Eine Firewall am Internetanschluss, dahinter ein großes internes Netzwerk – und wer einmal drin ist, kann nahezu überall hin.

Dieses Sicherheitsmodell war lange Zeit weit verbreitet. Für moderne IT-Infrastrukturen ist es jedoch zunehmend problematisch. Unternehmen und Behörden betreiben heute Cloud-Dienste, mobile Arbeitsplätze, Homeoffice-Zugänge, externe Standorte, IoT-Geräte und zahlreiche miteinander vernetzte Anwendungen. Gleichzeitig zeigen Ransomware-Angriffe regelmäßig, wie gefährlich es ist, wenn sich Angreifer nach der Kompromittierung eines einzelnen Systems nahezu ungehindert innerhalb eines Netzwerks bewegen können.

Genau hier setzen Netzwerksegmentierung und Zero Trust an.

Das Ziel lautet nicht mehr nur, Angreifer am Eindringen zu hindern. Ebenso wichtig ist es, ihre Bewegungsmöglichkeiten innerhalb der Infrastruktur drastisch einzuschränken.

In Teil 8 unserer NIS-2-Serie beschäftigen wir uns deshalb mit Netzsegmentierung, VLANs, Firewalls, Mikrosegmentierung, Zero Trust, VPN und sicheren Remote-Access-Konzepten.

Warum reicht eine zentrale Firewall nicht mehr?

Das klassische Sicherheitsmodell lässt sich vereinfacht mit einer Burg vergleichen.

Außen befindet sich eine massive Mauer.

Innerhalb der Burg dürfen sich dagegen alle relativ frei bewegen.

Auf IT übertragen bedeutet das:

Internet → Firewall → internes Netzwerk

Die Firewall schützt den Übergang zwischen einem nicht vertrauenswürdigen und einem vermeintlich vertrauenswürdigen Bereich.

Das Problem:

Was passiert, wenn ein Angreifer die Mauer bereits überwunden hat?

Vielleicht wurde ein Notebook durch Phishing kompromittiert.

Vielleicht besitzt ein Angreifer gültige VPN-Zugangsdaten.

Vielleicht enthält ein öffentlich erreichbarer Server eine Sicherheitslücke.

Oder ein infiziertes Gerät wird direkt mit dem internen Netzwerk verbunden.

Ist das interne Netzwerk kaum segmentiert, kann der Angreifer versuchen, weitere Systeme zu erreichen.

Lateral Movement

Diese Bewegung innerhalb eines Netzwerks wird häufig als Lateral Movement bezeichnet.

Ein typischer Angriff könnte beispielsweise folgendermaßen ablaufen:

1. Arbeitsplatz wird kompromittiert

↓

2. Zugangsdaten werden gestohlen

↓

3. Weitere Systeme werden untersucht

↓

4. Server werden angegriffen

↓

5. Administrative Berechtigungen werden erlangt

↓

6. Backups werden manipuliert

↓

7. Daten werden gestohlen

↓

8. Systeme werden verschlüsselt

Eine gute Segmentierung soll genau diese Angriffskette erschweren oder unterbrechen.

Was ist Netzwerksegmentierung?

Netzwerksegmentierung bedeutet, ein großes Netzwerk in mehrere voneinander getrennte Sicherheitsbereiche aufzuteilen.

Anstatt beispielsweise alle Systeme gemeinsam in einem einzigen Netzwerk zu betreiben, entstehen unterschiedliche Segmente für:

• Arbeitsplatzcomputer
• Server
• Administration
• VoIP
• Drucker
• WLAN
• Gäste
• IoT-Geräte
• Gebäudetechnik
• Backup-Systeme
• Managementsysteme
• externe Dienste

Die Kommunikation zwischen diesen Segmenten wird anschließend gezielt kontrolliert.

Dadurch entsteht nicht mehr:

Alles darf mit allem kommunizieren.

Sondern:

Nur notwendige Kommunikationsbeziehungen werden erlaubt.

Ein einfaches Beispiel

Nehmen wir eine Organisation mit folgenden Bereichen:

• Arbeitsplatznetz
• Servernetz
• Druckernetz
• Gäste-WLAN
• Administrationsnetz
• Backup-Netz

Ein Arbeitsplatz benötigt möglicherweise Zugriff auf einen bestimmten Anwendungsserver.

Er benötigt aber normalerweise keinen direkten Zugriff auf:

• die Managementschnittstelle der Firewall,
• Hypervisor,
• Backup-Server,
• andere Arbeitsplatzcomputer.

Ein Gast im WLAN benötigt dagegen lediglich Internetzugriff.

Er sollte überhaupt keinen Zugriff auf interne Server besitzen.

Durch Segmentierung lassen sich diese Regeln technisch durchsetzen.

VLANs als Grundlage der Segmentierung

Eine verbreitete Technik zur logischen Netztrennung sind Virtual Local Area Networks, kurz VLANs.

VLANs ermöglichen es, ein physisches Netzwerk logisch in verschiedene Netze aufzuteilen.

Beispielsweise:

VLAN 10 – Clients

VLAN 20 – Server

VLAN 30 – VoIP

VLAN 40 – Drucker

VLAN 50 – Gäste

VLAN 60 – Administration

Mehrere dieser VLANs können dabei über dieselbe physische Switch-Infrastruktur transportiert werden.

Ein VLAN allein ist noch keine Sicherheitslösung

Dieser Punkt ist besonders wichtig.

Die bloße Einrichtung verschiedener VLANs bedeutet noch nicht automatisch, dass eine wirksame Sicherheitssegmentierung vorhanden ist.

Entscheidend ist:

Wie wird die Kommunikation zwischen den VLANs kontrolliert?

Wenn sämtliche VLANs über einen Router ohne relevante Einschränkungen miteinander kommunizieren dürfen, ist der Sicherheitsgewinn gering.

Deshalb müssen VLANs mit geeigneten Zugriffskontrollen kombiniert werden.

Firewalls zwischen Sicherheitszonen

Firewalls sollten nicht ausschließlich am Internetübergang eingesetzt werden.

Auch interne Netzbereiche können durch Firewalls voneinander getrennt werden.

Ein mögliches Modell lautet beispielsweise:

Internet

↓

Perimeter-Firewall

↓

DMZ

↓

Interne Firewall

↓

Servernetz / Clientnetz / Administrationsnetz / Backup-Netz

Die Firewall kontrolliert anschließend gezielt die notwendigen Verbindungen.

Default Deny statt Default Allow

Ein besonders wichtiger Grundsatz lautet:

Nicht alles erlauben und anschließend einzelne Dinge verbieten.

Besser ist:

Zunächst alles verbieten und anschließend ausschließlich notwendige Kommunikation freigeben.

Dieses Prinzip wird häufig als Default Deny bezeichnet.

Beispielsweise benötigt ein Arbeitsplatz für eine Fachanwendung Zugriff auf:

Anwendungsserver TCP Port 443

Dann wird genau diese Verbindung erlaubt.

Nicht:

Clientnetz darf vollständig auf Servernetz zugreifen.

Je genauer Regeln definiert werden, desto kleiner wird die Angriffsfläche.

Firewallregeln regelmäßig überprüfen

Mit der Zeit wachsen Firewall-Regelwerke.

Eine typische Situation:

Für ein Projekt wird kurzfristig eine Freigabe benötigt.

Die Regel wird eingerichtet.

Das Projekt endet.

Die Firewallregel bleibt.

Nach einigen Jahren existieren möglicherweise hunderte Regeln, deren ursprünglicher Zweck niemand mehr kennt.

Deshalb sollte für Firewallregeln möglichst dokumentiert werden:

• Quelle
• Ziel
• Dienst beziehungsweise Port
• Zweck
• Verantwortlicher
• Genehmigung
• Erstellungsdatum
• gegebenenfalls Ablaufdatum

Regelwerke sollten regelmäßig überprüft und nicht mehr benötigte Freigaben entfernt werden.

Kritische Managementsysteme besonders schützen

Besonders sensible Systeme sollten nicht aus normalen Arbeitsplatznetzen administriert werden.

Dazu gehören beispielsweise:

• Firewalls
• Switches
• Hypervisor
• Storage
• Backup-Systeme
• Domain Controller
• Managementplattformen
• Sicherheitslösungen

Für solche Systeme kann ein separates Administrations- beziehungsweise Managementnetz eingerichtet werden.

Zugriff erhalten ausschließlich autorisierte Administratoren über besonders abgesicherte Systeme.

Damit wird verhindert, dass ein kompromittierter Standardarbeitsplatz unmittelbar die Managementschnittstellen kritischer Infrastruktur erreichen kann.

Backup-Systeme segmentieren

Backups verdienen besondere Aufmerksamkeit.

Moderne Ransomware-Gruppen versuchen häufig, Sicherungen zu zerstören oder zu verschlüsseln, bevor die eigentliche Erpressung beginnt.

Sind Backup-Systeme direkt aus normalen Produktionsnetzen erreichbar, steigt dieses Risiko.

Deshalb sollten Backup-Infrastrukturen möglichst:

• separat segmentiert,
• besonders authentifiziert,
• restriktiv erreichbar,
• überwacht

werden.

Zusätzlich können immutable beziehungsweise unveränderbare Sicherungen und Offline-Kopien das Schutzniveau erhöhen.

IoT und Gebäudetechnik isolieren

Immer mehr Geräte besitzen Netzwerkanschlüsse.

Beispiele:

• Kameras
• Zutrittskontrollen
• Heizungssteuerungen
• Gebäudeleittechnik
• Zeiterfassung
• Displays
• Sensoren
• Multifunktionsdrucker

Diese Systeme erhalten teilweise nur selten Sicherheitsupdates oder verwenden proprietäre Betriebssysteme.

Sie sollten deshalb nicht selbstverständlich im selben Netz wie kritische Server betrieben werden.

Eigene Segmente können das Risiko erheblich reduzieren.

Mikrosegmentierung

Klassische Segmentierung trennt meist größere Netzwerkbereiche.

Mikrosegmentierung geht einen Schritt weiter.

Dabei können einzelne Systeme oder Workloads sehr granular voneinander getrennt werden.

Beispielsweise kommunizieren drei Server einer Anwendung miteinander:

Webserver → Applikationsserver → Datenbank

Der Webserver darf mit dem Applikationsserver kommunizieren.

Der Applikationsserver darf auf die Datenbank zugreifen.

Der Webserver benötigt dagegen möglicherweise keinen direkten Datenbankzugriff.

Eine Mikrosegmentierung kann genau diese Beziehungen erzwingen.

Vorteile der Mikrosegmentierung

Mikrosegmentierung kann insbesondere in:

• Rechenzentren
• virtualisierten Umgebungen
• Cloud-Infrastrukturen
• Container-Plattformen

interessant sein.

Sie reduziert die Möglichkeiten für Lateral Movement erheblich.

Wird beispielsweise ein Webserver kompromittiert, bedeutet dies nicht automatisch, dass der Angreifer sämtliche anderen Server erreichen kann.

Mikrosegmentierung benötigt gute Kenntnisse der Datenflüsse

Eine Herausforderung besteht allerdings darin, zunächst zu verstehen, welche Systeme tatsächlich miteinander kommunizieren müssen.

Wer Regeln zu restriktiv definiert, kann produktive Anwendungen beeinträchtigen.

Deshalb sollte zunächst analysiert werden:

• Welche Systeme kommunizieren miteinander?
• Welche Ports werden benötigt?
• Welche Protokolle werden verwendet?
• Welche externen Abhängigkeiten existieren?
• Welche Kommunikation ist tatsächlich erforderlich?

Hier zeigt sich erneut, wie wichtig das in Teil 6 behandelte Asset Management ist.

Ohne Kenntnis der Systeme und ihrer Abhängigkeiten lässt sich eine sinnvolle Segmentierung nur schwer umsetzen.

Was bedeutet Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das traditionelle Vertrauensannahmen grundsätzlich infrage stellt.

Der bekannte Grundsatz lautet:

Never trust, always verify.

Sinngemäß:

Vertraue keinem Zugriff automatisch – überprüfe ihn.

Dabei bedeutet Zero Trust keineswegs, dass jeder Mitarbeiter grundsätzlich als potenzieller Angreifer betrachtet werden soll.

Es geht vielmehr darum, Vertrauen nicht allein aufgrund des Netzwerkstandorts zu vergeben.

Das interne Netzwerk ist nicht automatisch vertrauenswürdig

Im klassischen Modell galt häufig:

Extern = unsicher.

Intern = vertrauenswürdig.

Zero Trust stellt diese Annahme infrage.

Ein Gerät im internen Netzwerk kann schließlich:

• kompromittiert sein,
• gestohlen worden sein,
• Malware enthalten,
• von einem Angreifer kontrolliert werden.

Deshalb sollte allein die Tatsache, dass sich ein Gerät innerhalb des Unternehmensnetzwerks befindet, nicht automatisch umfangreiche Zugriffsrechte erzeugen.

Zero Trust betrachtet mehrere Faktoren

Eine Zugriffsentscheidung kann beispielsweise berücksichtigen:

Identität

Wer versucht zuzugreifen?

Authentifizierung

Wurde die Identität ausreichend stark bestätigt?

Gerät

Ist das verwendete Gerät bekannt und verwaltet?

Sicherheitsstatus

Ist das Betriebssystem aktuell?

Ist Endpoint-Schutz aktiv?

Standort

Woher erfolgt der Zugriff?

Ressource

Auf welches System soll zugegriffen werden?

Risiko

Ist das aktuelle Verhalten ungewöhnlich?

Dadurch entstehen dynamischere Zugriffsentscheidungen.

Least Privilege und Zero Trust

Zero Trust ist eng mit dem bereits in Teil 7 behandelten Least-Privilege-Prinzip verbunden.

Ein Benutzer erhält nicht automatisch Zugriff auf zahlreiche Systeme, nur weil er sich erfolgreich angemeldet hat.

Er erhält nur die Zugriffe, die für seine Aufgabe notwendig sind.

Idealerweise:

• auf die benötigte Ressource,
• mit den notwendigen Rechten,
• für den notwendigen Zeitraum.

Dadurch wird die Angriffsfläche erheblich reduziert.

Zero Trust ist kein einzelnes Produkt

Ein häufiger Irrtum lautet:

„Wir kaufen eine Zero-Trust-Lösung.“

Zero Trust ist jedoch kein einzelnes Produkt, das installiert und anschließend aktiviert wird.

Es handelt sich um eine Sicherheitsarchitektur beziehungsweise Strategie.

Dazu können verschiedene Technologien beitragen:

• IAM
• MFA
• Endpoint Management
• EDR
• Netzwerksegmentierung
• Mikrosegmentierung
• Conditional Access
• zentrale Protokollierung
• SIEM
• PAM
• Zertifikate

Zero Trust entsteht aus dem Zusammenspiel dieser Komponenten.

VPN – der klassische Remote-Zugang

Für Homeoffice und externe Zugriffe wird häufig ein Virtual Private Network (VPN) eingesetzt.

Dabei entsteht eine verschlüsselte Verbindung zwischen einem externen Gerät und dem Unternehmensnetzwerk.

Ein VPN bietet wichtige Vorteile:

• verschlüsselte Kommunikation
• geschützter Zugang
• zentrale Authentifizierung
• kontrollierter Einstiegspunkt

Ein VPN allein löst jedoch nicht sämtliche Sicherheitsprobleme.

Das Problem mit zu weitreichenden VPN-Zugängen

Ein klassisches VPN funktioniert häufig nach dem Prinzip:

Benutzer meldet sich an → Benutzer befindet sich anschließend im internen Netzwerk.

Besitzt dieser Benutzer anschließend Zugriff auf zahlreiche interne Systeme, entsteht ein erhebliches Risiko.

Besonders kritisch wird es, wenn:

• Zugangsdaten gestohlen werden,
• MFA fehlt,
• das Endgerät kompromittiert ist.

Deshalb sollten auch VPN-Zugänge nach dem Least-Privilege-Prinzip eingeschränkt werden.

VPN sicher konfigurieren

Ein sicherer VPN-Betrieb sollte unter anderem berücksichtigen:

• MFA
• starke Authentifizierung
• aktuelle VPN-Software
• zeitnahes Patchmanagement
• Logging
• Monitoring
• rollenbasierte Zugriffskontrolle
• Einschränkung erreichbarer Netze
• sichere Verschlüsselung
• Kontrolle externer Geräte

Gerade VPN-Gateways sind öffentlich erreichbare Systeme und damit attraktive Angriffsziele.

Kritische Sicherheitsupdates sollten deshalb besonders schnell bewertet und installiert werden.

Remote Access

Remote Access umfasst weit mehr als klassische VPN-Verbindungen.

Dazu gehören beispielsweise:

• Remote Desktop
• SSH
• Fernwartungssoftware
• Administrationsportale
• Cloud-Management
• Supportzugänge
• externe Wartungsverbindungen

Jeder dieser Zugänge stellt einen möglichen Eintrittspunkt in die Infrastruktur dar.

Deshalb sollten Remote-Zugänge besonders restriktiv behandelt werden.

RDP und SSH nicht ungeschützt ins Internet stellen

Direkt öffentlich erreichbare Verwaltungsdienste erhöhen die Angriffsfläche erheblich.

Insbesondere Dienste wie:

• RDP
• SSH
• Datenbankadministration
• Hypervisor-Management
• Webadministration

sollten nicht unnötig direkt aus dem Internet erreichbar sein.

Sinnvoller sind kontrollierte Zugangswege über beispielsweise:

• VPN
• Bastion Hosts
• Jump Server
• Zero-Trust-Zugriffslösungen

und zusätzliche starke Authentifizierung.

Bastion Hosts und Jump Server

Ein Bastion Host beziehungsweise Jump Server dient als kontrollierter Einstiegspunkt für administrative Zugriffe.

Das Prinzip:

Administrator

↓

stark abgesicherter Zugang

↓

Jump Server

↓

Zielsystem

Dadurch müssen kritische Server nicht direkt aus zahlreichen Netzen erreichbar sein.

Der administrative Zugriff kann zentral:

• authentifiziert,
• protokolliert,
• überwacht

werden.

In Kombination mit PAM kann daraus eine besonders kontrollierte Administrationsumgebung entstehen.

Zugänge externer Dienstleister

Externe IT-Dienstleister benötigen häufig Fernzugriff.

Gerade diese Zugänge sollten streng geregelt werden.

Empfehlenswert sind beispielsweise:

• persönliche Konten statt Sammelkonten
• MFA
• zeitlich begrenzte Freischaltung
• Zugriff nur auf notwendige Systeme
• Protokollierung
• definierte Ansprechpartner
• regelmäßige Rezertifizierung

Ein Fernwartungskonto sollte nicht jahrelang permanent aktiv bleiben, nur weil ein Dienstleister möglicherweise irgendwann darauf zugreifen muss.

Segmentierung nach Schutzbedarf

Eine sinnvolle Netzwerkarchitektur orientiert sich nicht ausschließlich an organisatorischen Abteilungen.

Die Trennung sollte insbesondere Sicherheitsanforderungen berücksichtigen.

Ein mögliches Modell könnte beispielsweise folgende Zonen enthalten:

Internet

↓

DMZ

↓

Clientzone

Serverzone

Datenbankzone

Managementzone

Backupzone

IoT-Zone

Gastzone

Zwischen diesen Zonen kontrollieren Firewalls beziehungsweise vergleichbare Sicherheitsmechanismen die Kommunikation.

Besonders kritische Systeme erhalten entsprechend restriktive Regeln.

Segmentierung muss dokumentiert werden

Auch hier gilt:

Technische Umsetzung und Dokumentation gehören zusammen.

Dokumentiert werden sollten beispielsweise:

• Netzwerkzonen
• VLANs
• IP-Netze
• Firewallübergänge
• notwendige Kommunikationsbeziehungen
• Remote-Zugänge
• Managementnetze
• Verantwortlichkeiten

Netzwerkdiagramme können dabei erheblich helfen.

Sie sollten allerdings regelmäßig aktualisiert werden.

Ein Netzwerkplan aus dem Jahr 2021 ist nur begrenzt hilfreich, wenn die Infrastruktur inzwischen völlig anders aussieht.

Monitoring zwischen Segmenten

Segmentierung bietet noch einen weiteren Vorteil.

Verbindungen zwischen Sicherheitszonen können gezielt überwacht werden.

Wenn beispielsweise plötzlich ein Drucker versucht, eine administrative Verbindung zu einem Domain Controller aufzubauen, ist das ungewöhnlich.

Eine Firewall oder ein entsprechendes Monitoring-System kann solche Ereignisse erkennen und protokollieren.

Segmentierung verbessert deshalb nicht nur die Prävention, sondern kann auch die Erkennung von Angriffen unterstützen.

Netzwerksegmentierung und Incident Response

Im Sicherheitsvorfall kann eine gute Segmentierung enorm wertvoll sein.

Wird beispielsweise ein Clientnetz durch Malware kompromittiert, können andere Segmente weiterhin geschützt bleiben.

Zusätzlich können betroffene Bereiche möglicherweise schnell isoliert werden.

Damit unterstützt Segmentierung unmittelbar die Incident-Response-Strategie.

Eine flache Netzwerkarchitektur erschwert dagegen die Eindämmung eines Angriffs erheblich.

Ein praktisches Beispiel

Nehmen wir an, ein Mitarbeiter öffnet einen schädlichen E-Mail-Anhang.

Der Arbeitsplatz wird kompromittiert.

Ohne Segmentierung

Der Angreifer kann zahlreiche interne Systeme scannen.

Er findet Server, Netzwerkgeräte und Backup-Systeme.

Anschließend versucht er, gestohlene Zugangsdaten auf weiteren Systemen einzusetzen.

Mit Segmentierung

Der kompromittierte Arbeitsplatz befindet sich im Client-VLAN.

Von dort sind nur notwendige Dienste erreichbar.

Managementschnittstellen sind gesperrt.

Das Backup-Netz ist nicht erreichbar.

Serverzugriffe sind auf bestimmte Anwendungen beschränkt.

Administrative Zugänge funktionieren ausschließlich aus einem separaten Managementnetz.

Der Angriff ist damit nicht automatisch verhindert.

Aber seine Ausbreitung wird erheblich erschwert.

Und genau darum geht es.

Typische Fehler bei Netzwerksegmentierung und Remote Access

In der Praxis treten häufig ähnliche Probleme auf:

• Das interne Netzwerk ist weitgehend flach.
• VLANs existieren, dürfen aber nahezu vollständig miteinander kommunizieren.
• Firewallregeln sind über Jahre gewachsen.
• Niemand kennt den Zweck alter Freigaben.
• Managementschnittstellen sind aus Clientnetzen erreichbar.
• Backup-Systeme befinden sich im normalen Servernetz.
• IoT-Geräte teilen sich Netze mit Arbeitsplatzsystemen.
• VPN-Benutzer erhalten zu umfangreiche Netzwerkzugriffe.
• MFA fehlt beim Remote Access.
• RDP oder SSH sind direkt öffentlich erreichbar.
• Dienstleisterkonten sind dauerhaft aktiv.
• Netzwerkdiagramme sind veraltet.
• Segmentierung wird eingerichtet, aber nicht überwacht.

Viele dieser Probleme lassen sich schrittweise beseitigen.

Praktische Checkliste

Für eine erste Bewertung können folgende Fragen verwendet werden:

• Ist das interne Netzwerk in Sicherheitszonen unterteilt?
• Werden Clients und Server getrennt?
• Existieren separate Gäste-Netze?
• Sind IoT- und Gebäudetechnik isoliert?
• Existiert ein separates Managementnetz?
• Sind Backup-Systeme besonders geschützt?
• Wird die Kommunikation zwischen VLANs kontrolliert?
• Wird möglichst nach Default Deny gearbeitet?
• Sind notwendige Kommunikationsbeziehungen dokumentiert?
• Werden Firewallregeln regelmäßig überprüft?
• Besitzen Firewallregeln nachvollziehbare Verantwortliche?
• Werden besonders kritische Systeme zusätzlich segmentiert?
• Wird Lateral Movement technisch erschwert?
• Ist MFA für VPN und Remote Access aktiviert?
• Sind VPN-Zugriffe auf notwendige Ressourcen beschränkt?
• Werden VPN-Gateways zeitnah gepatcht?
• Sind administrative Dienste vor direktem Internetzugriff geschützt?
• Werden externe Fernwartungszugänge kontrolliert?
• Werden Remote-Zugriffe protokolliert?
• Sind Netzwerkdiagramme aktuell?

Jedes Nein liefert einen möglichen Ansatzpunkt für die Verbesserung der eigenen Netzwerkarchitektur.

Ein pragmatischer Einstieg

Eine vollständig neue Zero-Trust-Architektur lässt sich in einer bestehenden Organisation selten über Nacht aufbauen.

Ein schrittweises Vorgehen ist realistischer.

Schritt 1: Netzwerk dokumentieren

Welche Netze, VLANs, Systeme und Verbindungen existieren?

Schritt 2: Kritische Systeme identifizieren

Welche Systeme benötigen besonderen Schutz?

Schritt 3: Gäste und IoT trennen

Diese Bereiche lassen sich häufig vergleichsweise einfach isolieren.

Schritt 4: Managementzugänge separieren

Administrative Schnittstellen werden aus normalen Clientnetzen entfernt.

Schritt 5: Backup-Infrastruktur schützen

Backup-Systeme erhalten eine besonders restriktive Zone.

Schritt 6: Interne Kommunikation begrenzen

Nicht benötigte Verbindungen zwischen Segmenten werden entfernt.

Schritt 7: Remote Access härten

MFA, Least Privilege und Monitoring werden konsequent umgesetzt.

Schritt 8: Mikrosegmentierung prüfen

Besonders kritische Anwendungen können granularer voneinander getrennt werden.

Schritt 9: Zero Trust weiterentwickeln

Identität, Gerätestatus und Kontext fließen zunehmend in Zugriffsentscheidungen ein.

So entsteht schrittweise eine wesentlich widerstandsfähigere Architektur.

Netzwerksegmentierung und Zero Trust ergänzen sich

Segmentierung und Zero Trust sind keine konkurrierenden Konzepte.

Sie ergänzen sich.

Netzwerksegmentierung reduziert die technischen Kommunikationsmöglichkeiten.

IAM kontrolliert die Identität.

MFA stärkt die Authentifizierung.

Least Privilege reduziert Berechtigungen.

PAM schützt privilegierte Zugänge.

Endpoint Security bewertet und schützt Geräte.

Monitoring erkennt verdächtiges Verhalten.

Zero Trust verbindet diese Informationen zu einem Sicherheitsmodell, in dem Vertrauen nicht automatisch vergeben wird.

Damit entsteht Sicherheit in mehreren Schichten.

Netzwerksegmentierung gehört zu den wirksamsten Maßnahmen, um die Auswirkungen erfolgreicher Cyberangriffe zu begrenzen.

Das Ziel besteht nicht darin, davon auszugehen, dass niemals ein System kompromittiert wird. Vielmehr sollte eine moderne Sicherheitsarchitektur berücksichtigen, dass genau dies irgendwann passieren könnte.

Ein kompromittierter Arbeitsplatz darf deshalb nicht automatisch zum Ausgangspunkt für den Zugriff auf Server, Backups und Managementsysteme werden.

VLANs, interne Firewalls, Mikrosegmentierung und restriktive Kommunikationsregeln können Lateral Movement erheblich erschweren. Gleichzeitig sorgen sichere VPN- und Remote-Access-Konzepte dafür, dass externe Zugänge nicht zum unkontrollierten Eintrittstor in das interne Netzwerk werden.

Zero Trust führt diesen Ansatz konsequent weiter:

Nicht der Standort eines Benutzers oder Geräts entscheidet darüber, ob ein Zugriff vertrauenswürdig ist. Identität, Gerät, Kontext, Ressource und Risiko müssen gemeinsam betrachtet werden.

Damit verändert sich die zentrale Sicherheitsfrage.

Statt:

„Ist der Benutzer in unserem Netzwerk?“

lautet sie:

„Ist genau dieser Zugriff auf genau diese Ressource unter den aktuellen Bedingungen tatsächlich notwendig und vertrauenswürdig?“

Diese Denkweise bildet eine wichtige Grundlage für moderne, widerstandsfähige Netzwerkarchitekturen und eine nachhaltige Umsetzung der NIS-2-Anforderungen.