verkauf (End of Sale) und beendet bis zu fünf Jahre später den Support (End of Life). Danach gibt es für das Gerät weder Firmware-Updates noch Herstellerhilfe, und die Schutzdienste lassen sich nicht mehr verlängern. Einige Termine, die Kunden in Berlin gerade betreffen:

• T35, T35-W, T55, T55-W, T70 – seit dem 31. Dezember 2025 ohne Support
• T15, T15-W – Support endet am 1. März 2027
• T20, T40, T80 und M270 bis M670 – Support endet am 1. Juli 2028

Die vollständige Übersicht und den Ablauf eines Austauschs finden Sie im Abschnitt End of Life auf der Modellseite.

Warum Updates bei Firewalls keine Kür sind

2025 hat WatchGuard zwei kritische Schwachstellen im IKEv2-Dienst der Firebox gemeldet (CVE-2025-9242 im September, CVE-2025-14733 im Dezember, beide mit CVSS 9,3). Beide wurden aktiv ausgenutzt, und betroffen waren Fireboxen, auf denen ein VPN mit IKEv2 eingerichtet war – also genau die Geräte, die Homeoffice und Außenstellen verbinden. Behoben waren die Lücken erst mit einer neuen Fireware-Version.

Neue Fireware-Versionen erhält aber nur, wer einen gültigen Support hat. Nach Ablauf lassen sich nur noch Versionen installieren, die vor dem Ablaufdatum erschienen sind. Eine Firebox mit abgelaufener Lizenz oder am Ende ihres Lebenszyklus bleibt deshalb auf dem Stand, auf dem sie ist – mitsamt ihren Lücken.

Einrichtung und Betrieb durch SSP

• Bestandsaufnahme – Anschlüsse, Standorte, Netze, vorhandene Regeln und Fernzugänge
• Konzept – Netzsegmente, Regelwerk, VPN-Verfahren, Modell und Lizenzstufe
• Einrichtung – Konfiguration vorab, Umstellung in einem abgestimmten Zeitfenster, Rückfallmöglichkeit bis zur Abnahme
• Fernzugriff – Branch Office VPN zwischen Standorten, Mobile VPN für Homeoffice und Außendienst
• Betrieb – Firmware-Updates, Überwachung der Lizenzlaufzeiten, Konfigurationssicherung, regelmäßige Durchsicht des Regelwerks
• Dokumentation – nachvollziehbar, auch für Prüfungen und Versicherungsfragebögen

Ob die Firebox lokal oder über WatchGuard Cloud verwaltet wird, entscheiden wir mit Ihnen nach Größe und Standortzahl. Bestehende WatchGuard-Installationen übernehmen wir auch von anderen Dienstleistern – mit einer Durchsicht der Konfiguration am Anfang. Den laufenden Betrieb erbringen wir im Rahmen unserer Managed-IT-Leistungen.

Wo WatchGuard allein nicht die Antwort ist

Eine Firewall löst viele Probleme, aber nicht alle. Diese Fälle sprechen wir lieber vorher an:

• Wenn E-Mail in Microsoft 365 liegt. Dann fließt die Post nicht durch die Firebox, und spamBlocker oder APT Blocker sehen sie nie. Für E-Mail-Schutz setzen wir in diesem Fall auf Trend Micro.
• Wenn Notebooks oft außerhalb des Büros arbeiten. Was nicht durch die Firewall läuft, prüft sie nicht. Endgeräte brauchen einen eigenen Schutz, die Firewall ersetzt ihn nicht.
• Wenn in einer Außenstelle schon ein VPN-Router steht. Den binden wir an die Firebox in der Zentrale an, statt ihn ohne Not zu ersetzen – das gilt auch für Router anderer Hersteller wie LANCOM. Bei einer Neuanschaffung ist eine kleine Firebox der T-Serie meist die bessere Wahl, weil sie auch vor Ort prüft und filtert.
• Wenn niemand die Firewall pflegt. Ein ungepflegtes Gerät mit offenem VPN-Dienst ist ein Risiko, keine Sicherheit. Ohne Update-Prozess raten wir von jeder Firewall ab – auch von einer WatchGuard.
• Wenn ein Gerät bald aus dem Support fällt. Eine Verlängerung über das End-of-Life-Datum hinaus ist nicht möglich. Dann ist ein neues Gerät meist die wirtschaftlichere Lösung.

Warum SSP als WatchGuard-Partner in Berlin

Wir sind WatchGuard-Partner und betreuen Unternehmen in Berlin und Brandenburg seit 1990 – von Lankwitz aus, mit kurzen Wegen zu Ihnen. Die Firebox ist bei uns kein Einzelprodukt, sondern das Herzstück am Übergang ins Internet: Sie routet, verbindet Standorte und Homeoffice per VPN und prüft den Verkehr – ein Gerät statt Router plus Firewall. Drumherum kennen wir die ganze Umgebung: WLAN von LANCOM, Datensicherung mit Veeam, Server, Arbeitsplätze und bei Bedarf Rechenzentrumsleistungen gemeinsam mit der NMMN. Wenn es klemmt, haben Sie einen Ansprechpartner und nicht vier.

Weiterführend

• Firewall für Unternehmen – was eine Firewall heute leisten muss, herstellerunabhängig erklärt
• Firebox-Modelle – T- und M-Serie, Auswahl, End-of-Life-Termine
• Basic Security Suite verlängern – Inhalt, Ablauf, Laufzeiten
• IPSec VPN Client für Windows – Fernzugriff und Lizenzierung
• APT Blocker – Sandbox für unbekannte Schadsoftware

Häufige Fragen

Was kostet eine WatchGuard Firebox?

Das hängt vom Modell und von der Lizenzstufe ab. WatchGuard verkauft die Hardware üblicherweise zusammen mit einem Abonnement für die Sicherheitsdienste, etwa der Basic Security Suite, für ein, drei oder fünf Jahre. Die laufenden Kosten entstehen durch dieses Abonnement. Ein belastbares Angebot erstellen wir, sobald Anschluss, Nutzerzahl und VPN-Bedarf bekannt sind.

Was passiert, wenn die WatchGuard-Lizenz abläuft?

Firewall und VPN arbeiten weiter, die Schutzdienste wie Intrusion Prevention, Virenschutz und Webfilter aber nicht mehr, und neue Firmware-Versionen lassen sich nicht installieren. War WebBlocker aktiv und keine Ausnahme eingerichtet, blockiert die Firebox nach Ablauf sämtliche Webseiten. Eine Kulanzfrist gibt es für die Sicherheitsdienste nicht.

Was ist der Unterschied zwischen Basic und Total Security Suite?

Die Basic Security Suite enthält die Kernschutzfunktionen: Intrusion Prevention, Gateway AntiVirus, WebBlocker, Application Control, spamBlocker und Standard-Support. Die Total Security Suite ergänzt unter anderem die Sandbox APT Blocker, IntelligentAV, DNSWatch, ThreatSync und EDR Core sowie Gold-Support. APT Blocker lässt sich auch einzeln zur Basic Security Suite dazubuchen.

Wie lange wird meine Firebox noch unterstützt?

Das hängt vom Modell ab. Die Modelle T35, T55 und T70 sind seit Ende 2025 ohne Support, die T15 folgt am 1. März 2027, die T20, T40, T80 und die M-Modelle M270 bis M670 am 1. Juli 2028. Aktuelle Modelle wie die T125 oder M295 werden deutlich länger unterstützt. Die vollständige Übersicht steht auf unserer Seite zu den Firebox-Modellen.

Brauche ich für VPN-Zugänge einen kostenpflichtigen Client?

Technisch nicht zwingend, wir empfehlen ihn aber. Die Firebox unterstützt zwar auch IKEv2 mit dem im Betriebssystem eingebauten Client und SSL-VPN mit einem kostenlosen WatchGuard-Client. IPsec schützt jedoch umfassender als SSL/TLS, und ein eigener Client bietet Komfort und eine integrierte Firewall. Wir setzen bevorzugt den LANCOM Advanced VPN Client ein, der sich mit der Firebox und mit LANCOM-Routern verbindet. Die Begründung steht auf der Seite zum IPSec VPN Client.

Übernimmt SSP auch bestehende WatchGuard-Installationen?

Ja. Wir übernehmen Fireboxen, die ein anderer Dienstleister eingerichtet hat, und beginnen mit einer Durchsicht: Firmware-Stand, Lizenzlaufzeiten, End-of-Life-Termin, Regelwerk und Fernzugänge. Daraus ergibt sich, ob nur Updates fällig sind oder ob sich ein Austausch lohnt.

Ist SSP WatchGuard-Partner in Berlin?

Ja. Die SSP Informationssysteme GmbH ist WatchGuard-Partner mit Sitz in Berlin-Lankwitz und betreut Unternehmen in Berlin und Brandenburg seit 1990. Wir liefern Firebox-Hardware, verlängern Lizenzen, richten VPN-Zugänge ein und übernehmen auf Wunsch den laufenden Betrieb.

Alle Hersteller und Partner im Überblick