Netzwerksegmentierung

In vielen gewachsenen Netzwerken kann jedes Gerät jedes andere erreichen: der Büro-PC den Server, der Drucker die Produktionsanlage, das Gäste-Smartphone die Kamera. In einem solchen flachen Netz kann sich ein Angreifer nach dem ersten Einbruch ungehindert weiterbewegen. Fachleute sprechen von seitlicher Bewegung (Lateral Movement). Schadsoftware wie Ransomware nutzt genau das, um möglichst viele Systeme zu verschlüsseln. Segmentierung begrenzt diesen Schaden und schafft zusätzlich Übersicht.

Wie funktioniert Netzwerksegmentierung?

• Logische Trennung: Auf den Switches werden virtuelle Netze (VLANs) eingerichtet. Jedes Segment erhält einen eigenen IP-Adressbereich.
• Kontrollierte Übergänge: Verkehr zwischen Segmenten läuft über eine Firewall oder einen Router mit Zugriffslisten. Grundregel ist, alles zu sperren, was nicht ausdrücklich erlaubt ist.
• Physische Trennung: Für besonders kritische Bereiche kann eine vollständig getrennte Verkabelung sinnvoll sein.
• Mikrosegmentierung: In virtualisierten Umgebungen und in der Cloud lassen sich Regeln bis auf einzelne Server oder Anwendungen herunterbrechen, ein Kernelement von Zero Trust.
• Automatische Zuordnung: Mit einer Netzwerkzugangskontrolle nach IEEE 802.1X landen Geräte nach ihrer Anmeldung automatisch im passenden Segment.

Typische Beispiele

Häufige Segmente in Unternehmen sind:

• Arbeitsplatzrechner
• Server und Datensicherung
• Verwaltungszugänge von Switches, Firewalls und Hypervisoren
• Gäste-WLAN
• Drucker, Kameras und andere IoT-Geräte
• Produktion und Gebäudetechnik, siehe OT-Security
• eine DMZ für Dienste, die aus dem Internet erreichbar sind

Worauf Unternehmen achten sollten

• Kommunikation erfassen: Vor dem Erstellen von Regeln ermitteln, welche Systeme tatsächlich miteinander sprechen müssen.
• Schrittweise vorgehen: Zuerst Gäste, IoT und Produktion abtrennen, danach Server und Clients feiner aufteilen.
• Backups besonders schützen: Sicherungssysteme gehören in ein eigenes, streng abgeschottetes Segment.
• Filtern statt nur trennen: VLANs ohne Regeln an den Übergängen bringen kaum Sicherheitsgewinn.
• Regeln pflegen: Firewall-Regeln dokumentieren und regelmäßig auf veraltete Freigaben prüfen.

Abgrenzung

Segmentierung ist kein Ersatz für Schutz auf den Geräten selbst. Sie verhindert keinen ersten Einbruch, erschwert aber die Ausbreitung und macht ungewöhnlichen Verkehr zwischen Segmenten sichtbar. Ihre volle Wirkung entfaltet sie im Zusammenspiel mit Endpoint-Schutz, Überwachung und regelmäßig ausgewerteten Firewall-Protokollen.