Netzsegmentierung
Netzsegmentierung bedeutet, ein Computernetzwerk in mehrere abgetrennte Bereiche zu zerlegen, zwischen denen nur ausgewählte Verbindungen erlaubt sind. Dadurch kann sich ein Angreifer oder ein Schadprogramm nicht ungehindert im gesamten Netz ausbreiten.
In einem Unternehmen sind meist hunderte Geräte miteinander verbunden: Laptops, Drucker, Kassensysteme, Maschinen in der Produktion. Diese Verbindung nennt man ein Netzwerk. Ohne weitere Maßnahmen kann darin jedes Gerät jedes andere erreichen. Netzsegmentierung heißt, dieses Netzwerk in mehrere getrennte Bereiche zu zerlegen. Zwischen den Bereichen ist nur noch erlaubt, was ausdrücklich freigegeben wurde. Das Vorbild sind die Schotten in einem Schiff: Läuft eine Kammer voll Wasser, sinkt deshalb nicht gleich das ganze Schiff.
Was ein Angreifer im flachen Netz anrichten kann
Die meisten Angriffe beginnen an einer unspektakulären Stelle. Jemand öffnet einen Mailanhang, ein altes Gerät hat eine bekannte Sicherheitslücke, ein Passwort war zu schwach. Der erste befallene Rechner ist selten das eigentliche Ziel. Interessant wird es für Angreifer erst, wenn sie sich von dort weiterbewegen können. Fachleute nennen das laterale Bewegung, also seitliches Vorrücken im Netz.
Genau hier greift die Segmentierung. Ist der befallene Laptop in einem eigenen Bereich, endet der Angriff oft nach wenigen Metern. Der Angreifer sieht schlicht keine weiteren Ziele. Ohne Segmentierung liegt dagegen alles offen: Buchhaltung, Datensicherungen, Steuerungen von Maschinen. Große Erpressungsangriffe mit Verschlüsselungssoftware richten deshalb oft deswegen so viel Schaden an, weil das Netz flach gebaut war.
Ein zweiter Grund ist rechtlicher Natur. Wer Gesundheitsdaten oder Zahlungsdaten verarbeitet, muss nachweisen, dass diese Daten besonders geschützt sind. Ein abgetrennter Netzbereich ist dafür ein anerkanntes Mittel. Auch die europäische Richtlinie NIS2, die Sicherheitspflichten für wichtige Unternehmen festlegt, erwartet solche Trennungen.
Von VLANs bis zur Mikrosegmentierung
Die klassische Methode heißt VLAN, kurz für virtuelles lokales Netzwerk. Dabei teilen Netzwerkgeräte den Datenverkehr per Software in mehrere logische Netze auf, obwohl physisch dieselben Kabel benutzt werden. Ein Gerät im VLAN für Gäste kann dann nicht direkt mit einem Server im VLAN der Verwaltung sprechen. An den Übergängen steht eine Firewall, also ein Filter, der Datenpakete nach festen Regeln durchlässt oder blockiert.
Wie fein man trennt, ist eine Entscheidung mit Folgen. Typisch sind Bereiche für Büro-Rechner, für Server, für Gäste-WLAN und für Produktionsanlagen. Wer noch weiter geht, gibt jedem einzelnen Server oder sogar jeder Anwendung eigene Regeln. Das nennt man Mikrosegmentierung. Sie ist sehr wirksam, aber aufwendig zu pflegen, weil jede neue Anwendung neue Freigaben braucht.
Ein verbreiteter Irrtum ist, Segmentierung sei ein einmaliges Projekt. In der Praxis ist sie Dauerarbeit. Über die Jahre sammeln sich Ausnahmeregeln an, weil irgendetwas gerade nicht funktioniert hat. Am Ende ist das Netz formal segmentiert, praktisch aber wieder durchlässig. Deshalb prüfen Sicherheitsteams regelmäßig, welche Verbindungen wirklich noch gebraucht werden.
Wo das Prinzip im Alltag auftaucht
Auch zu Hause gibt es eine einfache Form davon. Viele Router bieten ein Gäste-WLAN an. Wer sich dort einwählt, kommt ins Internet, sieht aber nicht die Netzwerkfestplatte oder den Drucker der Familie. Manche Menschen legen zusätzlich ein eigenes Netz für vernetzte Geräte wie Kameras oder Lampen an, weil deren Software oft schlecht gepflegt wird.
In den Nachrichten begegnet der Begriff meist nach Cyberangriffen auf Krankenhäuser, Stadtverwaltungen oder Industriebetriebe. In den Berichten heißt es dann, das Netz sei unzureichend segmentiert gewesen. Besonders heikel ist die Trennung von Büro-IT und Produktionssteuerung, die man als OT bezeichnet. Alte Maschinensteuerungen lassen sich oft nicht aktualisieren und überleben nur, weil sie abgeschottet sind.
Verwandt ist das Konzept Zero Trust, auf Deutsch etwa: niemandem im Netz blind vertrauen. Dort prüft jedes System bei jedem Zugriff erneut, wer da anfragt. Netzsegmentierung ist ein Baustein davon, ersetzt es aber nicht. Für Anlegerinnen und Anleger ist der Begriff relevant, weil Anbieter von Firewalls und Netzwerktechnik genau damit Geld verdienen.