Sicherheitszonen: DMZ, intern, extern
Netzwerksicherheit beginnt mit einer grundlegenden Frage: Wer darf mit wem kommunizieren? Die Antwort liefert ein Zonenkonzept. Statt alle Systeme in einem flachen Netz zu betreiben, werden Netzwerkbereiche mit unterschiedlichem Vertrauensniveau durch Firewalls voneinander getrennt. Das klassische Drei-Zonen-Modell unterscheidet zwischen dem unsicheren externen Netz (Internet), einer halbsicheren Pufferzone (DMZ) und dem geschützten internen Netz (LAN). Dieser Aufbau ist in der Praxis der Standard – ob im kleinen Unternehmen oder im Rechenzentrum.
1) Die drei Sicherheitszonen im Überblick
Jede Zone hat ein definiertes Vertrauensniveau und beherbergt Systeme, die zu diesem Niveau passen. Die entscheidende Regel: Kommunikation über Zonengrenzen hinweg ist grundsätzlich verboten, außer sie wird durch eine Firewall-Regel explizit erlaubt. Das Diagramm zeigt den typischen Aufbau mit zwei Firewalls – eine zwischen Internet und DMZ, eine zwischen DMZ und internem Netz.
Kunden, Partner
Angreifer
Mailserver
DNS, VPN-Gateway
File-Server
Datenbanken, AD
2) Was gehört wohin?
Eine häufige Fehlerquelle in der Praxis: Systeme werden in der falschen Zone platziert. Ein Datenbankserver, der direkt aus dem Internet erreichbar ist, oder ein Webserver im internen Netz ohne DMZ-Trennung – beides sind typische Schwachstellen. Die folgende Übersicht zeigt, welche Systeme in welche Zone gehören und warum.
3) Erlaubte Verkehrsrichtungen
Das Zonenkonzept lebt von klar definierten Verkehrsregeln. Nicht jede Kommunikationsrichtung ist gleichwertig – manche sind unproblematisch, andere gefährlich. Die Grundregel: Verkehr von außen nach innen ist grundsätzlich verboten; jede Ausnahme braucht eine explizite Regel mit Begründung.
4) Einstufige vs. zweistufige Architektur
| Architektur | Aufbau | Vorteil | Nachteil |
|---|---|---|---|
| Einstufig | Eine Firewall, drei Netzwerkanschlüsse (extern/DMZ/intern) | Günstiger, einfacher zu betreiben | Single Point of Failure; kompromittierte Firewall = alles offen |
| Zweistufig | Zwei separate Firewalls, idealerweise verschiedener Hersteller | Defense in Depth; Angreifer muss zwei Systeme überwinden | Höherer Aufwand und Kosten |
| Screened Subnet | Zweistufig + DMZ als eigenständiges Subnetz | Standard für professionelle Umgebungen | Komplexere Konfiguration und Wartung |
Zusammenfassung
Das Drei-Zonen-Modell trennt Netzwerkbereiche nach Vertrauensniveau: externes Netz (kein Vertrauen), DMZ (exponierte Server, kontrollierter Zugang) und internes Netz (geschäftskritische Systeme). Firewalls kontrollieren alle Zonenübergänge nach dem Whitelist-Prinzip: alles verboten, außer explizit erlaubt. Systeme kommen in die Zone, die ihrem Expositions-Bedarf entspricht – Webserver in die DMZ, Datenbanken ins interne Netz. Details zu den Regeln, die diesen Verkehr steuern: Paketfilter-Firewall und Firewall-Regelwerk.