Netzwerksegmentierung: Warum ein flaches Netz die größte Schwachstelle ist

Ein flaches Netzwerk ist Ransomware-Angreifern am liebsten: Eine kompromittierte Workstation bedeutet freier Zugang zu allen Servern, Datenbanken, Backup-Systemen. Netzwerksegmentierung bricht dieses Szenario auf - und ist eine der kosteneffektivsten Sicherheitsmaßnahmen, die Unternehmen jeder Größe umsetzen können.

Das Problem des flachen Netzwerks

Bei vielen KMU sieht die Netzwerk-Topologie so aus: alle Geräte liegen im selben /24-Netz - keine Segmentierung.

Internet
    │
[Router/Firewall]
    │
[Switch]----------------------------┐
    │                               │
[Workstation-1]  [Workstation-2]  [Server-1]  [NAS]  [Drucker]
192.168.1.10     192.168.1.11    192.168.1.20  .30     .40

Was passiert wenn Workstation-1 kompromittiert wird:

1. Ransomware auf Workstation-1
2. Direkter SMB-Zugriff auf NAS → Dateien verschlüsseln
3. Direkter RDP-Zugriff auf Server-1 → auch verschlüsseln
4. Nmap-Scan vom kompromittierten Rechner → alle anderen Hosts sehen
5. Credential-Dump von Workstation → gültig auf allen anderen Rechnern
6. In Minuten: gesamtes Netzwerk verschlüsselt!

Statistik:

• 86% der Ransomware-Angriffe nutzen laterale Bewegung (Mandiant, 2024)
• Durchschnittliche Verweildauer vor Ransomware-Deployment: 5-14 Tage
• Segmentiertes Netz: Ransomware bleibt in einem Segment!

Goldene Regel: Kompromittierter Endpoint darf NICHT alle anderen Systeme erreichen!

VLAN-Grundlagen und -Implementierung

Was sind VLANs?

VLANs (Virtual Local Area Networks) ermöglichen eine logische Trennung des Netzwerks auf Layer 2 (Switch-Ebene):

• Geräte im selben VLAN kommunizieren direkt
• Geräte in verschiedenen VLANs: NUR über Router/Firewall
• Keine Kabel-Umsteckung nötig - rein konfigurativ

VLAN-Design Empfehlung für KMU

VLAN 10 - Management (10.0.10.0/24)

• Server-BMC/iDRAC, Switch-Management, Router-Management
• NUR für IT-Admins zugänglich
• Kein User-Gerät kommt hier rein!

VLAN 20 - Server (10.0.20.0/24)

• Anwendungsserver, File-Server, Active Directory
• Zugriff von Client-VLAN: nur spezifische Ports

VLAN 30 - Datenbank (10.0.30.0/24)

• SQL-Server, ERP-Datenbanken
• Zugriff NUR von Server-VLAN auf DB-Port (1433/5432)
• Client-VLAN: kein direkter DB-Zugriff!

VLAN 40 - Clients (10.0.40.0/24)

• Mitarbeiter-Workstations und -Laptops
• Darf: Internet (gefiltert), File-Server (SMB), Drucker
• Darf NICHT: Direkte Verbindung zu DB-Server, Management

VLAN 50 - WLAN Mitarbeiter (10.0.50.0/24)

• Separates SSID für Mitarbeiter-WLAN
• Gleiche Rechte wie Client-VLAN, aber getrennt

VLAN 60 - WLAN Gäste (10.0.60.0/24)

• Nur Internet, kein Zugang zu internen Ressourcen
• Captive Portal oder separates Passwort
• Bandbreitenbegrenzung empfohlen

VLAN 70 - VoIP/Telefonie (10.0.70.0/24)

• IP-Telefone getrennt von Daten
• QoS-Priorisierung einfacher
• Sicherheitsvorteil: kein Daten-Sniffing über Telefon

VLAN 80 - IoT/OT (10.0.80.0/24)

• Drucker, Kameras, Displays, Sensoren
• Internet-Zugang: nur für Updates (Proxy)
• KEIN Zugang zu internen Netz-Ressourcen

Cisco Switch VLAN-Konfiguration

switch(config)# vlan 40
switch(config-vlan)# name Clients
switch(config-vlan)# exit
switch(config)# interface gigabitEthernet 0/1
switch(config-if)# switchport mode access
switch(config-if)# switchport access vlan 40

# Trunk-Port (zu Router/Firewall):
switch(config)# interface gigabitEthernet 0/24
switch(config-if)# switchport mode trunk
switch(config-if)# switchport trunk allowed vlan 10,20,30,40,50,60

DMZ - Die entmilitarisierte Zone

Wozu DMZ?

• Öffentlich erreichbare Services (Web, Mail, VPN) brauchen Internet-Zugang
• Aber: direkte Verbindung Internet → internes Netz = gefährlich
• DMZ: “neutrales Land” zwischen Internet und internem Netz

Klassische DMZ-Architektur

Internet
    │
    │ alle Ports
    ▼
[Perimeter-Firewall]
    │                   │
    │ Port 80,443        │ Nur spezifische Ports
    ▼                   ▼
[DMZ-Zone]           [Internes Netz]
  Web-Server           App-Server
  Mail-Gateway         DB-Server
  VPN-Gateway          AD-Controller
  Reverse Proxy        File-Server

Firewall-Regeln für DMZ

Internet → DMZ:

• ERLAUBT: TCP 80, 443 → Web-Server (80/443)
• ERLAUBT: TCP 25, 465, 587 → Mail-Gateway (25/465/587)
• ERLAUBT: UDP 1194 → VPN-Gateway
• VERBOTEN: alles andere

DMZ → Internet:

• ERLAUBT: TCP 443 (HTTPS) → für Updates, externe Dienste
• ERLAUBT: TCP 25 → ausgehende E-Mail
• VERBOTEN: alles andere

DMZ → Intern:

• ERLAUBT: Reverse Proxy → App-Server (HTTP 8080)
• ERLAUBT: Mail-Gateway → Exchange intern (25)
• VERBOTEN: DMZ-Server direkt → DB-Server!
• VERBOTEN: DMZ → Admin-Management

Intern → DMZ:

• ERLAUBT: Management-Jump-Host → alle DMZ-Server (SSH 22 / RDP 3389)
• VERBOTEN: normale Clients → DMZ
• VERBOTEN: DMZ-Verbindungen von normalen Clients initiiert

Sicherheitsprinzip: Wenn Web-Server gehackt wird, ist der Angreifer in der DMZ gefangen. Kein direkter Zugriff auf interne Server möglich - Lateral Movement wird durch die Firewall blockiert.

Mikrosegmentierung

Was ist Mikrosegmentierung?

Mikrosegmentierung geht über VLAN-Segmentierung hinaus - sie kontrolliert den Datenfluss auf Workload-Ebene (jede VM, jeder Container). Jede Applikation darf nur mit spezifischen Applikationen kommunizieren.

Unterschied VLAN vs. Mikrosegmentierung

VLAN-Segmentierung:

• Client-VLAN → kann alle Server in Server-VLAN erreichen (wenn Firewall erlaubt)
• Kompromittierter Client → kann alle Server ansprechen

Mikrosegmentierung:

• Web-App → darf NUR: App-Server:8080
• App-Server → darf NUR: DB-Server:5432
• DB-Server → darf NUR: empfangen von App-Server
• Kompromittierter Web-Server → KANN NICHT DB-Server direkt ansprechen!

Implementierung mit iptables (Linux)

# App-Server: nur eingehend von Web-Server und ausgehend zu DB
iptables -A INPUT -s 10.0.20.10 -p tcp --dport 8080 -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -d 10.0.30.10 -p tcp --dport 5432 -j ACCEPT
iptables -A OUTPUT -j DROP

Windows Firewall (PowerShell)

# Nur spezifische eingehende Verbindungen erlauben:
New-NetFirewallRule -DisplayName "Allow App-Server" `
  -Direction Inbound -LocalPort 8080 -Protocol TCP `
  -RemoteAddress 10.0.20.10 -Action Allow
New-NetFirewallRule -DisplayName "Block All Other Inbound" `
  -Direction Inbound -Action Block

Kubernetes Network Policies (Container)

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: db-allow-only-backend
spec:
  podSelector:
    matchLabels:
      app: database
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: backend
    ports:
    - protocol: TCP
      port: 5432
  egress: []  # Keine ausgehenden Verbindungen von DB erlaubt

Weitere Mikrosegmentierungs-Optionen

• NSX-T / VMware: Micro-Segmentation auf VM-Ebene, jede VM hat eigene Firewall-Policy, Zero-Trust für East-West-Traffic
• Cilium (eBPF-basiert, Kubernetes): Layer-7 Policies (HTTP-Methoden, URLs!), extrem granular, eBPF für Performance - z.B. “Frontend darf nur GET /api/products, nicht POST /admin”

Schrittweise Umsetzung für KMU

Phase 1 - Sofortmaßnahmen (Woche 1-2)

• Gäste-WLAN sofort separieren - eigenes SSID, anderes Passwort, kein interner Zugang (dauert 30 Minuten auf jedem Consumer-Router!)
• Server-Passwörter von Workstation-Passwörtern trennen - wenn eine Workstation kompromittiert wird: anderes Passwort auf Servern
• Admin-Zugang auf Servern: nur von dedizierten Admin-Workstations
• Firewall-Logs: überhaupt anschauen (wer kommuniziert mit wem?)

Phase 2 - VLAN-Grundstruktur (Monat 1-2)

Voraussetzungen prüfen:

• Managed Switch vorhanden? (kein Consumer-Unmanaged-Switch!)
• Router/Firewall mit VLAN-Support? (Empfehlung: pfSense/OPNsense kostenlos, oder Fortinet/Sophos)
• WLAN-AP mit Multi-SSID-Support?

VLANs konfigurieren:

• VLAN 10: Management (nur IT)
• VLAN 20: Server
• VLAN 30: Clients
• VLAN 40: Gäste
• Firewall-Regeln: was darf Client → Server?

Phase 3 - Feinabstimmung (Monat 2-4)

• Datenbank-VLAN: nur von App-Servern erreichbar
• IoT-Geräte: eigenes VLAN ohne internen Zugang
• VoIP: eigenes VLAN mit QoS
• Jump-Host für Admin-Zugang: dedizierter Sprungserver
• Logging: alle Firewall-Regeln loggen → ins SIEM

Phase 4 - Monitoring und Optimierung (Monat 4-6)

• Anomalie-Erkennung: ungewöhnliche VLAN-Crossing-Versuche
• SIEM-Regel: Alert wenn Client direkt auf DB-VLAN zugreift
• Penetrationstest: überprüfen ob Segmentierung wirklich hält!
• Quartalsmäßige Firewall-Regelüberprüfung: was wird noch gebraucht?

Kostenabschätzung

Maßnahme	Kosten
Consumer-Switch → Managed Switch	200-1.000 EUR
Consumer-Router → pfSense/OPNsense Appliance	400-800 EUR
WLAN-AP mit VLAN-Support (Ubiquiti/Aruba)	150-400 EUR
IT-Zeit Implementierung	2-5 Tage
Gesamtaufwand	1.000-5.000 EUR + Zeit

Vorher/Nachher (Ransomware-Szenario)

Szenario	Ergebnis
Vorher (flaches Netz): 1 PC kompromittiert	alle 50 PCs + alle Server
Nachher (segmentiert): 1 PC kompromittiert	nur Client-VLAN betroffen - Server-VLAN unerreichbar, Firewall blockiert!

---

Netzwerksegmentierung ist die wichtigste Einzelmaßnahme gegen Ransomware-Ausbreitung. AWARE7 analysiert bestehende Netzarchitekturen und entwickelt pragmatische Segmentierungskonzepte - von der einfachen VLAN-Struktur bis zur Zero-Trust-Mikrosegmentierung.

Netzwerkanalyse anfragen | Penetrationstest Netzwerk