Ein Firmennetzwerk, in dem Server, Drucker, Gäste-WLAN und Produktionsmaschinen alle im selben „großen Topf“ hängen, funktioniert – bis es nicht mehr funktioniert. Sobald sich ein infizierter Laptop im Gäste-WLAN plötzlich mit dem Buchhaltungsserver „unterhalten“ kann, wird aus einer Kleinigkeit ein ernstes Problem. Netzwerksegmentierung ist die Lösung dafür – und einfacher umzusetzen, als es klingt.

Das Grundprinzip: Zonen statt ein großer Topf

Statt alle Geräte in einem einzigen, „flachen“ Netzwerk zu betreiben, wird das Netzwerk in mehrere kleinere Bereiche (Zonen) aufgeteilt – technisch meist über sogenannte VLANs (Virtual LANs) umgesetzt. Jede Zone bekommt einen eigenen Adressbereich und eigene Regeln, was sie mit anderen Zonen austauschen darf.

Typische Zonen für ein kleines bis mittleres Unternehmen

• Management – Switches, Firewall-Verwaltung, Server-Fernwartung (z. B. iDRAC/iLO). Sollte niemals im selben Netz wie normale Arbeitsplätze liegen.
• Server – Ihre zentralen Systeme (Dateiserver, Datenbank, Anwendungsserver).
• Büro-Clients – Die normalen Arbeitsplatz-PCs und Notebooks der Mitarbeiter.
• Produktion/Maschinen – Falls vorhanden: Maschinensteuerungen, Staplerterminals oder andere Industriegeräte, die oft veraltete, schwer patchbare Software mitbringen.
• Drucker – Eigenes Segment, da Drucker häufig unterschätzte Sicherheitslücken haben.
• WLAN (Mitarbeiter) – Getrennt vom Kabelnetz, eigene Zugriffsregeln.
• Gäste-WLAN – Vollständig isoliert, nur Internetzugang, keine Verbindung zu internen Systemen.
• VoIP – Telefonanlage und IP-Telefone, eigenes Segment für stabile Sprachqualität und weniger Angriffsfläche.

Die wichtigste Regel: Zonen alleine reichen nicht

Das wird häufig missverstanden: Eine Zone (VLAN) trennt zunächst nur den technischen „Broadcast-Verkehr“ – ob zwei Zonen tatsächlich nicht miteinander kommunizieren können, entscheidet ausschließlich das Firewall-Regelwerk dazwischen. Der Grundsatz sollte immer sein: alles ist verboten, außer explizit erlaubt („Default Deny“). Nur die Verbindungen, die ein Unternehmen tatsächlich braucht (z. B. Büro-Clients dürfen auf den Server zugreifen), werden gezielt freigeschaltet – alles andere bleibt gesperrt.

Ein einfaches Beispiel-Schema

Jede Zone bekommt ihr eigenes /24-Netz (256 Adressen) – das reicht für die meisten kleinen und mittleren Unternehmen komfortabel und lässt Raum für Wachstum.

Häufige Fehler in der Praxis

• Gäste-WLAN nicht wirklich isoliert – oft technisch als eigenes VLAN angelegt, aber ohne konsequente Firewall-Sperre zu internen Netzen
• Management-Interfaces frei erreichbar – Switch- oder Server-Verwaltung im selben Netz wie normale Nutzer
• Alles „erlaubt“, nichts dokumentiert – Firewall-Regeln wachsen über Jahre unstrukturiert, niemand weiß mehr, warum eine bestimmte Regel existiert
• Produktionsgeräte ungeschützt im Büronetz – gerade ältere Maschinensteuerungen sind oft nicht mehr patchbar und sollten nie direkt neben Büro-PCs hängen

Wann sich eine Überprüfung lohnt

Spätestens bei einer Cyber-Versicherung (die zunehmend Netzwerksegmentierung als Voraussetzung verlangt), bei spürbar langsamer werdendem Netzwerk durch zu viele Geräte in einer Zone, oder einfach beim nächsten Umzug/Neuaufbau ist ein guter Zeitpunkt, das Thema anzugehen – deutlich einfacher, als ein gewachsenes, unübersichtliches Netz nachträglich aufzuräumen.

Wie ich dabei unterstütze

Ich plane für Sie ein zu Ihrem Unternehmen passendes Segmentierungskonzept – von der Zonen-Aufteilung über die Adressvergabe bis zum konkreten Firewall-Regelwerk – und setze es gemeinsam mit Ihnen um, ohne den laufenden Betrieb unnötig zu stören.

„Mein WLAN ist einfach schlecht“ höre ich oft – dabei liegt es seltener am Router selbst, als viele denken. Meist sind es ganz andere Ursachen, die sich mit etwas Fachwissen gut beheben lassen.

Die häufigsten echten Ursachen

• Falscher Standort des Routers – in der Ecke, hinter dem Fernseher oder im Keller versteckt, ist selten ideal
• Baumaterial als Signalkiller – Betonwände, Fußbodenheizung und Metalltüren schwächen WLAN-Signale erheblich
• Überlastete Funkkanäle – gerade in Mehrfamilienhäusern funken viele Router auf denselben Kanälen und stören sich gegenseitig
• Zu viele Geräte an einem einzigen Access Point – Smart-Home-Geräte, Drucker, Handys und Laptops teilen sich die verfügbare Bandbreite
• Veraltete Router-Firmware oder -Hardware – ältere Geräte unterstützen oft nur ältere, langsamere WLAN-Standards

Was eine professionelle WLAN-Ausleuchtung bringt

Bei einer WLAN-Ausleuchtung wird gemessen, wie sich das Signal tatsächlich im Raum verteilt – nicht geschätzt, sondern gemessen. Das zeigt genau, wo Funklöcher entstehen und ob ein zusätzlicher Access Point, ein Mesh-System oder eine andere Platzierung des vorhandenen Routers das Problem löst. Oft reicht schon eine andere Positionierung oder ein zweiter, sauber eingebundener Access Point, statt gleich die komplette Technik auszutauschen.

Privat vs. geschäftlich – unterschiedliche Anforderungen

Im privaten Umfeld reicht meist ein gut platzierter Router oder ein einfaches Mesh-System. Im geschäftlichen Umfeld kommen oft weitere Anforderungen hinzu: separates Gäste-WLAN, saubere Trennung von Verwaltung und Produktion, oder eine Ausleuchtung über mehrere Räume oder Stockwerke hinweg. Hier lohnt sich eine durchdachte Planung von Anfang an – nachträgliches Nachrüsten ist meist aufwendiger als richtige Erstplanung.

Wann sich eine Beratung lohnt

Wenn Sie regelmäßig Verbindungsabbrüche, sehr langsame Geschwindigkeiten in bestimmten Räumen oder häufige Aussetzer bei Videocalls haben, ist das ein guter Anlass, das WLAN einmal fachkundig prüfen zu lassen – oft mit überraschend einfacher Lösung.