Kurzdefinition: Netzsegmentierung teilt ein Netzwerk in getrennte, kontrollierte Zonen, sodass sich ein Angreifer nach einem Einbruch nicht frei ausbreiten kann. Sie begrenzt den Schaden: Ein kompromittiertes Segment steckt nicht automatisch das ganze Unternehmen an.
Was ist Netzsegmentierung?
Die Aufteilung eines Netzwerks in Zonen mit kontrollierten Übergängen. Zwischen den Segmenten wird der Verkehr gefiltert, sodass nicht jedes System jedes andere erreicht.
Warum begrenzt sie den Schaden?
Weil Angreifer nach dem Einbruch typischerweise seitlich weiterwandern (Lateral Movement). Segmentgrenzen stoppen oder verlangsamen diese Ausbreitung — besonders wirksam gegen Ransomware.
Was ist Mikrosegmentierung?
Eine feingranulare Form, die einzelne Systeme oder Anwendungen isoliert. Sie folgt dem Zero-Trust-Gedanken, keinem Verkehr pauschal zu vertrauen.
Welche Systeme sollten getrennt werden?
Besonders kritische und besonders exponierte: etwa Produktionssysteme, Verwaltungsnetze, Gastnetze und Backup-Infrastruktur. Backups gehören strikt vom Produktivnetz getrennt.
Wie hängt sie mit Zugriffskontrolle zusammen?
Sie ergänzen sich. Segmentierung kontrolliert, welche Netze sich erreichen; Zugriffskontrolle, welche Nutzer auf welche Ressourcen zugreifen. Zusammen begrenzen sie die Angriffsfläche.
Häufige Fehlannahmen
- „Ein flaches Netz ist einfacher und genauso sicher.“ Nein. Flache Netze lassen Angreifer frei wandern.
- „Segmentierung ist nur für Großkonzerne.“ Nein. Auch kleinere Netze profitieren.
- „Backups dürfen im Produktivnetz liegen.“ Nein. Gerade sie gehören getrennt.
- „Einmal segmentiert, für immer sicher.“ Nein. Segmente müssen gepflegt werden.
- „Segmentierung ersetzt andere Maßnahmen.“ Nein. Sie ergänzt sie.
Was die Geschäftsleitung tun sollte
- Zonen bilden. Netz nach Kritikalität und Funktion aufteilen.
- Übergänge kontrollieren. Verkehr zwischen Segmenten filtern.
- Backups trennen. Sicherungen vom Produktivnetz isolieren.
- Pflegen. Segmentierung aktuell halten.
Für die Geschäftsleitung
Netzsegmentierung begrenzt den Schaden eines Einbruchs, indem sie Angreifern die freie Ausbreitung nimmt. Wer kritische Systeme und Backups in eigene Zonen legt, verwandelt einen möglichen Totalausfall in einen beherrschbaren Teilvorfall.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
