Ein Netz für alles: das flache Netzwerk
In vielen kleinen Büros, Kanzleien und Ordinationen hängen alle Geräte im selben Netzwerk: Arbeitsplatz-PCs, Server und Backup-Speicher, Drucker, Telefone, die Kamera am Eingang, das WLAN für Gäste und manchmal auch das private Handy der Mitarbeiterin. Fachleute nennen das ein flaches Netzwerk. Jedes Gerät kann jedes andere direkt erreichen.
Im Alltag fällt das nicht auf – alles funktioniert. Zum Problem wird es erst, wenn ein einziges Gerät kompromittiert ist.
Wie sich Angriffe im Netz ausbreiten
Ein Angriff beginnt selten am Server. Typische Einfallstore sind:
- ein PC, auf dem jemand den Anhang einer Phishing-Mail geöffnet hat,
- ein Drucker oder eine Kamera mit veralteter Firmware und Standardpasswort,
- ein IoT-Gerät wie ein Smart-TV im Besprechungsraum,
- ein privates Gerät, das sich ins Firmen-WLAN eingebucht hat.
Von diesem ersten Gerät aus suchen Angreifer im Netz nach lohnenden Zielen: Dateiserver, Datenbanken, Domänencontroller – und die Backups. Fachleute sprechen von lateraler Bewegung. Ransomware verschlüsselt dann nicht nur einen PC, sondern alles, was sie erreicht. Besonders gefährlich: Werden auch die Datensicherungen gelöscht oder verschlüsselt, gibt es keinen sauberen Weg zurück.
Die US-Cybersicherheitsbehörde CISA empfiehlt deshalb in ihrem #StopRansomware Guide ausdrücklich, Netzwerke zu segmentieren, um die Ausbreitung von einem infizierten Gerät aus zu verhindern oder zu begrenzen, und Backups offline zu halten.
Was Segmentierung bewirkt
Bei der Netzwerksegmentierung wird das Netz in getrennte Bereiche aufgeteilt, meist als VLANs (virtuelle Netzwerke auf denselben Switches). Zwischen den Zonen sitzt eine Firewall, die nur die Verbindungen erlaubt, die tatsächlich gebraucht werden. Alles andere wird blockiert.
Man kann sich das wie Brandabschnitte in einem Gebäude vorstellen: Feuer kann ausbrechen, aber Brandschutztüren verhindern, dass es auf das ganze Haus übergreift. Ein infizierter Arbeitsplatz-PC erreicht dann eben nicht mehr ungehindert den Backup-Speicher, und der alte Drucker hat keinen Weg zum Server.
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das in seinem IT-Grundschutz-Baustein NET.1.1 Netzarchitektur und -design als Basisanforderung: Clients und Server gehören in unterschiedliche Netzsegmente, Gastzugänge in eigene Segmente, und in einem Segment sollen nur Geräte mit ähnlichem Sicherheitsniveau stehen.
Typische Zonen in einem kleinen Netzwerk
Wie fein man trennt, hängt vom Betrieb ab. Bewährt haben sich diese Zonen:
| Zone | Was dort hingehört |
|---|---|
| Arbeitsplätze | PCs und Notebooks der Mitarbeitenden |
| Server und Backup | Dateiserver, Anwendungsserver, Backup-Speicher |
| Telefonie | IP-Telefone und Telefonanlage |
| Drucker und Geräte | Drucker, Scanner, Kameras, IoT |
| Gäste-WLAN | Besucherinnen, Besucher und private Geräte – nur Internet |
| Management | Verwaltungszugänge von Switches, Firewall, WLAN |
In Ordinationen kommt oft eine eigene Zone für medizinische Geräte dazu, etwa Ultraschall, EKG oder Laborgeräte. Diese laufen häufig mit Software, die der Hersteller nur selten aktualisiert, und sollten deshalb nur genau die Verbindungen bekommen, die sie für die Arztsoftware brauchen. Bei Anbindungen wie der e-card-Infrastruktur gelten die Vorgaben des jeweiligen Betreibers; die Segmentierung wird darauf abgestimmt.
In Kanzleien liegt der Schwerpunkt auf dem Schutz der Mandantendaten: Server und Backups getrennt von Arbeitsplätzen, Gäste und Mandantschaft im Besprechungsraum nur im Gäste-WLAN.
Warum das auch im kleinen Netz Standard sein sollte
- Geringer Aufwand: Aktuelle Business-Switches, Firewalls und WLAN-Systeme beherrschen VLANs ohnehin. Oft ist keine neue Hardware nötig, sondern eine saubere Konfiguration.
- Schaden bleibt begrenzt: Ein kompromittiertes Gerät gefährdet seine Zone, nicht das ganze Unternehmen.
- Backups bleiben geschützt: Die wichtigste Rückfallebene ist für infizierte Arbeitsplätze nicht direkt erreichbar.
- Gäste und private Geräte bleiben draußen: Sie bekommen Internet, aber keinen Zugriff auf interne Systeme.
- Übersicht: Wer weiß, welches Gerät in welcher Zone steht, findet Fehler schneller und erkennt ungewöhnlichen Datenverkehr leichter.
NIS-2 und NISG 2026
Die NIS-2-Richtlinie verlangt von betroffenen Einrichtungen angemessene Risikomanagementmaßnahmen, und die Sicherheit von Netz- und Informationssystemen gehört ausdrücklich dazu. In Österreich gilt seit 1. Oktober 2026 das NISG 2026 – mehr dazu in unserem Beitrag NISG 2026 in Kraft: Registrierung und die nächsten Schritte. Ob Ihr Unternehmen betroffen ist, klären Sie im Zweifel mit Ihrer Rechtsberatung oder Kammer. Unabhängig davon ist Segmentierung eine Maßnahme, die sich bei einer Risikoanalyse gut nachweisen lässt.
Häufige Einwände
„Wir sind zu klein, bei uns ist nichts zu holen.“ Viele Angriffe laufen automatisiert und treffen, wer verwundbar ist – unabhängig von der Betriebsgröße.
„Das macht alles kompliziert.“ Für die Mitarbeitenden ändert sich im Alltag meist nichts. Drucken, Telefonieren und der Zugriff auf Server funktionieren weiter, nur eben über klar definierte Wege.
„Mein IT-Betreuer sagt, wir brauchen keine VLANs.“ Ein flaches Netz funktioniert – bis ein Gerät kompromittiert wird. Dann steht dem Angreifer alles offen. Fragen Sie konkret nach: Kann ein infizierter Arbeitsplatz-PC heute den Backup-Speicher erreichen? Kommt ein Gast im WLAN an den Drucker oder den Server? Wenn die Antwort „Ja“ oder „Weiß ich nicht“ lautet, lohnt sich ein zweiter Blick.
Checkliste für Ihr Netzwerk
- Alle Geräte im Netz erfassen, auch Drucker, Kameras, Telefone und Medizingeräte
- Zonen festlegen und jedes Gerät einer Zone zuordnen
- Firewall-Regeln zwischen den Zonen nach dem Prinzip „nur was nötig ist“ einrichten
- Backup-Speicher in eine eigene, streng abgeschottete Zone und zusätzlich eine Kopie offline oder unveränderlich halten
- Gäste-WLAN vom internen Netz trennen
- Verwaltungszugänge von Switches, Firewall und WLAN nur aus dem Management-Netz erlauben
- Netzplan dokumentieren und bei jeder Änderung aktualisieren
Wie IT United unterstützt
Wir richten die Netzwerksegmentierung bei allen unseren Kundinnen und Kunden standardmäßig ein – auch in kleinen Netzwerken. Dazu gehören Planung der Zonen, Konfiguration von Switches, WLAN und Firewall sowie die Dokumentation. Mehr dazu unter Netzwerk, IT-Security und Backup.
Sie möchten wissen, wie offen Ihr Netzwerk heute ist? Vereinbaren Sie ein kostenloses Erstgespräch – wir sehen uns Ihre Situation gemeinsam an.
