Netzwerk trennen: Warum ein flaches Firmennetz sich selbst gefährdet
In vielen kleinen und mittleren Betrieben hängt alles im selben Netz: Arbeitsplätze, Drucker, Gäste, manchmal sogar die Produktionssteuerung. Warum das ein Risiko ist, das sich mit überschaubarem Aufwand beheben lässt.
Bildnachweis
Foto: Brett Sayles via Pexels
„Wir haben eine Firewall, das reicht doch.“ Diesen Satz hören wir oft, und er stimmt nur zur Hälfte. Eine Firewall schützt die Grenze nach außen. Was innerhalb dieser Grenze passiert, wenn ein einzelnes Gerät kompromittiert wird, entscheidet oft die Netzwerkstruktur selbst.
Was ein „flaches“ Netzwerk eigentlich bedeutet
Ein flaches Netzwerk liegt vor, wenn alle Geräte (Arbeitsplätze, Server, Drucker, IoT-Geräte, Gäste-Laptops) im selben logischen Netz kommunizieren können. In der Praxis ist das der Normalfall bei gewachsenen Infrastrukturen: Ein Switch wurde angeschafft, alles wurde eingesteckt, es hat funktioniert. Bewusst entschieden hat das niemand, es ist einfach so entstanden.
Das eigentliche Risiko: laterale Bewegung
Der kritische Punkt ist selten der erste kompromittierte Rechner. Entscheidend ist, was danach passiert: In einem flachen Netz kann sich Schadsoftware von einem infizierten Laptop aus ungehindert zum Server, zum Backup-System oder zu anderen Arbeitsplätzen bewegen. „Laterale Bewegung“ nennt man das. Genau dieses Muster sehen wir bei Ransomware-Vorfällen immer wieder: Der Ausgangspunkt ist selten das eigentliche Ziel.
VLANs: Trennung ohne neue Hardware
Virtuelle LANs (VLANs) trennen ein physisches Netzwerk in mehrere logische Segmente, auf derselben Verkabelung, mit derselben Switch-Hardware. Arbeitsplätze, Server, Drucker und Gäste bekommen jeweils ihr eigenes Segment. Die Firewall dazwischen entscheidet gezielt, welches Segment mit welchem sprechen darf und welches nicht. Ein kompromittierter Arbeitsplatz erreicht damit im Zweifel nur sein eigenes Segment, nicht den Server nebenan.
Gast-WLAN gehört nicht ins gleiche Netz wie der Server
Ein Klassiker: Das Gäste-WLAN läuft über denselben Access Point und dasselbe Netz wie die interne IT. Wer das Passwort kennt (und das kennen bei den meisten Betrieben mehr Leute, als ihnen bewusst ist), landet faktisch im internen Netz. Ein sauber isoliertes Gast-WLAN mit eigenem VLAN behebt das, ohne dass Gäste etwas davon merken.
Mit RADIUS wird aus einem Passwort eine Identität
Ein weiterer Schwachpunkt klassischer WLAN-Setups: ein einziges, geteiltes Passwort für alle. Wenn ein Mitarbeiter das Unternehmen verlässt, müsste theoretisch jedes Gerät neu konfiguriert werden, in der Praxis passiert das selten. Mit 802.1X und einem RADIUS-Server bekommt stattdessen jedes Gerät bzw. jeder Nutzer eine eigene, überprüfbare Identität, die sich einzeln sperren lässt, ohne den Rest des Netzes anzufassen.
Der erste Schritt ist unspektakulär: eine Bestandsaufnahme, welche Geräte heute im selben Netz hängen und welche davon überhaupt miteinander sprechen müssen. Alles Weitere ergibt sich aus dieser Liste.
Wir schauen uns Ihre Segmentierung an.
Wir schauen uns Ihr Netzwerk an und sagen Ihnen, wo Segmentierung den größten Unterschied macht.
Mehr zu unserem Vorgehen unter Netzwerk & Infrastruktur.
