Ein Firmennetzwerk, in dem Server, Drucker, Gäste-WLAN und Produktionsmaschinen alle im selben „großen Topf“ hängen, funktioniert – bis es nicht mehr funktioniert. Sobald sich ein infizierter Laptop im Gäste-WLAN plötzlich mit dem Buchhaltungsserver „unterhalten“ kann, wird aus einer Kleinigkeit ein ernstes Problem. Netzwerksegmentierung ist die Lösung dafür – und einfacher umzusetzen, als es klingt.
Das Grundprinzip: Zonen statt ein großer Topf
Statt alle Geräte in einem einzigen, „flachen“ Netzwerk zu betreiben, wird das Netzwerk in mehrere kleinere Bereiche (Zonen) aufgeteilt – technisch meist über sogenannte VLANs (Virtual LANs) umgesetzt. Jede Zone bekommt einen eigenen Adressbereich und eigene Regeln, was sie mit anderen Zonen austauschen darf.
Typische Zonen für ein kleines bis mittleres Unternehmen
- Management – Switches, Firewall-Verwaltung, Server-Fernwartung (z. B. iDRAC/iLO). Sollte niemals im selben Netz wie normale Arbeitsplätze liegen.
- Server – Ihre zentralen Systeme (Dateiserver, Datenbank, Anwendungsserver).
- Büro-Clients – Die normalen Arbeitsplatz-PCs und Notebooks der Mitarbeiter.
- Produktion/Maschinen – Falls vorhanden: Maschinensteuerungen, Staplerterminals oder andere Industriegeräte, die oft veraltete, schwer patchbare Software mitbringen.
- Drucker – Eigenes Segment, da Drucker häufig unterschätzte Sicherheitslücken haben.
- WLAN (Mitarbeiter) – Getrennt vom Kabelnetz, eigene Zugriffsregeln.
- Gäste-WLAN – Vollständig isoliert, nur Internetzugang, keine Verbindung zu internen Systemen.
- VoIP – Telefonanlage und IP-Telefone, eigenes Segment für stabile Sprachqualität und weniger Angriffsfläche.
Die wichtigste Regel: Zonen alleine reichen nicht
Das wird häufig missverstanden: Eine Zone (VLAN) trennt zunächst nur den technischen „Broadcast-Verkehr“ – ob zwei Zonen tatsächlich nicht miteinander kommunizieren können, entscheidet ausschließlich das Firewall-Regelwerk dazwischen. Der Grundsatz sollte immer sein: alles ist verboten, außer explizit erlaubt („Default Deny“). Nur die Verbindungen, die ein Unternehmen tatsächlich braucht (z. B. Büro-Clients dürfen auf den Server zugreifen), werden gezielt freigeschaltet – alles andere bleibt gesperrt.
Ein einfaches Beispiel-Schema
| Zone | Beispiel-Netzbereich |
|---|---|
| Management | 10.10.5.0/24 |
| Server | 10.10.10.0/24 |
| Büro-Clients | 10.10.20.0/24 |
| Drucker | 10.10.30.0/24 |
| WLAN (Mitarbeiter) | 10.10.28.0/24 |
| Gäste-WLAN | 10.10.95.0/24 |
Jede Zone bekommt ihr eigenes /24-Netz (256 Adressen) – das reicht für die meisten kleinen und mittleren Unternehmen komfortabel und lässt Raum für Wachstum.
Häufige Fehler in der Praxis
- Gäste-WLAN nicht wirklich isoliert – oft technisch als eigenes VLAN angelegt, aber ohne konsequente Firewall-Sperre zu internen Netzen
- Management-Interfaces frei erreichbar – Switch- oder Server-Verwaltung im selben Netz wie normale Nutzer
- Alles „erlaubt“, nichts dokumentiert – Firewall-Regeln wachsen über Jahre unstrukturiert, niemand weiß mehr, warum eine bestimmte Regel existiert
- Produktionsgeräte ungeschützt im Büronetz – gerade ältere Maschinensteuerungen sind oft nicht mehr patchbar und sollten nie direkt neben Büro-PCs hängen
Wann sich eine Überprüfung lohnt
Spätestens bei einer Cyber-Versicherung (die zunehmend Netzwerksegmentierung als Voraussetzung verlangt), bei spürbar langsamer werdendem Netzwerk durch zu viele Geräte in einer Zone, oder einfach beim nächsten Umzug/Neuaufbau ist ein guter Zeitpunkt, das Thema anzugehen – deutlich einfacher, als ein gewachsenes, unübersichtliches Netz nachträglich aufzuräumen.
Wie ich dabei unterstütze
Ich plane für Sie ein zu Ihrem Unternehmen passendes Segmentierungskonzept – von der Zonen-Aufteilung über die Adressvergabe bis zum konkreten Firewall-Regelwerk – und setze es gemeinsam mit Ihnen um, ohne den laufenden Betrieb unnötig zu stören.