Gebrauchte Firewalls: FortiGate, SonicWall, Palo Alto

Eine generalüberholte Firewall kostet 40 bis 70 % weniger als das Neugerät, aber der Markt für gebrauchte Firewalls birgt spezifische Fallstricke. Der Grund ist einfach: Eine Firewall ist untrennbar mit ihrer Firmware, den Sicherheitslizenzen (IPS, Flow-Antivirus, URL-Filterung) und dem Supportstatus des Herstellers verbunden. Ein gebrauchter FortiGate 60E für 120 € ohne aktives FortiCare bietet eine UTM-Durchsatzrate von nur 200 Mbps und keine Basis-Signaturupdates – kurz gesagt, ein Sieb gegen die Bedrohungen von 2026. In Deutschland dominieren drei Marken den Markt für gebrauchte Firewalls: Fortinet (FortiGate), SonicWall und Palo Alto Networks, alle aus Erneuerungen von Unternehmensbeständen. Dieser Leitfaden erklärt Ihnen, wie Sie jedes Modell bewerten, welche Fallstricke Sie vermeiden sollten und was Sie von einem seriösen Händler für generalüberholte Firewalls verlangen müssen.

Was Sie wirklich wissen müssen, bevor Sie eine gebrauchte Firewall kaufen

Firmware, Lebensende und unterstützte Versionen

Jedes Modell hat ein Hardware-Ende-der-Lebensdauer-Datum (EOL) und ein Software-Support-Ende-Datum (EOS). Nach dem EOS erhalten Sie keine Sicherheitsupdates mehr – entscheidend für ein Gerät, das den gesamten eingehenden Datenverkehr filtert. Konkrete Beispiele:

• FortiGate 60E: Hardware-EOL Oktober 2024, letzte FortiOS-Version = 7.0.x
• FortiGate 60F: Hardware-EOL 2027, unterstützt FortiOS 7.4.x (bis Ende 2026)
• SonicWall TZ300: Software-EOS 2023, unterstützt SonicOS 7.x nicht mehr
• Palo Alto PA-220: unterstützt PAN-OS 11.1.x bis Mitte 2027
• Palo Alto PA-820: unterstützt PAN-OS 11.2.x, Hardware-EOL geplant für 2028

UTM/NGFW-Lizenzen: Was niemals übertragen wird

Die Sicherheitsabonnements (FortiCare, SonicWALL CGSS/EPSS, Palo Alto Threat Prevention, WildFire, DNS Security) sind personenbezogen und an den Vertrag des ursprünglichen Eigentümers gebunden. Sie werden niemals mit dem Hardwareverkauf übertragen. Was Sie kaufen, ist ausschließlich die Hardware. Die Lizenzverlängerung erfolgt direkt beim Hersteller oder einem autorisierten Partner.

Indikativer Jahreslizenz-Budget 2026:

• FortiGate 60F: FortiCare 360 + UTP Bundle ≈ 350–450 €/Jahr
• SonicWall TZ470: Essentials Pack (EPSS) ≈ 400–550 €/Jahr
• Palo Alto PA-220: Threat Prevention + DNS Security + WildFire ≈ 800–1.200 €/Jahr

5 Fragen, die Sie Ihrem Händler unbedingt stellen sollten

1. Wie lautet die Seriennummer und das Ablaufdatum der aktiven Lizenzen?
2. Wurde die Firewall auf Werkseinstellungen zurückgesetzt (Factory Reset)?
3. Welche Firmware-Version ist installiert und auf welche Version kann aktualisiert werden?
4. Wurden alle physischen Schnittstellen getestet (RJ45 GbE, SFP, Konsolenport)?
5. Ist die Hardware unter einem Partnerkonto registriert, das den Support-Transfer erlaubt?

Vergleich gebrauchter Firewall-Modelle: FortiGate, SonicWall, Palo Alto

Die folgende Tabelle umfasst die am häufigsten verfügbaren Modelle auf dem Markt für generalüberholte Firewalls im Jahr 2026 mit technischen Spezifikationen, Einschränkungen und Richtpreisen ohne Lizenzen.

Modell	Stärken	Einschränkungen	Generalüberholter Preis
FortiGate 60F	10 Gbps Firewall, 1 Gbps UTM (NP6XLite), 10 GbE Ports, natives SD-WAN, SSL-VPN	Kein 10 GbE Port, 2 GB RAM, max. 200 VPN-Tunnel	200–380 €
FortiGate 100F	20 Gbps Firewall, 1 Gbps NGFW, 2 x SFP+ 10 GbE Ports, native aktive/passive HA	FortiCare Jahrespaket 700–900 €/Jahr, 4 GB RAM	600–1 100 €
SonicWall TZ470	3,5 Gbps Firewall, 1,5 Gbps Threat Prevention, SD-WAN, 8 GbE + 2 SFP	Abonnement CGSS/EPSS für IPS und aktives URL-Filtering erforderlich	380–650 €
Palo Alto PA-220	NGFW Full-Proxy App-ID, native Anwendungsübersicht, 4 GbE, PAN-OS 11.x	Maximal 500 Mbps SSL-Inspektion, Lizenzen 800–1.200 €/Jahr	320–580 €
FortiGate 200F	27 Gbps Firewall, 3 Gbps NGFW, 16 GbE + 4 SFP+ 10 GbE, HA inklusive, 8 GB RAM	1U-Rack-Format, 65 W Verbrauch, hohe Lizenzkosten	1 400–2 200 €

Auswahlkriterien je nach Nutzung

KMU < 20 Arbeitsplätze: Ausreichender Durchsatz zu geringeren Kosten

Für eine Struktur mit weniger als 20 Arbeitsplätzen und einem Glasfaser-Internetzugang bis zu 1 Gbps symmetrisch bietet der gebrauchte FortiGate 60F (200–380 €) 1 Gbps UTM-Durchsatz mit aktiven Lizenzen und unterstützt FortiOS 7.4.x bis 2027. Der SonicWall TZ370 (150–280 €) eignet sich für eine einfache NAT + Site-to-Site VPN-Konfiguration bei knappem Budget. In dieser Größenordnung ist Palo Alto wirtschaftlich nicht gerechtfertigt: Die Lizenzen allein übersteigen 800 €/Jahr für weniger als 20 Nutzer.

KMU 20-100 Arbeitsplätze: Ausgewogenes Verhältnis von Durchsatz und Inspektion

Der gebrauchte FortiGate 100F (600–1.100 €) dominiert mit 1 Gbps NGFW, integriertem SD-WAN und 2 x 10 GbE SFP+ Ports für den Uplink zu einem gebrauchten Core-Switch. Der SonicWall TZ470 (380–650 €) ist eine Alternative, wenn Sie eine einfachere Verwaltungsoberfläche bevorzugen. Prüfen Sie unbedingt Multi-WAN mit automatischem Failover, wenn Sie zwei Anbieter haben.

ETI > 100 Arbeitsplätze: SSL-Inspektion und erweiterte VLAN-Segmentierung

Der gebrauchte FortiGate 200F (1.400–2.200 €) oder der Palo Alto PA-820 (1.800–3.000 €) sind die natürlichen Kandidaten. Der PA-820 bietet 1,9 Gbps Anwendungsdurchsatz mit App-ID und vollständiger SSL-Inspektion — unverzichtbar, um den Empfehlungen der ANSSI zum Schutz von Informationssystemen zu entsprechen. Planen Sie 2.000 bis 4.000 €/Jahr an Lizenzen für einen vollständig ausgestatteten PA-820 ein.

Was itandoffice.com bei generalüberholten Firewalls garantiert

Eine generalüberholte Unternehmensfirewall ist ein kritisches Sicherheitsgerät. Systematisches Protokoll, das von itandoffice.com angewendet wird:

• Vollständiger Werksreset: Factory Reset via CLI (execute factoryreset bei FortiGate) — keine vorherigen Konfigurationen, Regeln oder Zugangsdaten bleiben erhalten
• Test aller physischen Schnittstellen: Jeder RJ45-, SFP- und Konsolenport wird einzeln mit voller Bandbreite getestet
• Firmware-Update: Aktualisierung auf die letzte unterstützte stabile Version (FortiOS, SonicOS, PAN-OS je nach Marke)
• Hardware-Lizenzprüfung: Überprüfung im Herstellerportal via Seriennummer, Ablaufdatum im Produktblatt angegeben
• 24-Stunden-Stabilitätstest: simulierte Last (gleichzeitiges TCP/UDP, iperf3) mindestens 24 Stunden
• Thermische Kontrolle: Messung der Prozessor- und ASIC-Temperaturen, Überprüfung des Lüfterzustands vor Versand

TCO-Vergleich über 3 Jahre — FortiGate 100F:

• Neu: 2.800 € Hardware + 2.100 € FortiCare 36 Monate = 4.900 € inkl. MwSt.
• Generalüberholt itandoffice.com: 850 € Hardware + 2.100 € FortiCare 36 Monate = 2.950 € inkl. MwSt.
• Einsparung beim gesamten TCO: 40 % bzw. 1.950 € über 3 Jahre

Garantie 30 Tage Geld-zurück-Zufriedenheitsgarantie. Physischer Lagerbestand in Frankreich, Lieferung in 24–72 Stunden: Frankreich, Belgien, Luxemburg, Schweiz, Niederlande, Deutschland, Vereinigtes Königreich, Spanien, Italien, Portugal.

FAQ — Die 5 häufigsten Fragen zur gebrauchten Firewall

Kann man eine gebrauchte Firewall ohne aktives Sicherheitsabonnement verwenden?

Ja, für die Grundfunktionen: Stateful Routing, NAT, IP/Port-Filterung und IPsec-VPN funktionieren ohne Lizenz. Die erweiterten UTM/NGFW-Funktionen (IPS, Flow-Antivirus, URL-Filterung, Sandboxing, SSL-Inspektion) erfordern jedoch ein aktives Abonnement. Ein KMU mit gut segmentiertem und wenig exponiertem Netzwerk kann mit den Grundfunktionen auskommen; eine Struktur mit aktivem HTTPS-Verkehr zu öffentlichen Diensten benötigt Inspektionslizenzen.

Was ist der Unterschied zwischen einem gebrauchten FortiGate 60E und 60F?

Der 60E (NP6Lite) liefert 3 Gbps Firewall und 200 Mbps UTM. Der 60F (NP6XLite) erreicht 10 Gbps Firewall und 1 Gbps UTM – also fünfmal mehr Leistung bei der Inhaltsinspektion. Der 60E ist am Ende seiner Hardware-Lebensdauer (EOL Oktober 2024) und erhält keine FortiOS-Updates über Version 7.0.x hinaus. Bevorzugen Sie den generalüberholten 60F (200–380 €) für jede Neuinstallation.

Sind UTM/NGFW-Lizenzen bei einer generalüberholten Firewall enthalten?

Nein, niemals. Die Lizenzen (FortiCare, SonicWALL CGSS, Palo Alto Abonnements) sind personenbezogen und werden beim Weiterverkauf der Hardware nicht übertragen. Einige Händler bieten Geräte mit kürzlich erneuerten Abonnements an – verlangen Sie den Nachweis über das Herstellerportal und die Seriennummer. itandoffice.com zeigt den Lizenzstatus in jedem Produktblatt an.

Wie überprüft man die Firmware-Version einer gebrauchten FortiGate?

Über CLI (SSH oder Konsolenport RJ45): der Befehl get system status zeigt die FortiOS-Version, die Seriennummer und den Lizenzstatus an. Über die Weboberfläche HTTPS: System > Dashboard > Status. Für den 60F, stabile Version Mitte 2026: FortiOS 7.4.x; für den 100F: FortiOS 7.6.x verfügbar ab Q4 2025.

Welche Lebensdauer kann man von einer gebrauchten Firewall erwarten?

Ein FortiGate oder SonicWall mit 3 bis 4 Jahren Nutzung hat bei intaktem Netzteil noch 4 bis 6 Jahre Lebensdauer. Die Netzwerk-ASICs (FortiASIC NP, SonicWALL Security Processor) haben eine Hardware-Lebensdauer von 10 bis 15 Jahren. Überprüfen Sie die Betriebsstunden über get hardware status Bei FortiGate kündigt ein Laufgeräusch der Lüfter einen Ausfall in 6–18 Monaten an.

Fazit

Der Kauf einer gebrauchten Firewall ermöglicht Einsparungen von 40 % der Gesamtkosten über 3 Jahre, vorausgesetzt, man beachtet drei Regeln: Überprüfen Sie die unterstützte Firmware-Version, budgetieren Sie die Lizenzen separat und verlangen Sie einen dokumentierten Factory Reset. Die generalüberholten Modelle FortiGate 60F, 100F, SonicWall TZ470 und Palo Alto PA-220 decken 90 % der Bedürfnisse von KMU und mittelständischen Unternehmen in Frankreich ab. Sehen Sie sich den Katalog gebrauchter Firewalls oder unseren umfassenden Leitfaden zum gebrauchten IT-Equipment an, um eine sichere Infrastruktur kostengünstig aufzubauen.