Flaches Netzwerk: Warum fehlende Segmentierung zum Geschäftsrisiko wird
Ein Angriff kennt keine Abteilungsgrenzen. Wer sich Zugriff auf einen einzigen Rechner in der Buchhaltung verschafft, kommt im schlimmsten Fall auch an die Produktionssteuerung oder den Server der Geschäftsführung heran. In vielen Unternehmen ist das genau so, weil das Netzwerk „flach“ aufgebaut ist.
 |
| Ohne Segmentierung bewegt sich ein Angreifer fast ungehindert durch das gesamte Netzwerk. |
Was ein flaches Netzwerk eigentlich ist
Von einem flachen Netzwerk spricht man, wenn Endgeräte, Server und Anwendungen nahezu ohne Einschränkungen miteinander kommunizieren dürfen. Dabei braucht ein Arbeitsplatzrechner aus dem Vertrieb in aller Regel keinen Zugang zum Produktionsserver. Entstanden ist so ein Netz meist ganz harmlos: Es wurde über Jahre erweitert, und niemand hat die Struktur je grundlegend überdacht. Im Alltag läuft alles reibungslos. Im Ernstfall stellt sich dem Angreifer allerdings nichts in den Weg.
Warum daraus ein Geschäftsrisiko wird
Genau das nutzen Angreifer aus. Ist ein einzelner Rechner erst einmal kompromittiert, etwa durch eine Phishing-Mail oder eine ungepatchte Schwachstelle, wandert die Schadsoftware in einem flachen Netzwerk von System zu System. Fachleute nennen das „Lateral Movement“, und es spielt bei fast jedem größeren Ransomware-Angriff eine Rolle. Aus einem einzigen infizierten Notebook wird so innerhalb weniger Stunden ein Stillstand im ganzen Unternehmen.
Warum der Schutz der einzelnen Geräte die erste Verteidigungslinie ist, haben wir in unserem Beitrag Sicheres Notebook = sicheres Unternehmen: Warum Endgeräteschutz kein Nice-to-have ist beschrieben. Die Segmentierung greift dann, wenn dieser erste Schutz einmal versagt.
Was Netzwerksegmentierung leistet
Bei der Segmentierung wird das Netzwerk in mehrere getrennte Bereiche aufgeteilt, zum Beispiel in Büronetz, Servernetz, Produktionsnetz und Gastnetz. Firewalls, VLANs oder Routing-Regeln sorgen dafür, dass zwischen diesen Segmenten nur die Verbindungen erlaubt sind, die wirklich gebraucht werden. Kommt ein Angreifer in ein Segment, bleibt der Schaden im besten Fall auf dieses eine beschränkt.
Das passt zum Zero-Trust-Prinzip: Kein Gerät und kein Benutzer gilt automatisch als vertrauenswürdig, jede Verbindung wird geprüft.
Was ISO 27001 und andere Standards dazu sagen
Auch in den gängigen Sicherheitsstandards ist Segmentierung keine Kür. ISO 27001, NIST und der BSI-Grundschutz empfehlen sie ausdrücklich. Damit sie im Ernstfall wirkt, muss sie allerdings überwacht werden. Nur wer ungewöhnliche Verbindungsversuche zwischen den Segmenten erkennt, kann einen Angriff früh stoppen. Wie ein zentrales Security Monitoring Ereignisse aus verschiedenen Netzwerkbereichen zusammenführt, erklären wir in unserem Artikel SIEM-Tools & ISO 27001 - wie Security Monitoring Ihr ISMS stärkt.
Typische Fehler bei der Umsetzung
- Die Segmente sind zu groß geschnitten, sodass innerhalb eines Segments weiterhin fast alles mit allem kommunizieren kann.
- Die Segmentierung wird einmal eingerichtet und danach nie an neue Systeme, Abteilungen oder Standorte angepasst.
- Sensible Bereiche wie die Produktionssteuerung (OT) laufen im selben Segment wie die normale Büro-IT.
- Es fehlt eine Überwachung, die ungewöhnliche Verbindungen zwischen den Segmenten überhaupt bemerken würde.
Fazit
Ein flaches Netzwerk ist im Tagesgeschäft bequem. Im Angriffsfall wird genau diese Bequemlichkeit zum größten Risiko. Segmentierung ersetzt weder Virenschutz noch ein funktionierendes Backup, sie ergänzt beides aber um eine innere Barriere, die einen Angriff ausbremst. Wer noch mit einem flachen Netz arbeitet, sollte Segmentierung deshalb nicht als reines IT-Projekt sehen, sondern als Maßnahme, die das Geschäftsrisiko spürbar senkt.
Sie möchten wissen, wie gut Ihr Netzwerk heute gegen die Ausbreitung eines Angriffs geschützt ist? Sprechen Sie uns an.
