Die häufigsten Fehler in gewachsenen Firmennetzen

Die häufigsten Fehler in gewachsenen Firmennetzen sind fast immer dieselben: ein flaches Netz ohne Segmentierung, Änderungen, die niemand dokumentiert hat, Consumer-Hardware an einer Stelle, die eigentlich professionelle Technik gebraucht hätte, Switch-Kaskaden statt strukturierter Verkabelung, vergessene Portfreigaben aus längst abgeschlossenen Projekten und – besonders häufig nach einem Zukauf – doppelt vergebene IP-Bereiche. Keines dieser Muster entsteht aus Nachlässigkeit an einem einzigen Tag. Es sind Netzwerke, die über Jahre mitgewachsen sind, während niemand ausdrücklich dafür zuständig war, sie auch wieder aufzuräumen.

Flaches Netz ohne Segmentierung

Das mit Abstand häufigste Muster: Arbeitsplätze, Server, Drucker, Kameras, Produktionsanlagen und Gäste-WLAN hängen im selben Netzwerksegment und können uneingeschränkt miteinander sprechen. Erkennbar ist das oft schon an einer einzigen Frage: Kann ein Gast-Laptop im WLAN technisch den Server in der Buchhaltung erreichen? Wenn die Antwort ja lautet oder niemand sie sicher beantworten kann, ist das Netz flach. Entstanden ist das selten absichtlich – meist wurde jedes neue Gerät einfach an den nächsten freien Port gehängt, ohne dass jemand bewusst entschieden hat, alles in einem Segment zu betreiben.

• VLANs für Produktion, Büro-IT, Gäste-WLAN und Kameras einrichten, sobald die vorhandenen Switches das unterstützen
• Firewall-Regeln zwischen den Segmenten restriktiv beginnen und erst bei tatsächlichem Bedarf öffnen
• Bestehende Switches vor einem Neukauf prüfen – viele können VLANs bereits, sind nur nicht entsprechend konfiguriert

Undokumentierte Änderungen

Ein zweites, sehr häufiges Muster sind Änderungen, die zwar korrekt umgesetzt wurden, aber nirgendwo festgehalten sind: eine zusätzliche Portfreigabe für ein Projekt, ein manuell gesetztes statisches Routing, eine Sonderregel in der Firewall, die einmalig gebraucht wurde. Jede einzelne Änderung war im Moment sinnvoll – das Problem entsteht erst, wenn sich solche Änderungen über Jahre summieren und niemand mehr weiß, warum eine bestimmte Regel überhaupt existiert. Erkennbar ist das daran, dass im Unternehmen niemand einen aktuellen Netzplan vorlegen kann, der wirklich dem entspricht, was tatsächlich läuft.

• Jede Änderung am Netzwerk in einem zentralen, für mehrere Personen einsehbaren Dokument festhalten
• Bestehende Firewall-Regeln regelmäßig durchsehen und Regeln ohne erkennbaren Zweck gezielt hinterfragen
• Netzplan nach jeder größeren Änderung aktualisieren, nicht erst dann, wenn er ohnehin gebraucht wird

Consumer-Hardware an kritischer Stelle

An Stellen, die eigentlich professionelle Technik brauchen – als zentraler Switch, als WLAN-Access-Point für den gesamten Betrieb, als Firewall am Internetübergang – findet sich in gewachsenen Netzen erstaunlich oft Hardware aus dem Elektronikmarkt. Meist kam sie als schnelle Zwischenlösung ins Netz, etwa weil ein Gerät defekt war und rasch Ersatz gebraucht wurde, und ist nie wieder gegen etwas Passenderes getauscht worden. Erkennbar ist das an fehlendem zentralem Management, an fehlenden Sicherheitsupdates über Jahre oder daran, dass ein Gerät nur über eine App aus dem Consumer-Bereich verwaltet werden kann.

• Kritische Positionen im Netz (zentraler Switch, Firewall, Access Points) mit zentral verwaltbaren Geräten besetzen, die regelmäßig Updates bekommen
• Provisorien nach der Übergangszeit tatsächlich wieder ersetzen, statt sie dauerhaft im Betrieb zu belassen
• Bei Neuanschaffung auf Verwaltbarkeit und Update-Politik des Herstellers achten, nicht nur auf den Preis

Switch-Kaskaden statt strukturierter Verkabelung

Statt eines strukturierten Verteilers mit klaren Verbindungen zu den einzelnen Bereichen findet sich in gewachsenen Netzen oft eine Kette aus mehreren Switches, die nacheinander aneinanderhängen – Switch A versorgt Switch B, der wiederum Switch C, weil an einer Stelle einfach zu wenige Ports frei waren. Jede einzelne Kaskade wirkt für sich harmlos, in Summe entsteht aber ein Netz, in dem ein einzelner Ausfall in der Mitte der Kette mehrere Bereiche gleichzeitig lahmlegt und die Fehlersuche unnötig kompliziert wird. Erkennbar ist das Muster oft schon optisch: Kabel, die querbeet zwischen Räumen verlaufen, statt an einem zentralen Verteiler zusammenzulaufen.

• Verkabelung auf einen oder wenige zentrale Verteiler zurückführen, statt Switches in Reihe zu schalten
• Bei jeder neuen Kaskade prüfen, ob am zentralen Verteiler stattdessen ein zusätzlicher Port oder Switch sinnvoller ist
• Kritische Bereiche wie Server und Firewall direkt am zentralen Verteiler anschließen, nicht am Ende einer Kaskade

Vergessene Portfreigaben

Für ein einzelnes, oft längst abgeschlossenes Projekt wurde eine Portfreigabe in der Firewall eingerichtet – ein externer Dienstleister brauchte kurzfristig Zugriff, eine Testumgebung sollte von außen erreichbar sein. Das Projekt ist vorbei, die Freigabe bleibt bestehen, weil niemand sie aktiv wieder schließt. Über Jahre sammeln sich so offene Ports an, die niemand mehr braucht, die aber jeder findet, der von außen gezielt nach Schwachstellen sucht. Erkennbar ist das an einer Firewall-Konfiguration, die deutlich mehr offene Regeln enthält, als sich mit aktuell tatsächlich laufenden Diensten erklären lässt.

• Alle Portfreigaben regelmäßig gegen tatsächlich benötigte Dienste abgleichen
• Freigaben von Anfang an mit einem Enddatum oder einem klaren Anlass versehen, der eine spätere Prüfung auslöst
• Nicht mehr zuordenbare Regeln nicht stehen lassen, sondern gezielt testen und danach schließen

Doppelt vergebene IP-Bereiche nach Zukäufen

Besonders nach der Übernahme eines weiteren Standorts oder Unternehmens taucht ein Muster auf, das im Alltag oft übersehen wird: Beide Netze wurden unabhängig voneinander mit denselben privaten IP-Bereichen aufgebaut. Solange beide getrennt laufen, fällt das nicht auf – sobald aber eine Verbindung zwischen den Standorten hergestellt werden soll, etwa für eine gemeinsame Datenablage oder eine zentrale Telefonanlage, kollidieren die Adressbereiche und nichts funktioniert wie geplant. Erkennbar ist das Risiko schon vor der eigentlichen Anbindung, sobald man die IP-Pläne beider Standorte nebeneinanderlegt.

• Vor jeder Anbindung eines weiteren Standorts die IP-Bereiche beider Netze vergleichen
• Bei Zukäufen frühzeitig einen gemeinsamen Adressplan festlegen, statt die Kollision erst bei der Anbindung zu entdecken
• Neue Standorte von Anfang an mit einem unternehmensweit abgestimmten IP-Schema aufbauen

Was tun, wenn Sie mehrere dieser Muster wiedererkennen?

Keines dieser Muster lässt sich an einem Nachmittag beheben, und keines rechtfertigt, das gesamte Netz von Grund auf neu aufzubauen. Der sinnvollere Weg ist eine Bestandsaufnahme, die zunächst nur beschreibt, was tatsächlich vorhanden ist – Geräte, Verkabelung, Firewall-Regeln, IP-Bereiche –, gefolgt von einer Priorisierung nach Risiko und laufendem Betrieb. Zugänge und offene Ports lassen sich meist mit wenig Aufwand bereinigen, Segmentierung und strukturierte Verkabelung sind größere Vorhaben, die sich aber schrittweise umsetzen lassen, ohne den Betrieb zu unterbrechen.