Netzwerksegmentierung

Der Ausgangszustand ist das flache Netz: Alle Geräte hängen im selben Netz und können einander erreichen. Der Rechner am Empfang erreicht dann den Buchhaltungsserver, den Netzwerkspeicher, die Kasse, die Maschinensteuerung und die Kameras. Übernimmt ein Angreifer einen einzigen Arbeitsplatz, steht ihm dieses gesamte Netz offen. Genau diesen Weg nutzt Ransomware, also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert, um sich von einem infizierten Rechner auf die Server auszubreiten.

Die erste Trennlinie ist das Gäste-WLAN. Besucher, Handwerker und private Mobiltelefone gehören in ein eigenes Netz, das ausschließlich ins Internet führt. Viele Router bieten diese Funktion als Gastzugang bereits an, sie muss nur eingeschaltet werden. Die zweite Trennlinie verläuft zwischen Büro und Produktion, weil Maschinensteuerungen oft an ein Betriebssystem gebunden sind, für das es keine Updates mehr gibt. Die dritte Trennlinie umgibt Geräte wie Drucker, Kameras und Gebäudetechnik, die selten gewartet werden.

Technisch werden solche Bereiche als VLAN eingerichtet, also als logisch getrennte Netze auf derselben Verkabelung, und die Firewall entscheidet, welche Verbindungen zwischen ihnen erlaubt sind. Der Aufwand bleibt überschaubar, wenn verwaltbare Switches vorhanden sind, also Netzwerkverteiler, deren Anschlüsse einzeln konfiguriert werden können. Die Regel zwischen den Bereichen ist einfach zu merken: Erlaubt wird, was für die Arbeit gebraucht wird, alles Übrige bleibt geschlossen.

Ein einfacher Test zeigt den Zustand Ihres Netzes. Verbinden Sie ein Mobiltelefon mit dem Gäste-WLAN und sehen Sie nach, ob Sie darüber den Netzwerkdrucker oder den Netzwerkspeicher erreichen. Gelingt das, ist das Netz flach. Ebenso aufschlussreich ist die Frage, ob eine Maschinensteuerung im selben Netz erreichbar ist wie der Rechner der Buchhaltung.

Der erste sinnvolle Schritt ist ein Netzplan, der festhält, welche Geräte es gibt, wo sie angeschlossen sind und welche Verbindungen sie für ihre Aufgabe wirklich brauchen. Auf dieser Grundlage lassen sich die Bereiche schrittweise trennen, beginnend beim Gäste-WLAN. Der IT-Check erhebt den Aufbau Ihres Netzes vor Ort, rein lesend und ohne Unterbrechung des Betriebs, und zeigt im Befund, welche Trennungen fehlen.

IT-Check ansehen · IT-Infrastruktur