Netzwerksegmentierung: Wie du Netze trennst und Angriffe eindämmst

Ein Mitarbeiter fällt auf eine Phishing-Mail herein, wie im Beitrag Phishing erkennen beschrieben. Auf seinem Arbeitsplatz läuft jetzt fremder Code. Die entscheidende Frage ist nicht mehr, ob das passiert ist, sondern: Wie weit kommt der Angreifer von hier aus? Kann er den Dateiserver erreichen, die Kameras, den Backup-Server, die Verwaltung der Switches?

In einem Netz, in dem jeder jeden erreicht, lautet die Antwort: überall hin. In einem segmentierten Netz: nur dorthin, wo es ausdrücklich erlaubt ist. Dieser Unterschied entscheidet oft darüber, ob aus einem Vorfall ein Ärgernis oder eine Katastrophe wird.

Flaches Netz gegen segmentiertes Netz

Ein flaches Netz besteht aus einem einzigen großen Netzbereich. Alle Geräte hängen darin, Arbeitsplätze, Server, Drucker, Kameras und manchmal sogar das Gäste-WLAN. Es ist einfach einzurichten und deshalb weit verbreitet. Aber es hat einen großen Nachteil: Was einmal drin ist, kommt überall hin.

Bei der Netzwerksegmentierung teilt man das Netz in mehrere Bereiche, die Segmente, und kontrolliert den Übergang zwischen ihnen. Die Ziele:

• Schaden begrenzen. Ein Vorfall bleibt auf sein Segment beschränkt. Man spricht vom „Blast Radius“, dem Wirkungsradius eines Vorfalls.
• Angriffsfläche verkleinern. Geräte sehen nur das, was sie brauchen.
• Schutzbedarf abbilden. Wichtige Systeme bekommen strengere Regeln als unwichtige.
• Broadcasts und Fehler eingrenzen. Wie im Beitrag Subnetting verstehen gesehen, bleibt auch technischer Lärm im Segment.
• Vorgaben erfüllen. Manche Regelwerke und Verträge verlangen Trennung, zum Beispiel für Zahlungsdaten.

Laterale Bewegung: Was Angreifer nach dem ersten Schritt tun

Nach dem Eindringen in ein Gerät sucht ein Angreifer weitere Ziele. Dieses Vorgehen heißt laterale Bewegung (Lateral Movement). Er nutzt dazu vor allem Dienste, die für die Verwaltung gedacht sind:

Port	Dienst	Warum er für Angreifer interessant ist
TCP 445	SMB (Dateifreigaben)	Zugriff auf Dateien, Ausbreitung von Schadsoftware
TCP 3389	RDP (Fernzugriff auf Windows)	Interaktive Übernahme anderer Rechner
TCP 22	SSH	Verwaltungszugang zu Servern und Geräten
TCP 5985 und 5986	WinRM (Windows-Fernverwaltung)	Befehle auf anderen Rechnern ausführen

Die entscheidende Maßnahme ist deshalb, diese Verwaltungsdienste dort zu sperren, wo sie nicht gebraucht werden. Arbeitsplätze müssen mit Servern sprechen, aber nicht untereinander. Wer Client-zu-Client-Verkehr blockiert, nimmt Schadsoftware ihre bequemste Ausbreitungsroute.

Die Wirkung in Zahlen

Eine einfache Überschlagsrechnung zeigt den Unterschied. Das Netz der Firma hat 80 Arbeitsplätze und 10 Server, also 90 Geräte. Ein Angreifer sitzt auf einem Arbeitsplatz. Er kann im flachen Netz jedes der 89 anderen Geräte auf allen 65.535 TCP-Ports ansprechen:

Flaches Netz:  89 Geräte × 65.535 Ports = 5.832.615 mögliche Ziele

Segmentiert:   Arbeitsplatz → Dateiserver, TCP 445
               Arbeitsplatz → DNS-Server, UDP/TCP 53
               ≈ 3 erlaubte Ziele (Server und Port)

Das ist bewusst vereinfacht. Natürlich sind nicht alle Millionen Kombinationen offene Dienste. Aber es zeigt die Größenordnung der Angriffsfläche, die ein Angreifer abtasten kann, und wie sehr sie sich durch Regeln verkleinert. Die Ports und ihr Zusammenspiel kennst du aus dem Beitrag TCP/IP-Modell erklärt.

Wie man segmentiert: Die Werkzeuge

Segmentierung ist keine einzelne Technik, sondern das Zusammenspiel mehrerer Bausteine, die du in dieser Reihe schon kennengelernt hast:

Baustein	Was er beiträgt	Beitrag
Subnetze	Jedes Segment bekommt einen eigenen Adressbereich	Subnetting Schritt für Schritt
VLANs und Trunks	Trennen die Segmente auf den Switches	VLAN verstehen
Firewall	Kontrolliert den Verkehr zwischen den Segmenten	Firewall verstehen
DMZ	Trennt aus dem Internet erreichbare Dienste vom internen Netz	Firewall verstehen
Client-Isolation	Geräte im selben Segment, vor allem im WLAN, sehen sich nicht	WLAN-Sicherheit
Anmeldung am Netz (802.1X)	Nur berechtigte Geräte und Benutzer kommen in das richtige Segment	Authentifizierung und Autorisierung
Host-Firewall	Schutz auf dem einzelnen Gerät, die feinste Form der Trennung (Mikrosegmentierung)	Firewall verstehen

Wichtig ist der Unterschied zwischen Trennen und Kontrollieren. Ein VLAN trennt zunächst nur auf Schicht 2. Sobald ein Router oder Layer-3-Switch die VLANs verbindet, kann der Verkehr zwischen ihnen standardmäßig frei fließen, wenn niemand Regeln setzt. Ein VLAN allein ist keine Segmentierung im Sinne der Sicherheit. Erst Regeln an der Übergangsstelle machen daraus eine Grenze.

Mikrosegmentierung und Zero Trust

Die feinste Form ist die Mikrosegmentierung: Man trennt nicht Gruppen von Geräten, sondern einzelne Systeme oder Anwendungen voneinander, oft mit Host-Firewalls oder in virtualisierten Umgebungen durch Regeln pro virtueller Maschine, wie im Beitrag Virtualisierung verstehen angedeutet. Sie passt zum Gedanken des Zero Trust: Vertraue keinem Gerät, nur weil es im „internen“ Netz hängt, und prüfe jeden Zugriff. Segmentierung ist dafür ein wichtiger Baustein, aber nicht der einzige.

Welche Segmente braucht ein Unternehmen?

Eine feste Liste gibt es nicht. Üblich sind Segmente nach Funktion und Schutzbedarf:

• Verwaltung (Management): Verwaltungszugänge von Switches, Servern, Firewall. Streng abgeschottet, nur von wenigen Administratorgeräten erreichbar.
• Server: Je nach Größe nochmals nach Kritikalität getrennt.
• Arbeitsplätze: Mitarbeiter-Geräte.
• Geräte und IoT: Kameras, Drucker, Telefone, Gebäudetechnik. Oft veraltet und schlecht geschützt, deshalb isolieren.
• Gäste: Nur Internetzugang.
• DMZ: Von außen erreichbare Dienste.
• Backup: Der Backup-Server bekommt ein eigenes, streng geschütztes Segment.
• Test und Entwicklung: Getrennt von der produktiven Umgebung.

Das Backup-Segment: Ein Sonderfall

Das Backup ist die letzte Rettung nach einem Angriff, und Angreifer wissen das. Moderne Schadsoftware sucht gezielt nach Backup-Systemen und zerstört sie vor der Verschlüsselung der Daten. Der Backup-Server gehört deshalb in ein eigenes Segment mit besonders engen Regeln, wie im Beitrag Die 3-2-1-Backup-Regel angelegt: Er darf nur von den zu sichernden Servern erreicht werden, und zwar zum Hinzufügen von Daten, die Verwaltung ist nur aus dem Management-Segment möglich, und er ist nicht im normalen Domänen-Login der Arbeitsplätze eingebunden.

Schritt für Schritt vorgehen

1. Bestandsaufnahme: Welche Geräte, Server und Dienste gibt es, wer spricht mit wem? Flussdaten und Monitoring helfen dabei, wie im Beitrag Monitoring verstehen beschrieben.
2. Segmente festlegen: Nach Funktion und Schutzbedarf, mit einer Regelmatrix.
3. Adressplan: Jedes Segment bekommt ein Subnetz. Plane Reserve ein.
4. VLANs und Trunks einrichten: Geräte schrittweise in die neuen Segmente verschieben.
5. Regeln zuerst nur protokollieren: Viele Firewalls erlauben einen Lernmodus, in dem sie Verstöße melden, aber nicht blockieren. So findest du vergessene Abhängigkeiten, bevor etwas ausfällt.
6. Regeln scharf schalten und die Wirkung testen.
7. Dokumentieren und überwachen: Segmente, Regeln und Ausnahmen aufschreiben, Verworfenes im Monitoring auswerten.

Der Aufwand ist real: Segmentierung ändert, wie Dinge miteinander sprechen, und das führt anfangs zu Überraschungen. Deshalb arbeitet man in Etappen und beginnt mit den Segmenten, die den größten Nutzen bringen, meist Backup, Verwaltung und Geräte.

Praxisbeispiel: Die Firma zieht um

Die Firma setzt die Segmentierung in drei Schritten um und baut auf dem Regelwerk aus dem Firewall-Beitrag auf:

• Backup in ein eigenes Segment: srv-backup zieht in das neue VLAN 50 mit dem Netz 192.168.50.0/28. Der Dateiserver darf nur Daten dorthin schreiben, sonst ist nichts erreichbar. Die Verwaltung ist nur aus VLAN 10 möglich.
• Webserver in die DMZ: srv-web wechselt in VLAN 60 mit dem Netz 192.168.60.0/28. Aus dem Internet ist nur HTTPS erreichbar, in das interne Netz führt kein Weg.
• Arbeitsplätze isolieren: Client-zu-Client-Verkehr wird gesperrt. Die Arbeitsplätze dürfen auf Dateiserver, DNS, DHCP und das Internet, aber nicht aufeinander.

Die neue Übersicht:

Segment	VLAN	Subnetz	Darf erreichen	Gesperrt
Verwaltung	10	192.168.10.0/26	Alle Segmente per Administration	Zugriff von allen anderen
Arbeitsplätze	20	192.168.10.64/26	Dateiserver (445), DNS, DHCP, Internet	Andere Arbeitsplätze, Verwaltung, Backup, Geräte
Server	30	192.168.10.128/26	Backup (Daten hinzufügen), nötige Updates	Arbeitsplätze, Geräte, freier Internetzugang
Geräte	40	192.168.10.192/26	Aufnahmeserver	Alles andere
Backup	50	192.168.50.0/28	Nichts von sich aus	Alles außer eingehende Backups und Verwaltung
DMZ	60	192.168.60.0/28	Nur nötige Updates	Das interne Netz
Gäste	–	eigener Bereich	Internet (80, 443, 53)	Alle internen Segmente

Jetzt der Ernstfall noch einmal: Ein Arbeitsplatz mit der Adresse 192.168.10.77 ist durch Phishing übernommen. Der Angreifer sucht nach Zielen und findet nur den Dateiserver auf Port 445 und den DNS-Server. Die anderen Arbeitsplätze, die Kameras, der Backup-Server und die Verwaltung bleiben unsichtbar, ihre Pakete werden von der Firewall verworfen. Dabei entsteht eine Flut von Treffern bei den verworfenen Verbindungen, und das Monitoring meldet die Auffälligkeit. Aus einem Vorfall, der das ganze Netz hätte treffen können, ist ein lokaler Vorfall geworden, den die IT in Ruhe untersuchen kann.

Prüfen, ob die Trennung wirkt

Segmentierung, die nicht getestet wird, ist eine Hoffnung. Teste, ob Verbindungen, die gesperrt sein sollen, tatsächlich gesperrt sind. Dazu wählst du einen Rechner in einem Segment, zum Beispiel einen Arbeitsplatz, und versuchst, ein Ziel in einem anderen Segment zu erreichen. Unter Windows geht das mit der PowerShell:

Test-NetConnection 192.168.50.5 -Port 445

Hier wird versucht, den Backup-Server auf Port 445 zu erreichen. Der Test sollte fehlschlagen, wenn die Regeln stimmen. Dieselbe Prüfung für mehrere Ports gleichzeitig erledigt unter Linux das Programm nmap:

nmap -Pn -p 22,445,3389 192.168.50.5

Die Ausgabe nennt für jeden Port einen Zustand. filtered bedeutet, dass eine Firewall die Pakete verwirft und keine Antwort kommt. closed heißt, dass das Ziel erreichbar ist, aber auf dem Port nichts lauscht. open bedeutet, dass der Dienst antwortet. Bei einem Ziel, das nicht erreichbar sein soll, erwartest du filtered. Steht dort open, ist die Regel zu großzügig.

Wichtig: Scanne nur Netze, die dir gehören oder für die du ausdrücklich die Erlaubnis hast. Fremde Netze zu scannen kann rechtliche Folgen haben, und auch im eigenen Unternehmen sollte der Test mit der IT-Leitung abgestimmt sein.

Typische Fehler und Missverständnisse

• „VLANs reichen als Segmentierung.“ Ohne Regeln am Übergang kann der Verkehr zwischen VLANs frei fließen.
• Segmente mit Ausnahmen aushöhlen. Eine Regel „Alles von Server nach Arbeitsplatz“ macht die Trennung wertlos.
• Backup im normalen Server-Segment. Wer das Netz übernimmt, übernimmt auch die Sicherung.
• Geräte und IoT im Büronetz. Kameras, Drucker und Telefone haben oft Schwachstellen und gehören in ein eigenes Segment.
• Gäste nur per eigener SSID trennen. Der Name des WLANs trennt nichts. Gäste brauchen ein eigenes VLAN mit Regeln.
• Verwaltung nicht abgeschottet. Die Verwaltungszugänge gehören zu den schützenswertesten Zielen.
• Alles auf einmal umstellen. Besser in Etappen, mit Protokollmodus und Tests.
• Nicht testen. Erst der Test zeigt, ob die Regeln wirken.
• Nicht dokumentieren. Nach einem Jahr versteht sonst niemand mehr, warum welche Regel besteht.
• Segmentierung als einmaliges Projekt sehen. Netze ändern sich, Regeln und Segmente müssen mitwachsen.

Zum Üben

1. Was versteht man unter lateraler Bewegung?
2. Warum reicht ein VLAN allein nicht als Sicherheitsmaßnahme?
3. Nenne vier Segmente, die in einer Firma sinnvoll sind.
4. Warum sollten Arbeitsplätze untereinander nicht per SMB oder RDP kommunizieren dürfen?
5. Ein Angreifer sitzt auf einem Arbeitsplatz eines flachen Netzes mit 50 weiteren Geräten. Wie viele Kombinationen aus Gerät und TCP-Port kann er theoretisch ansprechen?
6. Wie prüfst du, ob ein Backup-Server aus dem Arbeitsplatz-Segment unerreichbar ist?
7. Was bedeutet der Zustand filtered bei nmap?
8. Nenne drei Gründe, den Backup-Server in ein eigenes Segment zu legen.

Lösungen: (1) Die Ausbreitung eines Angreifers von einem übernommenen Gerät auf weitere Geräte im Netz. (2) Ein VLAN trennt nur auf Schicht 2. Verbindet ein Router die VLANs, fließt der Verkehr ohne Regeln frei. Erst Firewall-Regeln am Übergang machen die Trennung wirksam. (3) Zum Beispiel Verwaltung, Server, Arbeitsplätze, Geräte, Gäste, DMZ, Backup. (4) Weil Schadsoftware diese Dienste zur Ausbreitung nutzt. Arbeitsplätze brauchen sie nur zu Servern, nicht untereinander. (5) 50 × 65.535 = 3.276.750 Kombinationen. (6) Mit einem Verbindungsversuch auf typische Ports, zum Beispiel mit Test-NetConnection oder nmap, vom Arbeitsplatz aus. Der Versuch sollte fehlschlagen oder filtered melden. (7) Eine Firewall verwirft die Pakete, und es kommt keine Antwort. (8) Zum Beispiel: Er ist das Ziel von Angreifern, die Wiederherstellung hängt an ihm, er soll nur eingehende Backups annehmen, und seine Verwaltung darf nur aus dem Management-Segment möglich sein.

Das solltest du dir merken

• Im flachen Netz erreicht ein Angreifer von einem übernommenen Gerät aus fast alles. Segmentierung begrenzt diesen Wirkungsradius.
• Laterale Bewegung nutzt Verwaltungsdienste wie SMB, RDP, SSH und WinRM. Blockiere sie dort, wo sie nicht gebraucht werden, vor allem zwischen Arbeitsplätzen.
• Segmentierung entsteht aus Subnetzen, VLANs, Firewall-Regeln, DMZ, Client-Isolation und Host-Firewalls im Zusammenspiel.
• Ein VLAN trennt nur. Erst die Regeln am Übergang kontrollieren den Verkehr.
• Typische Segmente: Verwaltung, Server, Arbeitsplätze, Geräte, Gäste, DMZ und Backup. Der Backup-Server gehört besonders streng abgeschottet.
• Gehe in Etappen vor: Bestand aufnehmen, Segmente planen, Regeln erst protokollieren, dann scharf schalten, testen und dokumentieren.
• Teste die Trennung im eigenen Netz und überwache verworfene Verbindungen.

Rückblick auf die Beiträge 39 bis 50

Mit diesem Beitrag schließen sich die Blöcke zu Servern und Sicherheit. Sie bauen aufeinander auf: Ein Server braucht Ausfallsicherheit durch RAID, aber RAID ersetzt kein Backup, sondern verlangt die 3-2-1-Regel. Monitoring zeigt, ob alles läuft, und Virtualisierung nutzt die Hardware besser. Die Sicherheitsbeiträge zeigen die Schichten dazu: Schutzziele und Prinzipien in den Grundlagen, starke Anmeldung mit Authentifizierung und Autorisierung und MFA, die Firewall als Wächter und der Mensch als Faktor beim Phishing.

Der gemeinsame Gedanke steht schon in den Grundlagen: Keine einzelne Maßnahme ist perfekt, aber mehrere Schichten zusammen machen es einem Angreifer schwer und einem Vorfall klein.