Webfilter für Unternehmen mit Zenarmor: ISO 27001 A.8.23 praxisnah und DSGVO-konform umsetzen

Ein Webfilter legt fest, welche Websites Mitarbeitende, Gäste und Geräte aufrufen dürfen – auf Basis von Kategorie und Reputation. ISO 27001:2022 fordert das mit Control A.8.23 ausdrücklich: Der Zugriff auf externe Websites ist so zu steuern, dass die Gefährdung durch schädliche Inhalte sinkt. Zenarmor klassifiziert laut eigener Dokumentation über 300 Millionen Websites in mehr als 120 Kategorien, blockiert Phishing, Malware und Botnet-C&C über Cloud-Threat-Intelligence und erzwingt SafeSearch – je Benutzer, Gruppe oder VLAN.

In diesem Beitrag erfahren Sie, was A.8.23 konkret verlangt, wie der Webfilter von Zenarmor funktioniert (Profile, Sicherheitskategorien, DNS-Inspektion, Ausnahmen), wie Sie ihn DSGVO-konform einrichten und wie Sie ihn schrittweise einführen. Wir schreiben als unabhängiger ISO 27001 Lead Auditor und als offizieller Zenarmor-Partner in den Niederlanden – also mit Blick auf die Technik und auf das, was ein Auditor sehen möchte.

Was verlangt ISO 27001:2022 Control A.8.23 (Webfilterung)?

Die Webfilterung gehört zu den neuen Controls der Normfassung 2022 (siehe ISO 27001:2022 – was sich geändert hat). Das Control selbst ist knapp: Steuern Sie den Zugriff auf externe Websites, um die Gefährdung durch schädliche Inhalte zu verringern. Die Ausgestaltung steht im Leitfaden ISO/IEC 27002:2022, Abschnitt 8.23. Zusammengefasst nennt er:

• Sperren riskanter Ziele, etwa bekannte oder vermutete schädliche Websites (Malware, Phishing), Command-and-Control-Server, über Threat Intelligence ermittelte schädliche Websites und Websites mit illegalen Inhalten.
• Websites mit Upload-Funktion sperren, sofern kein berechtigter geschäftlicher Grund besteht.
• Regeln für die sichere und angemessene Nutzung von Online-Ressourcen, einschließlich Einschränkungen für unerwünschte Websites und Webanwendungen, die aktuell gehalten werden.
• Schulung der Mitarbeitenden zur sicheren und angemessenen Nutzung des Internets.

In der Praxis hängt A.8.23 mit A.5.7 (Threat Intelligence), A.8.7 (Schutz gegen Schadsoftware), A.5.10 (zulässiger Gebrauch), A.6.3 (Sensibilisierung) und A.8.15/A.8.16 (Protokollierung und Überwachung) zusammen. Ein Auditor prüft bei A.8.23 vier Punkte: Gibt es eine freigegebene Richtlinie? Wird sie auf allen relevanten Netzen und Geräten technisch durchgesetzt? Gibt es einen Ausnahmeprozess? Wird die Wirksamkeit regelmäßig überprüft? Für NIS2-pflichtige Einrichtungen unterstützt die Webfilterung zudem die grundlegenden Cyberhygiene-Praktiken aus Artikel 21 – siehe ISO 27001 und NIS2.

So funktioniert der Webfilter von Zenarmor

Kategorien und Cloud-Klassifizierung

Für jede Verbindung ermittelt Zenarmor die Webkategorie des Ziels. Die Dokumentation zu den Web Controls spricht von „300+ million websites in 120+ categories“. Die Klassifizierung stammt aus der Zenarmor-Cloud: Die Engine fragt die nächstgelegenen Cloud-Server ab und führt einen schnellen lokalen Cache. Sie möchten wissen, wie eine Website eingestuft ist? Nutzen Sie die öffentliche Site-Classification-Abfrage.

Profile: Permissive, Moderate, High und Custom

Sie müssen nicht 120 Kategorien einzeln einstellen. Zenarmor bietet vordefinierte Profile:

Profil	Was gesperrt wird (laut Zenarmor-Doku)	Typischer Einsatz
Permissive	Keine Inhaltskategorien; uneingeschränktes Surfen	Nur in Kombination mit Sicherheitskategorien, z. B. für IT-Administratoren
Moderate	Adult, Advertisements, Illegal Drugs, Pornography, Violence	Büro, Gesundheitswesen, Gäste-WLAN
High	Moderate plus u. a. Blogs, Chats, Dating, Gambling, Games, Social Networks, Software Downloads	Schulen, Kiosksysteme, gemeinsam genutzte oder öffentliche Arbeitsplätze
Custom	Ihre eigene Auswahl; das Profil wechselt automatisch auf Custom, sobald Sie eine Kategorie ändern	Organisationen mit spezifischer Richtlinie

Das Custom-Profil ist laut Dokumentation den kostenpflichtigen Editionen vorbehalten; die kostenlose Edition bietet drei feste Profile. Für den geschäftlichen Einsatz mit mehreren Richtlinien (je Gruppe oder VLAN) wählen Sie einen Business-Plan, ab Unified Secure.

Sicherheitskategorien: Essential und Advanced

Neben den Inhaltskategorien kennt Zenarmor Sicherheitsregeln in zwei Stufen. Sie bilden den Kern von A.8.23:

• Essential: Malware/Viren, Phishing, Hacking, Spam-Sites, potenziell gefährliche Ziele, geparkte Domains und Firstly Seen Sites (Domains, die die Klassifizierungs-Engine noch nie gesehen hat).
• Advanced: aktuelle Malware-, Phishing- und Virenausbrüche, Botnet-C&C, kompromittierte Websites, Spyware und Adware, Keylogger und Monitoring, Dynamic-DNS-Sites, neu registrierte Domains und kürzlich reaktivierte Domains.

Besonders wertvoll gegen Phishing sind neu registrierte Domains und Firstly Seen Sites, denn Kampagnen nutzen oft Domains, die erst wenige Tage alt sind. Laut Zenarmor hängt die Verfügbarkeit von Advanced Security vom Abonnement ab.

Cloud-Threat-Intelligence

Die Reputationsdaten stammen aus der Cloud-Threat-Intelligence von Zenarmor. Laut Zenarmor werden Abfragen verschlüsselt übertragen, anonymisiert und ohne personenbezogene Daten verarbeitet und höchstens sieben Tage gespeichert. Das ist relevant für Ihr Verzeichnis der Verarbeitungstätigkeiten und Ihre Auftragsverarbeitungsverträge – berücksichtigen Sie es in Ihrer DSGVO-Bewertung.

SafeSearch und eingeschränkter YouTube-Modus

Je Richtlinie können Sie SafeSearch für Suchmaschinen wie Google, Bing, DuckDuckGo und Yandex sowie für YouTube erzwingen. Explizite Bilder, Videos und Treffer werden dann aus den Suchergebnissen gefiltert. Der eingeschränkte Modus von YouTube blendet zusätzlich sexuell explizite und andere ungeeignete Videos aus. Für Schulen, Kitas, Bibliotheken und öffentliches WLAN ist das oft die wichtigste Einstellung. Da sie je Richtlinie greift, aktivieren Sie sie im Schüler- oder Gäste-VLAN und lassen sie für Mitarbeitende aus.

DNS Deep Inspection: Tunnel und DGA-Domains

Angreifer nutzen DNS gern als verdeckten Kanal: um Daten auszuschleusen (DNS-Tunneling) oder um Malware über algorithmisch erzeugte Domains (DGA) mit einem Botnetz kommunizieren zu lassen. Die Content Inspection Rules von Zenarmor enthalten deshalb eine DNS Deep Inspection. Sie erkennt schädliche DNS-Tunnel, fehlerhafte oder nicht standardkonforme DNS-Transaktionen und DGA-Abfragen von Botnetzen. Jede Funktion kennt die Modi Disabled, Log und Block. Beginnen Sie mit Log, beobachten Sie die Ergebnisse und schalten Sie dann auf Block. Die DNS Deep Inspection ist Bestandteil der kostenpflichtigen Editionen.

Allgemeiner Rat: Sorgen Sie dafür, dass Clients Ihren eigenen DNS-Resolver nutzen, und schränken Sie DNS am Gateway vorbei ein. Sonst fehlt Ihnen die Sicht auf einen Teil des Verkehrs.

Ausnahmen und Allow-Lists

Kein Webfilter ist perfekt. Manchmal ist eine legitime Lieferanten-Website zu streng eingestuft, oder eine Abteilung benötigt nachweislich Zugriff auf eine gesperrte Kategorie. Dafür gibt es Exclusions: eine Whitelist (immer erlauben) und eine Blacklist (immer sperren) für IP-Adressen, CIDR-Bereiche, Domains und Hostnamen. Exclusions haben Vorrang vor Sicherheits-, App- und Webregeln und können global oder je Richtlinie gelten.

Sie möchten auf URL-Ebene sperren, mit Platzhaltern oder regulären Ausdrücken? Laut Dokumentation ist das in den ZTNA-, SSE- und SASE-Abonnements möglich, und nur mit vollständiger TLS-Inspektion.

Wichtiger als die Technik ist der Prozess. Legen Sie fest, wer eine Ausnahme beantragen darf, wer genehmigt, mit welcher Begründung und bis wann. Auditoren fragen nach diesem Register, und ein Whitelist-Eintrag ohne Ablaufdatum ist ein klassischer Befund.

Datenschutz und DSGVO: verhältnismäßig und transparent

Ein Webfilter verarbeitet personenbezogene Daten: wer wann welches Ziel aufgerufen hat. Das ist zulässig, aber nur im Rahmen der DSGVO und des Arbeitsrechts. In Deutschland hat der Betriebsrat bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Nach der Rechtsprechung genügt dafür bereits die objektive Eignung zur Überwachung. Unsere Faustregeln:

• Sperren statt beobachten. Ein Filter, der riskante Kategorien blockiert, ist verhältnismäßiger als die nachträgliche Auswertung individuellen Surfverhaltens.
• Transparenz. Verankern Sie die Regeln in der IT-Nutzungsrichtlinie oder einer Betriebsvereinbarung und kommunizieren Sie sie vor dem Go-live.
• Zweckbindung und Speicherdauer. Nutzen Sie Protokolle für Sicherheit und Fehleranalyse, legen Sie eine angemessene Aufbewahrungsfrist fest und beschränken Sie, wer personenbezogene Einzeldaten einsehen darf.
• DSFA. Bei systematischer Überwachung von Beschäftigten kann eine Datenschutz-Folgenabschätzung erforderlich sein. Mehr dazu in unserem Beitrag zur TLS-Inspektion, DSGVO und Betriebsrat.

Wie Sie Informationssicherheit und Datenschutz in einem Managementsystem verbinden, lesen Sie in DSGVO und ISO 27001 gemeinsam.

Reporting: von der Sperre zum Audit-Nachweis

Zenarmor berichtet lokal (Elasticsearch oder SQLite) oder in der Cloud, laut Zenarmor mit mehr als 60 Berichten. Seit Version 2.7 können Sie für das Cloud-Reporting unter anderem die Niederlande oder Deutschland als Region wählen. Berichtsdaten lassen sich außerdem an ein externes Elasticsearch, Syslog oder SIEM streamen. Für A.8.23 sind vor allem relevant: gesperrte Sicherheitskategorien im Zeitverlauf, die am häufigsten gesperrten Domains, die Wirkung neuer Bedrohungen und die Liste aktiver Exclusions. Wie Sie das als Audit-Nachweis aufbereiten, lesen Sie in Zenarmor-Reporting für NIS2 und ISO 27001.

A.8.23 übersetzt in Zenarmor-Einstellungen

Element aus ISO 27002 (8.23)	Zenarmor-Funktion	Nachweis für den Auditor
Schädliche Websites sperren (Malware, Phishing)	Essential Security: Malware/Virus, Phishing	Richtlinien-Export, Bericht gesperrter Bedrohungen
Command-and-Control-Server	Advanced Security: Botnet C&C; DNS Deep Inspection (DGA)	Bericht, ggf. SIEM-Alarme
Threat Intelligence (Bezug zu A.5.7)	Cloud-Threat-Intelligence, Newly Registered Sites	Dokumentierte Quelle, aktive Kategorien
Illegale und unerwünschte Inhalte	Profil Moderate/High/Custom, SafeSearch	Nutzungsrichtlinie plus Profileinstellungen
Websites mit Upload-Funktion	Filesharing-Kategorien; Aktionskontrolle über CASB (ab SSE)	Risikoabwägung und Richtlinie
Regeln aktuell halten, Ausnahmen	Exclusions mit Zeitstempel, Audit-Trail in Zenconsole	Ausnahmeregister, Review-Protokolle

Zu Uploads an Filesharing-Dienste lesen Sie unseren Beitrag über SSE, CASB und DLP. Für App-basierte Sperren (KI-Tools, Fernzugriff, Peer-to-Peer) siehe Applikationskontrolle mit Zenarmor.

Branchenbeispiele

• Schulen: Profil High oder Custom im Schülernetz, SafeSearch und eingeschränkter YouTube-Modus aktiv, Zeitplan für die Unterrichtszeiten. Lehrkräfte und Verwaltung erhalten ein großzügigeres Profil. Zenarmor veröffentlicht Kundengeschichten aus dem europäischen Bildungsbereich, unter anderem von der Stadt Nordhorn und von GIP RECIA mit DynFi (Frankreich).
• Gesundheitswesen: Moderate plus alle Sicherheitskategorien im klinischen Netz und ein getrenntes Patienten-WLAN mit SafeSearch. Das unterstützt die NIS2-Pflichten, die viele Einrichtungen im Gesundheitssektor betreffen.
• Büro und Dienstleistung: Moderate oder Custom, Essential und Advanced Security auf Block, neu registrierte Domains gesperrt, DNS Deep Inspection aktiv. Ausnahmen nur über das Register.
• Gäste-WLAN: eigenes VLAN, Captive Portal, Moderate mit SafeSearch und allen Sicherheitskategorien. So schützen Sie Ihre öffentliche IP-Adresse und Ihre Reputation vor Missbrauch.

Einführung in sechs Schritten

Grenzen: HTTPS und Geräte außerhalb des Netzes

Die Kategoriefilterung funktioniert ohne Entschlüsselung: Zenarmor nutzt den Hostnamen aus dem TLS-Handshake und DNS und sperrt damit je Domain. Möchten Sie auf Pfadebene filtern (eine einzelne Seite einer sonst erlaubten Website) oder Uploads innerhalb eines Dienstes unterbinden, benötigen Sie eine vollständige TLS-Inspektion – mit allen Datenschutz- und Betriebsfragen, die daran hängen. Encrypted Client Hello kann den Hostnamen zudem verbergen. Lesen Sie deshalb vorab unseren Beitrag zur TLS-Inspektion mit Zenarmor. Laptops außerhalb des Büros schützen Sie mit den Endpoint-Agents, sodass dieselbe Webrichtlinie auch im Homeoffice und unterwegs gilt.