Im Gegensatz zur klassischen Firewall (paketorientiert), nutzt
eine Stateful Packet Inspection Firewall eine zustandsorien-
tierte Paketüberprüfung, bei der jedes Datenpaket auf der Ver-
mittlungsschicht (3. Schicht des OSI-Modells) einer bestimmten
aktiven Sitzung zugeordnet wird und der Verbindungsstatus in
dynamischen Zustandstabellen zwischengespeichert wird. Mit
Hilfe des Zustands der Verbindungen werden bei TCP die SYN-,
ACK-, FIN- und RST-Bits ausgewertet und über die Weiterleitung
von Datenpaketen entschieden. Die eigentlich zustandslosen
Datenpakete UDP (User Datagram Protocol) können auch stateful
behandelt werden.
Eine SPI-Firewall ist eine Firewall, die nicht nur einzelne Datenpakete isoliert prüft, sondern den Zustand (State) einer gesamten Verbindung überwacht und in einer sogenannten Zustandstabelle (State Table) speichert.
So funktioniert es:
Ein Client sendet eine Anfrage nach außen (z. B. Aufruf einer Webseite).
Die SPI-Firewall merkt sich diese Verbindung (Quell-/Ziel-IP, Ports, Verbindungszustand) in ihrer Zustandstabelle.
Wenn das Antwortpaket vom Zielserver zurückkommt, prüft die Firewall, ob es zu einer bekannten, bereits erlaubten Verbindung gehört.
Nur passende Antwortpakete werden durchgelassen – alles andere wird blockiert.
Unterschied zum stateless Paketfilter:
Stateless (zustandslos): Jedes Paket wird einzeln und ohne Kontext geprüft – nur anhand fester Regeln (IP, Port).
Stateful (SPI): Die Firewall kennt den Zusammenhang der Kommunikation (z. B. TCP-Handshake, Verbindungsstatus) und kann so viel gezielter entscheiden, was legitim ist.
Vorteil:
Deutlich höhere Sicherheit, da unerwartete oder gefälschte Pakete, die nicht zu einer bestehenden Verbindung gehören, automatisch abgewiesen werden – auch wenn sie formal den Regeln entsprechen würden.