// Netzwerksicherheit · für Düsseldorf & Rhein-Ruhr
Netzwerksicherheit für Unternehmensnetze
In vielen Firmen erreicht jedes Gerät jedes andere. Wir schneiden das Netz in Zonen, regeln den Verkehr dazwischen und machen sichtbar, wer eigentlich mit wem spricht.
// Ausgangslage
Gewachsene Netze sind fast immer flach
Ein Firmennetz entsteht selten am Reißbrett. Es wächst: eine Etage kommt dazu, ein Lager wird angebunden, die Produktion bekommt Netzwerkdosen, und irgendwann hängt alles an denselben Switches. Das funktioniert im Alltag gut — und ist der Grund, warum ein einzelnes Gerät reicht, um weiterzukommen.
Denn seitwärts prüft in einem flachen Netz niemand. Wer den Bürorechner in der Buchhaltung übernommen hat, sieht von dort aus die Dateiablage, die Fachanwendung, den Drucker im Versand und häufig auch die Steuerung, die seit Jahren unangetastet läuft.
Segmentierung dreht das um: Jeder Bereich bekommt seinen eigenen Raum, und zwischen den Räumen gilt nur, was ausdrücklich erlaubt ist. Das kostet einmal Planung und nimmt einem Vorfall danach dauerhaft die Reichweite.
// Gegenüberstellung
Ein Raum oder mehrere?
Der Unterschied zeigt sich nicht im Normalbetrieb, sondern in dem Moment, in dem ein Gerät nicht mehr Ihnen gehorcht.
Alles sieht alles
- Ein übernommenes Notebook erreicht Server, Kasse und Steuerung gleichermaßen
- Besucher- und Wartungsgeräte hängen im selben Netz wie die Buchhaltung
- Seitwärtsverkehr wird nirgends protokolliert und fällt daher nicht auf
- Eine einzige Schwachstelle entscheidet über die Reichweite
Der Schaden bleibt im Raum
- Ein befallenes Gerät kommt nur an das, was für seine Zone freigegeben ist
- Gäste, Fremdfirmen und Produktion haben eigene Bereiche
- Verkehr zwischen den Zonen läuft über eine Stelle, die mitschreibt
- Auffälligkeiten sind erkennbar, weil es einen Normalzustand gibt
// Zonenschnitt
Die Bereiche, die fast jeder Betrieb braucht
-
Arbeitsplätze
Rechner und Notebooks der Belegschaft. Sie dürfen zu den Anwendungen, die sie brauchen — nicht zur Verwaltungsoberfläche der Switches.
-
Server und Fachanwendungen
Der Bereich, in dem die Daten liegen. Zugriff nur über die Dienste, die tatsächlich gebraucht werden, und nicht auf Zuruf per Freigabe.
-
Gäste und Fremdfirmen
Besucher, Wartungstechniker und mitgebrachte Geräte bekommen einen Weg ins Internet, aber keine Sicht nach innen.
-
Technik und Produktion
Steuerungen, Gebäudetechnik, Kameras und Drucker. Geräte, die sich nicht patchen lassen, brauchen enge Regeln statt Hoffnung.
// Umbau
Segmentieren, ohne den Betrieb anzuhalten
Der häufigste Fehler ist, Regeln zu setzen, bevor man den echten Verkehr kennt. Wir drehen die Reihenfolge um.
Wer spricht mit wem?
Bevor irgendetwas blockiert wird, zeichnen wir den tatsächlichen Verkehr auf. Fast immer taucht dabei eine Verbindung auf, von der niemand mehr wusste.
Zonen entwerfen
Aus dem echten Bild entsteht ein Zonenplan mit Übergängen. Er richtet sich nach Ihren Abläufen, nicht nach der Anzahl vorhandener Switch-Ports.
Regeln greifen lassen
Die Übergänge gehen bereichsweise in den blockierenden Betrieb, mit angekündigtem Fenster und einem Weg zurück, falls eine Anwendung protestiert.
Abweichungen melden
Danach ist der Normalzustand bekannt. Was nicht dazu passt — neue Ziele, ungewöhnliche Mengen, Zugriffe zu unüblichen Zeiten — löst eine Meldung aus.
// Fragen zur Netzwerksicherheit
Was Technikverantwortliche vorher klären
01 Was bringt Segmentierung, wenn wir schon eine Firewall haben?
Die Firewall steht am Übergang nach außen. Segmentierung wirkt innen: Sie entscheidet, ob ein übernommenes Gerät im Büro auch die Fachanwendung, die Kasse oder die Maschinensteuerung erreicht. Ohne Zonen liegt alles im selben Raum, nur mit besserer Haustür.
02 Was ist Ost-West-Verkehr?
Der Datenverkehr zwischen Geräten im selben Netz, also seitwärts statt nach außen. Er wird klassisch kaum geprüft, und genau dort bewegt sich jemand nach einer Übernahme weiter. Zonen und Regeln zwischen ihnen machen diese Bewegung sichtbar und begrenzen sie.
03 Merken unsere Leute den Umbau?
Wenn wir sauber arbeiten, kaum. Zonen entstehen zuerst als Entwurf und werden nachgezogen, während der Verkehr noch durchgelassen wird. Erst wenn wir sehen, wer tatsächlich mit wem spricht, greifen die Regeln — sonst blockiert man Freitagnachmittag den Warenausgang.
04 Brauchen wir ein getrenntes Netz für Gäste und Fremdfirmen?
Ja, und zwar für beides. Ein Besucherlaptop, ein Wartungstechniker und ein Kassensystem eines Dienstleisters haben im Firmennetz nichts verloren. Sie bekommen einen eigenen Bereich mit Weg ins Internet und ohne Sicht auf interne Server.
05 Wie erkennen Sie Auffälligkeiten im Netz?
Netzkomponenten und Übergänge melden, wer wohin spricht. Aus dem üblichen Bild entsteht ein Normalzustand, und Abweichungen davon werden gemeldet — etwa ein Bürorechner, der plötzlich Serverdienste abfragt, oder Datenmengen zu ungewöhnlichen Zeiten.
06 Gilt das auch für Produktion und Gebäudetechnik?
Gerade dort. Steuerungen, Aufzüge, Zutritts- und Klimatechnik laufen oft jahrelang unverändert, weil ein Update den Stillstand bedeuten würde. Solche Geräte lassen sich schlecht härten — deshalb bekommen sie eine eigene Zone mit sehr engen Regeln.
Passt dazu
Übersicht Cybersicherheit
Erreicht bei Ihnen ein Besucherlaptop den Dateiserver?
Viele Netze beantworten diese Frage mit Ja, ohne dass es jemand so entschieden hätte. Wir schauen uns Ihren Aufbau an und zeigen, wo eine Trennung am meisten bringt.