Netzwerksegmentierung im KMU: Warum ein Netz nicht reicht

Ein einziger infizierter Laptop kann in einem flachen Netz jeden Server erreichen. Genau hier wird Netzwerksegmentierung im KMU zum Sicherheitsfaktor, der über Schaden oder Begrenzung entscheidet. Der BSI IT-Grundschutz fordert sichere Trennung von Mandanten und Gerätegruppen auf Netzebene, kontrollierte Kommunikation per Firewall und Netzzugangskontrolle. In diesem Tutorial übersetzen wir diese Anforderung in ein praktikables Modell mit drei bis fünf Segmenten. Ein virtual lan, kurz VLAN, trennt Netze logisch, ohne zusätzliche Kabel. Wir vergleichen VLAN und physisch getrennte Anbindung und zeigen, warum die Regeln zwischen den Zonen wichtiger sind als die Hardware. Sie lernen, wie Sie Zonen für Server, Clients, Produktion, Management und Gäste sinnvoll zuschneiden, Firewall-Regeln strukturiert aufbauen und ein Rule Set pflegen, das nicht zur Wartungsfalle wird. Der rote Faden: Wenn alles im selben Netz liegt, reicht ein kompromittiertes Endgerät weit. Ein sauber segmentiertes Netz mit expliziten Regeln begrenzt laterale Bewegung. Entscheidend ist Konfigurationsarbeit, kein Hardwarekauf. Wir gehen die Schritte vom flachen Netz zum 3-bis-5-Segment-Modell, von der BSI-Einordnung bis zum Fazit für Ihr KMU.

Warum ein flaches Netz ein einziges Gerät zum Problem macht

In einem Netz ohne Segmentierung hat jedes Gerät potenziell direkten Kontakt zu jedem Server. Der Laptop aus dem Homeoffice, der private Drucker am Gastzugang und die ungepatchte Werkstatt-Steuerung liegen im selben Adressbereich und erreichen sich gegenseitig.

In der Praxis, und das ist Erfahrungswissen, nicht Statistik, genügt eine einzige kompromittierte Maschine, um sich im flachen Netz weiterzubewegen. Der Schadenradius richtet sich nicht nach der Zahl der Angreifer, sondern nach der Zahl der erreichbaren Systeme. Das IT-Grundschutz-Kompendium des BSI nennt in Baustein NET.1.1 (Edition 2023) fehlende oder unsachgemäße Netztrennung als Ursache unsicherer Topologien. Ein ungeschützter oder falsch konfigurierter Übergang zum Internet ermöglicht Angreifenden Zugriff, Kopieren oder Manipulation von Informationen.

Verfügbarkeit ist das zweite Argument. Fehlende Redundanz und unzureichend dimensionierte Verbindungen können Geschäfts- und Produktionsprozesse zum Stillstand bringen – ein Risiko, das NET.1.1 als Gefährdung für die Verfügbarkeit benennt. Steht die Fertigung, steht der Umsatz, auch ohne Datenabfluss. Wer ohnehin Nachweispflichten erfüllen muss, etwa aus NIS2 und NISG 2024, findet in der Segmentierung den technischen Teil der Antwort.

Die Kernaussage dieses Beitrags: Segmentierung verhindert keine Kompromittierung. Sie legt den Radius fest, den eine Kompromittierung maximal erreichen kann.

Was die Segmentierung leisten soll: der Blick in den BSI IT-Grundschutz

Diese drei Anforderungen bilden den Rahmen – doch was bedeuten sie konkret für die Praxis? Das BSI IT-Grundschutz-Kompendium (NET.1.1, Edition 2023) nennt als Kernanforderungen: die sichere Trennung von Mandanten und Gerätegruppen auf Netzebene, die Kontrolle der Kommunikation durch eine Firewall und die Netzzugangskontrolle, gerade bei Clients.

Dabei bleiben die Zuständigkeiten getrennt: NET.1.1 beschreibt Architektur und Design; für Firewalls und WLAN verweist das Kompendium auf eigene Bausteine. Aussagen aus NET.1.1 dürfen nicht ungeprüft als WLAN- oder Firewall-Anforderung weitergereicht werden. Die knappe Formulierung zur physischen Trennung von Zonen gegenüber Segmenten ist kein Freibrief für eigene Auslegungen.

Gerade KMU ohne eigene Sicherheitsabteilung profitieren. KMU verfügen laut einer Untersuchung zu NIS2 und ISMS-Frameworks häufig weder über eine solche Abteilung noch über systematische Prozesse. Als Referenzrahmen genügt der aktuelle Kompendium-Stand, ältere Fachbeiträge dienen nur als Hintergrund.

Klar bleiben auch die Grenzen: Segmentierung ersetzt kein Patch-Management, keinen Endpoint-Schutz, keine E-Mail-Sicherheit und kein getestetes Backup. Sie ist ein Baustein neben anderen. Vor jedem Sicherheitsinvest steht der Ist-Zustand, wie ein externes Sicherheitsaudit für KMU ihn zuerst verlangt. Ein falsch konfigurierter Regelsatz erzeugt sogar trügerische Sicherheit, wie die fünf typischen Firewall-Fehlkonfigurationen zeigen.

VLAN: virtuelle Netze statt zusätzlicher Kabel

Ein VLAN, ausgeschrieben Virtual LAN, ist eine logische Gruppe innerhalb der bestehenden Verkabelung. Nach außen verhält sie sich wie ein eigenes Netz: Geräte unterschiedlicher VLANs erreichen sich nur über ein Gerät der Netzwerkschicht, also über Router oder Firewall. Das Tagging der Ethernet-Frames ist in IEEE 802.1Q standardisiert.

Der wirtschaftliche Punkt: In gewachsenen Gebäuden für jede Zone ein zweites Kabel zu ziehen ist selten realistisch. VLANs trennen logisch über die Konfiguration der bestehenden Switches, ohne neue Leitungen. Für Gäste-WLAN und getrennte Funknetze braucht es zusätzlich passende Zugangspunkte, was Teil einer sauberen WLAN-Planung ist.

Disziplin entscheidet: Portzuordnung, Trunk-Konfiguration und Tagging gehören ins Patchfeld-Dokument. Fehlt diese Zuordnung, weiß nach zwei Jahren niemand mehr, welche Buchse in welcher Zone liegt, und jeder Umzug wird zum Fehlerrisiko.

Die harte Grenze: VLANs trennen logisch, nicht physisch. Wer Zugriff auf die Switch-Konfiguration hat, kann Segmentgrenzen verschieben. Management-Zugänge gehören deshalb in ein eigenes, stark eingeschränktes Segment.

Bei Maschinen stößt das Verfahren an eine Praxisgrenze: Ältere Steuerungen mit festen IP-Adressen und ohne Tagging-Unterstützung lassen sich nicht immer in ein VLAN einbinden. Dann bleibt die Wahl zwischen separater physischer Anbindung und einer zusätzlichen Schnittstelle.

Wie weit diese logische Trennung trägt und wann physische Leitungen die bessere Wahl bleiben, klärt der direkte Vergleich.

VLAN oder physisch getrennte Anbindung: der Vergleich

Die logische Trennung stößt bei Fremdgeräten oder dauerhafter Zonenzugehörigkeit an Grenzen. Vergleichskriterien: Konfigurations- und Verkabelungsaufwand, Trennschärfe, Flexibilität bei Umzügen, Betrieb mit Maschinensteuerungen. Das BSI formuliert für Zonen gegenüber Segmenten eine physische Trennung als Anforderung an alle Netztechniken (NET.1.1 Netzarchitektur und -design). Mischformen sind Normalfall: Standard-IT über VLANs, kritische Übergänge und Maschinennetze physisch getrennt. Wer beides kombiniert, muss Übergänge ausdrücklich dokumentieren. Pauschale Siegerempfehlung verbietet sich; Entscheidung hängt am Maschinenpark. Wer Übergänge organisatorisch absichern will, findet in den fünf kritischen Firewall-Kontrollen eine Checkliste.

Das 3-bis-5-Segment-Modell für KMU

Sobald die Entscheidung zwischen VLAN und physischer Trennung gefallen ist, braucht es eine Zonenaufteilung. Für viele KMU ist ein Modell mit drei bis fünf Segmenten ein tragfähiger Startpunkt. Dies ist eine Empfehlung aus der Praxis, keine Norm; keine Quelle nennt eine verbindliche Zahl. Mehr Zonen erhöhen Aufwand, Testbedarf und Fehlerquote, ohne automatisch mehr Sicherheit zu bringen.

Gäste und BYOD

Eigene SSID, eigener Adressbereich, Zugriff ausschließlich ins Internet. Kein Zugriff auf Server, Drucker, NAS oder Verwaltungsoberflächen, auch nicht auf gemeinsame Laufwerke für Besprechungen.

Arbeitsplätze mit Buchhaltung und Office

Zugriff auf Dateiablage, ERP, Drucker und Telefonie, aber kein direkter Weg in die Produktion. Buchhaltung und Lohnsysteme lassen sich innerhalb dieser Zone über eigene Anmeldegruppen weiter einschränken.

Produktion und Maschinen

Kommunikation nur mit dem übergeordneten Steuerungs- oder Leitsystem, keine Direktverbindung ins Internet, keine Office-Zugriffe. Wartungszugänge laufen über feste Zeitfenster und dokumentierte Ausnahmen.

Server, Storage und Management

Serverumgebungen und NAS-Systeme gehören in ein streng abgeschottetes Netz. Switches, Firewall, Hypervisor und NAS-Verwaltung liegen in einem eigenen Management-Netz mit Mehrfaktor-Anmeldung und ohne Zugriff aus Arbeitsplatz- oder Gästezonen. Wer diese Pflege nicht intern abbilden kann, findet die nötigen Anforderungen an einen externen Betrieb in Managed IT-Services für KMU beschrieben.

Die Regeln zwischen den Zonen: wer darf wohin

Nachdem die Zonen festgelegt sind, entscheidet der Regelsatz über den Nutzen. Grundsatz: Kommunikation zwischen Zonen ist die Ausnahme, nicht die Regel. Jede erlaubte Verbindung wird begründet, auf Quelle und Ziel eingegrenzt und mit Verfallsdatum versehen.

Die konkreten Freigaben und Sperren pro Zone wurden bereits im Zonenmodell skizziert; hier gilt das Prinzip: Erlaubt ist, was explizit begründet ist.

Aber nicht überziehen: E-Mail-Anhänge, USB-Medien oder gekaperte Anmeldedaten umgehen Netzgrenzen. Segmentierung wirkt auf Netzebene und ersetzt keine Kontrolle auf den Endgeräten.

Die Ausnahmen sind die eigentliche Dokumentation. Die Liste erlaubter Verbindungen samt Grund, Antragsteller und Datum ist die Betriebsdokumentation des Netzes. Ohne sie ist der Regelsatz nach der ersten Änderung nicht mehr überprüfbar. Darauf baut der nächste Schritt auf: der Firewall-Regelsatz.

Firewall-Regeln und Firewall-Ruleset: der Aufbau

Der Regelsatz beschreibt, wie jede einzelne Verbindung technisch aussieht.

Default Deny als Ausgangslage

Am Anfang steht die Sperre: alles ist verboten, dann wird jede benötigte firewall rule einzeln erlaubt. Der umgekehrte Weg, von einer offenen Freigabe aus, erzeugt eine Sammlung, die nach zwei Jahren niemand mehr überblickt. Genau hier entscheidet sich, ob eine Firewall-Konfiguration für KMU tragfähig ist oder nur verwaltet wird.

Aufbau einer einzelnen Regel

Jede firewall rule braucht Quelle, Ziel, Dienst mit Port und Protokoll, Richtung, Zeitfenster und Logging. Fehlt eines dieser Felder, ist die Regel nicht prüfbar.

Reihenfolge, Review, Logging

In einem firewall ruleset entscheidet die Reihenfolge, welche Regel greift. Überlagerte Regeln gehören regelmäßig aufgedeckt; sonst bleiben Freigaben wirkungslos oder unbeabsichtigt offen. Wir empfehlen, jede Freigabe mindestens einmal jährlich gegen den tatsächlichen Bedarf zu prüfen, verwaiste Regeln werden entfernt, geplante Änderungen dokumentiert. Die Zuständigkeit liegt bei einer Person oder einem Dienstleister, nicht bei „der IT”.

Ohne Logs bleibt ein Regelsatz eine Annahme. Erst die Auswertung zeigt, welche Verbindungen beständig abgewiesen werden und welche Regel verdächtig viel Verkehr erlaubt.

Übergänge zwischen Zonen und zum Internet gehören ausdrücklich in den Regelsatz. Für den Aufbau eines Firewall-Regelwerks empfiehlt sich die Prüfung des BSI-Bausteins NET.3.2 Firewall als herstellerunabhängige Orientierung. Der Aufbau steht damit; offen bleibt, welcher Aufwand dahintersteckt.

Konfigurationsarbeit statt Hardwarekauf: eine Einschätzung

Ein vollständiger Regelsatz bleibt Theorie, bis jemand die Zonen dahinter tatsächlich konfiguriert. In gewachsenen KMU-Netzen ist das überwiegend Konfigurationsarbeit. Das ist eine Einschätzung aus der Praxis, kein belegter Kostenvorteil: Switches und Firewall sind meist vorhanden, aber sie sind nicht als Zonen eingerichtet. Was fehlt, ist die Zuordnung, nicht das Gerät.

Ehrlich bleibt die Hardwarefrage dort, wo Funktionen fehlen: VLAN-fähige Switches, zusätzliche Firewall-Schnittstellen oder WLAN-Zugangspunkte mit getrennten SSIDs lassen sich nicht wegkonfigurieren. Einen belastbaren Kostenvergleich dazu gibt es nicht, und dieser Beitrag behauptet keinen.

Der Aufwand steckt in Analyse, Regelentwurf, Test und Dokumentation. Diese Arbeit ist unsichtbar und entscheidet über den Nutzen.

Fehlkonfiguration ist der eigentliche Risikofaktor: Eine verschobene Netzgrenze kann Fachabläufe unterbrechen. Wartungsfenster, vorbereiteter Rückweg und ein Testfall pro Zone gehören in die Planung, nicht in die Nachbereitung.

Und der Regelsatz braucht eine zuständige Person. Ist die Pflege intern nicht abgedeckt, gehört sie in ein proaktives Systemmanagement mit Monitoring und Patch-Management, intern oder über einen externen IT-Partner.

Fazit: die nächsten Schritte für Ihr KMU

Aus dieser Einschätzung folgt kein Hardwareprojekt, sondern eine Reihenfolge, die Ihr KMU selbst oder mit Unterstützung abarbeiten kann.

1. Bestandsaufnahme: Listen Sie Geräte, Datenflüsse und Fremdsysteme auf, bevor Sie konfigurieren. Fehlt diese Liste, entstehen Zonen, die den Alltag nicht abbilden.
2. Zonen festlegen: Dokumentieren Sie den Ausbaupfad mit Gästen, Arbeitsplätzen, Produktion, Server und Management, damit jede Zone später nachvollziehbar erweitert werden kann.
3. Firewall-Ruleset aufsetzen: Starten Sie mit der Bestandsaufnahme der benötigten Verbindungen und richten Sie das Ruleset nach dem bereits beschriebenen Default-Deny-Prinzip ein. Planen Sie dabei von Anfang an den Review-Schritt aus Punkt 4 mit ein.
4. Testen und reviewen: Prüfen Sie den Regelsatz mindestens einmal jährlich, entfernen Sie verwaiste Regeln und halten Sie die Zuständigkeit schriftlich fest.
5. Pflege sichern: Wer diese Aufgaben nicht intern abbilden kann, bindet sie an einen IT-Partner, der Netzwerk, Firewall-Konfiguration und proaktives Systemmanagement als laufende Aufgabe übernimmt.

Damit wird Segmentierung zum dauerhaften Betriebsprozess statt zum einmaligen Projekt. Der nächste Schritt ist die Bestandsaufnahme.