Mit VLANs Gäste und Unternehmensdaten voneinander trennen

Was passiert, wenn jedes Gerät jedes andere sieht

Ein flaches Netz ist ein Netzwerk, in dem jedes Gerät mit jedem anderen kommunizieren kann. Der Laptop im Sekretariat erreicht den Datenbankserver. Die Kamera erreicht den Rechner der Personalabteilung. Das Smartphone eines Besuchers erreicht den Drucker und den WLAN-Controller. Solange nichts geschieht, funktioniert alles und niemand hat einen Grund, etwas zu ändern. Ein solches Netz entsteht selten bewusst. Meist wächst es einfach, von einem Switch im Netzwerkschrank zu mehreren Switches. Niemand hält inne, um Struktur hineinzubringen.

Das Problem zeigt sich an dem Tag, an dem ein Gerät infiziert wird. Die Schadsoftware tut nichts Ausgefallenes. Sie scannt die Adressen im eigenen Netzwerk, prüft offene Dateifreigaben und versucht Passwörter bei jedem System, das antwortet. In einem flachen Netz kann sie das gesamte Unternehmen durchsuchen, nicht nur eine Abteilung.

Dasselbe gilt für einen gewöhnlichen Fehler. Jemand schließt ein Gerät an die falsche Netzwerkdose an, jemand anderes verbindet einen privaten Router, um in seinem Raum eine bessere Abdeckung zu haben. In einem segmentierten Netz bleibt ein solches Ereignis auf ein Segment begrenzt. In einem flachen Netz betrifft es alle.

Segmentierung dient nicht nur der Abwehr von Angriffen

Die Aufteilung des Netzes bringt drei Vorteile zugleich. Erstens bleibt der Schaden begrenzt, weil eine Störung oder Infektion im jeweiligen Segment bleibt. Zweitens wird der Datenverkehr übersichtlich. Dadurch ist erkennbar, wer mit wem kommuniziert, und der Weg zur Ursache verkürzt sich, wenn etwas langsamer wird. Drittens wird das Gespräch bei einem Audit einfacher, weil die Trennung des Netzes zu den ersten Punkten gehört, nach denen gefragt wird.

Die Fassung von ISO 27001 aus dem Jahr 2022 enthält dafür eine eigene Vorgabe zur Trennung von Netzwerken. PCI DSS gilt für Unternehmen, die Kartenzahlungen verarbeiten, und verlangt Segmentierung nicht ausdrücklich. Ohne Segmentierung fällt jedoch das gesamte Firmennetz in den Prüfumfang. Das ist in der Regel die teuerste aller Varianten.

Was getrennt werden sollte und warum

Es gibt keine Aufteilung, die für jedes Unternehmen passt. Es gibt jedoch Gruppen, die fast immer getrennt sein sollten:

• Gäste-WLAN. Es sollte nur den Internetzugang bereitstellen. Kein Zugriff auf Drucker, Netzlaufwerke oder Unternehmenssysteme.
• Computer der Mitarbeiter. Hier fällt der meiste Datenverkehr an, und hier besteht das größte Infektionsrisiko, weil dort Anhänge und Webseiten geöffnet werden.
• Server und Produktionssysteme. Der Zugriff erfolgt nur über bestimmte Dienste und ist nicht allgemein freigegeben. Maschinensteuerungen und Produktionssysteme sind mitunter alt und können nicht gepatcht werden. Umso wichtiger ist es, sie nicht im selben Netz wie Laptops zu betreiben.
• Buchhaltung und Personalabteilung. Es geht nicht um mangelndes Vertrauen in Menschen. Dort liegen vielmehr Daten, deren Verlust besonders schwer wiegt und deren Abfluss die höchsten Kosten verursacht.
• Drucker und Bürogeräte. Sie werden nur selten aktualisiert und verfügen mitunter über eine eigene Administrationsoberfläche mit einem werkseitigen Passwort.
• Kameras, Zutrittskontrolle und Gebäudeautomation. Diese Systeme werden meist von einem externen Unternehmen installiert, häufig zusammen mit einem Fernzugriff, an den sich im Unternehmen niemand mehr erinnert.
• Netzwerkverwaltung. Die Verwaltungsoberflächen der Switches, Access Points, Firewall und Speichersysteme sollten nur von dafür vorgesehenen Arbeitsplätzen aus erreichbar sein. Sie bilden das wertvollste Ziel im gesamten Netzwerk.

So funktioniert es in der Praxis

Die Segmentierung selbst erfolgt mit VLANs, also logischen Netzwerken auf derselben Hardware. Der Standard für die VLAN-Kennzeichnung des Datenverkehrs heißt IEEE 802.1Q und wird von jedem Managed Switch unterstützt. Zusätzliche Hardware ist in der Regel nicht nötig. Die vorhandene Hardware muss korrekt konfiguriert werden.

Ein VLAN allein blockiert nichts zwischen den Segmenten. Welche Verbindungen von einem Segment zum anderen zugelassen werden, bestimmen die Regeln auf dem Gerät, das sie verbindet, also auf der Firewall oder einem Layer-3-Switch. Das Prinzip ist einfach. Standardmäßig wird nichts durchgelassen. Freigeschaltet werden nur die Verbindungen, die für die Arbeit erforderlich sind.

Es bleibt die Frage, wie ein Gerät dem richtigen Segment zugeordnet wird. Ein Segment lässt sich fest einer Netzwerkdose zuweisen, doch dann erfordert jeder Umzug eines Arbeitsplatzes eine Änderung der Konfiguration. Besser funktioniert die Authentifizierung im Netzwerk nach dem Standard IEEE 802.1X. Beim Verbindungsaufbau weist sich das Gerät oder der Benutzer aus. Das Netzwerk ordnet auf dieser Grundlage das Segment zu. Dies funktioniert sowohl per Kabel als auch im WLAN.

Im WLAN entspricht dem der Enterprise-Modus, also WPA2-Enterprise oder WPA3-Enterprise mit einem RADIUS-Server. Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an, statt ein einziges Passwort einzugeben, das im gesamten Unternehmen und der Hälfte der ehemaligen Belegschaft bekannt ist. Das Gäste-WLAN bleibt getrennt und nutzt ein Passwort, das Sie ändern können, ohne alle darüber zu informieren.

Wir haben VLANs, also ist unser Netzwerk segmentiert

Diesen Satz hört man vor einer Netzwerkanalyse am häufigsten. Meistens stimmt er nicht. VLANs können eingerichtet und die Adressbereiche getrennt sein, während zwischen den Segmenten eine einzige Regel sämtlichen Datenverkehr zulässt. Der Datenverkehr läuft genauso wie in einem flachen Netz. Nur im Diagramm sieht alles ordentlich aus.

Eine zweite Variante desselben Problems sind Regeln, die irgendwann während einer Störung hinzugefügt und nie wieder entfernt wurden. Für kurze Zeit brauchte jemand von den Arbeitsplatzrechnern aus Zugriff auf einen Server. Daraufhin wurde ein ganzes Segment geöffnet. Die Störung war behoben, doch die Regel blieb bestehen. Nach einigen Jahren mit solchen Ausnahmen existiert die Segmentierung nur noch in der Dokumentation.

Deshalb beurteilt man die Netzwerksegmentierung nicht nach der Zahl der VLANs, sondern danach, welcher Datenverkehr tatsächlich zwischen ihnen fließt. Wenn niemand diese Frage aus dem Gedächtnis beantworten kann, empfiehlt es sich, die Regeln zu exportieren und einzeln durchzugehen.

Was Sie bedenken sollten, bevor Sie etwas ändern

Die Netzwerksegmentierung wirkt wie eine Konfigurationsaufgabe, ist in der Praxis aber eine Bestandsaufnahme. Bevor das erste neue VLAN angelegt wird, brauchen Sie drei Dinge:

• Geräteinventar. Welche Geräte sich im Netzwerk befinden, wo sie stehen, wer dafür verantwortlich ist und ob sie überhaupt noch genutzt werden. Fast immer tauchen einige Geräte auf, von denen niemand mehr wusste.
• Adressierungsplan. Getrennte Adressbereiche für die Segmente, mit ausreichend Reserve für künftiges Wachstum, damit dieselbe Arbeit nicht in zwei Jahren erneut anfällt.
• Verbindungsübersicht. Wer tatsächlich mit wem kommunizieren muss und auf welchem Weg. Nicht wer heute mit wem kommuniziert, denn heute kommuniziert alles mit allem, sondern welche Verbindungen für die Arbeit erforderlich sind.

Die meisten Überraschungen stecken im dritten Punkt. Drucker, die per Broadcast im lokalen Netzwerk gefunden werden und nach der Segmentierung nicht mehr sichtbar sind. Eine Lagerverwaltungssoftware, deren Serveradresse fest in einer Konfigurationsdatei eingetragen ist. Ein Backup-Agent, der jede Maschine erreichen muss. Ein Gerät, das vom Hersteller aus der Ferne betreut wird. Jede dieser Verbindungen lässt sich vorhersehen, sofern sie zuvor jemand dokumentiert.

Was Sie nicht auf einmal mitten am Tag umstellen sollten

Wenn die Segmentierung des gesamten Unternehmensnetzwerks an einem einzigen Abend eingeführt wird, endet das überall gleich. Am nächsten Morgen funktionieren mehrere Dinge gleichzeitig nicht. Niemand weiß, welche Änderung dafür verantwortlich ist, und unter Druck wird der Ausgangszustand wiederhergestellt.

Die sinnvolle Reihenfolge ist umgekehrt. Zuerst kommen die Segmente an die Reihe, die niemanden bei der Arbeit beeinträchtigen, also das Gäste-WLAN, Kameras und Drucker. Danach folgen die produktiv genutzten Segmente, eines nach dem anderen. Die Regeln zwischen den Segmenten sollten zunächst in einem Modus laufen, der den Datenverkehr zulässt und zugleich protokolliert. Nach einer Woche zeigen die Protokolle, welche Systeme tatsächlich miteinander kommunizieren. Erst danach wird der Datenverkehr eingeschränkt.

Jeder dieser Schritte erfolgt in einem Wartungsfenster. Vor der Änderung wird die Konfiguration gesichert und im Voraus festgelegt, unter welchen Bedingungen ein Rollback erforderlich ist. Diese Vorsicht ist keine reine Formsache. Die Netzwerksegmentierung betrifft alle. Eine einzige übersehene Verbindung kann daher die Arbeit von Personen zum Stillstand bringen, die nicht einmal wussten, dass Änderungen am Netzwerk vorgenommen wurden.

Womit Sie beginnen

Wenn Sie nicht wissen, ob Ihr Netzwerk segmentiert ist, lässt sich das mit einem kurzen Test prüfen. Nehmen Sie einen gewöhnlichen Bürocomputer und versuchen Sie, von dort auf die Verwaltungsoberfläche des Switches, auf eine Kamera und auf den Datenbankserver zuzugreifen. Wenn alle drei erreichbar sind, ist das Netzwerk flach, unabhängig davon, was das Netzwerkdiagramm zeigt.

Danach folgen die üblichen Arbeitsschritte: Geräteinventar, Verbindungsübersicht, Adressierungsplan und anschließend die schrittweise Umsetzung der Segmente, jeweils in einem Wartungsfenster. Meist reicht die Hardware aus, die bereits im Netzwerkschrank vorhanden ist. Der größte Kostenfaktor ist die Zeit, die nötig ist, um zu klären, welche Systeme tatsächlich miteinander kommunizieren müssen.

Wir planen und betreuen Firmennetzwerke einschließlich der VLAN-Segmentierung und der Regeln für den Datenverkehr zwischen den Segmenten. Wenn Sie wissen möchten, mit welchem Segment Sie in Ihrem Netzwerk beginnen sollten, genügen in der Regel ein kurzes Gespräch und ein Blick auf die aktuelle Konfiguration.

IT-Service ansehen