Zonierung im Netz

Was ist Netzwerksegmentierung?

Network Segmentation

Netzwerksegmentierung ist die Aufteilung eines Netzes in getrennte Zonen, zwischen denen Verkehr nur nach festgelegten Regeln fließt, damit ein übernommenes Gerät nicht ungehindert alle anderen Systeme erreichen kann.

Ein einziger übernommener Rechner in der Verwaltung darf nicht genügen, um von dort aus an die Steuerung der Produktion heranzukommen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Bremst: Seitliche Ausbreitung nach einem Einbruch
Braucht: VLAN, Adressplan und Regelwerk zusammen
Feinste Stufe: Mikrosegmentierung bis zum einzelnen Server
Verwechselt mit: VLAN allein

VLAN, Subnetz und Regelwerk gehören zusammen

Ein VLAN trennt den Verkehr auf den Switches, ein eigenes Subnetz gibt der Zone einen eigenen Adressbereich, und erst eine Filterregel am Übergang entscheidet, was zwischen den Zonen erlaubt ist. Wer nur VLANs einrichtet, aber alle Übergänge offen lässt, hat die Adressverwaltung aufgeräumt und sicherheitstechnisch nichts gewonnen.

Ein tragfähiger Schnitt orientiert sich am Schutzbedarf und an der Funktion, nicht am Gebäudeplan. Typische Zonen sind Arbeitsplätze, Server, Verwaltungszugänge für Netz- und Serverhardware, Drucker, Gebäudetechnik, Produktionsanlagen und ein getrenntes Gastnetz. Für die Verwaltungszugänge ist eine eigene Zone besonders wichtig, weil dort die Schlüssel zum gesamten Netz liegen.

Warum das die seitliche Ausbreitung bremst

Nach dem ersten übernommenen Rechner sucht ein Angreifer weitere Ziele im gleichen Netz, greift auf Dateifreigaben zu und versucht, Zugangsdaten auf anderen Systemen zu verwenden. In einem flachen Netz gelingt das ohne Hindernis, weil jedes Gerät jedes andere erreicht.

Mit Zonen muss der Weg über einen kontrollierten Übergang führen. Dort greifen Regeln, dort entsteht ein Protokolleintrag, und dort fällt ungewöhnlicher Verkehr auf. Der Gewinn liegt nicht nur in der Blockade, sondern auch darin, dass die Erkennung überhaupt eine Stelle bekommt, an der sie hinsehen kann.

Ein häufiger Fehler ist die Ausnahmeregel, die für ein Projekt eingerichtet und nie zurückgenommen wird. Nach zwei Jahren steht in vielen Regelwerken eine Freigabe von allem nach allem, versteckt zwischen hundert Einträgen. Regeln brauchen deshalb Kommentar, Verantwortlichen und einen Termin zur Überprüfung.

Mikrosegmentierung geht bis zur einzelnen Last

Die Mikrosegmentierung filtert nicht erst an der Zonengrenze, sondern legt um jede virtuelle Maschine, jeden Container oder jeden Dienst eine eigene Regelmenge. Damit ist auch der Verkehr innerhalb einer Zone kontrolliert, etwa zwischen zwei Servern im selben Segment.

Der Aufwand liegt nicht in der Technik, sondern in der Kenntnis der eigenen Anwendungen: Welcher Dienst spricht mit welchem, über welchen Port, wie oft. Deshalb beginnt ein solches Vorhaben immer mit einer Beobachtungsphase, in der nur mitgeschrieben und noch nichts blockiert wird.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Netzwerksegmentierung und was oft damit gleichgesetzt wird

Netzwerksegmentierung gegen VLAN

Ein VLAN ist die technische Trennung auf Ebene der Switches und damit ein Werkzeug. Segmentierung ist das Konzept dahinter, das erst mit Adressplan, Filterregeln und Betriebsprozess vollständig wird.

Netzwerksegmentierung gegen DMZ

Die DMZ ist ein einzelnes Sonderfeld für Systeme, die aus dem Internet erreichbar sind. Segmentierung betrifft das gesamte interne Netz und hört an der DMZ nicht auf.

Netzwerksegmentierung gegen Zero Trust

Zero Trust verlangt, jeden Zugriff einzeln anhand von Identität und Gerätezustand zu prüfen, statt einer Zone zu vertrauen. Segmentierung ist eine Grundlage dafür, ersetzt die Identitätsprüfung aber nicht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Aufgeteilt ist schnell, durchgesetzt wird selten

In sehr vielen Netzen stehen die VLANs sauber da, und am Übergang zwischen ihnen liegt eine Regel, die alles erlaubt. Sie war als Übergang gedacht, bis die Anwendungen erfasst sind, und sie steht Jahre später noch. Solange sie steht, ist das Netz getrennt adressiert, aber nicht getrennt. Der Zwischenschritt, der wirklich hilft: den Verkehr an dieser Stelle protokollieren und aus den echten Verbindungen ein erstes Regelwerk ableiten.

Alte Maschinen und Anlagensteuerungen sind der harte Teil. Der Hersteller nennt keine Portliste, der Support verlangt für jede Wartung vollen Zugriff, und ein falsch gesetzter Filter stoppt eine Fertigungslinie. Praktikabel ist, den Verkehr über Wochen mitzuschneiden, daraus eine Regelmenge zu bauen und diese zuerst nur mitschreibend zu betreiben. Für die Fernwartung ist ein eigener, zeitlich begrenzter Zugang die bessere Antwort als eine dauerhafte Freigabe.

Vergessen werden regelmäßig die Netze, die dich am meisten kosten, wenn sie offen sind: die Verwaltungsschnittstellen der Virtualisierung und der Speichersysteme, das Sicherungsnetz und die Verzeichnisdienste. Wenn ein beliebiger Arbeitsplatz die Weboberfläche des Hypervisors erreicht, ist die Trennung im Client-Netz weitgehend wirkungslos.

Netzwerksegmentierung lernen

Wer Adressbereiche, VLANs und Übergänge selbst planen will, findet das Handwerkszeug dafür in den Grundlagenkurse zu TCP/IP und Netzwerkbetrieb .

Die Regelwerke an den Zonenübergängen selbst baust du in den Kurse zur Firewall-Administration auf.

Kurse, die Netzwerksegmentierung behandeln

Häufige Fragen

Reichen VLANs allein als Schutz?

Nein. VLANs trennen Verkehrsströme, entscheiden aber nicht darüber, was zwischen ihnen erlaubt ist. Ohne Filterregeln am Übergang routet der zuständige Layer-3-Switch weiterhin jedes Paket von einer Zone in die andere, und die Trennung bleibt reine Ordnung im Adressplan.

Womit fange ich an, wenn das Netz heute flach ist?

Mit den Zonen, die den größten Unterschied machen: getrennte Verwaltungszugänge für Netz- und Serverhardware, ein eigenes Segment für Gebäude- und Produktionstechnik und ein Gastnetz ohne Zugriff nach innen. Diese drei Schritte sind ohne Umbau des gesamten Netzes machbar.

Wie vermeide ich, dass die Segmentierung den Betrieb lahmlegt?

Indem neue Regeln zuerst nur protokollieren und noch nichts verwerfen. Nach einigen Wochen zeigt die Auswertung, welche Verbindungen tatsächlich gebraucht werden. Erst dann wird scharf geschaltet, und die Zahl der Überraschungen bleibt überschaubar.

Persönlich für dich da