Was ist Netzwerksegmentierung?

Was ein getrenntes Netzwerksegment ist

Ein Netzwerksegment ist ein Teilnetz, dessen Geräte direkt miteinander sprechen können, ohne einen kontrollierten Übergang zu passieren. Technisch ist das meist ein eigenes VLAN mit eigenem IP-Adressbereich, also eine eigene Broadcast-Domäne. Getrennt ist ein Segment erst dann, wenn jeder Verkehr in andere Segmente über einen Router oder eine Firewall läuft, die nach Regeln entscheidet, was durchdarf.

Ein VLAN trennt den Verkehr auf den Switches, ein eigenes Subnetz gibt der Zone einen eigenen Adressbereich, und erst eine Filterregel am Übergang entscheidet, was zwischen den Zonen erlaubt ist. Wer nur VLANs einrichtet, aber alle Übergänge offen lässt, hat die Adressverwaltung aufgeräumt und sicherheitstechnisch nichts gewonnen.

Die Ebenen der Segmentierung

Segmentierung lässt sich unterschiedlich fein und auf unterschiedlichen Schichten umsetzen. In der Praxis kombinieren die meisten Netze mehrere dieser Ebenen.

Ein tragfähiger Schnitt orientiert sich am Schutzbedarf und an der Funktion, nicht am Gebäudeplan. Typische Zonen sind Arbeitsplätze, Server, Verwaltungszugänge für Netz- und Serverhardware, Drucker, Gebäudetechnik, Produktionsanlagen und ein getrenntes Gastnetz. Für die Verwaltungszugänge ist eine eigene Zone besonders wichtig, weil dort die Schlüssel zum gesamten Netz liegen. Das BSI verlangt im IT-Grundschutz-Baustein NET.1.1 Netzarchitektur und -design schon als Basis-Anforderung eine Netztrennung in Zonen und eine Trennung von Clients und Servern, Mikrosegmentierung und physische Trennung folgen dort für hohen Schutzbedarf.

Ein Beispiel für einen Zonenplan

Wie das konkret aussieht, zeigt ein mittelständischer Betrieb mit Verwaltung und Fertigung. Jede Zone bekommt ein eigenes VLAN und Subnetz, und für jeden Übergang ist festgelegt, welche Verbindungen erlaubt sind.

Warum das die seitliche Ausbreitung bremst

Nach dem ersten übernommenen Rechner sucht ein Angreifer weitere Ziele im gleichen Netz, greift auf Dateifreigaben zu und versucht, Zugangsdaten auf anderen Systemen zu verwenden. Diese seitliche Bewegung heißt im Fachjargon Lateral Movement. In einem flachen Netz gelingt sie ohne Hindernis, weil jedes Gerät jedes andere erreicht.

Mit Zonen muss der Weg über einen kontrollierten Übergang führen. Dort greifen Regeln, dort entsteht ein Protokolleintrag, und dort fällt ungewöhnlicher Verkehr auf. Der Gewinn liegt nicht nur in der Blockade, sondern auch darin, dass die Erkennung überhaupt eine Stelle bekommt, an der sie hinsehen kann.

Ein häufiger Fehler ist die Ausnahmeregel, die für ein Projekt eingerichtet und nie zurückgenommen wird. Nach zwei Jahren steht in vielen Regelwerken eine Freigabe von allem nach allem, versteckt zwischen hundert Einträgen. Regeln brauchen deshalb Kommentar, Verantwortlichen und einen Termin zur Überprüfung.

Mikrosegmentierung geht bis zur einzelnen Last

Die Mikrosegmentierung filtert nicht erst an der Zonengrenze, sondern legt um jede virtuelle Maschine, jeden Container oder jeden Dienst eine eigene Regelmenge. Damit ist auch der Verkehr innerhalb einer Zone kontrolliert, etwa zwischen zwei Servern im selben Segment. Umgesetzt wird das meist in der Virtualisierungsplattform, über Kubernetes-Network-Policies oder über Agenten auf den Systemen selbst.

Der Aufwand liegt nicht in der Technik, sondern in der Kenntnis der eigenen Anwendungen: Welcher Dienst spricht mit welchem, über welchen Port, wie oft. Deshalb beginnt ein solches Vorhaben immer mit einer Beobachtungsphase, in der nur mitgeschrieben und noch nichts blockiert wird.