Eine UTM-Firewall kann zwanzigtausend Zloty plus Abo kosten. Ein sinnvolles EDR für ein 30-Personen-Unternehmen bedeutet ein paar hundert Zloty pro Monat und einen Monat Rollout. Backups retten dir den Hintern, aber erst dann, wenn schon etwas passiert ist. Es gibt eine Schutzschicht, die ein paar Zloty pro Nutzer und Monat kostet, in zwei Tagen eingeführt ist und den Großteil der üblichen Malware blockiert, bevor sie überhaupt auf dem Rechner des Nutzers ausgeführt wird. Sie heißt DNS-Filterung, und die meisten polnischen KMU haben sie schlichtweg nicht.
Sie haben sie nicht, weil sie teuer oder schwierig wäre. Sie haben sie nicht, weil sie niemand als „Wow-Produkt" verkauft. Für eine Messepräsentation eignet sie sich nicht. Und sie funktioniert besser als viele Dinge, die auf Messepräsentationen landen.
Was das wirklich ist
Wenn ein Mitarbeiter auf den Link „rechnung_PolnischePost_2026.pdf.exe" oder auf eine Werbung für „kostenloses Photoshop" klickt, tut sein Rechner zuerst eine unscheinbare Sache: Er fragt einen DNS-Server nach der IP-Adresse der Domain, mit der er sich verbinden will. Das ist die erste Sekunde jeder Verbindung im Internet — die Umwandlung von jetzt-bezahlen.example.com in 185.243.115.42.
DNS-Filterung heißt einfach, einen DNS-Server im Unternehmen einzurichten, der eine Liste böser Domains kennt und ihre Auflösung schlicht verweigert. Statt einer IP gibt er „keine solche Domain" zurück. Der Rechner des Nutzers verbindet sich nirgendwohin — die Malware hat also keine Möglichkeit, den eigentlichen Payload nachzuladen oder ihren Steuerungsserver zu kontaktieren. Der Klick endet auf einer weißen „Seite unbekannt"-Meldung, nicht auf einer Woche Wiederherstellung aus Backups.
Das ist kein Virenschutz. Ein Virenschutz reagiert, wenn die Datei schon auf der Platte liegt. DNS-Filterung reagiert früher — in dem Moment, in dem der Rechner erst noch fragt, woher er die Datei überhaupt holen soll.
Warum es besser funktioniert, als du erwartest
Moderne Malware ist fast zu 100% vom Internet abhängig. Sie kommt selten „komplett" in einer Datei. Meist ist die erste Stufe ein winziger Dropper, der nach dem Start den Server des Angreifers kontaktiert, um Stufe zwei — den eigentlichen Payload — zu holen. Ohne diese Verbindung ist der Dropper blind und taub.
Ransomware funktioniert genauso. Bevor sie Daten verschlüsselt, kontaktiert sie fast immer einen C2-Server (Command and Control), um einen Schlüssel abzurufen und sich zu melden. Blockierst du den DNS-Lookup, blockierst du die Verbindung — es gibt keine Verschlüsselung.
Phishing ebenso. 90% der Links in verdächtigen Mails führen zu Domains, die seit einer Woche existieren und bereits auf mehreren Listen stehen. DNS-Reputationsdatenbanken aktualisieren sich schneller, als Nutzer lernen, nicht zu klicken.
Ein Beispiel aus der Praxis
Bei einem unserer Kunden — einem 35-Personen-Logistikunternehmen in Großpolen, zwei Standorte, Comarch Optima als ERP, Standard-Microsoft-365 — haben wir DNS-Filterung als Cloud-Dienst eingeführt. Kosten: rund 4 Zloty pro Nutzer und Monat. Rollout: zwei Arbeitstage, hauptsächlich Konfiguration der Policies und des Routers in der Filiale.
Nach sechs Wochen haben wir in die Logs geschaut. Blockierte DNS-Anfragen: etwa 2 100. Der Großteil war Grauzone — Tracking-Werbung, Telemetrie, ein paar Streaming-Seiten, an denen jemand in der Pause herumgeklickt hat. Aber dazwischen fanden wir drei echte Vorfälle.
Der schlimmste: Jemand aus der Buchhaltung klickte in einer Mail auf einen gefälschten „Polnische Post — Sendung nicht zugestellt"-Link. Die Domain war sechs Tage zuvor registriert worden und stand seit 20 Stunden auf der Reputationsliste. Der DNS-Filter verweigerte den Lookup. Ohne diesen Filter hätte die Kollegin höchstwahrscheinlich das Archiv heruntergeladen, die Datei geöffnet, den Dropper gestartet, und die Firma hätte 2 bis 5 Tage stillgestanden. Kosten der Blockierung: 4 Zloty. Kosten ohne Blockierung: hunderttausende.
Das ist keine Folie „hätte passieren können" aus einer Anbieterpräsentation. Das sind drei Zeilen im Log, mit konkretem Datum und einer konkreten Kollegin, die bis heute nicht weiß, dass da überhaupt etwas passiert ist. Genauso sollte gute Sicherheit aussehen: unsichtbar, günstig und wirksam.
Drei Wege zur Einführung
Cloud-Dienst (am einfachsten). Cloudflare Gateway, NextDNS, DNSFilter, Cisco Umbrella. Du legst ein Konto an, bekommst deine eigene DNS-Server-Adresse, trägst sie im Firmenrouter oder in der DHCP-Konfiguration ein. Fertig. Ein Web-Panel zeigt Logs, Blockierungen und lässt dich Policies schreiben (Buchhaltung darf zu Banken, Produktion nur zu ihren Lieferanten). Preis: von kostenlos (Cloudflare Gateway bis 50 Nutzer) bis rund 15 Zloty pro Nutzer und Monat bei Enterprise-Angeboten.
Lokaler Server (für Firmen, die gern alles selbst betreiben). Pi-hole oder AdGuard Home auf einem kleinen Server oder einem Raspberry Pi. Kostenlos, volle Kontrolle über die Blocklisten, alles bleibt im Unternehmen. Braucht einen Administrator, der sich darum kümmert — eine Person, eine Stunde pro Woche. Keine kommerzielle Reputationsdatenbank, fängt also weniger ab.
Filterung in der Firewall (falls du schon UTM hast). Fortinet, Sophos, WatchGuard — alle haben ein Modul für Kategorie- und Domainfilterung. Wenn du für so eine Firewall ohnehin bezahlst, schalte es einfach ein. Wenn du keine hast — kauf sie nicht extra deswegen, ein Cloud-Dienst macht dasselbe für einen Bruchteil des Preises.
Für die meisten KMU bis 100 Personen ist die praktische Empfehlung ein Cloud-Dienst. Die Einfachheit von Einführung und Betrieb schlägt jedes andere Argument.
Was DNS-Filterung nicht kann
Sie ist keine Wunderwaffe. Sie ersetzt weder EDR noch Backups noch Phishing-Schulungen. Sie blockiert Domains, die bereits auf den Listen sind — aber ein frisch registrierter, gezielter Angriff auf dein Unternehmen (ein paar Stunden nach der Registrierung der Domain) kann durchrutschen. Sie sieht den Inhalt des Verkehrs nicht — wenn Malware sich direkt mit einer IP statt mit einer Domain verbindet, findet DNS überhaupt nicht statt. Sie schützt keinen Mitarbeiter, der im Homeoffice auf seiner eigenen Leitung arbeitet und das Firmen-VPN ausgeschaltet hat.
Behandle sie als eine Schicht von vielen. Eine externe, günstige Schicht, die 90% des Massenkrams blockiert. Die weiteren Schichten — EDR auf den Endgeräten, MFA auf den Konten, 3-2-1-Backups, Team-Schulung — decken den Rest ab. Keine einzelne Verteidigung reicht. Aber ohne dieses eine, konkrete Stück ist der ganze Stack deutlich instabiler.
Was es wirklich kostet
Die Rechnung für ein 30-Personen-Unternehmen sieht ungefähr so aus. Cloudflare Gateway oder NextDNS im Business-Plan: rund 3 USD pro Nutzer und Monat, aufs Jahr etwa 4 500 Zloty. Einrichtung durch einen Berater: 1–2 Arbeitstage, also 3 000 bis 6 000 Zloty einmalig. Wartung: ein paar Minuten pro Woche für den Blick in die Logs und gelegentliches Entsperren von Fehltreffern.
Insgesamt: erstes Jahr rund 10 000 Zloty. Jedes weitere Jahr 4 500 Zloty.
Zum Vergleich: Ein Tag Stillstand in einem 30-Personen-Unternehmen kostet üblicherweise deutlich mehr als 30 000 Zloty an entgangener Marge und Produktion. Da ist der Aufwand für Wiederherstellung und verlorenes Vertrauen noch gar nicht mitgerechnet. DNS-Filterung rechnet sich, wenn sie einen einzigen Vorfall in zehn Jahren verhindert. In der Praxis verhindert sie mehrere pro Jahr — und du weißt in den meisten Fällen nicht einmal, dass sie es getan hat.
Wo du in deinem Unternehmen anfängst
Fang mit einem kleinen Pilot an. Wähl einen Dienst (Cloudflare Gateway hat einen kostenlosen Tier bis 50 Nutzer — für den Anfang völlig ausreichend). Konfigurier ihn für eine Abteilung oder einen Standort. Sammel eine Woche lang Logs. Schau dir an, wie viele Anfragen blockiert wurden, in welchen Kategorien und ob es Fehltreffer für legitimen Geschäftsverkehr gibt. Dann roll ihn über das ganze Unternehmen aus.
Die gesamte Aktion sollte nicht mehr als zwei Kalenderwochen dauern — vom Entschluss bis zur vollen Abdeckung. Wenn dein aktueller IT-Dienstleister dir erzählt, das sei ein komplexes Mehr-Monats-Projekt, hat er es höchstwahrscheinlich einfach nicht in seiner Preisliste.
Der beste Schutz ist der, den der Nutzer nie bemerkt. DNS-Filterung funktioniert genau so — leise, günstig und bevor überhaupt etwas passieren kann.