Netzwerk segmentieren: warum es zählt

Ein flaches Netz wird zum Risiko, weil sich ein einzelner kompromittierter Rechner oder ein einzelnes unsicheres Gerät ungehindert im gesamten Netzwerk bewegen kann – von der Kamera am Eingang bis zum Server mit den Kundendaten. Netzwerksegmentierung trennt ein Netzwerk in mehrere logisch abgeschottete Bereiche, sodass ein Vorfall in einem Segment nicht automatisch zum Vorfall im ganzen Betrieb wird. Für viele KMU ist das der wirksamste einzelne Schritt, um die Angriffsfläche der eigenen IT-Infrastruktur spürbar zu verkleinern – und gleichzeitig einer der am häufigsten übersprungenen.

Was ein flaches Netz eigentlich bedeutet

Ein flaches Netz liegt vor, wenn alle Geräte im selben Netzwerksegment hängen und uneingeschränkt miteinander kommunizieren können: der Bürorechner, der Drucker, die Produktionsanlage, die IP-Kamera am Parkplatz und der Laptop eines Gasts im WLAN. Das entsteht selten absichtlich – meist wächst ein Netzwerk über Jahre, neue Geräte werden einfach an den nächsten freien Switch-Port angeschlossen, und niemand hat zu einem Zeitpunkt bewusst entschieden, alles in einem einzigen Segment zu betreiben. Am Ende funktioniert es im Alltag – bis genau dieser fehlende Zwischenschritt zum Problem wird.

Warum ein flaches Netz zum Risiko wird

Das Kernproblem eines flachen Netzes ist nicht, dass es unsicherer aussieht – es ist, dass ein einzelner Schwachpunkt reicht, um das gesamte Netzwerk zu erreichen. Eine schlecht abgesicherte IP-Kamera mit Standardpasswort, ein infizierter USB-Stick am Gäste-Laptop, ein veraltetes IoT-Gerät in der Produktion: All das sind übliche Einfallstore, die für sich genommen oft harmlos wirken. In einem flachen Netz kann sich ein Angreifer von dort aus aber ungehindert weiter zu Servern, Fileshares oder der Buchhaltung bewegen, weil es keine Grenze gibt, die ihn aufhält.

• Ein kompromittiertes Gerät kann im flachen Netz jedes andere Gerät im selben Netz erreichen
• IoT-Geräte und Kameras haben häufig schwächere Absicherung als klassische IT und sind ein beliebtes Einfallstor
• Gäste-WLAN im selben Netz wie interne Systeme öffnet unnötig eine zusätzliche Angriffsfläche
• Produktionsanlagen sind oft besonders schwer zu patchen und sollten deshalb besonders isoliert sein

Was VLANs technisch lösen

VLANs (Virtual Local Area Networks) teilen ein physisches Netzwerk logisch in mehrere getrennte Segmente auf, ohne dass dafür separate Kabel oder Switches nötig wären. Zwischen den Segmenten läuft der Datenverkehr über eine Firewall oder ein Layer-3-Gerät, das gezielt festlegt, welche Kommunikation zwischen welchen Segmenten überhaupt erlaubt ist. Ein Gerät im Kamera-Segment kann so zum Beispiel mit dem Videorekorder sprechen, aber nicht mit dem Server in der Buchhaltung – selbst wenn beide am gleichen physischen Switch hängen. Diese Trennung lässt sich schrittweise einführen und muss nicht auf einmal für das komplette Netzwerk passieren.

Welche Technik dafür nötig ist

Für eine saubere Segmentierung braucht es meist keine komplette Neuanschaffung der gesamten Netzwerktechnik, aber ein paar Grundvoraussetzungen: verwaltete (managed) Switches, die VLANs unterstützen, statt einfacher unmanaged Switches, sowie eine Firewall oder ein Router, der Regeln zwischen den Segmenten durchsetzen kann. Viele KMU-Netzwerke laufen bereits über Geräte, die das grundsätzlich könnten, aber bisher nicht entsprechend konfiguriert sind – in diesem Fall ist Segmentierung in erster Linie ein Konfigurations- und Planungsaufwand, kein reines Hardwareprojekt. Erst wenn die vorhandene Technik keine VLANs unterstützt, wird ein Austausch einzelner Komponenten tatsächlich notwendig.

Wie man ein Netz sinnvoll segmentiert

Eine sinnvolle Grundstruktur orientiert sich an Funktionsbereichen, nicht an physischen Standorten: Produktion, Büro-IT, Gäste-WLAN und Kameras/Gebäudetechnik sind vier Bereiche, die in den meisten Betrieben schon aus praktischen Gründen unterschiedliche Anforderungen an Sicherheit und Erreichbarkeit haben.

• Produktionsnetz: eigenes Segment, meist mit besonders restriktiven Regeln, da Anlagen oft schwer zu patchen sind
• Büro-IT: Arbeitsplätze, Server, Drucker – mit differenzierten Regeln je nach Sensibilität der jeweiligen Systeme
• Gäste-WLAN: komplett isoliert, nur Internetzugang, kein Zugriff auf interne Systeme
• Kameras und Gebäudetechnik: eigenes Segment, meist nur mit dem zugehörigen Rekorder und einer begrenzten Verwaltungsschnittstelle erreichbar

Praktische Umsetzung: wie ein Segmentierungsprojekt abläuft

Segmentierung lässt sich nicht an einem Nachmittag umsetzen, wenn ein Netzwerk bereits gewachsen ist – aber sie lässt sich strukturiert und schrittweise einführen, ohne den laufenden Betrieb zu gefährden.

1. 01Bestandsaufnahme: welche Geräte es gibt, wo sie hängen und wer mit wem kommuniziert
2. 02Zielsegmente festlegen, angelehnt an Funktionsbereiche statt an physischen Standorten
3. 03Firewall-Regeln zwischen den Segmenten definieren, beginnend mit einer restriktiven Grundregel
4. 04Geräte schrittweise in ihre Zielsegmente umziehen und dabei jeweils die Kommunikation testen
5. 05Regeln nachschärfen, sobald sich zeigt, welche Verbindungen tatsächlich gebraucht werden

Nach der Segmentierung: was dauerhaft dazugehört

Segmentierung ist kein einmaliges Projekt, das mit den fertigen Firewall-Regeln abgeschlossen ist. Netzwerke verändern sich – neue Geräte kommen dazu, neue Anwendungen brauchen neue Verbindungen zwischen Segmenten, und ohne einen festen Rhythmus zur Pflege wächst über die Zeit genau die Unübersichtlichkeit wieder heran, die am Anfang beseitigt wurde.

• Neue Geräte von Anfang an dem richtigen Segment zuordnen, statt sie provisorisch ins nächstbeste Netz zu hängen
• Firewall-Regeln regelmäßig durchsehen und nicht mehr benötigte Ausnahmen wieder entfernen
• Segmentplan und IP-Zuordnung dokumentiert und aktuell halten, damit auch ein neuer Ansprechpartner sich zurechtfindet
• Kommunikation zwischen Segmenten stichprobenartig überprüfen, ob sie noch dem ursprünglichen Regelwerk entspricht

Was es kostet, es nicht zu tun

Der Aufwand für Segmentierung wird oft gegen den vermeintlichen Aufwand aufgerechnet, alles beim Alten zu lassen. Übersehen wird dabei, dass ein flaches Netz seinen Preis erst im Ernstfall zeigt – wenn ein einzelner Vorfall nicht auf ein Segment begrenzt bleibt, sondern sich durch den gesamten Betrieb zieht und Produktion, Büro-IT und Kameraanlage gleichzeitig betrifft. Dieser Aufwand fällt dann nicht geplant an, sondern unter Zeitdruck – und meist deutlich höher, als die Segmentierung im Vorfeld gekostet hätte.