Netzwerksegmentierung

Netzwerksegmentierung bezeichnet die logische oder physische Unterteilung eines Unternehmensnetzes in mehrere abgegrenzte Teilnetze (Segmente, Zonen oder VLANs), zwischen denen der Datenverkehr gezielt durch Firewalls, Access Control Lists oder Routing-Regeln gesteuert wird. Ziel ist es, die Kommunikation auf das fachlich Notwendige zu beschränken und so die Angriffsfläche zu verkleinern. Klassisch werden externe, demilitarisierte (DMZ) und interne Zonen sowie besonders schutzbedürftige Bereiche wie Produktions-, Verwaltungs- oder Backup-Netze getrennt.

Der wesentliche Sicherheitsgewinn liegt in der Eindämmung (Containment): Gelingt es einem Angreifer, ein System zu kompromittieren, verhindert eine konsequente Segmentierung die ungehinderte seitliche Ausbreitung (Lateral Movement) im Netz. Schadsoftware wie Ransomware kann so auf ein Segment begrenzt werden, anstatt sich unternehmensweit auszubreiten. In modernen Architekturen wird das Prinzip bis zur Mikrosegmentierung verfeinert, bei der einzelne Workloads oder Anwendungen voneinander isoliert werden, und es bildet eine technische Grundlage des Zero-Trust-Ansatzes.

Aus Compliance-Sicht ist Netzwerksegmentierung eine zentrale technische Maßnahme im Rahmen der Risikobehandlung. Die NIS2-Richtlinie und ihre nationale Umsetzung verpflichten besonders wichtige und wichtige Einrichtungen zu angemessenen technischen Maßnahmen zur Netz- und Informationssicherheit; der BSI IT-Grundschutz adressiert Segmentierung in den Bausteinen zur Netzarchitektur (NET-Schicht) und ISO/IEC 27001 verlangt im Anhang A die Trennung von Diensten und Netzen. Die konkrete Ausprägung muss sich aus der Schutzbedarfsfeststellung und Risikobewertung ableiten und in der Sicherheitsrichtlinie dokumentiert sein.