Was ist Netzwerksegmentierung?

Netzwerksegmentierung einfach erklärt

Denken Sie an ein Bürogebäude mit Schließanlage. Die Eingangstür steht tagsüber offen, doch für den Technikraum und die Personalabteilung braucht man einen passenden Schlüssel. Wer im Flur steht, ist damit noch nicht an den Gehaltsunterlagen.

Ein Netz ohne diese Aufteilung gleicht einem Haus, in dem jeder Schlüssel jede Tür öffnet. Arbeitsplatz, Server, Tischtelefon, Überwachungskamera und das Notebook, das Besuch mitbringt, liegen im selben Bereich und finden einander. Netzwerksegmentierung baut die Schließanlage ein: Geräte mit ähnlicher Aufgabe und gleichem Schutzbedarf kommen in eine gemeinsame Zone. Am Übergang zwischen zwei Zonen sitzt eine Kontrollstelle mit einer Liste der Verbindungen, die passieren dürfen. Was nicht auf dieser Allowlist steht, wird abgewiesen.

Das BSI beschreibt diesen Aufbau im IT-Grundschutz-Kompendium (Edition 2023), Baustein NET.1.1 „Netzarchitektur und -design“. Zu den Basisanforderungen gehört, Arbeitsplatzrechner und Server in getrennten Segmenten zu betreiben und den Verkehr dazwischen mindestens mit einem zustandsbehafteten Paketfilter zu kontrollieren. Gastzugänge und Bereiche, deren Endgeräte das Unternehmen nicht hinreichend im Griff hat, bekommen danach eigene Segmente. Innerhalb eines Segments sollen nur Geräte mit ähnlichem Sicherheitsniveau stehen.

Zonen, Übergänge und Regeln

Welche Zonen sinnvoll sind, hängt vom Betrieb ab. Als Zonen kommen zum Beispiel infrage:

• Arbeitsplätze: Rechner und Notebooks der Mitarbeitenden.
• Server: Dateiablage und Fachanwendungen. Die Datensicherung kann eine eigene, besonders eng abgeschirmte Zone bekommen.
• Telefonie: Tischtelefone und gegebenenfalls die IP-Telefonanlage.
• Geräte ohne laufende Updates: Kameras, Zutrittsleser, Mess- oder Maschinensteuerungen.
• Gäste: das Gast-WLAN, das ausschließlich ins Internet führt.
• Verwaltung der Technik: Die Bedienoberflächen von Switches, Firewalls und Servern sind nur aus einem kleinen, eigenen Bereich erreichbar.

Technisch entstehen die Zonen in der Regel logisch. Ein verwaltbarer Switch ordnet seine Anschlüsse verschiedenen VLANs zu, und ein Access Point verfährt mit seinen Funknetzen genauso. Damit steht fest, welches Gerät zu welcher Gruppe gehört.

Was zwischen den Gruppen erlaubt ist, entscheidet die Firewall am Übergang. Eine Regel kann etwa lauten: Die Zutrittsleser dürfen ihren Steuerungsserver über einen bestimmten Port erreichen, und sonst nichts. Für Bereiche mit hohem Schutzbedarf sieht der BSI-Baustein zusätzlich vor, Segmente auf eigene Switches zu verteilen und damit auch physisch zu trennen.

Die feinste Stufe heißt Mikrosegmentierung. Dabei entstehen sehr kleine Segmente, in denen nur Systeme mit nahezu gleichem Anforderungsprofil und Schutzbedarf liegen, etwa die Server einer einzelnen Fachanwendung. In virtualisierten Umgebungen lassen sich solche Regeln je nach Plattform direkt an den virtuellen Maschinen festmachen. Der Ansatz Zero Trust führt den Gedanken weiter und prüft auch Zugriffe, die aus dem eigenen Netz kommen. Für kleinere Netze ist eine solide Grundaufteilung ein realistischer erster Schritt, denn jede weitere Zone bringt eigene Regeln und Pflegeaufwand mit.

Rufanlage, Pflegebüro, Bewohner-WLAN: Zonen in einer Pflegeeinrichtung

Angenommen, in einer Pflegeeinrichtung mit 70 Beschäftigten teilen sich bislang alle Geräte dasselbe Netz. Dazu gehören die Rechner in Verwaltung und Pflegebüros, das WLAN für Bewohnerinnen, Bewohner und Besuch sowie die Telefonanlage mit den schnurlosen Telefonen des Pflegepersonals. Auch die Rufanlage hängt dort, über die Bewohnerinnen und Bewohner Hilfe anfordern. Gerade sie muss zuverlässig laufen; gewartet wird sie von einer Fachfirma.

Bei der Neuordnung entstehen vier Zonen. Wer das WLAN für Bewohnerschaft und Besuch nutzt, gelangt von dort nur noch ins Internet. Die Rufanlage bekommt einen eigenen Bereich, aus dem heraus genau eine Verbindung vorgesehen ist: zur Telefonanlage, die Rufe an die DECT-Telefone auf den Stationen weitergibt. Verwaltung und Pflegebüros bilden eine dritte Zone, die Telefonie eine vierte.

Vor dem Scharfschalten protokolliert die Firewall zwei Wochen lang nur mit, welche Verbindungen tatsächlich vorkommen. Dabei zeigt sich, dass die Rufanlage ihre Uhrzeit von einem Server der Verwaltung bezieht. Ohne diese Verbindung würden die Zeitangaben im Rufprotokoll nach und nach abweichen. Die Freigabe wird deshalb bewusst eingerichtet und mit ihrem Zweck vermerkt.

Öffnet später jemand in der Verwaltung einen verseuchten Anhang, hat die Schadsoftware von dort keinen direkten Weg zur Rufanlage. Ransomware, die sich selbstständig von Rechner zu Rechner ausbreitet, verliert dadurch an Reichweite. Einen Vorfall verhindert die Segmentierung nicht, sie begrenzt aber, wie weit er reicht.

Einführung im laufenden Betrieb

Eine Segmentierung muss nicht an einem Wochenende entstehen. In Etappen geplant, lässt sie sich neben dem Tagesgeschäft umsetzen:

1. Bestand erfassen: Welche Geräte gibt es, wer betreut sie, und mit welchen Systemen müssen sie kommunizieren? Eine aktuelle Netzdokumentation spart hier viel Sucharbeit.
2. Zonen zuschneiden: Wenige, klar abgegrenzte Zonen sind leichter zu pflegen als viele kleine.
3. Erst aufzeichnen, dann sperren: Neue Regeln zunächst protokollieren, Auffälligkeiten klären und erst danach scharf schalten.
4. Zweck festhalten: Zu jeder Freigabe gehört der Vermerk, welchem Gerät oder Ablauf sie dient. So ist später erkennbar, welche Regel nach dem Austausch eines Geräts entfallen kann.
5. Änderungen einordnen: Bei einem neuen Gerät, einem Dienstleister mit Fernwartung oder einem zusätzlichen Funknetz stellt sich jeweils die Frage, in welche Zone es gehört.

Steht ohnehin ein neues Funknetz an, lassen sich Gast- und Gerätenetze gleich mit einplanen; worauf es dabei ankommt, zeigt der Beitrag WLAN im Unternehmen planen. Wie Verkabelung, Switches und WLAN insgesamt zusammenspielen, erläutert unsere Seite Netzwerktechnik für Unternehmen.

Wie ProNet unterstützt

Wir erarbeiten mit Ihnen eine Zonenaufteilung, die zu Ihrem Betrieb passt, richten die VLANs auf Switches und Access Points ein und hinterlegen die Regeln zwischen den Zonen auf der Firewall. Kommen später Geräte oder Dienstleister hinzu, passen wir das Regelwerk auf Wunsch an. Wie wir Firewalls einrichten und pflegen, lesen Sie auf der Seite Firewall für Unternehmen.