Netzwerksegmentierung

Netzwerksegmentierung teilt ein Unternehmensnetz in getrennte Zonen mit kontrollierten Übergängen, damit ein kompromittiertes System nicht automatisch Zugriff auf alle anderen Systeme eröffnet.

Netzwerksegmentierung bedeutet, ein Unternehmensnetz nicht als eine große, flache Fläche zu betreiben, in der jedes Gerät jedes andere erreichen kann, sondern es in Zonen zu unterteilen: Arbeitsplätze, Server, Administration, Produktion, Gäste, DMZ. Zwischen den Zonen regeln Firewalls oder Zugriffslisten, welche Verbindungen erlaubt sind. Alles, was nicht ausdrücklich benötigt wird, ist gesperrt.

Segmentierung verhindert keinen Erstzugriff, begrenzt aber seine Folgen. Sie ist die wirksamste strukturelle Maßnahme gegen Lateral Movement und damit gegen die flächendeckende Verschlüsselung durch Ransomware.

Stufen der Segmentierung

1. Grobe Zonierung: Trennung von Client-, Server-, Management- und Produktionsnetz sowie Gastnetz. Übergänge nur über definierte Regeln.
2. Funktionale Segmente: Server nach Schutzbedarf und Funktion gruppiert, etwa Domänencontroller, Datenbanken, Backup-Infrastruktur in jeweils eigenen Segmenten.
3. Administrationsebene: Administrative Zugriffe laufen ausschließlich über gehärtete Admin-Arbeitsplätze oder Jump-Hosts aus einem eigenen Segment (Tiering-Modell).
4. Client-zu-Client-Isolation: Arbeitsplätze dürfen untereinander nicht kommunizieren; dafür gibt es im Alltag fast nie einen Grund.
5. Mikrosegmentierung: Regeln auf Ebene einzelner Workloads oder Anwendungen, meist softwaredefiniert im Rechenzentrum oder in der Cloud, als Baustein von Zero Trust.

Bedeutung für Unternehmen

Die Segmentierung bestimmt, ob aus einem kompromittierten Laptop ein Vorfall mit einem Gerät oder ein Vorfall mit dem gesamten Unternehmen wird. Laut CrowdStrike Global Threat Report 2026 liegt die durchschnittliche Breakout Time bei 29 Minuten; in einem flachen Netz reicht das für den Weg bis zum Domänencontroller. Für OT- und Produktionsnetze ist Segmentierung zudem Grundlage von Normen wie IEC 62443 und eine Erwartung aus NIS2 und KRITIS-Vorgaben.

Was wir in Einsätzen sehen: Segmentierung ist auf dem Papier vorhanden, in der Praxis aber durchlässig. Typische Befunde sind Firewall-Regeln mit „any-any" zwischen Client- und Servernetz, die als Übergangslösung eingeführt und nie entfernt wurden, Management-Schnittstellen von Hypervisoren und Backup-Servern, die aus dem Client-Netz erreichbar sind, Server mit zwei Netzwerkkarten als ungewollte Brücke zwischen Zonen, und Produktionsnetze, die über eine Wartungsverbindung direkt am Office-Netz hängen. Jede dieser Lücken macht die restliche Segmentierung wirkungslos.

Praxis: Umsetzung und Prüfung

• Kronjuwelen zuerst: Isolieren Sie Domänencontroller, Backup-Infrastruktur, Hypervisor-Management und Identitätsdienste, bevor Sie das gesamte Netz neu planen.
• Regeln als Allowlist: Jede Regel braucht einen Eigentümer, einen Zweck und ein Ablaufdatum. Überprüfen Sie das Regelwerk mindestens jährlich.
• Verkehr beobachten: Ein Verbindungsversuch vom Client-Netz zur Backup-Verwaltung sollte nicht nur geblockt, sondern auch im SIEM gemeldet werden; das ist einer der zuverlässigsten Hinweise auf Lateral Movement.
• Wirksamkeit aus Angreifersicht prüfen: Im Assumed Breach starten wir mit einem gewöhnlichen Arbeitsplatz und dokumentieren, welche Segmente tatsächlich erreichbar sind und über welche Wege. Das Ergebnis ist eine Karte der realen statt der geplanten Segmentierung.
• Ausnahmen ernst nehmen: Fernwartungszugänge, Druckserver und Monitoring-Systeme überbrücken häufig Zonen. Behandeln Sie sie als Hochrisiko-Komponenten mit eigener Härtung und Überwachung.