Netzwerksegmentierung und Zonen

Netzwerksegmentierung teilt ein großes Netzwerk in kleinere, voneinander isolierte Bereiche auf. Statt dass jedes Gerät ungehindert jedes andere erreicht, wird der Datenverkehr zwischen den Segmenten kontrolliert und gefiltert.

Die wichtigsten Vorteile sind Sicherheit (ein Angriff in einem Segment kann sich nicht ohne Weiteres ausbreiten), Leistung (weniger Broadcast-Datenverkehr pro Segment) und eine einfachere Verwaltung. Segmentierung begrenzt Probleme, statt sie im gesamten Netzwerk weiterzugeben.

Ein flaches Netzwerk, in dem alles miteinander verbunden ist, ist praktisch, aber gefährlich: Schadsoftware oder ein Angreifer, der irgendwo Fuß fasst, kann alles erreichen. Segmentierung begrenzt den Explosionsradius, also den Bereich, den ein Vorfall beeinträchtigen kann.

Wenn eine Workstation im Bürosegment infiziert wird, verhindert die Segmentierung, dass sie direkt auf die Server, Kameras oder Gebäudesteuerungen zugreift. Dadurch bleibt Zeit für Erkennung und Reaktion.

VLANs (Virtual Local Area Networks) sind das am häufigsten eingesetzte Werkzeug zur Segmentierung. Ein einzelner Switch kann mehrere VLANs hosten, die jeweils eine eigene Broadcast-Domäne bilden. So lassen sich beispielsweise Mitarbeiter, Gäste und Server voneinander trennen, obwohl sie dieselbe Hardware verwenden.

Geräte in verschiedenen VLANs können nicht direkt miteinander kommunizieren. Ihr Datenverkehr muss einen Router oder eine Firewall durchlaufen – genau dort wenden Sie Sicherheitsregeln zwischen den Segmenten an.

Jedes Segment erhält typischerweise ein eigenes IP-Subnetz. Um zwischen Subnetzen zu wechseln, muss der Datenverkehr einen Router oder einen Layer-3-Switch passieren – einen natürlichen Engpass, an dem Sie Richtlinien durchsetzen.

Indem Sie VLANs an Subnetze ausrichten und das Routing zwischen ihnen kontrollieren, legen Sie genau fest, welche Segmente miteinander kommunizieren dürfen und über welche Ports. So entstehen durchsetzbare Grenzen.

Netzwerke werden häufig in Zonen mit unterschiedlichem Vertrauensgrad organisiert:

• Vertrauenswürdig/intern: das geschützte Unternehmens-LAN.
• Nicht vertrauenswürdig/extern: das Internet.
• DMZ (Demilitarized Zone): ein nur teilweise vertrauenswürdiger Puffer für öffentlich erreichbare Server.

Firewalls befinden sich zwischen den Zonen und stellen sicher, dass Datenverkehr nur in genehmigte Richtungen und über genehmigte Ports fließt.

Eine DMZ beherbergt Server, die aus dem Internet erreichbar sein müssen, etwa Web- und E-Mail-Server, in einer vom internen Netzwerk getrennten Zone. Wird ein öffentlicher Server kompromittiert, bleibt der Angreifer in der DMZ und gelangt nicht in das vertrauenswürdige LAN.

Firewall-Regeln erlauben dem Internet den Zugriff auf die DMZ über bestimmte Ports, schränken jedoch von der DMZ ausgehende Verbindungen in das interne Netzwerk stark ein.

Mikrosegmentierung führt dieses Konzept auf die Spitze: Statt weniger großer Zonen werden einzelne Workloads oder sogar einzelne Geräte isoliert und der Datenverkehr zwischen ihnen kontrolliert.

Dieses Verfahren ist in Rechenzentren und Zero-Trust-Architekturen verbreitet. Selbst zwei Server im selben Bereich müssen ausdrücklich für die Kommunikation freigegeben werden. Dadurch wird die laterale Bewegung drastisch eingeschränkt, da standardmäßig keinem Gerät vertraut wird.

Die Segmentierung bringt zwei praktische Vorteile: Richten Sie Gäste-WLAN in einem eigenen Segment ein, damit Besucher das Internet erreichen, aber niemals auf Ihre internen Systeme zugreifen können. Isolieren Sie außerdem IoT-Geräte (Internet of Things) wie Kameras und intelligente Sensoren, die häufig unsicher sind.

Wenn diese nicht vertrauenswürdigen Geräte vom Hauptnetzwerk getrennt bleiben, kann eine gehackte Kamera nicht als Zugang zu Ihren sensiblen Systemen dienen.

Vorschriften verlangen häufig eine Segmentierung. Beispielsweise schreibt PCI DSS (Payment Card Industry Data Security Standard) vor, dass Systeme, die Kartendaten verarbeiten, vom restlichen Netzwerk isoliert werden.

Die Segmentierung der betroffenen Systeme verbessert sowohl die Sicherheit als auch die Übersichtlichkeit des Prüfbereichs. Dadurch müssen Auditoren weniger Bereiche untersuchen, was die Compliance einfacher und kostengünstiger macht und zugleich die sensibelsten Daten schützt.

Segmente allein bewirken nichts, wenn ihre Grenzen nicht durchgesetzt werden. Firewalls und ACLs (Access Control Lists) an den Grenzen entscheiden, welcher Datenverkehr passieren darf. Standardmäßig sollte alles verweigert werden: Blockieren Sie zunächst alles und erlauben Sie anschließend nur, was ausdrücklich erforderlich ist.

Diese „standardmäßig verweigern“-Haltung an jeder Segmentgrenze verwandelt Netzwerkaufteilungen in echte Sicherheitsbarrieren statt in bloße Linien auf einem Diagramm.

Segmentierung teilt ein Netzwerk in VLANs, Subnetze und Vertrauenszonen auf, damit Probleme begrenzt bleiben. Eine DMZ schützt öffentliche Server, Mikrosegmentierung isoliert einzelne Workloads, und Gäste- sowie IoT-Netzwerke halten nicht vertrauenswürdige Geräte getrennt. Firewalls und ACLs mit einer „standardmäßig verweigern“-Richtlinie setzen diese Grenzen durch und begrenzen, wie weit sich ein Angriff ausbreiten kann.

Testen Sie Ihr Wissen über Netzwerksegmentierung.

Segmentierung teilt ein Netzwerk (mithilfe von VLANs und Subnetzen) in isolierte Bereiche auf, um Angriffe einzudämmen und den Explosionsradius zu begrenzen. Sicherheitszonen wie vertrauenswürdige, nicht vertrauenswürdige Zonen und die DMZ trennen unterschiedliche Vertrauensstufen, während Mikrosegmentierung einzelne Workloads isoliert. Firewalls und ACLs mit einer „standardmäßig verweigern“-Richtlinie setzen die Grenzen durch und unterstützen die Compliance.