Netzwerksegmentierung: Warum ein flaches Netz jeden Vorfall vergrößert
In fast jedem Netz, das wir übernehmen, kann jedes Gerät mit jedem anderen sprechen. Der Drucker mit dem Buchhaltungsserver, das Besuchertablet mit der Steuerung in der Fertigung. Solange nichts passiert, fällt das niemandem auf.
Netzwerksegmentierung heißt: Das Netz wird in Bereiche geteilt, und zwischen diesen Bereichen ist nur erlaubt, was ausdrücklich erlaubt wurde. Nicht umgekehrt.
Das klingt selbstverständlich. In der Praxis ist das Gegenteil die Regel: ein gewachsenes Netz, in dem alles mit allem reden darf, weil es irgendwann einmal nötig war und niemand hinterher aufgeräumt hat.
Was ein flaches Netz im Ernstfall bedeutet
Der Unterschied zeigt sich erst, wenn etwas schiefgeht. Ein Verschlüsselungstrojaner kommt typischerweise über einen einzelnen Arbeitsplatz herein: ein Anhang, ein Klick. Was danach passiert, entscheidet die Netzstruktur.
In einem flachen Netz sucht die Schadsoftware von diesem Arbeitsplatz aus das gesamte Netz ab, findet Dateifreigaben, Server und oft genug auch das Sicherungssystem. Dass Backups mitverschlüsselt werden, liegt fast immer daran, dass der Backup-Server aus dem Büronetz erreichbar war.
In einem segmentierten Netz endet der Weg an der ersten Grenze. Der Arbeitsplatz ist verloren, der Rest läuft weiter. Das ist der ganze Punkt: Segmentierung verhindert keinen Vorfall, sie begrenzt ihn.
Aus der Praxis: Der häufigste Fund bei einer Bestandsaufnahme ist nicht ein fehlendes Sicherheitsprodukt, sondern eine Fertigungssteuerung mit zehn Jahre alter Firmware, die im gleichen Netz hängt wie die Büroarbeitsplätze. Sie lässt sich nicht aktualisieren, der Hersteller existiert nicht mehr. Abschotten lässt sie sich trotzdem.
Wie eine Zoneneinteilung praktisch aussieht
Es braucht kein Lehrbuchmodell mit zwölf Zonen. Für die meisten Mittelständler tragen fünf.
- Server und Kernanwendungen. ERP, Warenwirtschaft, Dateiserver, Datenbanken. Erreichbar nur über die Dienste, die Arbeitsplätze tatsächlich brauchen.
- Arbeitsplätze. Die Rechner der Mitarbeitenden. Dürfen zu den Servern, aber nicht untereinander. Das allein bremst die Ausbreitung erheblich.
- Produktion, Lager, Technik. Steuerungen, Scanner, Waagen, Klima, Zutritt. Geräte, die selten Updates bekommen und lange laufen. Streng abgeschottet, mit genau definierten Übergängen zur ERP-Welt.
- Gäste und private Geräte. WLAN für Besucher und Mobiltelefone. Nur ins Internet, nie ins Firmennetz.
- Verwaltung. Zugänge zu Switches, Firewall, Virtualisierung und Sicherungssystem. Dieses Netz erreichen nur Administratoren, und nicht von einem normalen Arbeitsplatz aus.
Technisch entstehen diese Zonen über VLANs auf den Switches, und die Übergänge werden auf der Firewall geregelt. Es ist in der Regel keine neue Hardware nötig: Switches, die VLANs können, stehen meist schon im Schrank.
Der Teil, der die Arbeit macht
Die Zonen sind schnell gezogen. Die Arbeit liegt in der Frage, welche Verbindungen zwischen ihnen wirklich gebraucht werden.
Diese Antwort steht in keinem Dokument. Man ermittelt sie, indem man den tatsächlichen Verkehr über einige Wochen mitschreibt und auswertet. Dabei kommen regelmäßig Abhängigkeiten zum Vorschein, von denen niemand im Haus wusste: eine Maschine, die nachts eine Datei auf einem Büro-Arbeitsplatz ablegt, oder eine Fachanwendung, die ihre Lizenz über einen Server im Nebengebäude prüft.
Wer diesen Schritt überspringt und die Regeln schätzt, legt in der ersten Woche nach der Umstellung die Produktion still. Das ist der Grund, warum Segmentierungsprojekte scheitern, nicht die Technik.
Was NIS-2 und das BSI dazu verlangen
Das deutsche NIS-2-Umsetzungsgesetz nennt in den Risikomanagement-Pflichten unter anderem Sicherheit in Netz- und Informationssystemen, Zugriffskontrolle und Konzepte zur Bewertung von Risiken. Das Wort „Segmentierung" steht dort nicht. Sie ist die praktische Antwort auf diese Anforderungen, und in Prüfungen wird sie entsprechend abgefragt.
Konkreter wird das BSI im IT-Grundschutz, im Baustein zur Netzarchitektur und zum Netzdesign. Dort sind Zonenkonzepte und die Trennung unterschiedlich schutzbedürftiger Bereiche ausdrücklich beschrieben.
Für Betriebe mit Fertigung kommt die Normenreihe IEC 62443 hinzu, die Zonen und Übergänge für industrielle Anlagen beschreibt. Ob Ihr Betrieb unter NIS-2 fällt, hängt von Sektor, Mitarbeiterzahl und Umsatz ab. Das ordnen wir auf der Seite zu IT-Sicherheit und NIS-2 ein.
Womit anfangen, wenn das Budget begrenzt ist
Zwei Maßnahmen bringen den größten Teil des Nutzens und sind in wenigen Tagen umsetzbar.
Erstens: das Gäste-WLAN heraustrennen. Wenn Besuchergeräte und Mitarbeitertelefone heute im Firmennetz hängen, ist das der schnellste Gewinn überhaupt. Aufwand: ein VLAN, eine Firewall-Regel.
Zweitens: das Sicherungssystem abschotten. Der Backup-Server darf aus dem Büronetz nicht erreichbar sein, und die Sicherungen brauchen eine Kopie, die ein verschlüsselter Server nicht ändern kann. Das ist der Unterschied zwischen einem unangenehmen Tag und einem Betriebsstillstand.
Danach folgt in der Reihenfolge: Produktion und Technik trennen, Verwaltungszugänge heraustrennen, Arbeitsplätze untereinander abriegeln.
Wie wir dabei vorgehen
Wir beginnen mit der Bestandsaufnahme, nicht mit dem Umbau: welche Geräte gibt es, wer spricht mit wem, was hängt an was. Fehlt Dokumentation, rekonstruieren wir sie aus den laufenden Systemen; wie das abläuft, steht auf der Seite zur IT-Übernahme.
Dann wird in Stufen umgestellt, Zone für Zone, jede mit einem Rückweg. Für Betriebe mit Lager und Versand haben wir die typischen Übergänge zwischen ERP, Scannern und Steuerung auf der Seite zu IT für Produktion und Versand beschrieben. Den laufenden Betrieb der Regelwerke übernehmen wir auf Wunsch im Rahmen der Managed Services.
Unser Sitz ist Bad Vilbel bei Frankfurt. Vor Ort sind wir im Umkreis in 30 bis 45 Minuten, alles andere läuft remote.
Eine Frage, die den Stand verrät
Falls Sie nicht sicher sind, wie Ihr Netz aufgebaut ist: Stecken Sie ein Notebook ins Gäste-WLAN und versuchen Sie, den Dateiserver zu erreichen. Wenn das funktioniert, ist Ihr Netz flach, und Sie wissen, wo anzufangen ist.
Woher die Angaben stammen
- BSI IT-Grundschutz-Kompendium, Baustein zur Netzarchitektur und zum Netzdesign, Bundesamt für Sicherheit in der Informationstechnik
- Deutsches NIS-2-Umsetzungsgesetz, Risikomanagementmaßnahmen einschließlich Netzsicherheit und Zugriffskontrolle
- IEC 62443, Normenreihe zur Sicherheit industrieller Automatisierungssysteme, Zonen- und Conduit-Modell
Markus J. Rehberg
Vorstand (CEO), für viele Kunden der erste persönliche Kontakt.
Netz ansehen lassen
Eine Bestandsaufnahme Ihres Netzes, was mit was spricht und wo die Grenzen fehlen. Oder zuerst der IT-Check in zwei Minuten.
Dieser Beitrag gibt den Stand vom Oktober 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung. Ob und in welchem Umfang Ihr Betrieb von NIS-2 betroffen ist, muss im Einzelfall geprüft werden.