Was ist Netzwerksegmentierung?

Netzwerksegmentierung teilt ein Netz in abgegrenzte Bereiche, zwischen denen der Datenverkehr kontrolliert wird. Sie begrenzt den Schaden, wenn ein System kompromittiert wird.

Definition

Statt eines großen flachen Netzes, in dem jedes Gerät jedes andere erreicht, entstehen abgegrenzte Zonen für unterschiedliche Zwecke: Serverbereiche, Arbeitsplätze, Gastzugänge, Produktionsanlagen, Verwaltungszugriffe. Der Verkehr zwischen den Zonen läuft über Firewalls oder Zugriffslisten und ist auf das Notwendige beschränkt.

Typische Zonen

• Serverzone für Fachanwendungen und Datenbanken.
• Client-Zone für Arbeitsplatzrechner.
• Managementzone für administrative Zugriffe, streng abgeschottet.
• DMZ für Systeme mit Kontakt zum Internet.
• Separate Zonen für Gäste, Telefonie, Gebäudetechnik oder Produktionsnetze.

Nutzen

Der wichtigste Effekt ist die Begrenzung seitlicher Bewegung. Gelangt Schadsoftware auf einen Arbeitsplatzrechner, erreicht sie in einem segmentierten Netz nicht automatisch die Server oder die Sicherungssysteme. Zusätzlich vereinfacht Segmentierung die Nachweisführung gegenüber Prüfern und erleichtert es, Systeme mit besonderem Schutzbedarf gezielt zu behandeln.

Praxishinweise

• Vor der Umsetzung die tatsächlichen Kommunikationsbeziehungen erheben, sonst brechen Anwendungen ab.
• Regeln dokumentieren und regelmäßig aufräumen, sonst entstehen über die Jahre Ausnahmen ohne Begründung.
• Administrative Zugriffe konsequent über eine eigene Zone führen.
• Alte Systeme, die sich nicht absichern lassen, gezielt isolieren statt zu ignorieren.

Abgrenzung

Segmentierung arbeitet auf Netzebene mit relativ groben Zonen. Mikrosegmentierung geht feiner vor und regelt den Verkehr bis auf die Ebene einzelner Arbeitslasten. Beide sind Bausteine einer Zero-Trust-Architektur.