Segmentierung: Netzbereiche wirksam trennen

Segmentierung bedeutet, ein Netz in voneinander getrennte Bereiche aufzuteilen, zwischen denen der Verkehr ausdrücklich erlaubt werden muss. Sie ist die wirksamste einzelne Massnahme gegen die Ausbreitung eines Angriffs – und in praktisch jedem Regelwerk zur Informationssicherheit gefordert.

\n

Das Ziel

\n

Ohne Segmentierung kann ein erfolgreicher Angriff auf ein beliebiges System im Netz oft auf alle anderen zugreifen: Ein kompromittierter Arbeitsplatz erreicht den Datenbankserver, den Sicherungsserver und die Verwaltungsschnittstellen. Segmentierung unterbricht genau diese Wege. Der Angreifer merkt, dass er „nur“ einen kleinen Bereich erwischt hat – und das ist der eigentliche Zweck: Schadensbegrenzung, nicht Angriffsverhinderung.

\n

Trennungsebenen

\n
    \n
  • Physisch: getrennte Schalter und Verkabelung. Teuer und unflexibel, aber für besonders kritische Bereiche weiterhin üblich.
    • \n
  • VLAN: logische Trennung auf derselben Hardware. Der Standardfall im Büro – getrennte Bereiche für Arbeitsplätze, Server, Gäste, Telefonie und Verwaltungszugänge.
    • \n
  • Router und Firewall: der Verkehr zwischen Segmenten wird an einem Kontrollpunkt gefiltert. Hier entsteht die eigentliche Wirkung; VLANs allein isolieren nichts.
    • \n
  • Host-Firewall: die letzte Ebene direkt auf jedem System. Sie bleibt wirksam, auch wenn die Netzgrenze versagt.
    • \n
  • Mikrosegmentierung: Regeln je Arbeitslast statt je Netzbereich, meist über Software definiert. Damit lässt sich auch innerhalb eines Segments der Verkehr beschränken – der Ausgangspunkt von Modellen wie Zero Trust.
    • \n
\n

Praktische Muster

\n
# Typische Segmente in einem kleinen Betrieb\nVLAN 10    Arbeitsplaetze            -> Internet, Server nur Ports 443/80\nVLAN 20    Server                     -> Internet nur fuer Updates\nVLAN 30    Verwaltung (BMC, Switches) -> nur aus einem Sprunghost erreichbar\nVLAN 40    Gaeste                     -> nur Internet, keine internen Ziele\nVLAN 50    Telefonie                  -> nur Anlagen und Internet\nVLAN 60    Sicherungen               -> nur von Backup-Server erreichbar\n\n# Regel 1: Alles verbieten, dann oeffnen\ndefault deny ANY -> ANY\nallow VLAN10 -> Server  tcp/443, tcp/80\nallow VLAN10 -> Server  tcp/22   nur von Admin-Arbeitsplaetzen\nallow Server -> Internet  tcp/443, tcp/80   (NTP, DNS, apt/dnf)\nallow Backup -> Server    tcp/22, tcp/443\ndeny  ANY    -> VLAN30    (Verwaltung bleibt zu)\ndeny  VLAN40 -> 10.0.0.0/8   (Gaeste erreichen nichts Internes)
\n

Der wichtigste Grundsatz ist Default Deny: Ausgangspunkt ist „alles verboten“, und jede Ausnahme wird einzeln begründet. Eine Regelmenge, die mit „alles erlaubt“ beginnt und dann Ausnahmen abzieht, ist in der Praxis fast nie vollständig.

\n

Auch ausgehender Verkehr gehört dazu

\n

Segmentierung wird häufig nur für eingehenden Verkehr gedacht. Der ausgehende Verkehr ist mindestens so wichtig: Schadsoftware ruft häufig nach außen zu Steuerungsservern, und eine übernommene Anwendung kann Daten nach außen übertragen. Deshalb sollten Server nur zu bekannten Zielen ausgehen dürfen – Paketquellen, Zeitserver, Namensauflösung, der eigenen Zentrale. Alles andere wird verworfen und protokolliert.

\n

Häufige Fehler

\n
    \n
  • VLAN ohne Filterregeln. Ohne Regeln zwischen den Segmenten ist ein VLAN nur eine organisatorische Einteilung ohne Sicherheitswirkung.
    • \n
  • „Temporäre“ Regeln, die bleiben. Eine Öffnung für ein Projekt wird nie zurückgenommen. Jede Regel braucht ein Verfallsdatum oder eine dokumentierte Begründung.
    • \n
  • Verwaltungszugänge im normalen Netz. Firewall, VLAN, Zero Trust, Firewall-Grundlagen.