Wenn ein Angreifer in Ihr Netzwerk eindringt, entscheidet die Netzwerkstruktur darüber, wie viel Schaden er anrichten kann. Ein flaches Netz ohne Segmentierung ist eine offene Einladung. Dieser Artikel erklärt, wie Sie das ändern.
Stellen Sie sich vor, Ihr Bürogebäude hat keine inneren Türen. Wer einmal durch den Haupteingang kommt, hat Zugang zu jedem Raum – Serverraum, Archiv, Geschäftsführungsbüro. Das klingt absurd. Aber genau so funktionieren viele KMU-Netzwerke.
Ein flaches Netzwerk – alle Geräte im selben Netzwerksegment – ist einfach einzurichten und zu verwalten. Aber es ist auch das grösste Sicherheitsrisiko in der IT-Infrastruktur von KMU. Wenn ein Angreifer ein Gerät kompromittiert, hat er Zugang zu allem.
Was Netzwerksegmentierung bedeutet
Netzwerksegmentierung teilt das Netzwerk in logische Zonen auf, die nur begrenzt miteinander kommunizieren können. Typische Segmente in einem KMU-Netzwerk:
- 1
Server-Segment: Fileserver, Datenbankserver, Applikationsserver. Nur autorisierte Clients dürfen zugreifen.
- 2
Client-Segment: Arbeitsplätze der Mitarbeitenden. Kein direkter Zugriff auf Server-Infrastruktur.
- 3
Management-Segment: Netzwerkgeräte, Switches, Router. Nur für IT-Administratoren zugänglich.
- 4
Gäste-WLAN: Besuchernetzwerk ohne Zugang zum internen Netz.
- 5
IoT-Segment: Drucker, Kameras, smarte Geräte. Isoliert vom Rest des Netzwerks.
- 6
VoIP-Segment: Telefonie-Infrastruktur mit QoS-Priorisierung.
Technisch wird Netzwerksegmentierung meist mit VLANs (Virtual Local Area Networks) umgesetzt. Eine Next-Generation Firewall kontrolliert den Datenverkehr zwischen den Segmenten und erzwingt die Zugriffspolitik.
Warum Segmentierung Angreifer stoppt
Ransomware und andere Malware verbreiten sich lateral – von System zu System, von Segment zu Segment. Netzwerksegmentierung unterbricht diese Ausbreitung.
Ein konkretes Beispiel: Ein Mitarbeitender öffnet eine Phishing-E-Mail und infiziert seinen Arbeitsplatz-PC. In einem flachen Netzwerk hat die Malware sofort Zugang zu allen Servern, allen anderen Clients und der gesamten Infrastruktur. In einem segmentierten Netzwerk ist der infizierte PC im Client-Segment isoliert. Die Firewall blockiert den Versuch, auf Server zuzugreifen. Der Schaden bleibt auf einen Arbeitsplatz begrenzt.
Segmentierung und Compliance
Netzwerksegmentierung ist Sicherheitsmassnahme und Compliance-Anforderung zugleich. Das Schweizer Datenschutzgesetz (DSG) verlangt angemessene technische Massnahmen zum Schutz personenbezogener Daten. In vielen Branchen – Gesundheitswesen, Finanzdienstleistungen, öffentliche Verwaltung – ist Segmentierung explizit gefordert.
Praxistipp: Beginnen Sie mit dem Gäste-WLAN. Es ist die einfachste und wirkungsvollste erste Massnahme: Besucher kommen ins Internet, aber nicht ins interne Netzwerk. Danach folgt die Isolierung von IoT-Geräten und schliesslich die Trennung von Server- und Client-Segment.
Flat vs. segmentiert: Architektur im Vergleich
Die folgende Gegenüberstellung zeigt, wie ein typisches KMU-Netz vor und nach der Segmentierung aussieht. Die Darstellung ist vereinfacht – in der Praxis gibt es weitere Zonen (DMZ, Backup-Isolation, Jump-Host für IT-Admin).
- 1
Flaches Netz: 1 VLAN / 1 Subnetz für alles. Jedes Gerät kann jedes andere erreichen. Ein kompromittierter Drucker könnte theoretisch den Fileserver erreichen.
- 2
Segmentiert: 5+ VLANs (Server, Client, Management, Gäste, IoT, VoIP). Zugriffe zwischen VLANs nur über Firewall-Regeln. Kompromittierter Drucker erreicht nichts.
- 3
Mikro-Segmentierung (Zero-Trust-Erweiterung): Pro Anwendung eigener Policy-Satz, Identität statt IP als Zugriffsmerkmal. Ideal für Cloud-Workloads, KMU-tauglich mit Microsoft Entra Conditional Access.
VLAN/Subnet-Sizing für KMU – Daumenregel
Für ein typisches KMU mit 20–80 Arbeitsplätzen funktioniert diese Aufteilung als Ausgangspunkt:
- 1
VLAN 10 – Server: /24 (bis 254 Hosts), keine DHCP-Clients, statische IPs.
- 2
VLAN 20 – Clients: /23 (510 Hosts), DHCP-Scope mit Reservierungen für Drucker.
- 3
VLAN 30 – Management: /27 (30 Hosts), nur IT-Admin-Workstations, MFA-pflichtig.
- 4
VLAN 40 – Gäste: /24 mit Client-Isolation, Bandbreiten-Limit, kein Routing ins interne Netz.
- 5
VLAN 50 – IoT/Drucker: /24, isolated, nur Druck-Server darf von aussen rein.
- 6
VLAN 60 – VoIP: /24, QoS-Priorisierung, getrennter DHCP-Bereich für IP-Telefone.
KPX-Services für Netzwerksicherheit
Wir planen und implementieren Netzwerksegmentierung für KMU in der Schweiz – von der Konzeption bis zum laufenden Betrieb:
Managed Firewall
Next-Generation Firewall mit VLAN-Unterstützung, Intrusion Prevention und laufendem Monitoring. Grundlage jeder Netzwerksegmentierung.
Managed Security (SOC)
24/7 Überwachung des Netzwerkverkehrs zwischen Segmenten. Anomalien werden erkannt und gemeldet, bevor Schaden entsteht.
Wissen Sie, wie Ihr Netzwerk heute segmentiert ist? Wir analysieren Ihre Netzwerkstruktur und zeigen Ihnen, wo Handlungsbedarf besteht.
Jetzt Ihre individuelle ErstanalyseThemen