Netzwerksegmentierung - ein Vorfall darf nicht das ganze Haus mitreißen
In einem flachen Netz kann sich ein Angreifer oder eine Ransomware ungehindert ausbreiten - vom infizierten Büro-PC bis zur Maschinensteuerung. Segmentierung zieht Brandschutzmauern ein: Büro, Produktion, Gäste und Server in getrennten Zonen, damit ein Vorfall lokal bleibt.
Ist ein Gerät infiziert, endet der Angriff an der Zonengrenze - statt sich über das flache Netz auf alles auszubreiten. Aus einem großen Vorfall wird ein kleiner, beherrschbarer.
02
Produktion schützen
Maschinensteuerung und OT gehören nicht ins selbe Netz wie die Büro-PCs. Wir trennen IT und OT sauber - entscheidend für Fertigung, IEC 62443 und die Verfügbarkeit der Produktion.
03
Gäste & Fremdgeräte isolieren
Gäste-WLAN, Fremdfirmen, private Geräte kommen in eigene Zonen - mit Zugriff aufs Internet, aber nicht auf Deine Systeme. Offen, wo es sein soll, dicht, wo es zählt.
So gehen wir vor
1
Netz & Datenflüsse aufnehmen
Was spricht heute mit wem, und was muss das wirklich? Wir nehmen die realen Datenflüsse auf - Grundlage für sinnvolle, nicht betriebsstörende Zonen.
2
Zonen planen & umsetzen
Wir entwerfen ein Zonenkonzept (Büro, Produktion, Server, Gäste, Verwaltung) und setzen es mit Firewall-Regeln und VLANs um - schrittweise, ohne den Betrieb zu unterbrechen.
3
Überwachen & pflegen
Regeln aktuell halten, neue Systeme richtig einsortieren, Ausnahmen kontrollieren. Segmentierung bleibt nur wirksam, wenn sie gepflegt wird.
Ein flaches Netz ist ein offenes Netz
Viele Firmennetze sind über Jahre gewachsen und flach: Alles hängt zusammen, alles kann mit allem sprechen. Für den Alltag praktisch - im Angriffsfall katastrophal. Ein infizierter Büro-PC hat dann freien Weg bis zum Server und zur Maschinensteuerung. Netzwerksegmentierung teilt das Netz in Zonen und zieht Grenzen ein, an denen ein Vorfall stoppt.
* Reaktionszeit innerhalb der vereinbarten Geschäftszeiten, außerhalb unter 4 Stunden.
FAQ
Häufige Fragen zur Netzwerksegmentierung
01Ist unser Netz nicht sowieso hinter einer Firewall?
Die Firewall schützt nach außen. Drinnen ist das Netz oft flach - ist ein Gerät infiziert, steht dem Angreifer alles offen. Segmentierung zieht auch innen Grenzen, genau da, wo die meisten Schäden entstehen.
02Legt der Umbau die Produktion lahm?
Nein, wenn er sauber geplant ist. Wir nehmen erst die realen Datenflüsse auf und setzen dann schrittweise um - gerade in der Fertigung mit maximaler Rücksicht auf die Verfügbarkeit.
03Brauchen wir dafür neue Hardware?
Oft reicht die vorhandene Firewall- und Switch-Landschaft, richtig konfiguriert. Wo etwas fehlt, ergänzen wir gezielt - kein Rundumschlag.
04Ist das BAFA-förderfähig?
Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.
05Wie lange dauert die Umstellung auf ein segmentiertes Netz?
Das hängt an der Größe und daran, wie gut die Datenflüsse dokumentiert sind. Für eine typische Mittelstandsumgebung rechne mit einigen Wochen: Aufnahme der realen Kommunikation, Zonenkonzept, dann zonenweise Umsetzung. Wir schalten nicht an einem Wochenende alles um, sondern Zone für Zone - das dauert länger und tut weniger weh.
06Was kostet eine Netzwerksegmentierung?
Der Aufwand steckt weniger in der Technik als in der Aufnahme der Datenflüsse und im sauberen Regelwerk. Sind Firewall und Switches segmentierungsfähig, ist es überwiegend Projektaufwand; fehlen managebare Switches, kommt Hardware dazu. Nach dem Status-Check nennen wir Dir eine belastbare Zahl statt einer Hausnummer.
07Ist ein VLAN schon eine Segmentierung?
Ein VLAN trennt den Verkehr technisch, aber es hilft wenig, wenn zwischen den VLANs weiterhin alles erlaubt ist. Erst die Regeln an der Zonengrenze - wer darf mit wem worüber sprechen - machen aus VLANs eine Segmentierung. Viele Netze haben VLANs und sind trotzdem faktisch flach.
08Reicht uns nicht ein separates Gäste-WLAN?
Das ist ein guter erster Schritt und deckt genau einen Fall ab: fremde Geräte. Die gefährlicheren Wege laufen aber innen - vom infizierten Büro-PC zum Server oder zur Maschinensteuerung. Davon stoppt ein Gäste-WLAN nichts.
09Wie viele Zonen sind sinnvoll?
Meist reichen fünf bis acht sauber gezogene Zonen: Server, Büro-Clients, Produktion beziehungsweise OT, Gäste, Management, Drucker und Haustechnik. Mehr Zonen bedeuten mehr Regeln und mehr Pflege. Wir schneiden so grob wie vertretbar und so fein wie nötig.
10Wir sind 15 Leute an einem Standort - lohnt sich das überhaupt?
Ja, aber in kleinerem Zuschnitt. Schon die Trennung von Servern, Clients, Gästen und Haustechnik verhindert, dass ein verschlüsselter Arbeitsplatz die Server mitnimmt. Ein Zonenmodell mit zehn Ebenen wäre bei dieser Größe Overkill - davon raten wir dann auch ab.
11Verlangen NIS2 oder ISO 27001 eine Netzwerksegmentierung?
Beide schreiben keine bestimmte Technik vor, verlangen aber, dass Netze getrennt und Zugriffe zwischen Bereichen kontrolliert werden. Segmentierung ist der übliche Weg, das nachweisbar zu erfüllen. Wir setzen um und dokumentieren prüffest - die Zertifizierung selbst nimmt eine akkreditierte Stelle vor.
12Was ist Mikrosegmentierung, und brauchen wir die?
Mikrosegmentierung geht bis auf die einzelne Anwendung oder Maschine herunter statt nur bis zur Zone. Das ist wirksam, aber pflegeintensiv und in den meisten Mittelstandsnetzen der zweite Schritt. Wir empfehlen sie gezielt dort, wo es wirklich zählt - etwa rund um besonders kritische Server oder Steuerungen.
13Wie hängt Segmentierung mit Zero Trust zusammen?
Segmentierung ist die Netzebene davon: Sie sorgt dafür, dass Nähe im Netz kein Vertrauen mehr bedeutet. Zero Trust ergänzt darüber die Prüfung von Identität, Gerät und Kontext. Ohne Segmentierung bleibt Zero Trust auf halber Strecke stehen, weil der Weg im Netz weiterhin offen ist.
14Was passiert, wenn nach der Umstellung etwas nicht mehr funktioniert?
Das kommt vor - es gibt fast immer eine Verbindung, die niemand auf dem Zettel hatte. Deshalb fahren wir neue Zonengrenzen erst beobachtend, bevor wir blockieren, und behalten den Rückweg. Bei Störungen greift unsere Reaktionszeit von unter 2 Stunden*.
15Wer pflegt die Regeln im laufenden Betrieb?
Auf Wunsch wir, im Rahmen unserer Network as a Service - also Firewall- und Netzwerkverwaltung. Neue Systeme müssen in die richtige Zone, Ausnahmen brauchen ein Ablaufdatum. Ein Regelwerk, das niemand pflegt, ist nach zwei Jahren wieder durchlässig.
