Netzwerksegmentierung

Entstehung und Beteiligte

Segmentierung begann mit Bridges, Routern und Subnetzen. VLANs machten logische Trennung flexibler; Firewalls, VRFs und Mikrosegmentierung ergänzten feinere Kontrollen. Sicherheitsarchitekturen übernahmen das Prinzip der begrenzten Vertrauenszonen.

Welches Problem sollte gelöst werden?

Ein flaches Netz verteilt Broadcasts weit und erlaubt Angreifern nach einem Einbruch einfache seitliche Bewegung. Unterschiedliche Geräteklassen und Schutzbedarfe benötigen eigene Grenzen.

Technische Hürden und Lösungen

Zu viele Segmente erhöhen Regel- und Betriebsaufwand. Freigaben müssen dokumentiert, Rückwege symmetrisch und zentrale Dienste erreichbar bleiben. VLANs allein prüfen keine Inhalte. Mikrosegmentierung benötigt verlässliche Identitäten und Telemetrie.

Standardisierung und Einordnung

Physische und logische Infrastruktur muss über Herstellergrenzen hinweg funktionieren. IEEE-, ISO- und IETF-Standards definieren elektrische Werte, optische Übertragung, Rahmenformate und Steuerprotokolle. In der Praxis kommen weitere Hürden hinzu: Kabellängen, Störungen, Stromversorgung, Wärme, Redundanz und Wartbarkeit. Gute Planung betrachtet deshalb nicht nur Datenblattwerte, sondern den gesamten Lebenszyklus.

Technik im praktischen Betrieb

Planung endet nicht mit dem Kauf eines Geräts. Dokumentation, Beschriftung, Ersatzteile, Firmwarepfade, Strombudget und Messwerte bestimmen die Wartbarkeit. Redundante Leitungen helfen nur, wenn sie nicht im selben Kabelweg, Switch, Netzteil oder Provider enden. Vor einer Änderung sollten Ausgangszustand und Rückweg feststehen. Nachher müssen nicht nur Linkanzeigen, sondern Fehlerzähler, Aushandlung, reale Datenrate und Anwendungserreichbarkeit kontrolliert werden.

Warum das Thema heute noch relevant ist

Infrastruktur bleibt meist länger im Einsatz als Anwendungen. Entscheidungen zu Kabeln, Frequenzen, Portzahl, Leistung und Redundanz wirken zehn Jahre oder länger. Historische Standards sind deshalb weiterhin relevant und werden durch schnellere Varianten erweitert statt vollständig ersetzt. Eine gute Installation lässt Messung, Austausch und Erweiterung zu. Reserven bei Platz, Kühlung, Strom und Fasern sind oft günstiger als ein späterer Umbau unter laufendem Betrieb.

Daten und Meilensteine

• Subnetz, VLAN, VRF und Firewallzone lösen unterschiedliche Teilaufgaben.
• Inter-VLAN-Verkehr benötigt Routing.
• Default deny reduziert unbeabsichtigte Verbindungen.
• Segmentierung sollte an Datenflüssen und Schutzbedarf ausgerichtet sein.

Warum Netzwerksegmentierung?

Stell dir vor, ein Angreifer kompromittiert einen Mitarbeiter-PC durch eine Phishing-Mail. Ohne Segmentierung kann er von dort aus frei im Netzwerk navigieren: Produktionsdatenbanken, Backup-Server, Finanzsysteme – alles erreichbar. Das nennt sich "laterale Bewegung".

Netzwerksegmentierung schafft Sicherheitszonen, die durch Firewalls voneinander getrennt sind. Ein kompromittierter PC in der Benutzerzone kann nicht auf die Datenbankzone zugreifen. Der Schaden bleibt eingedämmt.

DMZ – Demilitarisierte Zone

Die DMZ ist eine Netzwerkzone zwischen dem internen Netzwerk und dem Internet. Server, die aus dem Internet erreichbar sein müssen (Webserver, Mailserver, VPN-Gateway), stehen in der DMZ. Zwei Firewalls schützen sie:

Externe Firewall: Internet → DMZ. Erlaubt nur definierte Ports (80, 443, 25). Interne Firewall: DMZ → Intern. Erlaubt nur spezifische Backend-Verbindungen (z.B. App-Server zu Datenbank auf Port 5432). So kann ein kompromittierter Webserver nicht direkt auf die interne Datenbank zugreifen.

VLAN-basierte Segmentierung

VLANs (Virtual LANs) sind die praktischste Implementierung von Netzwerksegmentierung. Statt physisch getrennte Netzwerke zu bauen, teilt man das Netzwerk logisch auf:

• VLAN 10: Management-Netz (Switches, Router, Management-PCs)
• VLAN 20: Server-Netz (Produktionssysteme)
• VLAN 30: Büro-Netz (Mitarbeiter-PCs)
• VLAN 40: Gäste-WLAN (Internet only, kein internes Routing)
• VLAN 50: IoT-Geräte (Drucker, Kameras – isoliert!)
• Inter-VLAN-Routing nur mit expliziter Firewall-Regel

Mikrosegmentierung und Zero Trust

Klassische Segmentierung trennt Netzwerkbereiche grob. Mikrosegmentierung geht tiefer: Jeder Workload kommuniziert nur mit explizit erlaubten anderen Workloads, unabhängig von ihrer IP-Adresse oder Netzwerkzone. Implementierung: Host-basierte Firewalls, SDN (Software-Defined Networking), Service-Mesh (Istio, Linkerd).

Zero Trust setzt dies konsequent um: "Never Trust, Always Verify". Auch im internen Netzwerk muss jede Verbindung authentifiziert und autorisiert werden – kein implizites Vertrauen aufgrund der Netzwerkzugehörigkeit.