Die Aufteilung eines Netzwerks in getrennte Bereiche mit kontrollierten Verbindungen.
Die Aufteilung eines Netzwerks in getrennte Bereiche mit kontrollierten Verbindungen.
In einem flachen Netzwerk können viele Geräte unnötig miteinander kommunizieren. Segmentierung trennt zum Beispiel Server, Arbeitsplätze, Gäste-WLAN, Kameras und technische Anlagen. Eine Firewall oder geeignete Netzwerkregeln erlauben anschließend nur die wirklich benötigten Verbindungen.
Wird ein einzelnes Gerät kompromittiert, kann sich ein Angreifer nicht automatisch in alle Bereiche bewegen. Gleichzeitig werden sensible Systeme für Benutzer und Geräte unsichtbar, die keinen Zugriff benötigen. Das begrenzt Risiken und macht ungewöhnliche Verbindungen leichter erkennbar.
Das Gäste-WLAN erhält ausschließlich Internetzugang. Kameras dürfen nur mit dem vorgesehenen Aufzeichnungssystem kommunizieren. Arbeitsplätze erreichen die benötigten Serverdienste, während Administrationszugänge in einem besonders geschützten Bereich liegen. So bleibt der Alltag nutzbar, ohne alles freizugeben.
Zuerst werden Geräte, Datenflüsse und Abhängigkeiten aufgenommen. Danach entstehen Gruppen nach Funktion und Schutzbedarf. Regeln sollten verständlich dokumentiert und schrittweise aktiviert werden, damit notwendige Verbindungen nicht unbemerkt blockiert werden.
Je nach Umgebung kommen VLANs, getrennte WLANs, Firewall-Regeln und identitätsbasierte Zugriffe zum Einsatz. Die Technik allein genügt nicht: Switches, Access Points und Firewall müssen passend konfiguriert, aktuell gehalten und nach Änderungen überprüft werden.
Nur VLANs anzulegen, aber anschließend jede Verbindung zwischen ihnen zu erlauben, bringt kaum Schutz. Auch schlecht dokumentierte Ausnahmen wachsen schnell zu einem neuen Risiko. Zu kleinteilige Regeln ohne Verantwortliche können dagegen den Betrieb unnötig erschweren.
