Netzwerksegmentierung einfach erklärt
In vielen Unternehmen ist das Netzwerk „flach“: Alle Geräte hängen im selben Netz – Laptops, Server, Drucker, Kameras und manchmal sogar die Steuerungen der Produktion. Jedes Gerät kann mit jedem anderen sprechen. Das ist bequem, aber gefährlich. Hat ein Angreifer einen einzigen Rechner übernommen, etwa über eine Phishing-Mail, kann er von dort aus jedes andere Gerät im Netz erreichen und angreifen.
Segmentierung schafft hier Ordnung. Ein Vergleich aus dem Alltag sind Brandabschnitte in einem Gebäude: Brandschutztüren teilen es in Bereiche, sodass ein Feuer auf einen Abschnitt begrenzt bleibt – aber nur, wenn die Türen geschlossen sind. Eine Brandschutztür, die dauerhaft mit einem Keil offen gehalten wird, nützt nichts. Genauso verhält es sich mit zu großzügigen Regeln zwischen Netzzonen.
So funktioniert Netzwerksegmentierung
- Zonen bilden: Geräte werden nach Funktion und Schutzbedarf gruppiert, zum Beispiel in Zonen für Arbeitsplatzrechner, Server, Verwaltungszugänge, Produktion, Gäste-WLAN und vernetzte Geräte wie Kameras. Systeme, die aus dem Internet erreichbar sein müssen, stehen in einer eigenen Zone, der DMZ.
- Zonen technisch trennen: Häufig geschieht das mit VLANs – virtuellen Netzen, die ein physisches Netz logisch aufteilen. Ein VLAN allein ist aber noch keine Schutzmauer. Entscheidend ist, dass der Verkehr zwischen den Zonen über eine Firewall läuft – eine Art Grenzkontrolle für Daten – und dort gefiltert wird. Besonders kritische Bereiche werden mitunter auch physisch getrennt.
- Regeln festlegen: Grundsätzlich ist alles verboten, was nicht ausdrücklich erlaubt ist. Arbeitsplatzrechner dürfen etwa die Warenwirtschaft erreichen, nicht aber die Verwaltungsoberflächen der Server oder die Datensicherung.
- Pflegen und prüfen: Das Regelwerk wird dokumentiert, Ausnahmen werden befristet, und die Wirksamkeit wird regelmäßig getestet.
Eine Weiterentwicklung ist die Mikrosegmentierung, bei der sogar einzelne Server oder Anwendungen voneinander abgeschottet werden. Sie ist ein wichtiger Baustein von Zero Trust, einem Sicherheitsansatz, der keinem Gerät und keiner Verbindung automatisch vertraut.
Ein Beispiel aus der Praxis
Ein mittelständischer Maschinenbauer hat sein Netz vor zwei Jahren in Zonen für Büro, Server, Produktion und Gäste aufgeteilt. Bei einem Segmentierungstest zeigt sich: Aus dem Gäste-WLAN ist tatsächlich nichts erreichbar. Aus dem Büronetz gelangt das Prüfteam jedoch ungehindert auf die Steuerungsrechner der Fertigung.
Die Ursache ist eine Firewall-Regel aus einem Inbetriebnahmeprojekt, die nur „vorübergehend“ gedacht war. Wäre ein Büro-PC mit Ransomware infiziert worden, hätte die Schadsoftware auch die Produktion stilllegen können. Das Unternehmen entfernt die Regel und erteilt Ausnahmen künftig nur noch befristet.
Warum ist das für Unternehmen wichtig?
Viele schwere Angriffe folgen demselben Muster: Erst wird ein einzelner Rechner kompromittiert, also von Angreifern übernommen. Dann bewegt sich der Angreifer Schritt für Schritt durch das Netz – Fachleute sprechen von Lateral Movement – bis zu den Servern, dem Active Directory als zentraler Benutzerverwaltung und den Backups. Eine wirksame Segmentierung unterbricht diese Kette oder bremst sie so stark, dass der Angriff eher auffällt.
Segmentierung begrenzt außerdem den Schaden: Ist nur eine Zone betroffen, laufen die anderen weiter. Auch Regelwerke greifen das Prinzip auf. Der IT-Grundschutz des BSI und die Normenreihe IEC 62443 für Industrieanlagen setzen auf getrennte Zonen. Und wer nach PCI DSS 4.0.1, dem Sicherheitsstandard der Kartenzahlungsbranche, den Prüfumfang durch Segmentierung verkleinert, muss deren Wirksamkeit regelmäßig durch Penetrationstests belegen.
So schützen Sie sich
- Kronjuwelen abschotten: Trennen Sie besonders wichtige Systeme wie Active Directory, Datensicherung und Produktion besonders streng ab.
- Standardmäßig sperren: Erlauben Sie zwischen Zonen nur Verbindungen, die für den Betrieb tatsächlich nötig sind.
- Verwaltung trennen: Erledigen Sie administrative Aufgaben über ein eigenes Verwaltungsnetz oder abgesicherte Zwischenrechner, sogenannte Sprungserver, nicht vom normalen Arbeitsplatz aus.
- Gäste und Geräte isolieren: Gäste-WLAN, Kameras, Gebäudetechnik und andere vernetzte Geräte gehören in eigene Zonen.
- Ausnahmen befristen: Versehen Sie jede Sonderregel mit Begründung, Zuständigkeit und Ablaufdatum.
- Wirksamkeit testen: Prüfen Sie regelmäßig und nach Umbauten, ob die Trennung in der Praxis hält, was der Netzplan verspricht.
Wie Rootsektor unterstützt
Im Rahmen unserer Penetrationstests für Netzwerk & Infrastruktur prüfen wir mit einem Segmentierungstest aus Angreifersicht, ob Ihre Netzzonen tatsächlich so getrennt sind, wie es Ihr Netzplan vorsieht. Interne Tests führen wir wahlweise vor Ort oder remote durch. Kritische Schwachstellen melden wir schon während des Tests sofort telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Nach dem Scoping erhalten Sie ein Festpreisangebot – anfragen können Sie es über unser Pentest-Angebot.