Wie baut man ein Netz, das Angriffe begrenzt?
Hochsichere IT-Netzwerke.
Wie Netze entstehen, die Angriffe begrenzen, Ausfälle verkraften und nachweisbar geschützt sind.
In 60 Sekunden
- Zonen statt Flachnetz: Jede Zone bekommt nur die nötigen Verbindungen.
- Zero Trust, ein getrenntes Management-Netz und Redundanz sind die Kernbausteine.
- Standards wie BSI IT-Grundschutz und ISO 27001 machen Sicherheit prüfbar.
Was hochsicher bedeutet.#
Es gibt kein Gütesiegel. Es ist ein Anspruch, der aus dem Schutzbedarf folgt.
Segmentierung statt Flachnetz
Wenn alles in einem Netz hängt, kommt ein Angreifer überall hin. Zonen halten ihn auf.
Zero Trust
Kein Gerät und kein Nutzer ist automatisch vertrauenswürdig. Jeder Zugriff wird geprüft.
Redundanz
2 Wege, doppelte Geräte, getestete Umschaltung: Ein Ausfall bleibt eine Störung.
Nachweisbar
Orientierung an Standards wie BSI IT-Grundschutz und ISO 27001 macht Sicherheit prüfbar.
8 Prinzipien.#
Klick auf ein Prinzip, um mehr zu lesen.
Defense in Depth
Mehrere unabhängige Schutzschichten statt einer starken Mauer. Fällt eine, hält die nächste.
Least Privilege
Jedes Gerät und jeder Nutzer bekommt nur die Verbindungen und Rechte, die er braucht, nicht mehr.
Segmentierung und Mikrosegmentierung
Das Netz wird in Zonen geteilt, zwischen denen eine Firewall Regeln durchsetzt. Mikrosegmentierung geht bis auf einzelne Server oder Anwendungen.
Härtung
Unnötige Dienste und Funktionen abschalten, sichere Voreinstellungen, aktuelle Firmware und regelmäßige Prüfung gegen Vorgaben.
Verschlüsselung
Daten auf dem Weg schützen, etwa mit TLS, IPsec oder MACsec, und gespeicherte Daten verschlüsseln.
Getrenntes Management
Administration läuft über ein eigenes Netz mit starker Anmeldung, nicht über das normale Büronetz.
Redundanz
Kritische Komponenten und Leitungen doppelt auslegen und den Ausfall regelmäßig testen.
Sichtbarkeit
Protokolle und Netzwerkdaten laufen zusammen, damit Auffälligkeiten schnell erkannt werden. Mehr dazu bei Monitoring.
Zero Trust zum Ausprobieren.#
Nicht der Ort entscheidet, sondern Identität, Gerät und Bedarf. Bei jedem Zugriff aufs Neue.
Vereinfachtes Beispiel einer Richtlinie. Echte Regeln legt jedes Unternehmen selbst fest.
Wichtige Bausteine.#
| Baustein | Aufgabe | Hinweis |
|---|---|---|
| Firewall der nächsten Generation | Verkehr zwischen Zonen prüfen und filtern | Regeln nach Zweck, nicht nach Bequemlichkeit |
| VLAN / VRF | Logische Trennung von Netzen auf gemeinsamer Hardware | Grundlage jeder Segmentierung |
| NAC und 802.1X | Geräte und Nutzer authentifizieren, bevor sie ins Netz dürfen | Verhindert unbekannte Geräte an der Dose |
| VPN und ZTNA | Sicherer Zugriff von außen | ZTNA gibt Zugriff pro Anwendung statt aufs ganze Netz |
| IDS/IPS und NDR | Angriffe im Netzwerkverkehr erkennen | Auch für Geräte ohne Agenten nützlich |
| Verschlüsselung (TLS, IPsec, MACsec) | Daten auf dem Übertragungsweg schützen | MACsec verschlüsselt auf Ebene der Verbindung zwischen Geräten |
| Management-Netz | Administration getrennt vom Produktivnetz | Zugang nur mit MFA und aus festgelegten Systemen |
| Redundante Pfade und HA-Paare | Ausfälle ohne Unterbrechung auffangen | Umschaltung regelmäßig testen |
VLANs: Wer erreicht wen?#
Wähle ein gehacktes Gerät und sieh, wie weit ein Angreifer kommt.
Beispiel: VLAN 10 für Arbeit (Laptop, Drucker, NAS), VLAN 20 für IoT (Kamera, Smart-TV), VLAN 30 für Gäste. Die Firewall erlaubt nur Verbindungen von Arbeit zu IoT, nicht umgekehrt. Gäste kommen nur ins Internet.
Firewalls im Vergleich.#
Vier Arten, vier Aufgaben. In der Praxis arbeiten sie zusammen.
| Art | Was wird geprüft | Schützt gut vor | Grenzen | Typischer Einsatz |
|---|---|---|---|---|
| Paketfilter | Absender, Ziel, Port und Protokoll jedes einzelnen Pakets | Offensichtlich unerwünschten Verbindungen | Kennt keinen Zusammenhang zwischen Paketen, sieht keine Inhalte | Einfache Regeln auf Routern und Switches |
| Stateful Inspection | Zusätzlich den Zustand jeder Verbindung | Antworten, die nie angefragt wurden | Sieht nicht, welche Anwendung oder welcher Inhalt läuft | Standard in jeder Heim- und Firmen-Firewall |
| Next Generation Firewall | Anwendungen, Nutzer, Inhalte, oft mit Angriffserkennung (IPS) | Schadsoftware, verbotenen Anwendungen, bekannten Angriffen | Verschlüsselter Verkehr nur mit Entschlüsselung sichtbar, braucht Pflege | Übergang Internet und Zonen im Unternehmen |
| Web Application Firewall | Anfragen an eine Webanwendung (HTTP) | SQL-Injection, Cross-Site-Scripting, Bot-Angriffen | Schützt nur die Webanwendung, nicht das Netz | Vor Webshops, Portalen und APIs |
Sicherheit ist Betrieb.#
Ein gutes Design hält nur, wenn es gepflegt wird.
Konfiguration verwalten
Änderungen nachvollziehbar, genehmigt und gesichert.
Regeln aufräumen
Firewall-Regeln regelmäßig prüfen und Altlasten entfernen.
Patchen
Firmware und Betriebssysteme zeitnah aktualisieren.
Testen
Penetrationstests und Umschalt-Tests zeigen, was wirklich hält.
Dokumentieren
Aktuelle Netzpläne und Zonenübersicht sind im Ernstfall Gold wert.
Check: Netzwerk.#
6 Fragen an dein Netz.
Grobe Orientierung, kein Audit und keine Rechtsberatung. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Wann lohnt Mikrosegmentierung?
Bei kritischen Anwendungen und Rechenzentren, wo seitliche Bewegung im Netz besonders gefährlich ist. Für kleinere Umgebungen reicht oft eine saubere Zonentrennung.
Ist ein VPN ausreichend?
Ein klassisches VPN gibt Zugang zum Netz. Zero-Trust-Zugriff prüft zusätzlich pro Anwendung und Gerät. Beides lässt sich kombinieren.
Wie sicher ist WLAN?
Mit WPA3 und Anmeldung per Zertifikat oder Benutzerkonto (802.1X) gut. Gemeinsame Passwörter für alle sind die schwächere Lösung.
Woran orientiere ich mich?
Am BSI IT-Grundschutz oder an ISO 27001. Beide geben einen Rahmen vor, der sich auf den eigenen Schutzbedarf zuschneiden lässt.
Netzwerkdesign besprechen?
Schreib mir, wo es bei dir hakt, dann ergänzen wir die Inhalte.