Was ist Netzwerksegmentierung?

Netzwerksegmentierung teilt eine IT-Umgebung in kontrollierte Zonen und beschränkt den Datenverkehr zwischen ihnen. Systeme werden beispielsweise nach Aufgabe, Schutzbedarf oder Vertrauensniveau getrennt. Nicht die Anzahl der Subnetze ist dabei entscheidend, sondern eine nachweisbar durchgesetzte Kommunikationsgrenze.

Welches Ziel hat Netzwerksegmentierung?

Wird ein Arbeitsplatz, Server oder Konto kompromittiert, soll der Angreifer nicht jedes weitere System direkt erreichen können. Segmentierung reduziert mögliche laterale Bewegungen, begrenzt den Schadensradius und schützt besonders kritische Dienste. Sie kann außerdem verhindern, dass ein Fehler in einer weniger vertrauenswürdigen Zone – etwa einem Gäste-WLAN – Produktions- oder Administrationssysteme unmittelbar betrifft.

Zusätzlich erleichtert eine klare Zonierung das Monitoring: Unerwarteter Verkehr zwischen zwei Bereichen fällt eher auf, wenn nur wenige dokumentierte Verbindungen erlaubt sind. Segmentierung unterstützt damit Prävention, Erkennung und Eindämmung eines Angriffs.

Wie werden Segmente technisch durchgesetzt?

Mehrere Ebenen ergänzen sich. Ein VLAN trennt Datenverkehr logisch, verhindert ohne Routing-Regeln oder Firewall aber nicht automatisch den Zugriff. Ebenso hilft eine zentrale Firewall wenig, wenn Systeme innerhalb eines großen Segments unkontrolliert miteinander kommunizieren können.

Wie sieht eine sinnvolle Zonierung aus?

Diese Zonen sind Beispiele, keine universelle Vorlage. Eine Produktionsanlage, ein Krankenhaus und ein Softwareunternehmen benötigen unterschiedliche Grenzen. Die Architektur muss aus den realen Datenflüssen und Risiken entstehen.

Wie wird Segmentierung geplant?

1. Bestand erfassen: Systeme, Verantwortliche, Daten, Abhängigkeiten und administrative Wege dokumentieren.
2. Datenflüsse verstehen: Quelle, Ziel, Richtung, Protokoll und geschäftlichen Zweck jeder benötigten Verbindung bestimmen.
3. Zonen bilden: Ähnliche Schutzbedarfe und Funktionen gruppieren; besonders kritische Systeme separat behandeln.
4. Regeln definieren: Nur begründete Kommunikation erlauben und den Rest standardmäßig sperren.
5. Kontrolliert einführen: Verkehr zunächst beobachten, Abhängigkeiten testen und Regeln schrittweise aktivieren.
6. Betreiben: Ausnahmen befristen, Änderungen nachvollziehbar genehmigen und veraltete Regeln entfernen.

Was ist Mikrosegmentierung?

Mikrosegmentierung wendet feinere Regeln auf einzelne Workloads, Dienste oder Identitäten an. Zwei Server im selben Subnetz dürfen dann nicht automatisch miteinander kommunizieren. In Rechenzentren, Cloud- und Containerumgebungen können Richtlinien dem Workload folgen, auch wenn seine IP-Adresse wechselt. Der Gewinn an Präzision erhöht allerdings die Anforderungen an Inventar, Automatisierung und Regelpflege. Undurchsichtige Tausende Einzelregeln sind nicht automatisch sicherer.

Wie hängen Segmentierung und Zero Trust zusammen?

Zero Trust verlangt, Zugriffe anhand von Identität, Gerätezustand, Kontext und Richtlinie zu prüfen, statt einem internen Netz pauschal zu vertrauen. Segmentierung setzt einen Teil dieser Grenzen technisch um. Sie ersetzt jedoch weder starke Authentifizierung noch Autorisierung, Verschlüsselung und Überwachung. Umgekehrt beseitigt eine identitätsbasierte Zugriffslösung nicht den Wert robuster Netzwerkgrenzen.

Welche Fehler schwächen die Segmentierung?

• Breite any-to-any-Regeln oder dauerhaft gewordene Übergangsausnahmen.
• Zonen werden nach Abteilungen statt nach benötigten Datenflüssen und Risiken gebaut.
• DNS, Verzeichnisdienste, Monitoring, Updates oder Zeitserver werden vergessen und später unkontrolliert freigeschaltet.
• Administrationsverkehr nutzt dieselben Wege und Konten wie gewöhnliche Benutzersitzungen.
• Nur eingehender Verkehr wird betrachtet, obwohl ausgehende Verbindungen Datenabfluss und Command-and-Control ermöglichen.
• Eine Firewallregel gilt als Schutz, ohne die Anwendung selbst zu authentifizieren, zu härten oder zu aktualisieren.

Wie wird die Wirksamkeit geprüft?

Regeln sollten technisch getestet werden: Kann ein Benutzergerät tatsächlich keinen Domänencontroller administrieren? Erreicht ein Webserver nur die vorgesehenen Datenbankports? Bleibt die Backup-Verwaltung aus normalen Netzen unzugänglich? Regelanalysen, Flow-Logs, Schwachstellenscans und Penetrationstests ergänzen sich dabei. Aussagekräftige Kennzahlen sind beispielsweise ungenutzte oder überbreite Regeln, nicht genehmigte Verbindungen, Ablaufzeiten für Ausnahmen und die Zeit bis zur Eindämmung auffälliger Datenflüsse.