WatchGuard Firebox in Berlin: Modelle, Auswahl und Austausch

• Aktuelle Generation
• T-Serie
• M-Serie
• Worauf es ankommt
• End of Life
• Austausch
• Häufige Fragen

Die aktuelle Firebox-Generation

WatchGuard hat 2025 beide Firebox-Reihen erneuert: zuerst die Tabletop-Modelle T115-W, T125, T145 und T185, im Oktober 2025 die Rackmount-Modelle M295 bis M695. Gegenüber der Vorgängergeneration bringen sie 2,5-Gigabit-Anschlüsse, bei den größeren Modellen Glasfaser-Ports für SFP+-Module, bei den W-Modellen WLAN nach Wi-Fi 7 und mehr Arbeitsspeicher für die Sicherheitsdienste. Die neuen Modelle laufen auf der aktuellen Fireware-Linie 2026, ältere auf Fireware 12.

Eine praktische Kleinigkeit: Die neuen Rackmount-Modelle werden ohne Netzkabel ausgeliefert. Das länderspezifische Kabel gehört deshalb mit auf die Bestellung.

T-Serie: Tabletop-Modelle für Büro und Außenstelle

Modell	Anschlüsse	UTM-Durchsatz	Mit HTTPS-Inspektion	VPN-Tunnel Standort / mobil	Besonderheit
T115-W	3 × 1 GbE, WLAN Wi-Fi 7	280 Mbit/s	155 Mbit/s	5 / 5	Lüfterlos; ohne IntelligentAV und Access Portal
T125 / T125-W	1 × 2,5 GbE, 4 × 1 GbE	510 Mbit/s	290 Mbit/s	10 / 25	Optional mit Wi-Fi 7
T145 / T145-W	1 × 2,5 GbE, 4 × 1 GbE, 1 × SFP/SFP+	710 Mbit/s	440 Mbit/s	30 / 50	Glasfaser direkt, optional mit Wi-Fi 7
T185	4 × 2,5 GbE (2 mit PoE+), 4 × 1 GbE, 1 × SFP/SFP+	1,83 Gbit/s	1,10 Gbit/s	100 / 100	Stärkstes Tabletop-Modell, Netzteil eingebaut

Für die meisten Büros in Berlin mit 10 bis 50 Arbeitsplätzen läuft es auf eine T125 oder T145 hinaus. Die T115-W ist für sehr kleine Standorte gedacht; mit fünf mobilen VPN-Zugängen ist sie für ein Team im Homeoffice schnell zu klein. Die T185 ist die Wahl, wenn ein schneller Glasfaseranschluss mit HTTPS-Inspektion auf einen Tabletop-Formfaktor trifft – oder wenn Access Points und Telefone direkt über die PoE-Ports versorgt werden sollen.

M-Serie: Rackmount-Modelle für Zentrale und Serverraum

Modell	Anschlüsse	UTM-Durchsatz	Mit HTTPS-Inspektion	VPN-Tunnel Standort / mobil	Hinweis
M295	4 × 2,5 GbE, 4 × 1 GbE, 2 × SFP+	1,85 Gbit/s	1,12 Gbit/s	100 / 100	Nachfolger der M290
M395	12 × 2,5 GbE, 2 × SFP, 2 × SFP+	3,85 Gbit/s	1,90 Gbit/s	350 / 350	Viele Kupferports für getrennte Netze
M495	12 × 2,5 GbE, 2 × 10 GbE, 2 × SFP, 2 × SFP+	6,30 Gbit/s	3,50 Gbit/s	800 / 800	Nachfolger der M590
M595	12 × 2,5 GbE, 2 × 10 GbE, 2 × SFP, 4 × SFP+	7,20 Gbit/s	4,80 Gbit/s	1.200 / 1.200	Nachfolger der M690
M695	12 × 2,5 GbE, 2 × 10 GbE, 4 × SFP, 4 × SFP+	10,8 Gbit/s	5,20 Gbit/s	2.000 / 2.000	Alternative Nachfolge der M690

Alle Modelle der M-Serie lassen sich zu zweit im Hochverfügbarkeitsverbund betreiben, aktiv/passiv oder aktiv/aktiv. Darüber gibt es noch größere Geräte und virtuelle Fireboxen für VMware, Hyper-V oder die Cloud – die planen wir im Einzelfall.

Worauf es bei der Auswahl wirklich ankommt

Nicht der Spitzenwert zählt, sondern der Wert mit Prüfung

Im Datenblatt einer T125 stehen 3,06 Gbit/s Firewall-Durchsatz. Das ist ein Laborwert mit großen Paketen und ohne jede Inhaltsprüfung. Mit Virenschutz, IPS und Application Control bleiben 510 Mbit/s, mit HTTPS-Inspektion 290 Mbit/s – ein Zehntel. Wer die Sicherheitsdienste nutzen will, wählt das Modell nach dem letzten Wert.

Der Internetanschluss von morgen

Eine Firebox bleibt fünf Jahre und länger im Einsatz. In dieser Zeit wird aus dem 250-Mbit/s-Anschluss oft Glasfaser mit einem Gigabit. Wir planen deshalb mit dem Anschluss, den Sie in zwei bis drei Jahren voraussichtlich haben – und mit einem Glasfaser-Port, wenn der Anbieter ihn liefern kann.

VPN-Tunnel zählen

Jede Außenstelle braucht einen Branch-Office-Tunnel, jeder gleichzeitig verbundene Mitarbeitende im Homeoffice einen mobilen Tunnel. Die Grenzen je Modell stehen in den Tabellen oben. Gerade bei den kleinen Modellen sind sie schneller erreicht, als man denkt.

Genug Anschlüsse für getrennte Netze

Netze lassen sich über VLANs beliebig aufteilen, dafür reicht ein Port und ein passender Switch. Für Server, Datensicherung oder einen zweiten Internetanschluss sind eigene physische Ports aber übersichtlicher und oft schneller. Die 2,5-Gigabit-Ports der neuen Generation sind dafür ein echter Gewinn.

WLAN in der Firewall – nur für kleine Räume

Die W-Modelle funken nach Wi-Fi 7 und sind für ein kleines Büro oder eine Praxis eine elegante Lösung mit einem Gerät weniger. Für mehrere Räume oder Etagen planen wir WLAN mit eigenen Access Points und einer Ausleuchtung.

WatchGuard bietet zur Orientierung ein Online-Werkzeug zur Größenbestimmung an. Wir nutzen es als Gegenprobe, nicht als Ersatz für das Gespräch über Ihre Umgebung.

End of Life: Welche Fireboxen jetzt ersetzt werden müssen

WatchGuard nimmt ein Modell zuerst aus dem Verkauf (End of Sale). Bis zum Supportende (End of Life) vergehen danach bis zu fünf Jahre. In dieser Zeit laufen Support und Schutzdienste weiter, Firmware-Updates gibt es nur noch eingeschränkt. Nach dem End of Life gibt es keine Updates und keine Herstellerhilfe mehr; Downloads bleiben noch 90 Tage abrufbar. Verlängerungen der Schutzdienste reichen nie über das End-of-Life-Datum hinaus.

Modelle	Verkaufsende	Supportende	Stand September 2026
T35, T35-W, T55, T55-W, T70	2020–2021	31.12.2025	Ohne Support – dringend ersetzen
T15, T15-W	01.03.2022	01.03.2027	Austausch jetzt planen
T20, T20-W, T40, T40-W, T80	01.07.2023	01.07.2028	Im Auslauf
M270, M370, M470, M570, M670	01.07.2023	01.07.2028	Im Auslauf
T45 (ohne PoE)	01.04.2025	01.01.2031	Unterstützt
T85-PoE	01.10.2025	31.12.2030	Unterstützt
M590, M690	01.06.2026	01.07.2031	Unterstützt
M290	01.08.2026	01.07.2031	Unterstützt

Zwei Dinge fallen bei auslaufenden Modellen zusätzlich ins Gewicht. Erstens bekommen ältere Geräte nur noch Wartungsversionen einer älteren Fireware-Linie, neue Funktionen nicht mehr. Zweitens hat WatchGuard die Verlängerungen für Modelle kurz vor dem Supportende bereits verteuert, 2024 etwa für die T35-, T55- und T70-Reihe. Wer eine Firebox aus der Tabelle oben betreibt, sollte den Austausch mit der nächsten Lizenzverlängerung zusammen planen.

Austausch einer alten Firebox – so läuft es

1. Bestand prüfen. Modell, Seriennummer, Firmware-Stand, Lizenzlaufzeit und Supportende – oft stellen wir dabei fest, dass mehr Geräte betroffen sind als gedacht.
2. Nachfolger bemessen. Nach Internetanschluss, HTTPS-Inspektion, VPN-Bedarf und Anschlüssen – nicht nach der Modellnummer des Vorgängers.
3. Konfiguration übernehmen und aufräumen. Innerhalb der Firebox-Familie lässt sich die Konfiguration übertragen. Wir nutzen den Wechsel, um Regeln zu entfernen, die niemand mehr braucht.
4. Lizenz klären. Lizenzen sind an die Seriennummer eines Geräts gebunden. Ob Restlaufzeiten angerechnet werden oder ein Wechselprogramm des Herstellers greift, prüfen wir im Einzelfall.
5. Umstellen. In einem abgestimmten Zeitfenster; das alte Gerät bleibt bis zur Abnahme als Rückfall bereit.
6. Altgerät zurücksetzen. Auf Werkseinstellungen, damit keine Zugangsdaten und VPN-Schlüssel das Haus verlassen.

Weiterführend

• WatchGuard Firewall in Berlin – unser Angebot im Überblick
• Basic Security Suite verlängern – Inhalt, Ablauf und Laufzeiten
• IPSec VPN Client für Windows – Fernzugriff und Lizenzierung
• APT Blocker – Sandbox für unbekannte Schadsoftware
• Firewall für Unternehmen – Grundlagen, Segmentierung, NIS-2

Häufige Fragen

Welche WatchGuard Firebox brauche ich für 20 Mitarbeitende?

Meist eine Firebox T125 oder T145. Die T125 reicht, wenn der Internetanschluss unter 300 Mbit/s liegt und nur wenige Mitarbeitende gleichzeitig per VPN arbeiten. Die T145 ist die bessere Wahl bei schnellerem Anschluss, HTTPS-Inspektion, Glasfaser oder mehr als 25 gleichzeitigen VPN-Verbindungen. Entscheidend sind Anschluss, VPN-Bedarf und Inhaltsprüfung, nicht allein die Zahl der Arbeitsplätze.

Was bedeuten die Durchsatzwerte im Datenblatt?

Der Firewall-Durchsatz ist ein Laborwert ohne Inhaltsprüfung. Aussagekräftig ist der UTM-Durchsatz mit Virenschutz, IPS und Application Control, und noch mehr der Wert mit HTTPS-Inspektion. Bei der Firebox T125 sind das 3,06 Gbit/s, 510 Mbit/s und 290 Mbit/s. Wer die Sicherheitsdienste nutzt, sollte das Modell nach dem niedrigsten Wert auswählen.

Meine Firebox ist End of Life – funktioniert sie noch?

Sie leitet Verkehr weiter, aber sie bekommt keine Firmware-Updates und keinen Herstellersupport mehr, und die Schutzdienste lassen sich nicht verlängern. Wird eine Sicherheitslücke bekannt, bleibt sie offen. Gerade bei Geräten mit VPN-Zugang aus dem Internet ist das ein erhebliches Risiko. Die Modelle T35, T55 und T70 sind seit dem 31. Dezember 2025 in diesem Zustand.

Kann ich meine Lizenz auf eine neue Firebox übertragen?

Grundsätzlich sind WatchGuard-Lizenzen an die Seriennummer eines Geräts gebunden. Der Hersteller bietet aber immer wieder Wechselprogramme an, bei denen der Umstieg auf ein aktuelles Modell günstiger wird. Welche Möglichkeit zum Zeitpunkt Ihres Austauschs besteht, prüfen wir mit Blick auf Ihre Restlaufzeit.

Wie lange kann ich eine neue Firebox nutzen?

Bis zum End of Life des Modells, das WatchGuard bis zu fünf Jahre nach dem Verkaufsende festlegt. Wer ein Modell der aktuellen Generation kauft, hat damit in der Regel deutlich mehr Laufzeit vor sich als mit einem Auslaufmodell. Deshalb raten wir von Restposten älterer Generationen ab, auch wenn sie günstiger sind.

Brauche ich zwei Fireboxen für Hochverfügbarkeit?

Nur wenn ein Ausfall der Firewall Ihren Betrieb spürbar stört. Zwei identische Geräte im Verbund übernehmen gegenseitig, wenn eines ausfällt. Für viele kleinere Büros genügt ein Gerät mit gültigem Herstellersupport und aktueller Konfigurationssicherung, sodass ein Ersatzgerät schnell eingerichtet ist. Wir rechnen beide Varianten mit Ihnen durch.

Kann die Firebox auch WLAN?

Ja, die W-Modelle T115-W, T125-W und T145-W haben WLAN nach Wi-Fi 7 eingebaut. Das eignet sich für ein kleines Büro oder eine Praxis. Für größere Flächen und mehrere Etagen planen wir separate Access Points mit Ausleuchtung, weil ein einzelnes Gerät auf dem Schreibtisch dafür nicht reicht.

Zurück zu WatchGuard in Berlin