Netzwerksicherheit: Grundlagen für den Schutz

Ein kompromittiertes Benutzerkonto, ein ungeschütztes Testsystem oder ein falsch konfigurierter Dienst genügt häufig, damit sich ein Sicherheitsvorfall im Unternehmen ausbreitet. Besonders kritisch wird es, wenn sich Angreifende nach einem ersten Zugriff nahezu frei durch das Netzwerk bewegen können. Genau hier setzt Netzwerksicherheit an: Sie begrenzt Kommunikationswege, schützt sensible Systeme und sorgt dafür, dass ein einzelner Fehler nicht sofort zum vollständigen Kontrollverlust führt.

Warum flache Netze ein hohes Risiko sind

In einem flachen Netzwerk befinden sich viele oder alle Systeme in derselben Netzwerkzone. Arbeitsplätze, Server, Drucker, Administrationssysteme, Entwicklungsumgebungen und teilweise sogar Gebäudetechnik können dann ohne klare Grenzen miteinander kommunizieren. Das ist bequem, weil Verbindungen oft sofort funktionieren. Aus Sicht der Sicherheit ist es jedoch problematisch.

Hat eine unbefugte Person Zugriff auf ein Gerät in einem flachen Netz, kann sie weitere erreichbare Systeme identifizieren und versuchen, vorhandene Schwachstellen oder schwache Zugangsdaten auszunutzen. Dieser Prozess wird oft als laterale Bewegung bezeichnet. Dabei geht es nicht unbedingt um einen spektakulären Angriff. Häufig reichen fehlende Zugriffsbeschränkungen, überbreite Freigaben oder nicht aktualisierte Systeme aus.

Ein flaches Netz erhöht unter anderem diese Risiken:

• Schadsoftware kann sich leichter auf weitere Systeme ausbreiten.
• Gestohlene Zugangsdaten können für deutlich mehr Systeme gültig sein als notwendig.
• Angriffe auf weniger geschützte Geräte können den Weg zu kritischen Servern öffnen.
• Sicherheitsverantwortliche verlieren schneller den Überblick über erlaubte Kommunikationsbeziehungen.
• Die Untersuchung eines Vorfalls wird schwieriger, weil zu viele Systeme miteinander kommunizieren dürfen.

Netzwerksicherheit bedeutet deshalb nicht nur, eine Firewall am Internetzugang zu betreiben. Sie beginnt mit einer klaren Struktur im internen Netz.

Segmentierung begrenzt Schäden

Bei der Segmentierung teilst du dein Netzwerk in getrennte Zonen auf. Jede Zone enthält Systeme mit ähnlichen Aufgaben, Schutzbedarfen oder Vertrauensniveaus. Zwischen diesen Zonen erlaubst du nur die Verbindungen, die für den Betrieb tatsächlich erforderlich sind.

Typische Zonen können sein:

Netzwerkzone	Beispiele	Sicherheitsziel
Benutzerzone	Arbeitsplatzrechner, mobile Endgeräte	Schutz vor unkontrolliertem Zugriff auf Server
Serverzone	Datei, Anwendungs, Datenbank und Verzeichnisserver	Begrenzung administrativer und fachlicher Zugriffe
Verwaltungszone	Systeme für Administration, Monitoring und Sicherung	Besonders strenger Schutz privilegierter Zugänge
Gästezone	Private Geräte, Besuchende, externe Dienstleister	Vollständige Trennung von internen Ressourcen
IoT und Druckerzone	Drucker, Kameras, Konferenztechnik, Sensoren	Begrenzung von Geräten mit geringem Sicherheitsniveau
Entwicklungszone	Testsysteme, Build Systeme, Entwicklungsumgebungen	Schutz vor Zugriffen auf produktive Daten und Dienste

Die technische Umsetzung erfolgt häufig über VLANs, getrennte Subnetze und Firewalls zwischen den Segmenten. Entscheidend ist nicht die Bezeichnung der Zone, sondern die Regel: Kommunikation ist zunächst untersagt und wird nur gezielt freigegeben.

Ein Drucker muss beispielsweise möglicherweise einen Druckserver erreichen, aber keinen Datenbankserver. Ein Arbeitsplatzrechner benötigt vielleicht Zugriff auf einen Webdienst, aber keine direkte Verbindung zur Datenbank dahinter. Je genauer du solche Anforderungen definierst, desto kleiner wird die Angriffsfläche.

Segmentierung ist kein einmaliges Infrastrukturprojekt. Anwendungen ändern sich, neue Dienste kommen hinzu und alte Systeme bleiben oft länger aktiv als geplant. Prüfe daher regelmässig, ob die bestehenden Kommunikationsregeln noch notwendig und angemessen sind.

Firewalls sind Regelwerke, keine reine Schutzmauer

Firewalls kontrollieren Datenverkehr anhand definierter Regeln. Sie können am Übergang zum Internet stehen, zwischen internen Netzwerkzonen arbeiten oder direkt auf einzelnen Servern und Clients eingesetzt werden. Wirksam werden sie nur, wenn ihre Regeln nachvollziehbar, restriktiv und gepflegt sind.

Eine sichere Grundhaltung lautet: Verbindungen werden standardmässig abgelehnt. Freigegeben werden nur klar begründete Kommunikationswege. Dabei sollte jede Regel möglichst präzise sein.

Eine gute Firewallregel beschreibt mindestens:

• Quelle: Welches System oder welches Netz darf eine Verbindung aufbauen?
• Ziel: Welches konkrete System oder welcher Dienst ist erreichbar?
• Dienst: Welches Protokoll und welcher Port werden benötigt?
• Zweck: Welche fachliche oder technische Anforderung rechtfertigt die Regel?
• Verantwortlichkeit: Wer prüft und genehmigt Änderungen?
• Gültigkeit: Ist die Freigabe dauerhaft nötig oder nur zeitlich begrenzt?

Vermeide breite Regeln wie eine vollständige Freigabe zwischen zwei Netzwerkzonen. Sie lösen kurzfristig Verbindungsprobleme, schaffen aber langfristig schwer kontrollierbare Risiken. Ebenso kritisch sind alte Ausnahmeregeln, deren Zweck niemand mehr kennt.

Neben Netzwerkfirewalls sind lokale Firewalls auf Servern und Endgeräten wichtig. Sie bilden eine zusätzliche Schutzschicht, falls Segmentierungsregeln umgangen werden oder sich ein Gerät in der falschen Zone befindet. Gerade Server sollten nur die eingehenden Verbindungen akzeptieren, die sie für ihre Rolle benötigen.

Sichere Konfiguration ist die Basis

Viele Sicherheitsprobleme entstehen nicht durch unbekannte Schwachstellen, sondern durch vermeidbare Fehlkonfigurationen. Standardzugänge, unnötig aktivierte Dienste, unverschlüsselte Verwaltungszugriffe oder zu offene Freigaben machen Angriffe unnötig leicht.

Diese Grundregeln haben sich in der Praxis bewährt:

1. Standardkonfigurationen prüfen: Ändere voreingestellte Passwörter, entferne nicht benötigte Konten und deaktiviere Funktionen, die nicht gebraucht werden.

2. Verwaltungszugriffe absichern: Administration sollte über getrennte Konten, geschützte Verwaltungsnetze und MFA erfolgen. Verwaltungsoberflächen dürfen nicht unkontrolliert aus Benutzer oder Gästenetzen erreichbar sein.

3. Verschlüsselung verbindlich einsetzen: Nutze aktuelle, verschlüsselte Protokolle für Administration, Datentransfer und Webanwendungen. Unverschlüsselte Zugänge können Zugangsdaten und vertrauliche Daten offenlegen.

4. Aktualisierungen planen: Betriebssysteme, Netzwerkgeräte, Firewallsoftware und Anwendungen benötigen einen geregelten Patchprozess. Kritische Sicherheitsupdates sollten nach einer angemessenen Prüfung zeitnah eingespielt werden.

5. Unsichere Altprotokolle abschalten: Alte Protokolle und veraltete Verschlüsselungsverfahren erhöhen das Risiko. Wenn Altanwendungen sie noch benötigen, isoliere diese Systeme möglichst stark und plane eine Ablösung.

6. Konfigurationen sichern: Sichere Konfigurationen von Firewalls, Switches und anderen Netzwerkkomponenten kontrolliert. Im Störungsfall brauchst du einen geprüften Wiederherstellungsweg.

Für wiederkehrende Konfigurationen helfen dokumentierte Standards. Dazu gehören beispielsweise Vorlagen für neue Server, Netzwerkgeräte und Benutzergruppen. So hängt die Sicherheit weniger von einzelnen Personen und spontanen Entscheidungen ab.

Least Privilege konsequent umsetzen

Das Prinzip Least Privilege bedeutet: Jede Person, jedes Konto und jedes System erhält nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind. Das betrifft nicht nur Dateien und Anwendungen, sondern auch Netzwerkzugriffe, Administrationsrechte und Schnittstellen.

In der Praxis solltest du besonders auf diese Punkte achten:

• Mitarbeitende arbeiten im Alltag ohne administrative Rechte.
• Administrative Tätigkeiten erfolgen mit separaten privilegierten Konten.
• Dienstkonten erhalten nur Zugriff auf die konkret benötigten Ressourcen.
• Berechtigungen werden an Rollen und nicht an einzelne Personen geknüpft.
• Zugriffe externer Dienstleister sind zeitlich begrenzt, nachvollziehbar und auf definierte Systeme beschränkt.
• Nicht mehr benötigte Konten, Gruppen und Freigaben werden zeitnah entfernt.

MFA reduziert zusätzlich das Risiko gestohlener Passwörter. Sie ersetzt aber keine saubere Berechtigungsstruktur. Ein stark geschütztes Konto mit viel zu weitreichenden Rechten bleibt ein Risiko, wenn es kompromittiert wird.

Besonders schützenswert sind privilegierte Konten für Verzeichnisdienste, Serververwaltung, Netzwerkverwaltung und Sicherungssysteme. Diese Konten sollten nicht für E Mail, Webrecherche oder allgemeine Büroarbeit verwendet werden. Eine klare Trennung senkt die Wahrscheinlichkeit, dass ein alltäglicher Phishingversuch unmittelbar zu einem weitreichenden Zugriff führt.

Sichtbarkeit und Protokollierung schaffen

Du kannst nur auf auffällige Vorgänge reagieren, wenn du sie erkennst. Netzwerkgeräte, Firewalls, Server und zentrale Identitätsdienste sollten deshalb relevante Ereignisse protokollieren. Dazu zählen fehlgeschlagene Anmeldungen, Änderungen an Firewallregeln, neue Administrationskonten, ungewöhnliche Verbindungen und Konfigurationsänderungen.

In grösseren Umgebungen kann ein SIEM helfen, Protokolle zentral auszuwerten und auffällige Muster zu erkennen. Wichtig ist jedoch nicht allein die Menge der Daten. Definiere, welche Ereignisse wirklich sicherheitsrelevant sind, wer Warnungen bearbeitet und wie die Eskalation erfolgt.

Ein Alarm ohne zuständige Person und ohne dokumentierten Ablauf verbessert die Sicherheit nicht. Lege für kritische Fälle fest, wer Systeme isolieren darf, wer Entscheidungen trifft und wie Beweise gesichert werden. Diese Abläufe sollten regelmässig geübt werden.

Praktische Checkliste für den Einstieg

Wenn du deine Netzwerksicherheit strukturiert verbessern willst, beginne mit einer Bestandsaufnahme:

• Sind alle Netzwerkzonen, Subnetze und kritischen Systeme dokumentiert?
• Kennst du die erlaubten Kommunikationswege zwischen Benutzer, Server, Verwaltungs und Gästezonen?
• Werden Firewallregeln regelmässig überprüft und nicht mehr benötigte Regeln entfernt?
• Sind administrative Zugriffe von normalen Benutzerzugriffen getrennt?
• Ist MFA für privilegierte Konten und externe Zugriffe eingerichtet?
• Sind Drucker, IoT Geräte und Gästezugänge vom produktiven Netz getrennt?
• Werden Netzwerkgeräte und Server zeitnah aktualisiert?
• Werden Konfigurationsänderungen nachvollziehbar protokolliert?
• Gibt es einen getesteten Prozess für Sicherheitsvorfälle?
• Sind Ausnahmen schriftlich begründet, verantwortet und zeitlich überprüfbar?

Priorisiere zuerst die Systeme mit hohem Schutzbedarf: Identitätsdienste, Backups, Administrationssysteme, Datenbanken und zentrale Fachanwendungen. Schon eine sauber getrennte Verwaltungszone und restriktive Zugriffe auf kritische Server können das Risiko deutlich senken.

Netzwerksicherheit lebt von klaren Entscheidungen und kontinuierlicher Pflege. Passende IT Security Seminare und Termine findest du bei uns auf cmt.de.