Netzwerksegmentierung: Schäden eingrenzen

Fällt ein einziger Rechner an Angreifer, entscheidet die Struktur des Netzes über den Rest. Genau hier setzt die Netzwerksegmentierung an. Zunächst teilt sie ein Firmennetz in kleinere Bereiche. Zudem kontrolliert sie den Verkehr zwischen ihnen. Damit bleibt ein Vorfall lokal, statt sich über das ganze Haus zu ziehen. Deshalb gilt sie als eine der wirksamsten Maßnahmen gegen die Ausbreitung von Schadsoftware. Dennoch läuft in vielen KMU noch alles in einem einzigen, flachen Netz.

Dieser Beitrag erklärt die Netzwerksegmentierung ohne Fachchinesisch. Zunächst geht es um das Prinzip und ein Bild aus dem Alltag. Danach zeigen wir, warum ein ungeteiltes Netz so riskant ist. Zudem ordnen wir VLANs, Zonen und Mikrosegmentierung ein. Schließlich sehen Sie, wie das Thema in ein ISMS und in NIS2 passt. Somit erhalten Sie eine klare Grundlage für die eigene Entscheidung.

Was Netzwerksegmentierung ist und wie sie wirkt

Netzwerksegmentierung teilt ein Firmennetz in mehrere getrennte Bereiche auf. Jeder Bereich heißt Segment oder Zone. Zwischen den Zonen sitzt zudem eine Kontrollinstanz, meist eine Firewall oder ein gefilterter Übergang. Sie prüft, welcher Verkehr von einer Zone in die andere darf. Alles Übrige blockt sie hingegen. Somit endet die Zeit, in der jedes Gerät jedes andere ungehindert erreicht. Das US-Institut NIST beschreibt diesen Ansatz zudem in seiner Publikation zu Zero Trust als Kern moderner Verteidigung.

Ein Bild aus dem Alltag

Denken Sie an ein Bürogebäude mit Brandschutztüren. Bricht in einem Raum ein Feuer aus, hält die nächste Tür es auf. Somit bleibt der Schaden in einem Abschnitt. Genauso wirkt ein sauber geteiltes Netz. Ein Angriff frisst sich nämlich nicht durch das ganze Haus, sondern stößt an die nächste Grenze. Ohne diese Türen brennt hingegen alles auf einmal. Ein flaches Netz ist folglich dieses Gebäude ohne Brandschutz.

Vom groben Schnitt zur feinen Trennung

Die Trennung reicht von grob bis fein. Zunächst trennen viele Betriebe nur Gäste-WLAN und internes Netz. Danach kommen eigene Zonen für Buchhaltung, Produktion und Server dazu. Schließlich folgt die Mikrosegmentierung, bei der einzelne Systeme abgeschottet werden. Jede Stufe erhöht zwar den Aufwand, aber auch den Schutz. Deshalb passt nicht jede Stufe zu jedem Betrieb. Vielmehr richtet sich die Tiefe nach dem Schutzbedarf der Daten. Eine gute sichere Netzwerkarchitektur liefert dafür den Rahmen.

Der Nutzen zeigt sich zudem erst im Ernstfall. Solange nichts passiert, merkt niemand etwas von der Struktur. Fällt aber ein Rechner aus oder wird gekapert, entscheidet die Trennung über den Umfang. In einem geteilten Netz bleibt der Schaden nämlich in einem Segment. In einem flachen Netz erreicht der Angreifer hingegen alles. Genau diese Differenz macht die Netzwerksegmentierung so wertvoll. Somit kostet sie wenig im Alltag und verhindert viel im Ernstfall.

Warum ein flaches Netz für ein KMU gefährlich ist

Ein flaches Netz verbindet alle Geräte ohne innere Grenzen. Der PC an der Kasse erreicht somit den Server der Buchhaltung. Der Drucker im Lager erreicht ebenso die Steuerung der Maschine. Das ist zwar bequem, aber gefährlich. Denn ein Angreifer, der einen einzigen Rechner übernimmt, steht sofort im ganzen Netz. Fachleute nennen diese seitliche Ausbreitung nämlich lateral movement. Sie ist folglich der Grund, warum ein Klick auf eine E-Mail einen ganzen Betrieb lahmlegen kann.

Wie sich ein Angriff im flachen Netz ausbreitet

Der Ablauf ist fast immer gleich. Zunächst gelangt Schadsoftware auf ein Gerät, oft über eine Phishing-Mail. Danach sucht sie automatisch nach weiteren Systemen im selben Netz. Zudem testet sie Passwörter, nutzt Schwachstellen und springt von Rechner zu Rechner. In einem flachen Netz findet sie dabei keinen Widerstand. Somit erreicht sie innerhalb von Stunden Server, Backups und Steuerungen. Wie ein solcher Angriff im Detail abläuft, zeigt zudem unser Beitrag zum Ransomware-Schutz im Unternehmen.

Der Schaden trifft KMU besonders hart

Große Konzerne haben oft mehrere Standbeine. Ein KMU steht hingegen schnell komplett still. Fällt das gesamte Netz aus, ruht die Produktion und die Auftragsannahme stoppt. Somit kostet jeder Tag Stillstand Umsatz. Dazu kommen zudem die Kosten für die Wiederherstellung. Verschlüsselt eine Ransomware zusätzlich die Backups, wird es existenzbedrohend. Deshalb ist die fehlende Trennung kein Randthema. Vielmehr entscheidet sie, ob ein Vorfall ein Ärgernis bleibt oder den Betrieb ruiniert. Die EU-Agentur ENISA zählt die Begrenzung der Ausbreitung ebenso zu den wichtigsten Schutzzielen.

Viele Betriebe unterschätzen das Risiko zudem lange. Das Netz ist über Jahre gewachsen, und es lief ja immer. Doch dieses Wachstum ohne Plan ist genau das Problem. Zunächst kamen neue Geräte dazu, alte blieben hingegen hängen. Am Ende hängt somit alles an allem, ohne dass es jemand entschieden hat. Ein IT-Security-Audit deckt solche gewachsenen Strukturen auf. Denn oft ist den Verantwortlichen gar nicht klar, wie flach ihr Netz wirklich ist.

VLANs, Zonen und Mikrosegmentierung im Vergleich

Netzwerksegmentierung kennt mehrere Techniken mit unterschiedlicher Tiefe. Die drei wichtigsten sind VLANs, Sicherheitszonen und Mikrosegmentierung. Sie schließen sich zudem nicht aus, sondern bauen aufeinander auf. Zunächst hilft ein Überblick, die Begriffe zu sortieren. Denn wer die Unterschiede kennt, versteht Angebote und plant die passende Stufe.

Von VLAN bis Zero Trust

Ein VLAN trennt ein physisches Netz logisch in mehrere Teile. Ein Switch bildet damit mehrere getrennte Netze ab, ohne neue Kabel. Das ist zudem der klassische Einstieg und für viele KMU der erste Schritt. Eine Sicherheitszone geht hingegen weiter. Sie fasst nämlich Systeme mit ähnlichem Schutzbedarf zusammen und trennt sie per Firewall vom Rest. Das deutsche BSI beschreibt dieses Zonenkonzept im IT-Grundschutz ebenso als Standard. Die Mikrosegmentierung ist schließlich die feinste Stufe. Sie schottet einzelne Anwendungen oder Server voneinander ab, nach dem Prinzip Zero Trust. Dabei gilt kein internes System pauschal als vertrauenswürdig.

Welche Stufe zu welchem Betrieb passt

Die Wahl hängt vom Bedarf ab, nicht vom Trend. Ein kleiner Handwerksbetrieb ist zunächst mit VLANs und einem Gäste-Netz oft gut versorgt. Ein Betrieb mit sensiblen Kundendaten braucht hingegen klare Zonen mit gefilterten Übergängen. Wer kritische Systeme betreibt, denkt zudem über Mikrosegmentierung nach. Wichtig ist vor allem der ehrliche Blick auf die eigenen Daten. Denn jede Stufe bringt Aufwand für Planung und Pflege mit. Zu fein geschnitten, wird das Netz nämlich unübersichtlich. Zu grob, bleibt der Schutz hingegen löchrig.

In der Praxis mischen sich die Techniken. Ein Betrieb nutzt beispielsweise VLANs für die grobe Trennung und Zonen für die sensiblen Bereiche. Die Übergänge steuert zudem eine zentrale Firewall im Unternehmen. Damit entsteht ein gestuftes Modell. Draußen die grobe Trennung, drinnen die feine. Genau diese Kombination bringt folglich den besten Schutz bei vertretbarem Aufwand. Der Einstieg mit VLANs ist zudem günstig, weil die vorhandene Hardware ihn meist schon kann.

So schützt Segmentierung vor Ransomware

Netzwerksegmentierung stoppt Ransomware nicht am Eintritt, aber an der Ausbreitung. Und genau darauf kommt es an. Denn moderne Angriffe verschlüsseln selten nur einen Rechner. Vielmehr versuchen sie, das ganze Netz zu erreichen, bevor sie zuschlagen. Eine saubere Trennung schneidet ihnen dabei den Weg ab. Somit bleibt der befallene Bereich isoliert, während der Rest weiterarbeitet.

Ein Rechenbeispiel aus dem Betrieb

Nehmen wir einen Betrieb mit 80 Rechnern. Ein Mitarbeiter öffnet zunächst einen verseuchten Anhang. Im flachen Netz erreicht die Schadsoftware danach alle 80 Geräte und die Server. Somit steht der ganze Betrieb. In einem geteilten Netz sitzt der Rechner hingegen in der Büro-Zone. Die Schadsoftware verschlüsselt dort zwar einige Geräte, aber die Firewall zur Server-Zone hält sie auf. Folglich läuft die Produktion weiter. Aus einem Totalausfall wird somit ein begrenzter Vorfall. Genau diese Differenz kann über den Fortbestand entscheiden.

Segmentierung ersetzt keine Vorsorge

Die Trennung ist stark, aber sie steht nicht allein. Vielmehr wirkt sie zusammen mit Backups, Updates und geschulten Mitarbeitern. Ein Segment bremst zunächst die Ausbreitung. Ein sauberes Backup ermöglicht danach die Wiederherstellung. Eine wachsame Belegschaft verhindert zudem den ersten Klick. Erst zusammen ergibt das echten Schutz. Wie Sie sich systematisch vorbereiten, lesen Sie zudem im Beitrag zum Schutz vor Ransomware. Die technische Absicherung der einzelnen Systeme ergänzen Sie ebenso über gezielte IT-Härtung.

Auch die Zugriffsrechte spielen mit hinein. Denn die Segmentierung trennt die Netze, die Rechte trennen hingegen die Personen. Beides gehört zusammen. Ein Angreifer, der ein Konto kapert, kommt somit nur an das, was dieses Konto darf. Deshalb ergänzt eine saubere Zugriffskontrolle die Trennung der Netze. Die Kombination folgt zudem dem Prinzip der minimalen Rechte. Jeder erreicht folglich nur, was er wirklich braucht. Das gilt für Menschen ebenso wie für Maschinen.

Segmentierung als Teil von ISMS und NIS2

Netzwerksegmentierung ist keine reine Technikfrage. Vielmehr ist sie ein Baustein im größeren Bild der Informationssicherheit. Regelwerke wie ISO 27001 und die NIS2-Richtlinie verlangen sie zudem sinngemäß. Denn beide fordern, Risiken zu begrenzen und die Ausbreitung von Angriffen zu verhindern. Wer segmentiert, erfüllt somit einen Teil dieser Vorgaben ganz konkret.

Was ISO 27001 und NIS2 erwarten

Die ISO 27001 kennt Controls zur Netzwerksicherheit und zur Trennung von Netzen. Ein ISMS nach ISO 27001 ordnet die Trennung zudem in ein Gesamtsystem ein. Es legt nämlich fest, welche Zonen es gibt und wer den Verkehr zwischen ihnen freigibt. NIS2 verlangt hingegen in Artikel 21 ein Risikomanagement mit technischen Maßnahmen. Die Trennung von Netzen zählt folglich klar dazu. Betroffene Betriebe sollten das zudem dokumentieren können. Ob Sie überhaupt betroffen sind, klärt schließlich der Beitrag zur NIS2-Betroffenheit.

Vom Einzelschutz zum System

Eine Trennung ohne Konzept bleibt Stückwerk. Vielleicht existiert ein VLAN hier, eine Firewall-Regel dort. Doch ohne Plan weiß niemand, warum. Ein Managementsystem schafft hingegen diesen Plan. Es verbindet nämlich die Segmentierung mit Risikoanalyse, Notfallplan und Verantwortlichkeiten. Somit wird aus einzelnen Maßnahmen ein stimmiges Ganzes. Das Feld der Informationssicherheit lebt zudem von diesem Zusammenspiel. Denn die beste Technik nützt wenig, wenn niemand sie steuert und prüft.

Die Trennung hilft ebenso im Notfall. Ist ein Segment befallen, lässt es sich zudem gezielt vom Netz nehmen. Der Rest arbeitet folglich weiter, während die Fachleute den betroffenen Bereich säubern. Genau darauf zielt gutes Notfallmanagement und BCM. Ein geteiltes Netz macht den Notfallplan somit erst umsetzbar. Denn man kann nur trennen, was vorher getrennt angelegt wurde. Somit greifen Technik und Organisation ineinander.

Wie SecTec bei der Umsetzung unterstützt

SecTec begleitet österreichische KMU bei der Netzwerksegmentierung von der Analyse bis zur Umsetzung. Herstellerunabhängig und mit Blick auf das Ganze. Denn die passende Trennung hängt vom Betrieb ab, nicht von einem Produkt. Zunächst schauen wir uns an, wie das Netz heute aussieht. Danach planen wir die Zonen nach dem tatsächlichen Schutzbedarf.

Bestandsaufnahme und Planung

Am Anfang steht der ehrliche Ist-Zustand. In einem IT-Security-Audit erfassen wir zunächst alle Geräte und ihre Verbindungen. Oft überrascht die Betriebe, wie viel ungeplant zusammenhängt. Danach entwerfen wir ein Zonenmodell. Wir legen dabei fest, welche Systeme in welche Zone gehören und welcher Verkehr zwischen ihnen nötig ist. Zudem bleibt der Aufwand für Ihren Betrieb im Blick. Denn eine Trennung, die den Alltag lähmt, hält niemand durch.

Prüfung aus Angreifersicht

Eine geplante Trennung muss halten, was sie verspricht. Deshalb prüfen wir sie aus Sicht eines Angreifers. Wir testen dabei, ob sich die Segmente wirklich nicht überwinden lassen. Somit sehen Sie schwarz auf weiß, wo die Grenzen dicht sind und wo nicht. Diese Prüfung deckt zudem Lücken auf, die im Plan gut aussehen, aber in der Praxis offen stehen. Grundlegende Fragen zur sicheren Cybersicherheit für KMU klären wir dabei gleich mit.

Der erste Schritt ist ein Gespräch, kein großes Projekt. Zunächst hören wir zu, sehen uns die Lage an und nennen die sinnvollen nächsten Schritte. Sie erhalten dabei keine Produktempfehlung, sondern eine Lösung für Ihren Bedarf. Ob VLAN, Zone oder Mikrosegmentierung, wir empfehlen die Stufe, die zu Ihren Daten passt. Nehmen Sie dazu einfach über unsere Kontaktseite mit uns Kontakt auf. Somit klären wir gemeinsam, wie flach Ihr Netz heute ist und wie die passende Trennung aussieht.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist Netzwerksegmentierung einfach erklärt?

Netzwerksegmentierung teilt ein Firmennetz in mehrere getrennte Bereiche auf. Zwischen den Bereichen kontrolliert zudem eine Firewall den Verkehr. Damit erreicht nicht mehr jedes Gerät jedes andere. Fällt ein Bereich an Angreifer, bleiben die übrigen hingegen geschützt. Somit wirkt die Trennung wie eine Brandschutztür im Netz.

Was ist der Unterschied zwischen VLAN und Mikrosegmentierung?

Ein VLAN trennt ein Netz logisch in mehrere Teilnetze, ohne neue Kabel. Es ist zudem der klassische Einstieg. Die Mikrosegmentierung geht hingegen viel weiter. Sie schottet nämlich einzelne Server und Anwendungen voneinander ab, nach dem Prinzip Zero Trust. Damit ist sie feiner, aber auch aufwendiger in Planung und Pflege.

Schützt Netzwerksegmentierung vor Ransomware?

Sie schützt zwar nicht vor dem Eintritt, aber vor der Ausbreitung. Eine Ransomware, die einen Rechner befällt, versucht das ganze Netz zu erreichen. Eine saubere Trennung stoppt sie hingegen an der Grenze zur nächsten Zone. Somit bleibt der Schaden lokal. Folglich wird aus einem Totalausfall ein begrenzter Vorfall.

Braucht ein kleines Unternehmen wirklich Segmentierung?

Ja, auch kleine Betriebe profitieren. Der Einstieg mit VLANs und einem getrennten Gäste-WLAN ist zudem günstig und wirkt sofort. Denn ein KMU steht bei einem flächigen Angriff schnell komplett still. Somit senkt schon eine grobe Trennung dieses Risiko deutlich. Die passende Tiefe richtet sich hingegen nach den eigenen Daten.

Verlangt NIS2 eine Netzwerksegmentierung?

NIS2 nennt sie zwar nicht wörtlich, verlangt aber in Artikel 21 technische Maßnahmen zur Risikobegrenzung. Die Trennung von Netzen zählt folglich klar dazu. Betroffene Betriebe sollten sie somit umsetzen und dokumentieren. Auch die ISO 27001 kennt Controls zur Netzwerksicherheit. Wer segmentiert, erfüllt daher einen Teil beider Vorgaben.

Wie aufwendig ist die Umsetzung im Betrieb?

Das hängt von der gewählten Stufe ab. VLANs kann die vorhandene Hardware zudem oft schon, das ist günstig. Klare Sicherheitszonen brauchen hingegen Planung und eine Firewall an den Übergängen. Die Mikrosegmentierung ist schließlich am aufwendigsten. Wichtig ist vor allem ein Modell, das den Alltag nicht lähmt. Sonst wird die Trennung im Betrieb wieder aufgeweicht.

Wie prüfe ich, ob mein Netz sicher segmentiert ist?

Am besten aus Sicht eines Angreifers. Ein Test prüft dabei, ob sich die Segmente wirklich nicht überwinden lassen. Somit zeigt sich, wo die Grenzen dicht sind und wo Lücken bleiben. Ein IT-Security-Audit erfasst zunächst den Ist-Zustand aller Geräte und Verbindungen. Erst danach lässt sich die Trennung sauber bewerten.

Fazit: Ein Segment hält, was das flache Netz verliert

Netzwerksegmentierung entscheidet im Ernstfall über den Umfang eines Vorfalls. In einem flachen Netz erreicht ein Angreifer nach einem Klick das ganze Haus. In einem geteilten Netz bleibt der Schaden hingegen in einer Zone. Diese Differenz kann somit über den Fortbestand eines KMU entscheiden. Der Einstieg gelingt zudem oft schon mit VLANs und vorhandener Hardware. Klare Zonen und, wo nötig, Mikrosegmentierung bauen schließlich darauf auf.

Wichtig ist vor allem der ehrliche Blick auf das eigene Netz. Denn viele Strukturen sind über Jahre gewachsen, ohne dass jemand die Trennung geplant hat. Wer heute weiß, wie flach sein Netz ist, kann somit gezielt nachschärfen. SecTec hilft österreichischen KMU, ihr Netz zu prüfen, zu planen und zu härten. Der erste Schritt ist dabei ein Blick auf den Ist-Zustand.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren