Inhaltsverzeichnis
Das Problem mit flachen Netzwerken
In vielen mittelständischen Unternehmen sieht die Netzwerktopologie so aus: Alle Geräte hängen im selben Subnetz. Büro-PCs, Server, WLAN-Access-Points, BYOD-Smartphones der Mitarbeiter, der Drucker im Flur, die Zeiterfassungsterminals, vielleicht noch eine IP-Kamera oder zwei. Alles spricht mit allem, ohne Einschränkung.
Das klingt zunächst praktisch — aber es ist ein erhebliches Sicherheitsproblem. Ein flaches Netzwerk bedeutet: Wer einmal eine Verbindung herstellt, kann im Prinzip mit jedem anderen Gerät kommunizieren. Für einen Angreifer, der sich über eine Phishing-Mail Zugang zu einem Büro-PC verschafft hat, liegt der nächste Server nur einen Netzwerk-Scan entfernt.
Besonders kritisch: Viele schwach abgesicherte Geräte — Drucker, IoT-Sensoren, ältere Kassensysteme — befinden sich im selben Netz wie der Dateiserver oder die Buchhaltungssoftware. Ein kompromittiertes Gerät öffnet freie Fahrt zu allem anderen. Sicherheitsfachleute nennen das laterale Bewegung: Der Angreifer bewegt sich seitlich durch das Netzwerk, ohne je nach außen zu kommunizieren — und wird dabei von Perimeter-Firewalls nicht erkannt.
Was VLANs sind — einfach erklärt
VLAN steht für Virtual Local Area Network. Die Idee ist simpel: Auf derselben physischen Netzwerkinfrastruktur — also denselben Kabeln, Switches und Access-Points — werden mehrere logisch getrennte Netzwerke betrieben. Geräte in verschiedenen VLANs können standardmäßig nicht miteinander kommunizieren, auch wenn sie am selben Switch-Port hängen.
Die Segmentierung erfolgt durch sogenannte VLAN-Tags, die der Switch jedem Ethernet-Frame mitgibt. Ein managed Switch erkennt, zu welchem VLAN ein Port gehört, und lässt nur Datenverkehr innerhalb des gleichen VLANs durch — oder über einen Router, der die Kommunikation zwischen VLANs explizit erlaubt und kontrolliert.
Das Prinzip ist nicht neu: VLANs sind seit den frühen 1990er-Jahren etabliert und in jedem modernen managed Switch implementiert. Was sich geändert hat, ist die Bedrohungslage — und das Bewusstsein, dass diese Technologie auch für KMU relevant ist, nicht nur für Konzerne.
Typische VLAN-Struktur für KMU
Eine praxiserprobte VLAN-Aufteilung für ein mittelständisches Unternehmen mit 20–100 Mitarbeitern sieht meist so aus:
- Server-VLAN: Dateiserver, Datenbankserver, Applikationsserver. Strengste Zugriffsregeln, keine direkte Erreichbarkeit aus dem WLAN oder BYOD-Netz.
- Arbeitsplatz-VLAN: Büro-PCs und Laptops der Mitarbeiter. Zugriff auf benötigte Server über definierte Freigaben, nicht auf alles.
- WLAN-VLAN: Firmeneigenes WLAN für Mitarbeiter. Etwas restriktiver als das kabelgebundene Netz, da WLAN ein größeres Angriffspotenzial hat.
- Gäste-WLAN-VLAN: Nur Internetzugang, keinerlei Zugriff auf interne Ressourcen. Für Besucher und persönliche Geräte.
- IoT-VLAN: Drucker, Kameras, Zeiterfassung, Klimaanlagen, Smart-TV-Displays. Diese Geräte erhalten oft keine Sicherheitsupdates und sind damit dauerhaft angreifbar — sie gehören isoliert.
- Management-VLAN: Nur für Netzwerkadministration. Switch-Konfigurationszugriffe, IPMI-Interfaces von Servern, Backup-Systeme. Nur IT-Personal hat Zugang.
Inter-VLAN-Routing — also Kommunikation zwischen den Segmenten — wird nur dort freigegeben, wo es funktional notwendig ist. Der Drucker im IoT-VLAN braucht keinen Zugriff auf den Server; der Backup-Server im Management-VLAN muss aber Daten aus dem Server-VLAN lesen können. Diese Regeln werden am Router oder einer Firewall definiert und dokumentiert.
VLANs als Ransomware-Bremse
Ransomware breitet sich in Unternehmensnetzwerken vor allem durch zwei Mechanismen aus: über Netzwerkfreigaben und über direkte Netzwerkverbindungen zu anderen Geräten. Ein flaches Netzwerk bietet hier keine Hindernisse.
Mit VLANs sieht das anders aus: Wenn ein Produktions-PC im Arbeitsplatz-VLAN infiziert wird und die Ransomware beginnt, sich auszubreiten, stößt sie an die VLAN-Grenzen. Der Backup-Server im Management-VLAN ist nicht direkt erreichbar. Die Datenbankserver im Server-VLAN sind nur über definierte Ports zugreifbar. Die Ausbreitung wird nicht vollständig verhindert, aber massiv verlangsamt und auf das betroffene Segment begrenzt.
Im besten Fall — wenn das Backup-VLAN sauber isoliert ist und die Backup-Lösung offline oder air-gapped arbeitet — bleibt das Backup von der Ransomware unberührt. Das ist der entscheidende Unterschied zwischen einem teuren Vorfall und einer Katastrophe.
Das ist kein theoretisches Szenario: Bei realen Ransomware-Vorfällen, die wir als Koreva begleitet haben, war der entscheidende Faktor in mehreren Fällen, ob die Backup-Infrastruktur segmentiert war oder nicht. Segmentiert: Wiederherstellung in Stunden. Unsegmentiert: Wochen.
Was VLAN-Segmentierung kostet
Das ist eine der häufigsten Fragen — und die Antwort überrascht viele: Oft ist VLAN-Segmentierung mit vorhandener Hardware umsetzbar.
Jeder managed Switch — also ein Switch mit webbasiertem oder CLI-Management — unterstützt VLANs nach IEEE 802.1Q. Viele Unternehmen haben bereits managed Switches im Einsatz, ohne diese Funktion zu nutzen. Günstige managed Switches für kleine Standorte kosten ab 200–400 Euro; für größere Standorte mit mehreren Switches und WLAN-Controller-Integration liegt der Hardwareaufwand bei 800–2.000 Euro.
Der eigentliche Aufwand ist Konfiguration und Konzept: Welche VLANs werden gebraucht? Welche Firewall-Regeln zwischen den Segmenten? Welche Geräte kommen in welches VLAN? Das ist ein Planungs- und Konfigurationsprojekt, kein Infrastrukturprojekt. Für ein KMU mit 20–80 Arbeitsplätzen ist das typischerweise ein 1–2-Tages-Projekt — inklusive Dokumentation und Test.
Zum Vergleich: Der Schaden eines einzigen Ransomware-Vorfalls ohne Segmentierung liegt im Mittelstand regelmäßig bei 50.000–500.000 Euro, wenn Wiederherstellung, Produktionsausfall und externe Hilfe zusammengerechnet werden.
VLAN + Zero Trust: Die Kombination, die schützt
VLANs sind ein Baustein — aber kein vollständiges Sicherheitskonzept. Sie kontrollieren, welche Netzsegmente miteinander sprechen können. Was sie nicht kontrollieren, ist, wer innerhalb eines Segments was darf.
Zero Trust ergänzt VLANs auf der Identitäts- und Applikationsebene: Jeder Zugriff auf eine Ressource wird individuell authentifiziert und autorisiert — unabhängig davon, aus welchem Netz der Zugriff kommt. Ein Mitarbeiter im Arbeitsplatz-VLAN bekommt nicht automatisch Zugriff auf alle Server-Ressourcen; er muss sich für jede Ressource explizit authentifizieren.
In der Praxis bedeutet die Kombination: VLANs begrenzen die Angriffsfläche auf Netzwerkebene, Zero Trust kontrolliert den Zugriff auf Ressourcenebene. Zusammen entsteht eine Architektur, in der ein einzelnes kompromittiertes Gerät oder ein gestohlenes Passwort keinen unbegrenzten Schaden anrichten kann.
Für die Umsetzung in KMU bedeutet das keine komplexe Infrastruktur: Ein modernes Identity-Management-System (etwa auf Basis von Keycloak oder Microsoft Entra), kombiniert mit VLAN-Segmentierung und einer ordentlichen Firewall-Policy, reicht für die meisten mittelständischen Anforderungen aus.