Netzwerksegmentierung für KMU: Welche Geräte gehören in getrennte VLANs?

Arbeitsplätze, Server, Drucker, Kameras, Telefone und private Geräte gehören nicht automatisch in dasselbe Netz. Sie benötigen unterschiedliche Verbindungen, werden unterschiedlich verwaltet und haben nicht dasselbe Vertrauensniveau. Welche Geräte getrennte VLANs benötigen, lässt sich deshalb nicht mit einer pauschalen Zahl beantworten.

Die passende Struktur entsteht aus drei Fragen:

1. Welche Geräte müssen miteinander kommunizieren?
2. Welche Geräte sollten ausdrücklich nicht aufeinander zugreifen können?
3. Wer kann später nachvollziehen, warum eine Verbindung erlaubt wurde?

Ein kleiner Betrieb kann mit wenigen klaren Bereichen auskommen. Ein Unternehmen mit Maschinen, Gebäudetechnik, Fernwartung und mehreren zentralen Anwendungen benötigt möglicherweise mehr Zonen. Entscheidend ist nicht die Anzahl der VLANs, sondern ob die Trennung fachlich begründet, technisch wirksam und dauerhaft betreibbar ist.

Zone, VLAN und Übergang sind nicht dasselbe

Eine Gerätegruppe oder Zone fasst Systeme mit ähnlicher Aufgabe, vergleichbarem Schutzbedarf oder einem gemeinsamen Vertrauensniveau zusammen. Ein VLAN ist eine technische Möglichkeit, eine solche Gruppe im lokalen Netzwerk logisch abzubilden.

Zwischen getrennten Netzen wird ein kontrollierter Übergang benötigt. Dort lässt sich festlegen, welche Kommunikation erlaubt, eingeschränkt, protokolliert oder gesperrt wird. Wie dieser Übergang technisch umgesetzt wird, hängt von der jeweiligen Umgebung ab.

> Mehrere VLANs sind noch kein vollständiges Sicherheitskonzept. Entscheidend ist, welche Verbindungen zwischen ihnen zugelassen werden.

Werden Geräte zwar verschiedenen VLANs zugeordnet, anschließend aber alle Verbindungen uneingeschränkt geroutet, können die Gruppen weiterhin weitgehend miteinander kommunizieren. Die beabsichtigte Sicherheitsgrenze entsteht erst durch passende Regeln an den Übergängen.

Zuerst Geräte und Abhängigkeiten erfassen

Vor der Einteilung sollte bekannt sein, was tatsächlich mit dem Netzwerk verbunden ist. Eine einfache Arbeitsliste genügt zunächst; sie ersetzt keine vollständige Inventarisierung, schafft aber eine belastbare Grundlage für die Planung.

Neben Computern und Servern gehören auch Netzwerkdrucker, Multifunktionsgeräte, Kameras, Aufzeichnungssysteme, Telefone, Zutritts- und Gebäudetechnik, Maschinen sowie private und von Gästen verwendete Geräte in die Erfassung. Hinzu kommen die Verwaltungszugänge von Switches, Access Points, Firewalls und anderen Infrastrukturkomponenten.

Keine dieser Kategorien benötigt allein aufgrund ihrer Bezeichnung zwingend ein eigenes VLAN. Die Bestandsaufnahme soll zunächst zeigen, welche Aufgaben und Abhängigkeiten tatsächlich bestehen.

Fünf Kriterien für sinnvolle Gerätegruppen

Funktion

Geräte mit verschiedenen Aufgaben weisen meist unterschiedliche Kommunikationsmuster auf. Ein Arbeitsplatz benötigt andere Ziele als eine Kamera oder ein Telefon.

Schutzbedarf

Zu betrachten sind sowohl die verarbeiteten Daten als auch die bereitgestellten Funktionen. Zentrale Dienste oder Systeme mit sensiblen Daten können eine stärkere Abgrenzung benötigen als ein reiner Gastzugang.

Vertrauensniveau

Zentral verwaltete Firmengeräte lassen sich anders bewerten als private Geräte, Gastgeräte oder Spezialtechnik, deren Software und Konfiguration nur eingeschränkt kontrollierbar sind. „Intern“ ist dabei nicht automatisch gleichbedeutend mit „vertrauenswürdig“.

Administrationsweg

Wer darf ein Gerät konfigurieren und von wo aus? Managementoberflächen von Netzwerkkomponenten sollten nicht nur deshalb aus jedem Arbeitsplatznetz erreichbar sein, weil sie zum internen Netz gehören.

Folgen eines Ausfalls oder einer Fehlfunktion

Eine Trennung kann auch betriebliche Störungen begrenzen. Zu prüfen ist, welche anderen Bereiche beeinträchtigt wären, wenn eine Geräteklasse ausfällt, fehlerhaft arbeitet oder unerwünschte Verbindungen aufbaut.

Geräte sollten eher getrennt werden, wenn sie deutlich andere Aufgaben erfüllen, anders administriert werden, ein abweichendes Vertrauensniveau haben oder nur wenige klar definierte Verbindungen zueinander benötigen. Gemeinsam bleiben können sie eher dann, wenn ihre Anforderungen weitgehend übereinstimmen und die zusätzliche Trennung keinen erkennbaren Sicherheits- oder Betriebsnutzen bringt.

Mögliche Segmente als Prüfliste

Die folgenden Gruppen sind keine verbindliche Vorlage. Sie helfen dabei, die eigene Umgebung systematisch zu prüfen.

• Verwaltete Arbeitsplätze: Zentral betreute PCs und vergleichbare Endgeräte können eine gemeinsame Zone bilden. Festzulegen sind die benötigten Serverdienste, Druckfunktionen und Internetzugänge.
• Server und zentrale Dienste: Eine Trennung vom Arbeitsplatznetz ist sinnvoll, wenn nur ausgewählte Anwendungen oder Dienste erreichbar sein müssen. Pauschale Zugriffe auf alle Server sind dann nicht erforderlich.
• Administration und Infrastrukturmanagement: Verwaltungsoberflächen von Switches, Access Points, Firewalls und weiterer Infrastruktur können einen besonders beschränkten Bereich erhalten. Notwendige Notfallzugänge müssen dabei eingeplant werden.
• Drucker und Multifunktionsgeräte: Vor einer Trennung ist zu klären, ob direkt gedruckt, ein zentraler Druckdienst verwendet oder eine automatische Gerätesuche benötigt wird.
• Kameras und Gebäudetechnik: Maßgeblich sind die tatsächlichen Kommunikationspartner, etwa Aufzeichnungssysteme, Verwaltung, externe Dienste oder Fernwartung.
• VoIP und Telefonie: Ein eigenes Segment kann zur Betriebs- und Administrationsstruktur passen. Vorher müssen jedoch alle Telefoniekomponenten und Abhängigkeiten bekannt sein.
• Maschinen und Spezialtechnik: Herstellerzugänge, Steuerungssysteme und hohe Verfügbarkeitsanforderungen können eine individuelle Planung erforderlich machen.
• Gäste und private Geräte: Nicht vom Unternehmen verwaltete Geräte sollten nicht automatisch dieselben internen Zugriffe wie Firmenarbeitsplätze erhalten. Für reine Gastnutzung ist ein separater Internetzugang ohne Zugriff auf interne Systeme ein naheliegendes Ziel.

Entscheidungshilfe: Braucht diese Geräteklasse ein eigenes Segment?

Je häufiger die folgenden Fragen mit „ja“ beantwortet werden, desto stärker spricht dies für eine getrennte Zone:

• Hat die Geräteklasse einen anderen betrieblichen Zweck?
• Wird sie anders oder durch andere Verantwortliche administriert?
• Ist ihr Vertrauensniveau geringer oder nicht eindeutig feststellbar?
• Benötigt sie nur wenige Verbindungen zu internen Systemen?
• Könnte ein unerwünschter Zugriff wichtige andere Systeme betreffen?
• Muss ihr Zugriff unabhängig von anderen Geräteklassen beschränkt werden?
• Gibt es besondere Hersteller- oder Fernwartungszugänge?
• Soll eine Fehlfunktion auf diesen Bereich begrenzt bleiben?

Danach folgt die Gegenprüfung: Ist der betriebliche Nutzen klar? Sind die benötigten Datenwege bekannt? Kann die zusätzliche Zone dauerhaft administriert und dokumentiert werden? Gibt es einen realistischen Test- und Rückfallplan? Wenn diese Fragen offenbleiben, ist eine feinere Aufteilung möglicherweise noch nicht umsetzungsreif.

Die Kommunikationsmatrix macht Freigaben nachvollziehbar

Ein Netzplan zeigt Geräte, Leitungen und logische Strukturen. Er erklärt jedoch nicht zwangsläufig den geschäftlichen Zweck einer Freigabe. Dafür eignet sich eine Kommunikationsmatrix:

Die Matrix beschreibt zunächst fachliche Anforderungen, keine konkreten Ports oder Herstellerkonfigurationen. Erst bei der technischen Umsetzung werden daraus Netzwerk- und Firewall-Regeln.

Hilfreiche Planungsfragen sind:

• Müssen Arbeitsplätze jeden Server erreichen oder nur bestimmte Dienste?
• Müssen Drucker selbst Verbindungen zu Arbeitsplatzgeräten aufbauen?
• Welche Systeme dürfen Kameras und Aufzeichnungen erreichen?
• Benötigen Telefone Zugriff auf normale Arbeitsplatznetze?
• Von welchen Geräten dürfen Managementoberflächen geöffnet werden?
• Welche internen Ziele benötigen Gastgeräte tatsächlich?
• Welche externen Verbindungen sind für Updates, Cloud-Dienste oder Fernwartung notwendig?

Zunächst werden nur fachlich begründete Verbindungen eingetragen. Bestehende Übergänge sollten dennoch nicht ungeprüft abgeschaltet werden: Historisch gewachsene Freigaben können unbekannte, aber betriebsrelevante Abhängigkeiten enthalten.

Warum der Netzwerkstandort kein Vertrauensnachweis ist

NIST berücksichtigt Netzwerksegmentierung und Mikrosegmentierung in seiner Zero-Trust-Architektur. Gleichzeitig reicht die Position eines Geräts innerhalb eines bestimmten Netzes nicht aus, um ihm zu vertrauen.

Segmentierung begrenzt mögliche Kommunikationswege. Sie ersetzt jedoch weder eine verlässliche Geräteverwaltung noch Identitätsprüfungen, Berechtigungen, sichere Anwendungen und geschützte Administrationszugänge. Auch ein Gerät im vorgesehenen VLAN kann falsch konfiguriert, veraltet oder kompromittiert sein.

Ein flaches Netz kontrolliert umstellen

Eine vollständige Umstellung in einem einzigen großen Schritt erhöht das Risiko, unbekannte Abhängigkeiten zu übersehen. Zweckmäßiger ist ein kontrolliertes Vorgehen mit Rückfallmöglichkeit.

1. Sichtbarkeit schaffen: Gerätebestand, Zuständigkeiten, Kommunikationswege und kritische Geschäftsprozesse erfassen.
2. Zielbild entwerfen: Wenige begründete Gruppen bilden, die Kommunikationsmatrix erstellen und Verantwortliche für Zonen und Ausnahmen benennen.
3. Eine überschaubare Gruppe pilotieren: Welche Geräteklasse geeignet ist, hängt von der Umgebung ab; eine allgemeingültige Reihenfolge gibt es nicht.
4. Funktionen prüfen: Dazu gehören je nach System Drucken und Scannen, Anmeldung, zentrale Anwendungen, Telefonie, Geräteerkennung, Namensauflösung, Zeitsynchronisation, Updates, Überwachung, Fernwartung sowie Sicherung und Wiederherstellung.
5. Regeln schrittweise einschränken: Beobachtete Verbindungen mit den Geschäftsanforderungen abgleichen und nicht begründete Übergänge kontrolliert entfernen.
6. Trennung abnehmen: Nicht nur die Erreichbarkeit erforderlicher Dienste testen, sondern auch kontrollieren, ob unerwünschte Verbindungen tatsächlich gesperrt sind.

Sind Gerätebestand, Kommunikationswege oder vorhandene Switch- und WLAN-Strukturen nicht ausreichend dokumentiert, kann vor der Umstellung eine externe Bestandsaufnahme sinnvoll sein. Netzmal führt Netzwerk- und WLAN-Planung einschließlich Segmentierung sowie die Administration und Pflege von Switches und Access Points im eigenen Leistungsbereich auf. Segmentstruktur und Firewall-Regeln sollten bei der Umsetzung gemeinsam betrachtet werden.

Dokumentation gehört zum laufenden Betrieb

Neue Geräte, Anwendungen und Fernwartungswege verändern ein Netzwerk. Die Mindestdokumentation sollte deshalb Zweck und Bezeichnung jedes Segments, zugeordnete Geräteklassen, technische Zuständigkeiten, erlaubte Kommunikationsbeziehungen und begründete Ausnahmen enthalten. Hinzu kommen Verwaltungswege, Netzplan, zugehörige Übergangsregeln, das Datum der letzten Prüfung sowie das betriebliche Vorgehen bei neuen Geräten oder geänderten Diensten.

Bei Soll-Ist-Kontrollen sind insbesondere folgende Fragen relevant:

• Befinden sich nur vorgesehene Geräte im jeweiligen Segment?
• Entsprechen die aktiven Regeln noch der Kommunikationsmatrix?
• Wurden temporäre Freigaben wieder entfernt?
• Haben sich Anwendungen, Fernwartungswege oder Verantwortlichkeiten geändert?
• Stimmen Netzplan und technische Konfiguration noch überein?

Ein allgemeingültiges Prüfintervall lässt sich daraus nicht ableiten. Es muss zur Änderungsrate, Kritikalität und betrieblichen Organisation des jeweiligen Unternehmens passen.

Grenzen dieses Planungsmodells

Dieser Ansatz ist keine universelle VLAN-Schablone und enthält bewusst keine Portlisten, Firewall-Konfigurationen oder herstellerspezifischen Einstellungen. Die passende Segmentierung hängt von Anwendungen, Geräten, Fernwartung und Verfügbarkeitsanforderungen ab. Bei Maschinen, Gebäudeautomation, Zutrittssystemen und anderer Spezialtechnik können Herstelleranforderungen oder betriebliche Sicherheitsvorgaben eine gesonderte Planung verlangen.

Eine praktikable Reihenfolge lautet daher: Geräte erfassen, Kommunikationswege dokumentieren, Gruppen bilden, Übergänge festlegen, mit einer überschaubaren Gruppe testen und erst nach erfolgreicher Funktionsprüfung weiter einschränken. Netzplan, Regeln und Ausnahmen müssen anschließend gepflegt werden.

Eine gute Segmentierung ist nicht die mit den meisten VLANs. Gut ist sie dann, wenn jede Trennung begründet, technisch durchgesetzt und im Alltag nachvollziehbar betrieben werden kann.