VLAN und Netzwerksegmentierung für KMU: ein Praxisleitfaden

Warum ein flaches Netzwerk ein Risiko ist

In vielen kleinen und mittleren Unternehmen teilen sich alle Geräte ein einziges Netz: PCs, Server, Drucker, Telefone, Kameras und manchmal sogar das Gäste-WLAN. Das ist schnell eingerichtet, bedeutet aber, dass jedes Gerät jedes andere erreicht. Ist ein Laptop infiziert oder eine Kamera übernommen, kann ein Angreifer von dort aus das gesamte Netz durchsuchen und das nächste Ziel auswählen.

Netzwerksegmentierung teilt dieses Netz in getrennte Zonen mit kontrollierten Übergängen. Für die meisten KMU heißt das: eigene VLANs für Clients, Server, Gäste, Kameras und Management sowie Firewall-Regeln, die dazwischen nur den nötigen Verkehr erlauben. Das verhindert nicht jeden Angriff, begrenzt aber, wie weit sich ein Angreifer oder eine Schadsoftware ausbreiten kann. Außerdem wird das Netz übersichtlicher und lässt sich bei Störungen schneller analysieren.

Was ist ein VLAN?

Ein VLAN (Virtual Local Area Network) teilt ein physisches Netzwerk in mehrere logische Netze. Grundlage ist der Standard IEEE 802.1Q: Switches versehen Ethernet-Rahmen mit einer Markierung (Tag) samt VLAN-ID, sodass ein einziges Kabel mehrere getrennte Netze transportieren kann. In der Praxis erhält jedes VLAN ein eigenes IP-Subnetz.

• Access-Port: verbindet ein Endgerät wie einen PC oder eine Kamera und gehört genau einem VLAN an. Das Gerät selbst merkt vom VLAN nichts.
• Trunk-Port: transportiert mehrere VLANs mit Tags, typischerweise zwischen Switches, zur Firewall oder zu WLAN-Access-Points.
• Trennung: Geräte in verschiedenen VLANs können nicht direkt miteinander kommunizieren. Der Verkehr muss über einen Router oder, besser, über eine Firewall laufen.

Im WLAN werden getrennte Funknetze (SSIDs) auf VLANs abgebildet. Das Gäste-WLAN landet dann im Gäste-VLAN, das Firmen-WLAN im Client-VLAN.

Typische Netzsegmente für KMU

Wie viele Segmente sinnvoll sind, hängt von Größe und Geräten ab. Die folgende Aufteilung ist für viele Büros, Praxen und Geschäfte ein guter Ausgangspunkt und lässt sich verkleinern oder erweitern.

Besondere Aufmerksamkeit verdient das Backup. Es sollte idealerweise in einem eigenen Segment liegen oder zumindest so geschützt sein, dass ein kompromittierter Client Sicherungen weder erreichen noch löschen kann.

Inter-VLAN-Routing: Die Firewall entscheidet

Den Verkehr zwischen VLANs kann ein Layer-3-Switch oder die Firewall routen. Ein Layer-3-Switch ist schnell, seine Zugriffslisten arbeiten aber meist zustandslos und werden selten detailliert protokolliert. Für Übergänge zwischen Zonen mit unterschiedlichem Schutzbedarf ist das Routing über die Firewall daher in der Regel die bessere Wahl: Sie prüft Verbindungen zustandsbehaftet, protokolliert sie und kann zusätzliche Schutzfunktionen anwenden. Mehr dazu in unserem Beitrag zur Next-Generation-Firewall.

Für die Regeln gilt der Grundsatz: Alles, was nicht ausdrücklich erlaubt ist, wird blockiert. Jede Regel nennt Quelle, Ziel und Dienst, zum Beispiel: Clients dürfen den Dateiserver per SMB erreichen, die Kameras aber nicht. Kameras dürfen ihre Videoströme nur an den Rekorder senden und nicht ins Internet. Eine ausführliche Anleitung finden Sie in unserem Beitrag zum Absichern von IP-Kameras.

802.1X und NAC: Wer darf ins Netz?

VLANs trennen das Netz, beantworten aber nicht die Frage, wer sich überhaupt verbinden darf. Wer einen Laptop an eine freie Netzwerkdose steckt, landet in dem VLAN, das für diesen Port eingestellt ist. Hier setzt 802.1X an: Bevor Switch oder Access Point den Zugang freigeben, muss sich das Gerät authentifizieren.

• Funktionsweise: Das Gerät (Supplicant) meldet sich beim Switch oder Access Point (Authenticator) an. Dieser leitet die Anfrage an einen RADIUS-Server weiter, der oft mit dem Benutzerverzeichnis verbunden ist.
• Verfahren: Die zertifikatsbasierte Anmeldung (EAP-TLS) gilt als besonders robust. Verfahren mit Benutzername und Passwort (etwa PEAP) sind einfacher einzuführen, setzen aber voraus, dass die Endgeräte das Zertifikat des RADIUS-Servers prüfen.
• Dynamische VLANs: Der RADIUS-Server kann das passende VLAN zuweisen. So landet ein Firmenlaptop im Client-VLAN, ein unbekanntes Gerät in einem eingeschränkten Netz.
• Geräte ohne 802.1X: Drucker oder Kameras unterstützen das Verfahren oft nicht und werden meist über ihre MAC-Adresse zugelassen (MAB). Da sich MAC-Adressen fälschen lassen, gehören solche Geräte in eng begrenzte Segmente.

Network Access Control (NAC) geht einen Schritt weiter und kann auch den Zustand eines Geräts prüfen, etwa ob Sicherheitsupdates installiert sind. Für viele KMU ist 802.1X im WLAN und in exponierten Bereichen wie Besprechungsräumen ein sinnvoller erster Schritt. Segmentierung und 802.1X sind zudem zentrale Bausteine eines Zero-Trust-Ansatzes.

Segmentierung Schritt für Schritt einführen

1. Bestand erfassen: Listen Sie alle Geräte mit Zweck, Standort und den Systemen auf, mit denen sie kommunizieren müssen.
2. Zonen und IP-Plan festlegen: Bestimmen Sie Segmente, VLAN-IDs und Subnetze und halten Sie sie in einer übersichtlichen Tabelle fest.
3. Hardware prüfen: Die Switches müssen VLANs unterstützen (Managed Switches). Die Firewall braucht VLAN-Schnittstellen und genug Durchsatz für den internen Verkehr, der künftig über sie läuft.
4. Mit einfachen Segmenten beginnen: Ziehen Sie zuerst Gäste, Kameras und IoT um, weil deren Kommunikationsbedarf klar und überschaubar ist.
5. Regeln zuerst protokollieren: Erfassen Sie bei Clients und Servern zunächst, welche Verbindungen tatsächlich vorkommen, und ersetzen Sie dann breite Regeln durch gezielte.
6. Management absichern: Verlegen Sie Verwaltungszugänge ins Management-VLAN und erlauben Sie den Zugriff nur von festgelegten Admin-Geräten.
7. Dokumentieren und prüfen: Halten Sie Netzplan und Regelwerk aktuell und prüfen Sie beides mindestens einmal im Jahr.

Eine solche Umstellung sollte mit einem Rückfallplan vorbereitet und außerhalb der Geschäftszeiten durchgeführt werden, denn Fehler in der VLAN- oder DHCP-Konfiguration können den Betrieb unterbrechen.

Häufige Fehler und wie Sie sie vermeiden

• Alles bleibt in VLAN 1: Im Auslieferungszustand gehören meist alle Ports zum Standard-VLAN. Nutzen Sie eigene VLANs für den produktiven Verkehr und weisen Sie ungenutzte Ports einem leeren VLAN zu oder deaktivieren Sie sie.
• Any-Any-Regeln zwischen VLANs: Eine Regel, die jeden Verkehr zwischen Segmenten erlaubt, hebt die Trennung wieder auf. Jede Regel braucht einen klaren Zweck.
• Verwaltungszugänge von überall erreichbar: Die Anmeldeseiten von Switches, Firewall und Access Points dürfen aus dem Client- oder Gästenetz nicht erreichbar sein.
• Gerätesuche vergessen: Drucker und Mediengeräte nutzen oft Suchprotokolle wie mDNS, die nicht über VLAN-Grenzen reichen. Planen Sie feste Adressen oder ein kontrolliertes mDNS-Gateway im Voraus.
• Keine Dokumentation: Ohne aktuellen Netzplan führt die nächste Änderung schnell zu Ausnahmen, die niemand mehr nachvollziehen kann.

Fazit: zuerst trennen, dann gezielt erlauben

Netzwerksegmentierung ist eine wirksame Maßnahme gegen die Ausbreitung von Angriffen und für KMU mit Managed Switches und einer passenden Firewall gut umsetzbar. Entscheidend sind ein klarer Zonenplan, restriktive Firewall-Regeln und eine schrittweise Einführung. Wenn Sie Unterstützung bei Planung oder Umsetzung wünschen, begleitet Sie Q-entra mit Netzwerk-Infrastruktur und Cyber Security, vom IP-Plan bis zum dokumentierten Regelwerk.