Netzwerksegmentierung - ein Vorfall darf nicht das ganze Haus mitreißen

Die Firewall schützt nach außen. Drinnen ist das Netz oft flach - ist ein Gerät infiziert, steht dem Angreifer alles offen. Segmentierung zieht auch innen Grenzen, genau da, wo die meisten Schäden entstehen.

Nein, wenn er sauber geplant ist. Wir nehmen erst die realen Datenflüsse auf und setzen dann schrittweise um - gerade in der Fertigung mit maximaler Rücksicht auf die Verfügbarkeit.

Oft reicht die vorhandene Firewall- und Switch-Landschaft, richtig konfiguriert. Wo etwas fehlt, ergänzen wir gezielt - kein Rundumschlag.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Das hängt an der Größe und daran, wie gut die Datenflüsse dokumentiert sind. Für eine typische Mittelstandsumgebung rechne mit einigen Wochen: Aufnahme der realen Kommunikation, Zonenkonzept, dann zonenweise Umsetzung. Wir schalten nicht an einem Wochenende alles um, sondern Zone für Zone - das dauert länger und tut weniger weh.

Der Aufwand steckt weniger in der Technik als in der Aufnahme der Datenflüsse und im sauberen Regelwerk. Sind Firewall und Switches segmentierungsfähig, ist es überwiegend Projektaufwand; fehlen managebare Switches, kommt Hardware dazu. Nach dem Status-Check nennen wir Dir eine belastbare Zahl statt einer Hausnummer.

Ein VLAN trennt den Verkehr technisch, aber es hilft wenig, wenn zwischen den VLANs weiterhin alles erlaubt ist. Erst die Regeln an der Zonengrenze - wer darf mit wem worüber sprechen - machen aus VLANs eine Segmentierung. Viele Netze haben VLANs und sind trotzdem faktisch flach.

Das ist ein guter erster Schritt und deckt genau einen Fall ab: fremde Geräte. Die gefährlicheren Wege laufen aber innen - vom infizierten Büro-PC zum Server oder zur Maschinensteuerung. Davon stoppt ein Gäste-WLAN nichts.

Meist reichen fünf bis acht sauber gezogene Zonen: Server, Büro-Clients, Produktion beziehungsweise OT, Gäste, Management, Drucker und Haustechnik. Mehr Zonen bedeuten mehr Regeln und mehr Pflege. Wir schneiden so grob wie vertretbar und so fein wie nötig.

Ja, aber in kleinerem Zuschnitt. Schon die Trennung von Servern, Clients, Gästen und Haustechnik verhindert, dass ein verschlüsselter Arbeitsplatz die Server mitnimmt. Ein Zonenmodell mit zehn Ebenen wäre bei dieser Größe Overkill - davon raten wir dann auch ab.

Beide schreiben keine bestimmte Technik vor, verlangen aber, dass Netze getrennt und Zugriffe zwischen Bereichen kontrolliert werden. Segmentierung ist der übliche Weg, das nachweisbar zu erfüllen. Wir setzen um und dokumentieren prüffest - die Zertifizierung selbst nimmt eine akkreditierte Stelle vor.

Mikrosegmentierung geht bis auf die einzelne Anwendung oder Maschine herunter statt nur bis zur Zone. Das ist wirksam, aber pflegeintensiv und in den meisten Mittelstandsnetzen der zweite Schritt. Wir empfehlen sie gezielt dort, wo es wirklich zählt - etwa rund um besonders kritische Server oder Steuerungen.

Segmentierung ist die Netzebene davon: Sie sorgt dafür, dass Nähe im Netz kein Vertrauen mehr bedeutet. Zero Trust ergänzt darüber die Prüfung von Identität, Gerät und Kontext. Ohne Segmentierung bleibt Zero Trust auf halber Strecke stehen, weil der Weg im Netz weiterhin offen ist.

Das kommt vor - es gibt fast immer eine Verbindung, die niemand auf dem Zettel hatte. Deshalb fahren wir neue Zonengrenzen erst beobachtend, bevor wir blockieren, und behalten den Rückweg. Bei Störungen greift unsere Reaktionszeit von unter 2 Stunden*.

Auf Wunsch wir, im Rahmen unserer Security as a Service - also Firewall- und Netzwerkverwaltung. Neue Systeme müssen in die richtige Zone, Ausnahmen brauchen ein Ablaufdatum. Ein Regelwerk, das niemand pflegt, ist nach zwei Jahren wieder durchlässig.