Ein verschlüsselter Rechner in der Buchhaltung sollte nicht zugleich die Produktion, die Telefonanlage und den zentralen Dateiserver gefährden können. Genau darum geht es, wenn Unternehmen die Netzwerksegmentierung richtig planen im Mittelstand: Nicht jedes Gerät und jeder Nutzer darf automatisch mit allen anderen Systemen kommunizieren.
Viele kleine und mittlere Unternehmen arbeiten historisch gewachsen. Büro-PCs, WLAN, Server, Drucker, Zeiterfassung, Maschinen, Kameras und externe Zugänge befinden sich oft im selben Netzwerk. Das ist im Alltag bequem. Im Sicherheitsfall kann es jedoch dazu führen, dass sich ein Angreifer nach einem erfolgreichen Einstieg schnell weiterbewegt. Eine durchdachte Segmentierung begrenzt diesen Bewegungsraum und erhöht die Betriebsfähigkeit.
Warum flache Netzwerke zum Risiko werden
Ein flaches Netzwerk behandelt viele Geräte so, als gehörten sie zu einer großen Vertrauenszone. Hat ein Endgerät eine Schwachstelle, werden Zugangsdaten abgegriffen oder öffnet ein Mitarbeiter einen schädlichen Anhang, kann ein Angreifer weitere Systeme im Netz suchen und angreifen. Besonders kritisch wird das, wenn Arbeitsplätze direkten Zugriff auf Server, Backups oder Steuerungssysteme haben.
Netzwerksegmentierung setzt an dieser Stelle an. Sie teilt die IT-Infrastruktur in getrennte Bereiche auf und definiert ausdrücklich, welche Verbindungen erlaubt sind. Der entscheidende Gedanke lautet: Kommunikation wird nicht pauschal erlaubt, sondern nur dort freigegeben, wo sie für einen Geschäftsprozess erforderlich ist.
Das ist kein Schutzversprechen gegen jeden Angriff. Segmentierung ersetzt weder sichere Passwörter, Mehrfaktor-Authentifizierung noch Backup und regelmäßige Updates. Sie sorgt aber dafür, dass ein einzelner Vorfall weniger leicht zu einem unternehmensweiten Ausfall wird. Damit ist sie ein zentraler Baustein für Cybersecurity und Daten-Resilienz.
Netzwerksegmentierung im Mittelstand richtig planen
Der häufigste Fehler ist, direkt mit VLAN-Nummern, Firewall-Regeln oder neuen Switches zu beginnen. Technik folgt der Planung, nicht umgekehrt. Zunächst muss klar sein, welche Systeme vorhanden sind, welche Daten sie verarbeiten und welche Abhängigkeiten im Betrieb bestehen.
Mit einer belastbaren Bestandsaufnahme beginnen
Erfassen Sie nicht nur Server und PCs. Auch Drucker, WLAN-Zugangspunkte, VoIP-Telefone, Kameras, Zutrittskontrollen, Maschinen, NAS-Systeme, mobile Geräte und Cloud-Gateways gehören in die Übersicht. Gerade Geräte, die selten aktualisiert werden oder vom Fachbereich betrieben werden, geraten sonst aus dem Blick.
Hilfreich sind drei Fragen: Welche Systeme sind geschäftskritisch? Welche Systeme speichern oder verarbeiten besonders schutzbedürftige Daten? Und welche Verbindungen benötigen sie tatsächlich? Ein Kanzlei-Server mit Mandantendaten hat andere Anforderungen als ein Besucher-WLAN. Eine Produktionsmaschine benötigt möglicherweise eine Verbindung zu einem Wartungsdienst, aber keinen freien Zugang zu Büroarbeitsplätzen.
Dokumentieren Sie auch externe Zugänge. Fernwartung durch Dienstleister, Homeoffice, mobile Mitarbeiter und externe Standorte sind häufige Übergänge zwischen Sicherheitszonen. Sie verdienen bei der Planung besondere Aufmerksamkeit.
Sicherheitszonen nach Aufgaben bilden
Für viele mittelständische Unternehmen reichen zunächst wenige, klar verständliche Zonen. Wichtig ist nicht die Menge der Segmente, sondern die saubere Trennung und die kontrollierte Kommunikation dazwischen.
Typische Bereiche sind:
- Benutzerarbeitsplätze für Büro, Verwaltung und Fachanwendungen
- Server und zentrale Dienste wie Dateiablage, ERP, Domänenverwaltung und Backup
- Produktions-, Gebäude- oder IoT-Systeme wie Maschinen, Kameras und Zeiterfassung
- Drucker und weitere Peripherie
- Gäste- und BYOD-WLAN für private oder fremde Geräte
- Verwaltungszugänge für IT-Verantwortliche und externe Dienstleister
Diese Aufteilung ist nur ein Ausgangspunkt. In einem Handwerksbetrieb kann die Trennung zwischen Büro, Werkstatt und Gastzugang sinnvoll sein. Bei einem Steuerberater stehen Mandantendaten, Fachanwendungen und sichere Zugänge für Beschäftigte im Vordergrund. Kommunen müssen häufig zusätzlich Fachverfahren, öffentliche Dienste und interne Verwaltungsnetze berücksichtigen.
Kommunikationswege bewusst freigeben
Zwischen zwei Segmenten sollte nicht die Frage gestellt werden: „Warum sollte diese Verbindung verboten sein?“ Besser lautet sie: „Welchen konkreten Zweck erfüllt diese Verbindung?“ Daraus entstehen nachvollziehbare Regeln.
Ein Arbeitsplatz darf beispielsweise einen Dateiserver über die benötigten Dienste erreichen. Das bedeutet nicht, dass er auf die Verwaltungsoberfläche des Servers oder auf das Backup-System zugreifen muss. Ein Drucker darf Druckaufträge annehmen, benötigt aber meist keinen Zugang zu allen Servern. Ein Gastgerät darf ins Internet, aber nicht in interne Netze.
Regeln sollten möglichst präzise formuliert sein: Quelle, Ziel, Dienst und Zweck gehören in die Dokumentation. Pauschale Freigaben wie „intern nach intern erlaubt“ sparen kurzfristig Zeit, nehmen der Segmentierung aber ihren Nutzen. Wo alte Anwendungen breite Freigaben erzwingen, sollte das als dokumentiertes Risiko behandelt und mittelfristig verbessert werden.
Die Firewall ist die Kontrollstelle zwischen den Zonen
VLANs trennen Netzbereiche logisch. Die eigentliche Kontrolle entsteht jedoch dort, wo der Datenverkehr zwischen diesen Bereichen geprüft wird. Eine professionell konfigurierte Next-Generation-Firewall kann Verbindungen anhand von Regeln steuern, Protokolle prüfen, verdächtige Kommunikation erkennen und Ereignisse protokollieren.
Fortinet Firewalls eignen sich in diesem Umfeld, weil sie Segmentierung, Zugriffskontrolle und weitere Sicherheitsfunktionen in einer zentralen Sicherheitsarchitektur verbinden können. Entscheidend ist nicht allein das Produkt, sondern die Konzeption: Regeln müssen zum Unternehmen passen, verständlich dokumentiert und regelmäßig geprüft werden.
Besonders sensible Bereiche wie Backup, Administration oder Servermanagement brauchen restriktive Vorgaben. Verwaltung sollte möglichst nur von festgelegten Administrationsgeräten und mit zusätzlicher Authentifizierung möglich sein. Auch Protokollierung ist wichtig: Wer erkennt, dass ein Büro-PC plötzlich zahlreiche Systeme in einem anderen Segment anspricht, kann früh reagieren.
Remote Access nicht als Ausnahme behandeln
Sicherer Fernzugriff gehört in die Segmentierungsplanung, nicht in ein separates Nebenprojekt. Ein Remote-Zugang darf externe Nutzer nicht so behandeln, als säßen sie uneingeschränkt im internen Netz. Stattdessen sollte der Zugriff auf die benötigten Anwendungen, Systeme und Rollen begrenzt werden.
Mit Kyvion Secure Access können Anwendungen und Arbeitsumgebungen kontrolliert bereitgestellt werden, ohne das gesamte interne Netzwerk für externe Endgeräte zu öffnen. Das ist besonders relevant, wenn Mitarbeiter im Homeoffice arbeiten, Dienstleister einzelne Systeme warten oder sensible Daten das Unternehmen nicht unkontrolliert verlassen sollen.
Auch hier gilt: Der Zugriff richtet sich nach Aufgabe und Berechtigung. Buchhaltung, Vertrieb und externe IT-Betreuung benötigen meist unterschiedliche Rechte. Mehrfaktor-Authentifizierung und klare Prozesse für das Anlegen, Ändern und Entfernen von Konten ergänzen die technische Trennung.
Backup-Systeme konsequent abgrenzen
Backups sind die letzte Rückfallebene, wenn Systeme verschlüsselt, gelöscht oder fehlerhaft verändert wurden. Sind Backup-Speicher und Verwaltungszugänge aus dem normalen Benutzersegment frei erreichbar, können sie im gleichen Angriff mitbetroffen sein. Dann existiert zwar ein Backup, es ist aber möglicherweise nicht mehr nutzbar.
Planen Sie deshalb eine eigene Backup-Zone mit sehr begrenzten Zugriffsrechten. Nur die notwendigen Sicherungsdienste dürfen schreiben. Die Administration des Backup-Systems sollte von normalen Benutzerkonten getrennt sein. Unveränderbare Sicherungen, getrennte Zugangsdaten und regelmäßige Wiederherstellungstests erhöhen die Daten-Resilienz zusätzlich.
Die passende Ausgestaltung hängt von Datenmenge, Wiederanlaufzeit und gesetzlichen Anforderungen ab. Für manche Unternehmen ist eine lokale Sicherung mit zusätzlicher ausgelagerter Kopie sinnvoll. Andere benötigen besonders kurze Wiederherstellungszeiten für zentrale Fachanwendungen. Entscheidend ist, dass die Planung nicht bei der Datensicherung endet, sondern die Wiederherstellung praktisch erprobt wird.
Häufige Planungsfehler vermeiden
Eine zu feine Segmentierung kann den Betrieb unnötig kompliziert machen. Wenn jede kleine Anwendung ein eigenes Segment erhält, steigt der Pflegeaufwand und Fehlersuche wird schwieriger. Für viele KMU ist ein überschaubares Modell mit klaren Zonen besser als eine technisch perfekte, aber nicht betreibbare Architektur.
Ebenso problematisch ist die einmalige Umsetzung ohne Pflege. Neue Geräte, neue Dienstleister, geänderte Anwendungen und temporäre Freigaben verändern das Sicherheitsniveau. Prüfen Sie Firewall-Regeln und Berechtigungen daher regelmäßig. Nicht mehr benötigte Ausnahmen sollten entfernt werden.
Unterschätzt wird auch die Abstimmung mit Fachbereichen. Wer erst nach der Umstellung feststellt, dass eine Zeiterfassung, ein Scanner oder eine Branchenanwendung eine bestimmte Verbindung benötigt, erzeugt vermeidbare Unterbrechungen. Ein Pilotbereich, Tests mit den zuständigen Mitarbeitern und ein definierter Rückfallplan reduzieren dieses Risiko deutlich.
Ein umsetzbarer Weg für kleinere IT-Teams
Für Unternehmen ohne große interne IT-Abteilung ist ein stufenweises Vorgehen sinnvoll. Beginnen Sie mit einer Sicherheitsaufnahme und identifizieren Sie die größten Risiken: ungetrenntes Gäste-WLAN, frei erreichbare Backups, alte Fernwartungszugänge oder Produktionsgeräte im Büronetz. Danach wird eine Zielstruktur mit wenigen Sicherheitszonen entwickelt.
Setzen Sie die wichtigsten Trennungen zuerst um und testen Sie sie im Betrieb. Dokumentieren Sie Regeln und Zuständigkeiten. Anschließend können weitere Systeme nachgezogen werden. Eine externe Sicherheitsberatung oder ein Cybersecurity Assessment hilft, blinde Flecken zu erkennen und technische Entscheidungen an Geschäftsprozesse, Datenschutz und vorhandene Infrastruktur anzupassen.
Eine gute Netzwerksegmentierung fällt im Idealfall kaum auf. Mitarbeiter können arbeiten, Anwendungen bleiben erreichbar und externe Partner erhalten genau den Zugang, den sie brauchen. Der Unterschied zeigt sich dann, wenn ein Gerät kompromittiert wird: Der Vorfall bleibt begrenzt, kritische Daten und Wiederherstellungswege bleiben besser geschützt und das Unternehmen behält die Handlungsfähigkeit.
