Netzwerksegmentierung
Stell dir vor, ein Angreifer schafft es, einen Bürorechner mit einem Phishing-Angriff zu kompromittieren. In einem flachen Netz ohne Segmentierung kann er sich von dort aus frei bewegen – Datenbankserver, Produktionssysteme, alle Netzwerkgeräte sind erreichbar. Netzwerksegmentierung begrenzt diesen „Blast Radius": Selbst ein kompromittierter Host kann nur das Segment erreichen, in dem er sich befindet. Alle anderen Bereiche sind durch Firewall-Regeln oder VLAN-Grenzen geschützt.
Netzwerksegmentierung ist nicht nur ein Sicherheitskonzept – sie ist auch für TOMs nach DSGVO relevant: Wenn Systeme mit personenbezogenen Daten in separaten Segmenten betrieben werden, reduziert das das Risiko bei Sicherheitsvorfällen erheblich. Sie spielt auch eine zentrale Rolle in Zero-Trust-Architekturen.
1) VLAN-basierte Segmentierung
Die gebräuchlichste Form der Netzwerksegmentierung ist die VLAN-Segmentierung (Virtual LAN). VLANs trennen ein physisches Netzwerk auf Layer 2 in logische Bereiche auf. Systeme in verschiedenen VLANs können nicht direkt miteinander kommunizieren – Inter-VLAN-Routing läuft nur über einen Router oder eine Firewall, die Regeln durchsetzen kann.
Inter-VLAN-Routing kontrolliert
Notebooks
Datenbank, AD
Produktionsanlagen
BYOD-Geräte
2) Was Segmentierung verhindert: Lateral Movement
Der wichtigste Schutzeffekt von Netzwerksegmentierung ist die Verhinderung von Lateral Movement – der Ausbreitung eines Angreifers im Netzwerk nach der initialen Kompromittierung. Die folgende Animation zeigt den Unterschied zwischen einem flachen Netz (ohne Segmentierung) und einem segmentierten Netz.
3) Segmentierungsansätze im Überblick
Es gibt mehrere technische Wege zur Netzwerksegmentierung. VLANs sind der Standard in Unternehmensnetzen, aber nicht der einzige Ansatz – besonders für Cloud-Umgebungen und Zero-Trust-Szenarien gibt es modernere Alternativen.
Zusammenfassung
Netzwerksegmentierung begrenzt Lateral Movement nach Kompromittierung eines Hosts. VLANs sind der Standard: logische Trennung auf Layer 2, Inter-VLAN-Routing nur über kontrollierte Firewall-Pfade. Typische Segmente: Mitarbeiter, Server, IoT/OT, Gäste-WLAN. Schutzziel: kleiner Blast Radius. Relevant für DSGVO-TOMs, BSI-Grundschutz und Zero Trust. Details zur Segmentsteuerung: Firewall-Regelwerk.