Netzwerk segmentieren: warum es zählt

Ein flaches Netz wird zum Risiko, weil sich ein einzelnes kompromittiertes Gerät ungehindert im gesamten Netzwerk bewegen kann – von der Kamera am Eingang bis zum Server mit den Kundendaten. Netzwerksegmentierung trennt ein Netzwerk in logisch abgeschottete Bereiche, sodass ein Vorfall in einem Segment nicht automatisch den ganzen Betrieb trifft. Für KMU ist das ein wirksamer Schritt, um die Angriffsfläche zu verkleinern, der trotzdem oft übersprungen wird, weil ein flaches Netz bis zum ersten Vorfall problemlos funktioniert.

Was ein flaches Netz eigentlich bedeutet

Ein flaches Netz liegt vor, wenn alle Geräte im selben Netzwerksegment hängen und uneingeschränkt miteinander kommunizieren können: der Bürorechner, der Drucker, die Produktionsanlage, die IP-Kamera am Parkplatz und der Laptop eines Gasts im WLAN. Das entsteht selten absichtlich – meist wächst ein Netzwerk über Jahre, neue Geräte werden einfach an den nächsten freien Switch-Port angeschlossen, und niemand hat zu einem Zeitpunkt bewusst entschieden, alles in einem einzigen Segment zu betreiben. Am Ende funktioniert es im Alltag – bis genau dieser fehlende Zwischenschritt zum Problem wird.

Warum ein flaches Netz zum Risiko wird

Das Kernproblem eines flachen Netzes ist nicht, dass es unsicherer aussieht – es ist, dass ein einzelner Schwachpunkt reicht, um das gesamte Netzwerk zu erreichen. Eine schlecht abgesicherte IP-Kamera mit Standardpasswort, ein infizierter USB-Stick am Gäste-Laptop, ein veraltetes IoT-Gerät in der Produktion: All das sind übliche Einfallstore, die für sich genommen oft harmlos wirken. In einem flachen Netz kann sich ein Angreifer von dort aus aber ungehindert weiter zu Servern, Fileshares oder der Buchhaltung bewegen, weil es keine Grenze gibt, die ihn aufhält.

• Ein kompromittiertes Gerät kann im flachen Netz jedes andere Gerät im selben Netz erreichen
• IoT-Geräte und Kameras haben häufig schwächere Absicherung als klassische IT und sind ein beliebtes Einfallstor
• Gäste-WLAN im selben Netz wie interne Systeme öffnet unnötig eine zusätzliche Angriffsfläche
• Produktionsanlagen sind oft besonders schwer zu patchen und sollten deshalb besonders isoliert sein

Was VLANs technisch lösen

VLANs (Virtual Local Area Networks) teilen ein physisches Netzwerk logisch in mehrere getrennte Segmente auf, ohne dass dafür separate Kabel oder Switches nötig wären. Zwischen den Segmenten läuft der Datenverkehr über eine Firewall oder ein Layer-3-Gerät, das gezielt festlegt, welche Kommunikation zwischen welchen Segmenten überhaupt erlaubt ist. Ein Gerät im Kamera-Segment kann so zum Beispiel mit dem Videorekorder sprechen, aber nicht mit dem Server in der Buchhaltung – selbst wenn beide am gleichen physischen Switch hängen. Diese Trennung lässt sich schrittweise einführen und muss nicht auf einmal für das komplette Netzwerk passieren.

Welche Technik dafür nötig ist

Für eine saubere Segmentierung braucht es meist keine komplette Neuanschaffung der gesamten Netzwerktechnik, aber ein paar Grundvoraussetzungen: verwaltete (managed) Switches, die VLANs unterstützen, statt einfacher unmanaged Switches, sowie eine Firewall oder ein Router, der Regeln zwischen den Segmenten durchsetzen kann. Viele KMU-Netzwerke laufen bereits über Geräte, die das grundsätzlich könnten, aber bisher nicht entsprechend konfiguriert sind – in diesem Fall ist Segmentierung in erster Linie ein Konfigurations- und Planungsaufwand, kein reines Hardwareprojekt. Erst wenn die vorhandene Technik keine VLANs unterstützt, wird ein Austausch einzelner Komponenten tatsächlich notwendig.

Wie man ein Netz sinnvoll segmentiert

Eine sinnvolle Grundstruktur orientiert sich an Funktionsbereichen, nicht an physischen Standorten: Produktion, Büro-IT, Gäste-WLAN und Kameras/Gebäudetechnik sind vier Bereiche, die in den meisten Betrieben schon aus praktischen Gründen unterschiedliche Anforderungen an Sicherheit und Erreichbarkeit haben.

• Produktionsnetz: eigenes Segment, meist mit besonders restriktiven Regeln, da Anlagen oft schwer zu patchen sind
• Büro-IT: Arbeitsplätze, Server, Drucker – mit differenzierten Regeln je nach Sensibilität der jeweiligen Systeme
• Gäste-WLAN: komplett isoliert, nur Internetzugang, kein Zugriff auf interne Systeme
• Kameras und Gebäudetechnik: eigenes Segment, meist nur mit dem zugehörigen Rekorder und einer begrenzten Verwaltungsschnittstelle erreichbar

Praktische Umsetzung: wie ein Segmentierungsprojekt abläuft

Segmentierung lässt sich nicht an einem Nachmittag umsetzen, wenn ein Netzwerk bereits gewachsen ist – aber sie lässt sich strukturiert und schrittweise einführen, ohne den laufenden Betrieb zu gefährden.

1. 01Bestandsaufnahme: welche Geräte es gibt, wo sie hängen und wer mit wem kommuniziert
2. 02Zielsegmente festlegen, angelehnt an Funktionsbereiche statt an physischen Standorten
3. 03Firewall-Regeln zwischen den Segmenten definieren, beginnend mit einer restriktiven Grundregel
4. 04Geräte schrittweise in ihre Zielsegmente umziehen und dabei jeweils die Kommunikation testen
5. 05Regeln nachschärfen, sobald sich zeigt, welche Verbindungen tatsächlich gebraucht werden

Nach der Segmentierung: was dauerhaft dazugehört

Segmentierung ist kein einmaliges Projekt, das mit den fertigen Firewall-Regeln abgeschlossen ist. Netzwerke verändern sich – neue Geräte kommen dazu, neue Anwendungen brauchen neue Verbindungen zwischen Segmenten, und ohne einen festen Rhythmus zur Pflege wächst über die Zeit genau die Unübersichtlichkeit wieder heran, die am Anfang beseitigt wurde.

• Neue Geräte von Anfang an dem richtigen Segment zuordnen, statt sie provisorisch ins nächstbeste Netz zu hängen
• Firewall-Regeln regelmäßig durchsehen und nicht mehr benötigte Ausnahmen wieder entfernen
• Segmentplan und IP-Zuordnung dokumentiert und aktuell halten, damit auch ein neuer Ansprechpartner sich zurechtfindet
• Kommunikation zwischen Segmenten stichprobenartig überprüfen, ob sie noch dem ursprünglichen Regelwerk entspricht

Was es kostet, es nicht zu tun

Der Aufwand für Segmentierung wird oft gegen den vermeintlichen Aufwand aufgerechnet, alles beim Alten zu lassen. Übersehen wird dabei, dass ein flaches Netz seinen Preis erst im Ernstfall zeigt – wenn ein einzelner Vorfall nicht auf ein Segment begrenzt bleibt, sondern sich durch den gesamten Betrieb zieht und Produktion, Büro-IT und Kameraanlage gleichzeitig betrifft. Dieser Aufwand fällt dann nicht geplant an, sondern unter Zeitdruck – und meist deutlich höher, als die Segmentierung im Vorfeld gekostet hätte.

Wie NDVDL die Segmentierung übernimmt

NDVDL setzt Netzwerksegmentierung für KMU in Österreich und der Slowakei um, meist in bestehenden, gewachsenen Netzen. Wir beginnen vor Ort mit einer Bestandsaufnahme: welche Geräte es gibt, wer mit wem sprechen muss und was die vorhandenen Switches und die Firewall bereits können. Danach bekommen Sie einen schriftlichen Vorschlag mit Zielsegmenten, Regeln und einer Reihenfolge, die den laufenden Betrieb nicht unterbricht.

Nach der Umstellung bleiben wir zuständig: Neue Geräte kommen ins richtige Segment, Ausnahmen werden regelmäßig überprüft, und der Segmentplan bleibt aktuell. Sie haben einen festen Ansprechpartner, der Ihr Netz kennt. Für viele Betriebe ist das auch der Moment, in dem sie entscheiden, die laufende Betreuung der Infrastruktur ganz abzugeben, statt sie nebenbei mitlaufen zu lassen.