Die meisten Schäden nach einem Einbruch entstehen nicht am Eintrittspunkt, sondern durch das, was danach kommt: die seitliche Bewegung durchs Netz. Ist ein Arbeitsplatzrechner erst übernommen, entscheidet die Netzarchitektur, ob der Angreifer beim einen Gerät bleibt – oder in Stunden die Server, die Backups und die Produktion erreicht. In einem flachen Netz, in dem jedes Gerät mit jedem sprechen darf, wird aus einem infizierten Laptop schnell ein Totalschaden.
Segmentierung ist deshalb die wirksamste Einzelmaßnahme, die die meisten mittelständischen Netze noch vor sich haben. Und sie ist keine Frage von „ganz oder gar nicht”.
Warum flache Netze so teuer werden
Historisch gewachsene Netze sind fast immer flach: Ein VLAN, alle Geräte gleichberechtigt, Freigaben quer über alles. Das ist bequem und funktioniert – bis zum ersten Vorfall. Dann zeigt sich, dass Buchhaltung, Produktionssteuerung, Gäste-WLAN und Server im selben Raum stehen, ohne Tür dazwischen. Genau diese fehlenden Türen nutzen Angreifer und automatisierte Ransomware aus.
Klein anfangen: die ersten drei Schnitte
Segmentierung braucht kein monatelanges Großprojekt. Drei Trennungen bringen bereits den größten Teil der Wirkung:
- Server weg von Arbeitsplätzen. Das wichtigste Segment: Wer am Arbeitsplatz sitzt, braucht Zugriff auf bestimmte Serverdienste – nicht auf die Server-Verwaltung. Diese eine Trennung bremst die typische Ransomware-Ausbreitung erheblich.
- Gäste und Unbekanntes raus. Gäste-WLAN, Besucher, private Geräte, oft auch IoT und Gebäudetechnik: alles, was nicht verwaltet ist, gehört in ein eigenes Segment ohne Weg ins Kernnetz.
- Verwaltungszugänge kapseln. Management-Oberflächen von Firewalls, Switches und Servern gehören in ein getrenntes, streng gefiltertes Netz – nicht erreichbar vom normalen Arbeitsplatz und niemals aus dem Internet.
Segmentierung ist kein Produkt, sondern Pflege
Der Denkfehler ist, Segmentierung für eine einmalige Installation zu halten. Ein Regelwerk, das nicht gepflegt wird, franst binnen Monaten aus: Ausnahmen für ein Projekt bleiben stehen, temporäre Freigaben werden dauerhaft. Wirksam bleibt Segmentierung nur mit einem gepflegten Regelwerk, dokumentierten Änderungen und regelmäßiger Prüfung, ob die Türen noch stehen, wo sie stehen sollen. Das ist der Grund, warum Segmentierung in den laufenden Betrieb gehört, nicht in ein abgeschlossenes Projekt.
Wie wir das umsetzen
Als herstellerzertifiziertes Engineering-Haus (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks) planen und betreiben wir segmentierte Netze im Mittelstand – vom ersten sauberen Schnitt zwischen Server und Arbeitsplatz bis zur mehrstufigen Architektur mit Next-Generation-Firewalls. Wir bauen sie so, dass sie sich pflegen lassen, dokumentieren jede Regel und halten das Regelwerk im laufenden Betrieb aktuell – zu planbaren monatlichen Pauschalen im Rahmen unserer Lösungen für Netzwerk & Connectivity und Cyber-Security. Die beste Zeit für die erste Trennung war vor dem Vorfall. Die zweitbeste ist jetzt.