Netzwerksegmentierung: Wie Sie Angreifer im Netzwerk stoppen

Wenn Ransomware in ein Unternehmensnetzwerk eindringt, breitet sie sich oft innerhalb von Minuten auf alle erreichbaren Systeme aus. Netzwerksegmentierung begrenzt den Schaden, indem sie das Netzwerk in isolierte Bereiche aufteilt.

Was ist Netzwerksegmentierung?

Netzwerksegmentierung teilt das Unternehmensnetzwerk in logische oder physische Bereiche (Segmente), die nur kontrolliert miteinander kommunizieren können. Der Gast-WLAN-Bereich kann nicht auf den Unternehmensserver zugreifen. Das Produktionsnetzwerk ist vom Büronetzwerk getrennt. Server sind in einem gesonderten Segment mit strikten Zugriffsregeln.

VLANs als wichtigstes Werkzeug

VLANs (Virtual Local Area Networks) ermöglichen es, das Netzwerk logisch zu segmentieren, ohne physisch separate Kabel verlegen zu müssen. Ein verwalteter Switch verteilt die Ports auf verschiedene VLANs. Eine Firewall oder ein Router steuert, welcher Datenverkehr zwischen den VLANs erlaubt ist.

Typische Segmente in einem KMU-Netzwerk

Büronetzwerk (Mitarbeiter-PCs und -Laptops). Server-Segment (Fileserver, Anwendungsserver). Management-Segment (Switches, Router, Drucker, Kameras). Gast-WLAN (Besucher, getrennt von allem anderen). IoT-Segment (Smart-Devices, Drucker der neueren Generation, die oft unsicher sind).

Mikrosegmentierung als nächster Schritt

Fortgeschrittene Umgebungen nutzen Mikrosegmentierung: Jede einzelne Anwendung oder jeder Server kommuniziert nur noch mit explizit erlaubten Partnern. Auch in derselben VLAN ist keine unkontrollierte Kommunikation möglich. Das ist aufwändiger, aber sehr effektiv gegen laterale Bewegung von Angreifern.

Ein typischer Plan für kleine Unternehmen

• Firmen-Netz für Arbeitsplätze und Server.
• Gast-WLAN, komplett getrennt vom Firmennetz.
• Eigenes Netz für Drucker, Telefone und Kameras.
• Eigenes Netz für Kassensysteme oder Maschinensteuerungen.
• Verwaltungsnetz für Switches, Firewall und Access Points.

Regeln zwischen den Netzen

Die Trennung entfaltet ihre Wirkung erst durch klare Regeln an der Firewall: Was nicht ausdrücklich erlaubt ist, wird blockiert. Ein Drucker muss Druckaufträge empfangen, aber nicht selbst ins Firmennetz verbinden. Eine Kamera braucht keinen Zugriff auf den Server. Diese Regeln werden einmal sauber geplant, dokumentiert und bei Änderungen angepasst.

Ein typisches Szenario

Ein häufiges Beispiel: In einem Büro hängen Arbeitsplätze, Drucker, Überwachungskameras, das Gäste-WLAN und der Server im selben Netz. Eine veraltete Kamera mit bekannter Sicherheitslücke wird übernommen, und von dort aus können Angreifer jedes Gerät erreichen. Mit getrennten Netzen wäre die Kamera isoliert: Sie dürfte nur ihre Bilder an den Rekorder senden, aber weder den Server noch die Arbeitsplätze erreichen.

So gehen Sie bei der Umstellung vor

• Alle Geräte erfassen und nach Zweck gruppieren.
• Netze und Regeln planen, bevor etwas geändert wird.
• Schrittweise umstellen, Gruppe für Gruppe.
• Nach jeder Änderung testen: Drucken, Scannen, Fernzugriff.
• Plan und Regeln dokumentieren.

Aufwand realistisch einschätzen

Mit geeigneten Geräten ist die Segmentierung eines kleinen Netzwerks oft an ein bis zwei Tagen umgesetzt, idealerweise außerhalb der Arbeitszeit. Der größte Teil ist Planung. Wenn alte Switches keine VLANs unterstützen, sollte der Austausch mit eingeplant werden.

Beispiel einer einfachen Aufteilung

• Netz für Arbeitsplätze und Laptops der Mitarbeitenden.
• Netz für Server und zentrale Dienste.
• Netz für Drucker, Telefone und Kameras.
• Netz für Gäste mit reinem Internetzugang.
• Verwaltungsnetz für Switches, Firewall und Access Points.

Zwischen diesen Netzen legt die Firewall fest, welche Verbindungen erlaubt sind. Arbeitsplätze dürfen etwa auf Server und Drucker zugreifen, Drucker aber nicht auf Arbeitsplätze. Das Gästenetz erreicht nur das Internet. Für die meisten kleinen Büros reicht diese Aufteilung vollkommen aus.

Kurz zusammengefasst

• Getrennte Netze begrenzen den Schaden bei einem Angriff.
• Gast-WLAN und smarte Geräte zuerst isolieren.
• Regeln an der Firewall entscheiden über die Wirkung.
• Schrittweise umstellen und jede Änderung testen.

Fazit

Netzwerksegmentierung ist eine der wirksamsten Maßnahmen gegen die Ausbreitung von Schadsoftware. Die Umsetzung erfordert Planung und die richtigen Geräte, ist aber für die meisten KMU in einem überschaubaren Zeitrahmen realisierbar.