Die DMZ einfach erklärt
Denken Sie an den Empfangsbereich eines Unternehmens. Besucher dürfen ins Foyer, werden dort bedient und können Unterlagen abgeben. Die Türen zu den Büros sind aber verschlossen. Benimmt sich ein Besucher daneben, kommt er trotzdem nicht ungehindert an die Schreibtische. Genau dieses Prinzip setzt eine DMZ im Netzwerk um.
Die Abkürzung steht für „demilitarisierte Zone“. Der Begriff stammt ursprünglich aus dem Militär und bezeichnet dort eine Pufferzone zwischen zwei Staaten, in der keine Truppen stehen dürfen. In der IT ist die DMZ die Pufferzone zwischen dem Internet und Ihrem internen Netz. Dort stehen Systeme, die von außen erreichbar sein müssen: Webserver, E-Mail-Gateways, die eingehende Nachrichten annehmen und prüfen, oder Reverse Proxys. Das sind vorgeschaltete Server, die Anfragen aus dem Internet entgegennehmen und kontrolliert an interne Anwendungen weiterreichen.
So funktioniert eine DMZ
Kern der DMZ sind Firewalls – Filter, die anhand fester Regeln entscheiden, welche Verbindungen erlaubt sind. Typisch sind diese Grundregeln:
- Vom Internet in die DMZ: Erreichbar sind nur die Dienste, die wirklich gebraucht werden, etwa die verschlüsselte Website.
- Von der DMZ ins interne Netz: möglichst keine Verbindungen. Wo es nicht anders geht, etwa für den Zugriff auf eine Datenbank, nur eng begrenzt auf einzelne Systeme und Dienste.
- Vom internen Netz in die DMZ: nur die benötigten Verbindungen. Verwaltungszugriffe zusätzlich nur über gesicherte Wege und von festgelegten Administrationsrechnern.
- Von der DMZ ins Internet: nur das Nötigste. Sonst kann ein übernommener Server ungehindert Daten nach außen senden oder Befehle eines Angreifers abholen. Diese Regel wird oft vergessen.
Technisch gibt es zwei verbreitete Bauweisen: eine Firewall mit getrennten Anschlüssen für Internet, DMZ und internes Netz – oder zwei hintereinandergeschaltete Firewalls, zwischen denen die DMZ liegt. Die zweite Variante gilt als robuster, weil ein Angreifer zwei Hürden überwinden muss. In Cloud-Umgebungen wird dasselbe Prinzip über getrennte Netzbereiche und Zugriffsregeln umgesetzt.
Ein Beispiel aus der Praxis
Ein typisches Szenario: Ein Logistikunternehmen betreibt seine Sendungsverfolgung auf einem Webserver in der DMZ. Über eine Sicherheitslücke in der Webanwendung verschafft sich ein Angreifer Zugriff auf diesen Server. Jetzt zeigt sich, wie gut die DMZ gebaut ist.
Im ungünstigen Fall ist der Webserver Mitglied der internen Windows-Domäne, also der zentralen Benutzerverwaltung, und eine alte Firewall-Regel erlaubt Verbindungen ins gesamte Firmennetz. Dann kann sich der Angreifer von System zu System weiterbewegen – Fachleute sprechen von Lateral Movement. Im günstigen Fall darf der Server nur mit einer einzigen Datenbank sprechen, und ausgehende Verbindungen sind gesperrt. Der Schaden bleibt auf diesen einen Server begrenzt, und die Überwachung meldet die ungewöhnlichen Verbindungsversuche.
Warum ist das für Unternehmen wichtig?
Systeme, die aus dem Internet erreichbar sind, werden ständig automatisiert nach Schwachstellen abgesucht. Wird eine neue Lücke bekannt, kann auch ein gut gepflegter Server betroffen sein. Die DMZ entscheidet dann darüber, ob aus einem Vorfall an einem einzelnen Server ein Angriff auf das ganze Unternehmen wird. Nicht ohne Grund beschreibt auch der IT-Grundschutz des BSI, wie Netze in Sicherheitszonen getrennt und Übergänge zum Internet über Firewalls abgesichert werden.
In der Praxis weicht die Wirklichkeit oft vom Konzept ab. Über Jahre sammeln sich Ausnahmen an: „vorübergehend“ freigegebene Zugänge, zu weit gefasste Regeln, gemeinsame Administratorpasswörter für DMZ und internes Netz. Jede Ausnahme wirkt für sich harmlos – zusammen können sie die Trennung aushebeln.
So schützen Sie sich
- Nur Nötiges veröffentlichen: Stellen Sie nur Dienste in die DMZ, die wirklich von außen erreichbar sein müssen.
- Regeln eng fassen: Erlauben Sie konkrete Verbindungen zwischen einzelnen Systemen und Diensten statt pauschaler Freigaben.
- Ausgehenden Verkehr begrenzen: DMZ-Server sollten nur dorthin Verbindungen aufbauen, wohin es fachlich nötig ist.
- Getrennt verwalten: Binden Sie DMZ-Systeme nicht in Ihr internes Active Directory, die zentrale Windows-Benutzerverwaltung, ein und nutzen Sie eigene Administratorkonten.
- Härten und aktualisieren: Härtung – also das Abschalten nicht benötigter Funktionen und sichere Einstellungen – und zeitnahe Updates sind hier besonders wichtig.
- Überwachen: Protokollieren Sie Zugriffe und lassen Sie sich Auffälligkeiten melden.
- Regelmäßig prüfen: Bereinigen Sie Firewall-Regeln und testen Sie die Trennung in der Praxis.
Wie Rootsektor unterstützt
Ob Ihre DMZ hält, was das Konzept verspricht, zeigt ein Penetrationstest für Netzwerk & Infrastruktur. Wir prüfen von außen, welche Dienste erreichbar und angreifbar sind, und testen auf Wunsch aus der DMZ heraus, ob ein Angreifer ins interne Netz gelangen würde. Interne Tests führen wir wahlweise vor Ort oder remote durch. Ihr Festpreisangebot erhalten Sie nach dem Scoping innerhalb von 24 Stunden (an Werktagen) über unser Pentest-Angebot.