Ihr Firewall-Hersteller ist jetzt ein geopolitisches Risiko

Am 6. August 2026 hat die Cyberspace Administration of China eine formale Cybersicherheitsprüfung der in China verkauften Produkte von Palo Alto Networks eröffnet. Es gibt hier keinen Exploit, kein Advisory, keinen Patch. Wenn Ihre Organisation von einer solchen Entscheidung erfasst wird, heißt die Abhilfe nicht Firmware-Update. Sie heißt Flottenmigration, und der einzige aktenkundige Präzedenzfall lief von der Ankündigung bis zum Urteil in rund sieben Wochen.

Das ist der Teil, bei dem man kurz innehalten sollte. Jede Firewall-Migration, die Teams üblicherweise planen, kommt mit einem Fahrplan: ein Support-Ende, ein Vertragszyklus, eine im Haus getroffene Architekturentscheidung. Diese hier kommt von einer Behörde, der Sie nicht unterstehen, auf einer Uhr, die Sie nicht kontrollieren, aus Gründen, die nichts damit zu tun haben, ob das Produkt gut ist. Der erklärte Zweck der Behörde war, den sicheren und stabilen Betrieb kritischer Informationsinfrastruktur zu gewährleisten, Cybersicherheitsrisiken und Schwachstellen vorzubeugen und die nationale Sicherheit zu schützen. Palo Alto Networks erklärte, das Unternehmen halte weltweit hohe Standards ein, und meldete keine unmittelbaren Auswirkungen auf Kundenbetreuung oder Produktlieferung in der Region. Beide Aussagen können vollständig zutreffen, während trotzdem ein Change-Programm auf irgendeinem Schreibtisch landet.

Was mechanisch passiert ist

Die Prüfung läuft nach Artikel 16 der chinesischen Cybersecurity Review Measures. Danach kann ein Mitglied des Prüfmechanismus ein Verfahren einleiten, wenn es der Auffassung ist, dass ein Netzprodukt oder ein Dienst die nationale Sicherheit beeinträchtigt oder beeinträchtigen könnte. Erforderlich ist die Zustimmung der Zentralen Kommission für Cyberspace-Angelegenheiten und, entscheidend, kein Beschwerdeführer. Niemand muss etwas einreichen. Als Rechtsgrundlage wurden das Nationale Sicherheitsgesetz und das Cybersicherheitsgesetz genannt.

Aus dem Nichts kam das ebenfalls nicht. Bereits im Januar 2026 hatten chinesische Behörden inländische Organisationen angewiesen, Sicherheitssoftware einer Liste amerikanischer und israelischer Hersteller nicht mehr einzusetzen. Berichten zufolge standen darauf unter anderem Palo Alto Networks, Fortinet, Check Point und CrowdStrike. Die Prüfung im August ist also das formale Instrument, das einer bereits acht Monate alten informellen Anweisung hinterhergeschickt wird. Zusammengelesen ist die Richtung eindeutig: ausländische Sicherheitstechnik geht raus, inländische Alternativen kommen rein, und der Regulierungsapparat sorgt dafür, dass das geordnet abläuft.

Bemerkenswert ist, was in dieser Beschreibung fehlt. Keine Schwachstelle. Kein Vorfall. Überhaupt kein technischer Befund. Das ist eine Souveränitätsfrage in der Lieferkette, die zufällig auf der Firewall landet, und genau deshalb taucht sie in den Quellen, die Netzwerkteams üblicherweise verfolgen, gar nicht erst auf.

Die Uhr zeigt sieben Wochen, nicht zwei Jahre

Es gibt einen brauchbaren Präzedenzfall für das Tempo. Chinas Prüfung von Micron wurde am 31. März 2023 angekündigt, das Nichtbestehen am 21. Mai 2023 festgestellt, rund sieben Wochen später. Das wiegt schwerer als der gesetzliche Zeitplan, denn bei einer von der Behörde selbst eingeleiteten Prüfung ohne erklärten Antragsteller gelten die geschriebenen Fristen (dreißig Arbeitstage plus fünfzehn für die Vorprüfung, neunzig für eine Sonderprüfung) nur analog. Das Micron-Tempo ist der praktische Maßstab.

Halten Sie diese sieben Wochen nun gegen Ihre tatsächliche Migrationsdauer. Nicht die Zahl aus der Anbieterpräsentation. Die Zahl aus der letzten Migration, die Sie wirklich durchgeführt haben, inklusive Regelwerksübersetzung, Freigabe durch die Anwendungsverantwortlichen, der Wartungsfenster, die Sie bekommen haben statt derer, die Sie wollten, und der zwei Wochen Löscharbeiten danach. In den meisten Unternehmen ist diese Zahl in Quartalen gemessen, nicht in Wochen. Genau diese Lücke ist das Risiko, und kaum jemand hat sie aufgeschrieben.

Migrationsauslöser	Vorlaufzeit	Wer entscheidet	Heute eingeplant?
Support-Ende	12 bis 36 Monate	Hersteller-Roadmap	Meistens ja
Verlängerung oder Preis	Ein Vertragszyklus	Sie	Meistens ja
Übernahme oder Plattformwechsel	6 bis 18 Monate	Hersteller-Vorstand	Selten
Behördliche Prüfung oder Verbot	~7 Wochen (der eine Präzedenzfall)	Eine Regierung, der Sie nicht unterstehen	Fast nie

Wer tatsächlich betroffen ist

Die Trennlinie verläuft entlang der Frage, ob eine Organisation als Betreiber kritischer Informationsinfrastruktur eingestuft ist. Für die Eingestuften ahndet das novellierte Cybersicherheitsgesetz die fortgesetzte Nutzung von Produkten, die keine Sicherheitsprüfung bestanden haben, mit einer Geldbuße zwischen dem Ein- und dem Zehnfachen der Beschaffungssumme, dazu eine persönliche Geldbuße für die verantwortliche Person zwischen 10.000 und 100.000 RMB.

Zwei Details daran verdienen die Aufmerksamkeit jedes Change-Verantwortlichen. Die Haftung knüpft an die fortgesetzte Nutzung an, nicht nur an Neubeschaffung, ein Bestand genießt also keinen Vertrauensschutz. Und sie trifft eine namentlich benannte Person, nicht nur das Unternehmen. Für Organisationen ohne diese Einstufung entsteht aus der Ankündigung selbst keine Rechtspflicht, und zum Redaktionsschluss gilt kein Beschaffungsverbot. Das ist der ehrliche Stand: eine laufende Prüfung, kein Urteil, und ein definiertes Sanktionsregime, das dahinter wartet.

Der erste praktische Schritt ist die Bestandsaufnahme, und sie reicht weiter als bis zu den Geräten. Eine Expositionsliste muss Appliances, die zentrale Management-Plattform, virtuelle Instanzen in Cloud-Konten, die weiteren Plattformmodule und die daran hängenden Threat-Abonnements umfassen. Wenn diese Liste länger als eine Woche braucht, haben Sie Ihr eigentliches Problem gefunden, und es ist genau das aus warum Excel-Firewall-Nachverfolgung bei jedem Audit durchfällt.

Das ist keine China-Geschichte

Wer das unter "betrifft meine Region nicht" ablegt, verpasst den Punkt. Der Mechanismus wirkt in beide Richtungen und breitet sich aus. Dieselbe Logik, die einen amerikanischen Hersteller aus chinesischen Netzen entfernt, entfernt chinesische Hersteller aus westlichen, und beide nutzen dasselbe Instrument: eine nationale Sicherheitsprüfung, für die kein technischer Befund nötig ist. Die meisten großen Volkswirtschaften verfügen inzwischen über dieses Instrument. Die Frage für einen europäischen Betreiber lautet daher nicht, ob ihn dieses Muster betrifft, sondern aus welcher Richtung es kommt.

Auch die Reputationsfläche hat sich verschoben. Ein Reuters-Bericht vom Februar 2026 warf der herstellereigenen Threat-Intelligence-Einheit vor, Befunde abgeschwächt zu haben, um China nicht als Verdächtigen zu benennen. Vor fünf Jahren wäre das für eine Firewall-Beschaffung schlicht irrelevant gewesen, heute gehört es in die Lieferantenakte. Rechnet man die Marktreaktion hinzu (die Aktie verlor zeitweise bis zu 4,2 Prozent), entsteht eine Risikokategorie, die bei Einkauf, Recht und Vorstand liegt, während die Abhilfearbeit vollständig beim Netzwerkteam landet.

Die Migration, die Sie nicht geplant haben

Ohne die Geopolitik bleibt eine Change-Management-Aufgabe mit ungewöhnlich kurzer Zündschnur. Drei Fragen entscheiden, ob sie zu überstehen ist.

Wissen Sie, an welchen Stellen die Technik dieses Herstellers überall Verkehr terminiert? Einschließlich der virtuellen Instanz, die jemand für ein Projekt in einem Cloud-Konto hochgezogen hat und die nie in die Bestandsführung gewandert ist. Die meisten Umgebungen können das nicht schnell beantworten, weshalb die Discovery die ersten Wochen jeder erzwungenen Migration auffrisst.

Können Sie Ihr Regelwerk so exportieren, dass es einen Herstellerwechsel überlebt? Diese Frage trennt Teams, denen ihr Regelwerk gehört, von Teams, deren Regelwerk faktisch im Format eines Herstellers liegt. Ein Regelwerk, das nur über eine einzige Konsole lesbar ist, ist ein gemietetes Regelwerk.

Wie lange dauert Ihre Migration ehrlicherweise? Unsere Datenanalyse zu Firewall-Migrationen und die Fehler-Taxonomie zeigen in dieselbe Richtung: Der Zeitfresser sind nie die Geräte, sondern die Übersetzung der Absicht, die Suche nach Regeln, zu denen sich niemand bekennt, und die Freigabe, die Sie nicht bekommen, weil der Anwendungsverantwortliche 2019 gegangen ist. Teams, die Firewall-Change als Disziplin betreiben, beantworten alle drei Fragen binnen einer Woche. Die übrigen verbringen drei ihrer sieben Wochen damit, herauszufinden, was sie überhaupt haben.

Multi-Vendor war Verhandlungsmacht. Jetzt ist es eine Versicherung.

Mehr als eine Firewall-Plattform zu betreiben wurde immer kaufmännisch begründet: Es hält Vertragsverlängerungen ehrlich und vermeidet eine Monokultur. Es kostet auch real, nämlich zwei Policy-Modelle, zwei Kompetenzprofile, zwei Change-Prozesse und deutlich mehr Mühe, einem Prüfer eine einheitliche Sicherheitslage nachzuweisen. Dieser Abwägung ist nichts abhandengekommen, aber das Abgesicherte hat sich geändert. Sie sichern nicht länger eine schlechte Vertragsverlängerung ab. Sie sichern die Möglichkeit ab, von einer Plattform heruntergeordnet zu werden.

Die Einschränkung wiegt so schwer wie der Punkt selbst. Zufällig entstandenes Multi-Vendor, aus einer Übernahme oder einem Projekt, das sich seine eigene Box gekauft hat, bringt Ihnen die vollen Kosten und keinerlei Absicherung, weil Sie nie die Betriebsfähigkeit aufgebaut haben, eine Seite allein zu fahren. Bewusstes Multi-Vendor heißt, dass Ihr Team beide Plattformen wirklich bedienen kann, und das ist eine Dauerinvestition, kein Architekturbild. Die praktische Fassung steht in Firewall-Policy über mehrere Hersteller verwalten.

Die Konsolidierung schließt gleichzeitig den Ausgang

Das Timing ist unfreundlich. Palo Alto Networks hat in diesem Jahr die 25 Milliarden Dollar schwere Übernahme von CyberArk abgeschlossen und sich damit vom Firewall-Hersteller zur Identitäts- und Sicherheitsplattform entwickelt. Check Point hat Cyclops Security und Rotate gekauft. Drei Hersteller dominieren inzwischen den Magic Quadrant für Enterprise-Firewalls. Plattformkonsolidierung erhöht die Kosten des Ausstiegs genau in dem Moment, in dem die Geopolitik seine Wahrscheinlichkeit erhöht.

Jedes zusätzliche Modul, das Sie von einem einzigen Hersteller beziehen, sei es Identität, SASE, Endpoint oder das Werkzeug, in dem Ihr Betriebsteam lebt, verwandelt eine Firewall-Migration in ein mehrjähriges Programm. Das ist kein Argument gegen Plattformen, die oft sehr sinnvoll sind. Es ist ein Argument dafür, den Ausstieg vor der Unterschrift in den Vertrag zu schreiben, solange der Hersteller Ihre Unterschrift noch braucht.

Was in diesem Quartal zu tun ist

Dafür braucht es keine Strategieklausur. Vier konkrete Schritte schließen den größten Teil der Lücke.

Erstellen Sie die Expositionsliste je Hersteller. Ein Dokument mit Appliances, Management-Plattformen, virtuellen Instanzen, Plattformmodulen und Abonnements, jeweils mit Verantwortlichem. Stoppen Sie die Zeit, denn diese Dauer ist selbst schon ein Befund.

Testen Sie einen Policy-Export, ernsthaft. Nehmen Sie ein produktives Regelwerk, exportieren Sie es, und lassen Sie jemanden, der diese Konsole nicht nutzt, allein aus dem Export die Absicht rekonstruieren. Gelingt das nicht, ist Ihr Regelwerk nicht portabel, was auch immer das Datenblatt behauptet. Rezertifizierungsdisziplin hilft hier aus demselben Grund wie im Audit, siehe Leitfaden zur Regel-Rezertifizierung.

Spielen Sie eine Papiermigration gegen eine Sieben-Wochen-Uhr durch. Kein Projektplan. Ein zeitlich begrenzter Durchgang, der eine ehrliche Zahl liefert: Wie weit kämen Sie tatsächlich. Der Abstand zwischen dieser Zahl und "fertig" ist Ihre Exposition, und es ist die einzige Fassung dieses Risikos, die ein Vorstand versteht.

Nehmen Sie geopolitisches Herstellerrisiko mit Verantwortlichem ins Risikoregister. Heute steht es nirgends, weshalb es als Überraschung auftaucht. Es gehört neben die übrigen Lieferketteneinträge, mit fester Wiedervorlage, zusammen mit den Change-Nachweisen, die Sie für NIS2 ohnehin führen.

Der Kern

Die Wahl einer Perimeter-Plattform war früher eine technische Entscheidung unter kaufmännischen Randbedingungen. 2026 ist eine dritte Randbedingung dazugekommen, und die verhandelt nicht, interessiert sich nicht für Ihre Architektur und hält sich nicht an Ihren Change-Kalender. Eine Firewall, die Sie nicht binnen sieben Wochen ausbauen können, ist keine Produktentscheidung mehr. Sie ist eine strategische Abhängigkeit, und dass sie seit sechs Jahren tadellos läuft, ändert daran keinen Tag. Im selben Jahr, in dem die Firewall zum Einfallstor wurde, wurde sie auch zu etwas, das eine Regierung Ihnen wegnehmen kann.

Prüfen Sie, wie portabel und nachweisbar Ihre Firewall-Policy wirklich ist. Starten Sie mit einem kostenlosen NIS2 Readiness Check.