Netzwerksegmentierung
Netzwerksegmentierung bedeutet, ein Computernetz in mehrere abgetrennte Bereiche zu zerlegen, zwischen denen nur ausdrücklich erlaubter Datenverkehr fließt. Dadurch bleibt ein Angreifer, der in einen Bereich eingedrungen ist, dort gefangen und erreicht nicht gleich alle anderen Geräte.
In einer Firma sind alle Computer, Drucker und Server über ein Netzwerk miteinander verbunden. Sie können sich also gegenseitig Daten schicken. Netzwerksegmentierung heißt, dieses eine große Netz in mehrere kleinere Bereiche zu zerteilen. Jeder Bereich ist eine eigene Zone, und zwischen den Zonen gilt eine feste Regel: Erlaubt ist nur, was ausdrücklich erlaubt wurde. Der Kassencomputer im Laden darf dann zum Beispiel mit dem Zahlungsserver sprechen, aber nicht mit der Überwachungskamera im Lager. Man kann sich das wie ein Schiff mit Schotten vorstellen: Ein Leck flutet nur eine Kammer, nicht den ganzen Rumpf.
Warum ein Einbruch nicht gleich das ganze Haus kostet
Kaum ein Angriff beginnt dort, wo die wertvollen Daten liegen. Meistens klickt ein Mitarbeiter eine gefälschte E-Mail an, und der Angreifer sitzt zunächst auf einem unwichtigen Bürorechner. Von dort arbeitet er sich weiter vor, Gerät für Gerät. Fachleute nennen diese Bewegung durch das Netz Lateral Movement, also seitliche Ausbreitung. Genau diese Ausbreitung soll Segmentierung stoppen.
In einem flachen Netz ohne Trennwände gelingt das Vorankommen oft in Stunden. Ist das Netz sauber segmentiert, stößt der Angreifer nach wenigen Schritten gegen eine Wand. Er muss dann eine weitere Hürde überwinden, und dabei erzeugt er Spuren. Verteidiger gewinnen Zeit, um den Vorfall zu bemerken und den betroffenen Bereich abzuschalten. Aus einem Totalschaden wird so im besten Fall ein begrenzter Zwischenfall.
Dazu kommt ein praktischer Grund: Vorschriften verlangen es. Wer Kreditkartendaten verarbeitet, muss diesen Teil des Netzes nachweislich vom Rest trennen. Auch Krankenhäuser und Energieversorger sind dazu verpflichtet, ihre Steuerungstechnik von der normalen Bürowelt abzukoppeln. Segmentierung ist daher nicht nur Technik, sondern oft schlicht Pflicht.
Von VLANs bis zur Mikrosegmentierung
Die klassische Methode arbeitet mit sogenannten VLANs. Das sind virtuelle Netze, die auf derselben Verkabelung laufen, sich aber wie getrennte Netze verhalten. Jedes Gerät bekommt ein Etikett, und Geräte mit unterschiedlichen Etiketten sehen sich nicht direkt. Will Datenverkehr von einer Zone in die andere, muss er durch eine Firewall. Diese prüft anhand von Regeln, ob die Verbindung erlaubt ist, und verwirft sie sonst.
Eine feinere Variante heißt Mikrosegmentierung. Hier zieht man die Grenze nicht mehr um ganze Abteilungen, sondern um einzelne Server oder einzelne Programme. Die Regeln hängen dann nicht am Kabel oder an der Adresse, sondern an der Identität des Systems. Ein Webserver darf mit genau einer Datenbank sprechen, mit sonst nichts. Das ist der Kern der Idee Zero Trust, bei der auch Geräte im eigenen Haus grundsätzlich als nicht vertrauenswürdig gelten.
Der Aufwand steckt weniger in der Technik als in den Regeln. Man muss wissen, welches System mit welchem anderen wirklich reden muss. Wer zu streng abriegelt, legt versehentlich den Rechnungsdruck oder die Telefonanlage lahm. Deshalb beginnen viele Projekte mit einer reinen Beobachtungsphase: Man protokolliert monatelang den Verkehr und schaltet die Sperren erst danach scharf.
Gastnetz, Fabrikhalle, Cloud-Rechenzentrum
Die einfachste Form kennst du vielleicht von zu Hause. Viele Router bieten ein Gäste-WLAN an. Wer sich dort einwählt, kommt ins Internet, erreicht aber nicht den Familien-PC oder die Netzwerkfestplatte. Das ist Netzwerksegmentierung im Kleinformat. Sinnvoll ist das auch für smarte Steckdosen und Kameras, die oft jahrelang keine Sicherheitsupdates mehr bekommen.
In der Industrie trennt man die Maschinensteuerung strikt vom Büronetz. Als 2021 eine Pipeline in den USA durch Erpressungssoftware lahmgelegt wurde, war vor allem die Abrechnung betroffen. Der Betreiber stoppte die Förderung trotzdem, weil er der Trennung zu den Steuerungssystemen nicht sicher genug traute. Solche Fälle tauchen regelmäßig in Wirtschaftsnachrichten auf und erklären, warum Versicherer heute nach Segmentierung fragen.
Auch bei Cloud-Anbietern ist das Prinzip Alltag. Dort laufen die Systeme vieler Kunden auf derselben Hardware und werden durch virtuelle Netzgrenzen auseinandergehalten. Ein verbreiteter Irrtum ist, Segmentierung ersetze Virenschutz oder Passwörter. Sie tut das nicht. Sie begrenzt nur den Schaden, wenn diese anderen Schutzmaßnahmen versagt haben.