Netzsegmentierung für kleine Netze

Technik und Systeme5 Min. Lesezeit

Netzwerksegmentierung im kleinen Betrieb: welche Netzbereiche Sie trennen sollten, was der BSI-Baustein NET.1.1 verlangt und wie Sie pragmatisch anfangen.

Kurz für ChefsGenauer für IT

In vielen kleinen Betrieben hängen alle Geräte im selben Netz: Büro-PCs, der Server mit der Buchhaltung, das Gäste-WLAN, der Drucker und die Überwachungskamera. Netzwerksegmentierung bedeutet, dieses eine große Netz in mehrere kleinere Bereiche aufzuteilen, zwischen denen nur ausdrücklich erlaubte Verbindungen möglich sind.

Warum das Ihren Betrieb betrifft

Wenn ein Angreifer ein einziges Gerät übernimmt, etwa über eine präparierte E-Mail, kann er sich in einem flachen Netz ungehindert zu allen anderen Geräten bewegen. Genau so breiten sich Erpressungsangriffe mit Ransomware oft aus. Getrennte Bereiche bremsen das: Was im Gäste-WLAN passiert, erreicht den Server nicht, und ein unsicheres Kameragerät kann nicht auf die Kundendaten zugreifen.

Was das in der Praxis heißt

Sie brauchen dafür kein Rechenzentrum. Oft reichen eine gute Firewall oder ein geschäftstauglicher Router und Switches, die virtuelle Netze (VLANs) beherrschen. Üblich sind getrennte Bereiche für Büro-Arbeitsplätze, Server, Gäste, Drucker und Geräte wie Kameras oder Telefone.

Der nächste Schritt

Lassen Sie sich eine aktuelle Übersicht Ihres Netzes geben: Welche Geräte gibt es, und welche müssen wirklich miteinander sprechen? Daraus lässt sich ein einfacher Plan mit wenigen Zonen ableiten, den Ihr IT-Dienstleister schrittweise umsetzt, beginnend mit der Trennung von Gästen und Servern.

Netzwerksegmentierung im IT-Grundschutz

Maßgeblich ist der Baustein NET.1.1 «Netzarchitektur und -design» aus dem IT-Grundschutz-Kompendium. Er verlangt bereits in den Basis-Anforderungen eine Grundstruktur, die viele kleine Netze nicht erfüllen:

Netztrennung in Zonen (NET.1.1.A4): Das Gesamtnetz wird mindestens in internes Netz, demilitarisierte Zone (DMZ) und Außenanbindungen getrennt. Die Zonenübergänge sichert eine Firewall ab, die nur ausdrücklich erlaubte Kommunikation weiterleitet (Allowlist).
Client-Server-Segmentierung (NET.1.1.A5): Clients und Server liegen in unterschiedlichen Netzsegmenten, dazwischen filtert mindestens ein zustandsbehafteter Paketfilter. Für Gastzugänge und Bereiche, in denen Sie die Endgeräte nicht ausreichend kontrollieren, sind eigene Segmente vorgeschrieben.
Endgeräte-Segmentierung (NET.1.1.A6): In einem Segment dürfen nur Geräte mit ähnlichem Sicherheitsniveau stehen.
Dokumentation und Soll-Ist-Vergleich (NET.1.1.A2, A15): Der Netzplan muss aktuell sein und regelmäßig mit dem tatsächlichen Zustand abgeglichen werden.

Als Standard-Anforderungen kommen unter anderem ein Segmentierungskonzept (A22), die Separierung des Management-Bereichs (A21) und die sichere logische Trennung mittels VLAN (A24) hinzu. Mikrosegmentierung und physische Trennung von Segmenten sind Anforderungen bei erhöhtem Schutzbedarf.

Ein praxistaugliches Zonenmodell

Für einen Betrieb mit 5 bis 50 Arbeitsplätzen hat sich ein überschaubares Modell bewährt. Die Bezeichnungen sind Beispiele, entscheidend ist die Logik dahinter.

Typische Segmente

Clients: Büro-PCs und Notebooks der Mitarbeitenden.
Server: Dateiserver, Datenbank, Fachanwendung, Domänencontroller.
Management: Verwaltungsoberflächen von Firewall, Switches, Access Points, Hypervisor und Backup-System. Nur Administrationsrechner haben hier Zugang.
Drucker und Geräte: Multifunktionsgeräte, Telefone, Kameras, Gebäudetechnik.
Gäste: ausschließlich Internetzugang, keine Verbindung zu internen Netzen.
DMZ: nur nötig, wenn Sie selbst Dienste aus dem Internet erreichbar machen, etwa einen Webserver oder ein Kundenportal.
Backup: wenn möglich ein eigener Bereich, damit eine Infektion im Client-Netz die Datensicherung nicht direkt erreicht.

Regeln zwischen den Segmenten

Segmente allein schützen nicht, entscheidend sind die Regeln an den Übergängen. Grundsatz ist: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Clients dürfen zum Beispiel den Dateiserver über die benötigten Protokolle erreichen, aber nicht dessen Verwaltungsoberfläche. Drucker brauchen in der Regel keine Verbindung ins Client-Netz, sondern nur eingehende Druckaufträge. Kameras sollten nur mit ihrem Aufzeichnungsgerät sprechen.

Wichtig ist auch der umgekehrte Weg: Ein Server, der keine Internetverbindung braucht, sollte keine haben. Ausgehende Verbindungen sind ein typischer Kanal, über den Schadsoftware nachlädt oder Daten abfließen.

Technische Umsetzung

VLANs und Firewall

In kleinen Netzen erfolgt die Trennung meist logisch über VLANs auf den Switches. Das Routing zwischen den VLANs übernimmt die Firewall, nicht der Switch, damit jeder Übergang über das Regelwerk läuft. Achten Sie darauf, dass Switches und Access Points VLANs sauber unterstützen und dass ungenutzte Switch-Ports deaktiviert oder einem isolierten VLAN zugeordnet sind. Hinweise zur sicheren Konfiguration enthält der Baustein NET.3.1 «Router und Switches».

WLAN einbinden

Jedes WLAN (Mitarbeitende, Gäste, Geräte) wird auf ein eigenes VLAN abgebildet. Der Baustein NET.2.1 verlangt, dass über das WLAN keine Sicherheitszonen gekoppelt und dadurch Schutzmaßnahmen umgangen werden.

Management-Zugänge

Die Verwaltung der Netzkomponenten gehört in ein eigenes Segment. Verwaltungsoberflächen sollten aus dem Client- oder Gäste-Netz nicht erreichbar sein. Wer administriert, nutzt dafür einen eigenen Zugang mit eigenem Konto.

Vorgehen in Schritten

Bestandsaufnahme: Alle Geräte, IP-Bereiche und Verbindungen erfassen. Ohne IT-Inventar ist keine sinnvolle Segmentierung möglich.
Kommunikationsbeziehungen klären: Welche Anwendung braucht welche Verbindung? Fachanwendungsanbieter liefern dazu oft Portlisten.
Zonenmodell festlegen: Lieber wenige, klar begründete Segmente als viele, die niemand pflegt.
Schrittweise umziehen: Mit Gästen und Geräten beginnen, weil dort das Risiko hoch und die Abhängigkeit gering ist. Danach Server und Management trennen.
Regeln protokollieren und prüfen: Abgelehnte Verbindungen in den ersten Wochen auswerten, Regeln nachschärfen, Netzplan aktualisieren.

Typische Stolperfallen

Ein «Any-Any»-Regelwerk zwischen den VLANs, weil sonst etwas nicht funktionierte. Damit ist die Trennung wirkungslos.
Geräte mit zwei Netzwerkkarten, die Segmente unbemerkt verbinden.
Fernwartungszugänge von Dienstleistern, die direkt ins Server-Netz führen, statt über einen kontrollierten Zugang.
Fehlende Dokumentation: Nach einem Jahr weiß niemand mehr, warum eine Regel existiert.

Wie viel Segmentierung ist angemessen?

Die Basis-Anforderungen von NET.1.1 sind auch für kleine Netze gedacht, die Umsetzung darf aber zum Betrieb passen. Ein Büro mit zehn Arbeitsplätzen, einem Server und einem Gäste-WLAN braucht keine zwanzig VLANs. Entscheidend ist, dass die Bereiche mit unterschiedlichem Vertrauensniveau getrennt sind und die Übergänge kontrolliert werden. Wo eine Anforderung bewusst nicht vollständig umgesetzt wird, etwa weil keine eigenen Dienste aus dem Internet erreichbar sind und deshalb keine DMZ nötig ist, sollte das kurz begründet und dokumentiert werden. So bleibt die Entscheidung bei einer späteren Prüfung nachvollziehbar.

Steigt der Schutzbedarf, etwa bei Gesundheitsdaten, Berufsgeheimnissen oder Produktionsanlagen, lohnt ein genauerer Blick auf die Standard-Anforderungen und gegebenenfalls eine feinere Trennung bis hin zur Mikrosegmentierung einzelner Systeme.

Netzsegmentierung ist eine der wirksamsten Maßnahmen gegen die Ausbreitung von Angriffen im eigenen Netz. Sie ergänzt eine Firewall am Internetübergang, ersetzt aber weder Updates noch eine Datensicherung.

Häufige Fragen

Was ist der Unterschied zwischen Netzsegmentierung und Netzwerksegmentierung?

Es gibt keinen. Beide Begriffe meinen dasselbe: die Aufteilung eines Netzes in getrennte Bereiche mit kontrollierten Übergängen. Das BSI spricht im Baustein NET.1.1 von Netzsegmenten und Netztrennung.

Reicht ein Gäste-WLAN am Router schon als Segmentierung?

Es ist ein guter erster Schritt, weil Gäste damit vom internen Netz getrennt sind. Das interne Netz selbst bleibt aber flach, solange Server, Arbeitsplätze und Geräte nicht ebenfalls getrennt werden.

Was ist ein VLAN?

Ein virtuelles lokales Netz. Damit lassen sich auf denselben Switches mehrere logisch getrennte Netze betreiben. Die Übergänge zwischen den VLANs sollten über eine Firewall mit Regelwerk laufen.

Wie aufwendig ist eine Netzwerksegmentierung im kleinen Betrieb?

Das hängt vor allem von der vorhandenen Technik und der Dokumentation ab. Unterstützen Firewall und Switches VLANs bereits, ist der Hauptaufwand die Klärung, welche Verbindungen wirklich gebraucht werden.