Viele Unternehmensnetze sind über Jahre gewachsen. Neue Server kamen dazu, ein Standort wurde angebunden, die Produktion ans Netz geholt, das Gäste-WLAN eingerichtet. Das Ergebnis ist häufig ein sogenanntes flaches Netz: Jedes Gerät kann jedes andere erreichen. Für den Betrieb ist das bequem. Für Angreifer ist es ideal.
Die Antwort darauf heißt Segmentierung. Dabei fallen zwei Begriffe, die oft durcheinandergehen: Netzwerksegmentierung und Mikrosegmentierung. Beide verfolgen dasselbe Ziel, nämlich die Ausbreitung von Angriffen zu begrenzen, arbeiten aber auf sehr unterschiedlichen Ebenen.
In diesem Beitrag erfahren Sie, was Netzwerksegmentierung ist, wie ein sinnvolles Zonenmodell aussieht, wo die Grenzen liegen, was Mikrosegmentierung anders macht und wie Sie beide Ansätze kombinieren.
Was ist Netzwerksegmentierung?
Netzwerksegmentierung bedeutet, ein Netzwerk in mehrere getrennte Bereiche aufzuteilen, die Segmente oder Zonen genannt werden. Der Datenverkehr zwischen den Zonen läuft über einen Kontrollpunkt, meist eine Firewall, die nach festen Regeln entscheidet, welche Verbindungen erlaubt sind. Innerhalb einer Zone können sich die Geräte in der Regel frei erreichen.
Die technischen Mittel
| Mittel | Ebene | Was es leistet |
|---|---|---|
| Physische Trennung | eigene Kabel und Switches | höchste Trennung, aber teuer und unflexibel |
| VLAN | Ebene 2, logische Trennung auf denselben Switches | trennt Broadcast-Bereiche, kostengünstig und weit verbreitet |
| Subnetze und Routing | Ebene 3 | klare Adressbereiche, Grundlage für Firewallregeln |
| Firewall zwischen Zonen | Kontrollpunkt | setzt fest, welche Verbindungen zwischen Zonen erlaubt sind |
| DMZ | eigene Zone für Dienste aus dem Internet | öffentlich erreichbare Server ohne direkten Zugang zum internen Netz |
Ein VLAN allein ist noch keine Sicherheitsmaßnahme. Erst die Firewall zwischen den VLANs, die den Verkehr prüft und unerwünschte Verbindungen blockiert, macht aus der logischen Trennung einen echten Schutz.
Ein Zonenmodell für den Mittelstand
Wie viele Zonen sinnvoll sind, hängt von Größe und Branche ab. Ein typisches Modell für ein mittelständisches Unternehmen sieht so aus:
| Zone | Was dort steht | Wichtigste Regel |
|---|---|---|
| Internet | alles außerhalb des Unternehmens | kein direkter Zugriff auf interne Zonen |
| DMZ | Webserver, E-Mail-Gateway, VPN-Zugang | nur definierte Verbindungen nach innen |
| Clients | Arbeitsplätze und Notebooks | Zugriff auf Server nur über benötigte Dienste |
| Server | Dateiserver, ERP, Datenbanken | kein direkter Internetzugriff |
| Management | Verwaltungszugänge zu Servern, Switches, Firewalls | nur von festgelegten Administrationsrechnern erreichbar |
| Backup | Sicherungssysteme | streng abgeschottet, nur Sicherungsverbindungen erlaubt |
| Produktion und OT | Steuerungen, Maschinen, Leitstand | getrennt von der Büro-IT, nur kontrollierte Übergänge |
| Gäste und IoT | Gäste-WLAN, Kameras, Drucker, Gebäudetechnik | kein Zugriff auf interne Systeme |
Das BSI empfiehlt im IT-Grundschutz-Baustein NET.1.1 Netzarchitektur und -design unter anderem, Clients und Server in getrennte Segmente zu legen, nur Geräte mit vergleichbarem Sicherheitsniveau in einem Segment zu betreiben, aus dem Internet erreichbare Dienste in einer DMZ zu betreiben und Verwaltungszugänge in eigene Segmente zu verlagern.
Sonderfall Produktion: Zonen und Übergänge nach IEC 62443
Für Industrieanlagen hat sich die Normenreihe IEC 62443 etabliert. Sie arbeitet mit Zonen, also Gruppen von Systemen mit gleichem Schutzbedarf, und Conduits, also kontrollierten Übergängen zwischen diesen Zonen. Auch das BSI empfiehlt in seinen Hinweisen zu OT-Netzen, Produktionsnetze als eigene Sicherheitszonen zu betreiben und sie zusätzlich etwa nach Fertigungslinien zu unterteilen. Mehr dazu lesen Sie im Beitrag Cyber Security in der Produktion.
Was Netzwerksegmentierung leistet
- Begrenzung von Angriffen zwischen Zonen. Ein kompromittierter Arbeitsplatz kann nicht direkt auf das Backupsystem oder die Produktionssteuerung zugreifen.
- Schutz vor unsicheren Geräten. Gäste-WLAN, Kameras oder Gebäudetechnik werden vom Firmennetz ferngehalten.
- Bessere Übersicht. Wer Zonen definiert, muss wissen, welche Systeme es gibt. Das allein deckt oft vergessene Geräte auf.
- Leistung. Kleinere Broadcast-Bereiche entlasten das Netz.
- Compliance. Viele Regelwerke verlangen eine Trennung von Netzen, etwa ISO/IEC 27001 mit der Maßnahme A.8.22 oder der Zahlungskartenstandard PCI DSS für Systeme mit Kartendaten.
Netzwerksegmentierung und Datenschutz
Segmentierung ist nicht nur ein Thema der IT-Sicherheit, sondern auch des Datenschutzes. Nach Art. 32 der Datenschutz-Grundverordnung müssen Verantwortliche geeignete technische und organisatorische Maßnahmen treffen, um die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten zu gewährleisten. Liegen Personaldaten, Kundendaten oder Gesundheitsdaten in einem flachen Netz, kann ein einzelner kompromittierter Rechner sie alle erreichen.
Eine Trennung, bei der etwa die Personalabteilung, die Lohnbuchhaltung oder ein Patientendatensystem in eigenen Zonen liegen und nur von berechtigten Arbeitsplätzen erreichbar sind, ist deshalb eine wirksame und gut dokumentierbare Maßnahme. Im Fall eines Datenlecks hilft sie zudem, den Umfang der betroffenen Daten einzugrenzen, was für Meldungen an die Aufsichtsbehörde und Betroffene entscheidend sein kann.
Was Sie technisch für Netzwerksegmentierung brauchen
Die gute Nachricht: In vielen Unternehmen ist ein großer Teil der nötigen Technik bereits vorhanden.
- Verwaltbare Switches, die VLANs unterstützen. Einfache, nicht verwaltbare Switches können keine VLANs trennen und sollten in sicherheitsrelevanten Bereichen ersetzt werden.
- Eine Firewall mit ausreichender Leistung, die den Verkehr zwischen den Zonen prüft. Da nun auch interner Verkehr über sie läuft, muss sie entsprechend dimensioniert sein.
- Ein WLAN-System, das getrennte Netze für Mitarbeitende, Gäste und Geräte wie Drucker oder Kameras anbieten kann.
- Eine saubere Adressplanung, damit jede Zone einen eigenen, klar erkennbaren Adressbereich erhält.
- Dokumentation, welche Zone wofür gedacht ist und welche Regeln warum gelten.
Der größte Aufwand liegt meist nicht in der Hardware, sondern in der Planung und im schrittweisen Umzug der Systeme in die neuen Zonen, ohne den Betrieb zu stören.
Wo Netzwerksegmentierung an Grenzen stößt
Netzwerksegmentierung ist unverzichtbar, hat aber drei Schwächen, die in der Praxis zunehmend ins Gewicht fallen:
- Keine Kontrolle innerhalb einer Zone. Liegen 200 Arbeitsplätze in derselben Zone, kann ein kompromittierter Rechner alle anderen erreichen. Liegen 40 Server in der Serverzone, gilt dasselbe für die Server untereinander.
- Grobe Regeln. Damit der Betrieb läuft, werden Firewallregeln zwischen Zonen oft großzügig formuliert. Über die Jahre sammeln sich Ausnahmen an, die niemand mehr überblickt.
- Starr bei Veränderungen. Neue Anwendungen, Cloud-Dienste oder Umzüge erfordern Änderungen an VLANs, Adressen und Regeln. Das kostet Zeit und führt dazu, dass Segmentierung aufgeweicht wird.
Genau an diesen Stellen setzt Mikrosegmentierung an.
Was Mikrosegmentierung anders macht
Mikrosegmentierung verschiebt die Kontrolle von der Zonengrenze auf das einzelne System. Für jeden Server, jede Anwendung oder jeden Workload wird festgelegt, mit welchen anderen Systemen er kommunizieren darf. Die Regeln hängen nicht an IP-Adressen und VLANs, sondern an Eigenschaften wie Funktion, Anwendung oder Standort. Ausführlich erklären wir das Prinzip im Beitrag Was ist Mikrosegmentierung?.
Der direkte Vergleich
| Merkmal | Netzwerksegmentierung | Mikrosegmentierung |
|---|---|---|
| Ebene | Netzbereiche und Zonen | einzelne Systeme, Anwendungen, Workloads |
| Durchsetzung | Firewalls, Router, Switches | meist Software auf den Systemen oder zentrale Plattform |
| Kontrolle innerhalb einer Zone | nein | ja |
| Regelbasis | IP-Adressen, VLANs, Ports | Funktion, Anwendung, Identität, Kontext |
| Reaktion auf Änderungen | Netzwerkänderungen nötig | Regeln folgen dem System |
| Schutz vor lateraler Bewegung | zwischen Zonen | auch zwischen einzelnen Systemen |
| Aufwand für den Einstieg | gering bis mittel, oft vorhandene Technik | mittel, aber ohne Umbau des Netzes |
| Typische Rolle | Grundgerüst der Netzsicherheit | feingranulare Ergänzung, Kern von Zero Trust |
Netzwerksegmentierung oder Mikrosegmentierung: die Entscheidungshilfe
Die Frage ist selten „entweder oder“. In fast allen Fällen ist die Kombination richtig. Entscheidend ist die Reihenfolge und Gewichtung.
Netzwerksegmentierung zuerst, wenn Ihr Netz heute weitgehend flach ist. Die Trennung von Clients, Servern, Gästen, Produktion und Verwaltung bringt mit überschaubarem Aufwand einen großen Sicherheitsgewinn.
Mikrosegmentierung ergänzen, wenn
- in einer Zone viele Systeme mit unterschiedlicher Bedeutung liegen, etwa Server für Buchhaltung, Entwicklung und Backup in derselben Serverzone,
- Sie besonders kritische Systeme wie Datensicherung oder Domänencontroller gezielt abschotten wollen,
- Sie hybride Umgebungen mit Rechenzentrum und Cloud betreiben, in denen klassische Zonengrenzen verschwimmen,
- Altsysteme oder Maschinen geschützt werden müssen, auf denen keine Sicherheitssoftware läuft,
- Sie Zero Trust als Zielbild verfolgen.
Beides zusammen bildet die Verteidigung in der Tiefe: Die Netzwerksegmentierung zieht die groben Grenzen, die Mikrosegmentierung kontrolliert die Wege innerhalb dieser Grenzen.
Praxisbeispiel: Ein Logistikunternehmen mit drei Standorten
Ein Logistiker mit 250 Beschäftigten betreibt ein Lager mit Scannern und Fördertechnik, eine Verwaltung und ein kleines Rechenzentrum. Bisher liegen alle Geräte in einem einzigen Netz.
Schritt 1, Netzwerksegmentierung: Das Unternehmen führt Zonen ein: Clients, Server, Management, Backup, Lagertechnik, Gäste. Zwischen den Zonen regelt eine Firewall den Verkehr. Allein dadurch kann ein infizierter Büro-PC die Lagertechnik und das Backup nicht mehr direkt erreichen.
Schritt 2, Mikrosegmentierung: In der Serverzone liegen ERP, Lagerverwaltung, Dateiserver, Domänencontroller und ein alter Testserver nebeneinander. Mit Mikrosegmentierung wird festgelegt, dass der Testserver mit niemandem sprechen darf außer dem Updateserver, dass der Domänencontroller nur Anmeldeverkehr annimmt und dass die Lagerverwaltung nur mit ERP und Scannern kommuniziert.
Das Ergebnis: Ein Angriff über den alten Testserver, ein klassisches Einfallstor, bleibt auf genau dieses System beschränkt.
Fünf Schritte zur passenden Segmentierung
- Bestandsaufnahme. Welche Systeme gibt es, welche Daten verarbeiten sie, wer kommuniziert mit wem? Ohne diese Übersicht ist jede Segmentierung Stückwerk.
- Zonenmodell festlegen. Zonen nach Funktion und Schutzbedarf definieren, mit dem Grundsatz: Was nicht ausdrücklich erlaubt ist, ist verboten.
- Grobe Trennung umsetzen. VLANs, Subnetze und Firewallregeln zwischen den Zonen, beginnend mit den wichtigsten Übergängen.
- Feinsteuerung ergänzen. Mikrosegmentierung für kritische Systeme und Zonen mit vielen unterschiedlichen Systemen.
- Überwachen und pflegen. Blockierte Verbindungsversuche auswerten, Regeln regelmäßig prüfen, neue Systeme direkt richtig einordnen. Wie man auffällige Bewegungen im Netz erkennt, zeigt der Beitrag Lateral Movement erkennen.
Häufige Fehler
- VLANs ohne Firewall dazwischen. Getrennte VLANs, zwischen denen ein Router alles durchlässt, bieten kaum Schutz.
- „Any-Any“-Regeln. Ausnahmen, die jeden Verkehr zwischen zwei Zonen erlauben, heben die Segmentierung faktisch auf.
- Management im Produktivnetz. Wenn Administrationszugänge aus jeder Zone erreichbar sind, ist die Trennung leicht zu umgehen.
- Backup im selben Netz wie alles andere. Angreifer suchen gezielt nach Sicherungen. Sie gehören in eine eigene, streng geschützte Zone.
- Einmal einrichten, nie prüfen. Netze ändern sich laufend. Ohne regelmäßige Überprüfung entstehen neue Lücken.
Fazit: Grobe Grenzen und feine Wege
Netzwerksegmentierung ist das Fundament der Netzsicherheit. Sie trennt Clients, Server, Produktion, Gäste und Verwaltung und verhindert, dass ein einzelner Angriff ungehindert das ganze Netz erreicht. Mikrosegmentierung setzt dort an, wo Zonen zu groß und Regeln zu grob werden, und kontrolliert die Wege zwischen einzelnen Systemen. Zusammen bilden beide eine Verteidigung in der Tiefe, die Angreifern das Leben deutlich schwerer macht. Wie sich interner Datenverkehr gezielt begrenzen lässt, beschreiben wir zusätzlich im Beitrag Ost-West-Traffic begrenzen.
Sie möchten wissen, wie gut Ihr Netz heute getrennt ist? Wir analysieren Ihre Netzarchitektur und zeigen, wo Netzwerksegmentierung und Mikrosegmentierung den größten Unterschied machen. Jetzt kostenlose Erstberatung buchen.
