Eine DMZ ist ein abgeschottetes Netzsegment zwischen Internet und internem Netz. Dort stehen öffentlich erreichbare Dienste – und genau dort beginnt oft der Angriff.
Die DMZ (Demilitarisierte Zone) ist ein eigenes, streng kontrolliertes Netzsegment zwischen dem Internet und dem internen Unternehmensnetz. Dort platziert man Dienste, die von außen erreichbar sein müssen – etwa Webserver, Mailgateways oder Reverse Proxies. Die Idee: Wird ein solcher Dienst kompromittiert, steht der Angreifer in der DMZ und noch nicht im internen Netz.
Eine DMZ ist damit ein Anwendungsfall der Netzwerksegmentierung. Sie reduziert nicht die Wahrscheinlichkeit, dass ein exponierter Dienst fällt, sondern begrenzt den Schaden, falls das geschieht. Entscheidend ist dabei nicht die Existenz der Zone, sondern wie streng die Übergänge in beide Richtungen kontrolliert werden.
Aufbau
Typischerweise trennen zwei Firewall-Übergänge die DMZ: einer zum Internet, einer zum internen Netz. Verbindungen von der DMZ ins Innere sollten die seltene Ausnahme sein und streng auf einzelne Ziele und Ports begrenzt werden. Entscheidend für die Schutzwirkung sind:
- strikte Regeln für den Übergang DMZ-zu-intern,
- keine Vertrauensstellungen von der DMZ in sensible interne Systeme,
- eigene Konten und Protokollierung für DMZ-Systeme,
- eine vorgelagerte Web Application Firewall für Webdienste.
Bedeutung für Unternehmen
Die DMZ ist oft der Ausgangspunkt eines Angriffs, weil hier die aus dem Internet erreichbaren Systeme stehen. Das eigentliche Risiko entsteht, wenn die Trennung zum internen Netz löchrig ist – etwa durch zu großzügige Firewall-Regeln oder gemeinsame Konten. Dann wird aus der Schutzzone eine Durchgangszone. Für Entscheider gilt: Eine DMZ wirkt nur, wenn ihre Grenzen konsequent gepflegt werden.
Härtung und Prüfung aus Red-Team-Sicht
Wir prüfen, ob sich von einem kompromittierten DMZ-System ein Weg ins interne Netz findet – also ob die Segmentierung das Lateral Movement wirklich bremst. Empfohlene Maßnahmen:
- Übergänge DMZ-zu-intern auf das absolute Minimum reduzieren und regelmäßig prüfen,
- DMZ-Systeme nicht in die interne Domäne einbinden,
- jedes exponierte System härten und zügig patchen,
- Protokollierung und Monitoring gezielt auf DMZ-Übergänge legen,
- regelmäßige externe Penetrationstests der erreichbaren Dienste.
Wie Risiken über exponierte und von Dritten betriebene Systeme entstehen, behandelt der Ratgeber Lieferkette und Drittparteien testen.