Danke für die rasche Antwort und die einleuchtende Erklärung!
Deine Annahme ist wahrscheinlich richtig. Es gab an dem Tag auf dem Client einen eingehenden Anruf in Threema. Die Uhrzeit kann ich nicht korrelieren, weil die in der App nicht angezeigt wird und ich bei dem Anruf auch keine "Details" oä öffnen kann. Trotzdem, aufgrund deiner Erklärung gehe ich davon aus, dass es das war. Und bin beruhigt.
Wegen deiner Frage: Die Firewall läuft auf einem Router (UniFi Security Gateway, genauer dessen IPS).