Ein Netzwerk nach Vertrauensgrenzen segmentieren

Ein Gäste-WLAN erreicht plötzlich den Dateiserver

Die Hafenblick Veranstaltungstechnik GmbH zieht in ein neues Gebäude. Im ersten Entwurf hängen Bürocomputer, Gäste-WLAN, Server und die Verwaltungsschnittstellen der Switches in einem gemeinsamen internen Netz. Bei einem Test kann ein Gastgerät die Anmeldeseite des internen Dateiservers öffnen. Eine Anmeldung gelingt zwar nicht, doch der Datenweg sollte für Gäste gar nicht vorhanden sein.

Deine Aufgabe ist es, das Netz nach Vertrauensgrenzen zu segmentieren. Eine Vertrauensgrenze trennt Bereiche, zwischen denen Verkehr nicht ungeprüft fließen soll. Dafür entwickelst du Zonen, ordnest VLANs zu und formulierst die wirklich benötigten Datenflüsse als Regelmatrix.

Nach dieser Lektion kannst du:

• Systeme anhand ihrer Rolle und ihres Schutzbedarfs Zonen zuordnen,
• erklären, warum ein VLAN noch keine Zugriffsregel ist,
• erlaubte Datenflüsse vollständig und prüfbar beschreiben,
• Routing und Filterung an einem kontrollierten Übergang zusammenführen,
• Regeln mit positiven und negativen Testfällen prüfen.

Du solltest grundsätzlich wissen, dass ein Switch Ethernet-Frames innerhalb eines lokalen Netzabschnitts weiterleitet und eine Layer-3-Komponente zwischen IP-Netzen routet. Die Berechnung der vorgegebenen /24-Netze ist hier nicht nötig. Alle Namen, Adressen und Anforderungen im Szenario sind neu erstellt.

Zonen folgen Aufgaben und Vertrauen

Eine Zone fasst Systeme zusammen, für die ähnliche Sicherheitsregeln gelten. Die räumliche Nähe reicht dafür nicht. Ein Notebook der Administration und ein privates Gastgerät können im selben Besprechungsraum stehen, brauchen aber völlig andere Zugriffe.

Für Hafenblick gelten diese Anforderungen:

• Bürocomputer bearbeiten Aufträge, legen Dateien ab und lösen Namen auf. Sie dürfen dafür ausgewählte interne Dienste nutzen.
• Gäste benötigen ausschließlich Internetzugang. Sie dürfen keine internen Netze erreichen.
• Server stellen Datei- und Basisdienste bereit. Sie nehmen nur festgelegte Verbindungen an.
• Administrationsnotebooks verwalten Netzwerkkomponenten. Sie liegen in einer eigenen Administrationszone, damit ihre Zugriffe auf die vorgesehenen Geräte begrenzt werden können.
• Switches und Accesspoints werden verwaltet und senden Protokolle. Ihre Verwaltungsschnittstellen sind aus normalen Clientnetzen nicht erreichbar.

Daraus entstehen fünf Zonen mit jeweils einem VLAN und einem eigenen IP-Netz:

• Bürozone: VLAN 10, 10.86.10.0/24, verwaltete Bürocomputer
• Gästezone: VLAN 30, 10.86.30.0/24, private Geräte im Gäste-WLAN
• Serverzone: VLAN 90, 10.86.90.0/24, DNS, DHCP und Dateiserver
• Administrationszone: VLAN 98, 10.86.98.0/24, vorgesehene Administrationsnotebooks
• Managementzone: VLAN 99, 10.86.99.0/24, Verwaltungsschnittstellen der Netzwerkkomponenten

Die VLAN-Nummer ist eine technische Kennzeichnung, keine Sicherheitsstufe. VLAN 99 ist nicht sicherer als VLAN 10, nur weil die Zahl höher ist. Die Sicherheit entsteht aus der passenden Zuordnung und aus den kontrollierten Übergängen zwischen den Zonen.

Ein VLAN trennt, entscheidet aber nicht über Zugriffe

Ein Virtual Local Area Network (VLAN) bildet auf VLAN-fähigen Switches einen eigenen logischen Broadcast-Bereich. Geräte in verschiedenen VLANs tauschen nicht einfach auf Layer 2 miteinander aus. IEEE 802.1Q beschreibt unter anderem, wie VLAN-Zugehörigkeit auf Verbindungen gekennzeichnet werden kann.

Diese Trennung beantwortet aber noch nicht die Frage, wer auf welchen Dienst zugreifen darf. Sobald eine Layer-3-Komponente zwischen den VLANs routet, kann grundsätzlich ein IP-Datenweg entstehen. Ohne Filterregeln könnte das Gäste-VLAN dann ebenso zum Servernetz geroutet werden wie das Büronetz.

NIST SP 800-207 ordnet dazu einen grundlegenden Sicherheitsgedanken ein: Allein der Netzwerkstandort begründet kein automatisches Vertrauen. In diesem Szenario bedeutet das nicht, dass du eine vollständige Zero-Trust-Architektur bauen musst. Es bedeutet, dass auch ein internes Gerät nur die Verbindungen erhalten sollte, die seine Aufgabe braucht.

Datenflüsse kommen vor den Regeln

Eine gute Regelmatrix beginnt nicht mit Portnummern. Zuerst beschreibst du den fachlichen Datenfluss: Welches System braucht welchen Dienst, und warum? Erst danach ergänzt du Protokoll und Port so genau wie nötig.

Für Hafenblick wurden diese Anforderungen bestätigt:

1. Bürocomputer greifen per SMB auf den Dateiserver 10.86.90.20 zu.
2. Bürocomputer und Administrationsnotebooks fragen den DNS-Server 10.86.90.10 ab.
3. Der DHCP-Server 10.86.90.11 versorgt Büro- und Gäste-VLAN über einen Relay-Agenten an ihren Gateways.
4. Gäste erreichen nur das Internet über die äußere Firewall-Schnittstelle.
5. Das Administrationsnotebook 10.86.98.50 verwaltet die Switches per HTTPS und SSH.

Ein Datenfluss ist dabei gerichteter als die Aussage “Netze dürfen miteinander reden”. Er nennt mindestens Quelle, Ziel, Dienst und Zweck. Bei einer zustandsbehafteten Firewall werden passende Antwortpakete zu einer erlaubten Verbindung erkannt. Du brauchst deshalb nicht pauschal eine zweite weit offene Regel für jeden Rückweg.

Der kontrollierte Übergang verbindet Routing und Policy

Im neuen Entwurf stellt eine zentrale Firewall die Standardgateways der fünf VLANs bereit. Die Trunk-Verbindung vom Core-Switch transportiert die fünf VLANs bis zur Firewall. Dort endet jedes VLAN an einer eigenen logischen Schnittstelle. Die Firewall übernimmt damit sowohl das Inter-VLAN-Routing als auch die Prüfung der Übergänge.

Das ist eine passende Lösung für das überschaubare Szenario, weil die Vertrauensgrenzen an einer Stelle kontrolliert und protokolliert werden. In anderen Netzen kann ein Layer-3-Switch routen und mit Zugriffskontrolllisten filtern. Welche Variante passt, hängt unter anderem von Durchsatz, Funktionen, Betrieb und vorhandenen Komponenten ab. Entscheidend ist, dass kein unkontrollierter Nebenweg die vorgesehenen Regeln umgeht.

Eine Regelmatrix macht das Konzept prüfbar

NIST SP 800-41 empfiehlt, Firewall-Regeln aus einer dokumentierten Policy abzuleiten und regelmäßig zu prüfen. Für das Szenario gilt deshalb: Nicht ausdrücklich benötigte Übergänge bleiben gesperrt. Die folgende Regelmatrix ist ein fachlicher Soll-Zustand, keine Syntax für ein bestimmtes Produkt.

Regel 10: DNS für das Büro

• Quelle und Ziel: Bürozone zu 10.86.90.10
• Dienst und Aktion: UDP und TCP 53 erlauben
• Prüfung: DNS-Auflösung testen

Regel 20: Dateidienst für das Büro

• Quelle und Ziel: Bürozone zu 10.86.90.20
• Dienst und Aktion: TCP 445 erlauben
• Prüfung: Dateifreigabe mit einem Testkonto öffnen

Regel 25: DNS für die Administration

• Quelle und Ziel: Administrationszone zu 10.86.90.10
• Dienst und Aktion: UDP und TCP 53 erlauben
• Prüfung: DNS-Auflösung vom Administrationsnotebook testen

Regel 30: Verwaltung der Switches

• Quelle und Ziel: 10.86.98.50 zu den Switch-Verwaltungsadressen in VLAN 99
• Dienst und Aktion: TCP 22 und 443 erlauben und protokollieren
• Prüfung: SSH und HTTPS vom Administrationsnotebook testen

Regel 40: Internetzugriff für das Büro

• Quelle und Ziel: Bürozone zum Internet
• Dienst und Aktion: benötigte Webdienste nach Betriebsrichtlinie erlauben
• Prüfung: einen freigegebenen externen Testdienst aufrufen

Regel 50: interne Netze vor Gästen schützen

• Quelle und Ziel: Gästezone zu privaten internen Netzen
• Dienst und Aktion: alle Dienste sperren und die Versuche protokollieren
• Prüfung: DNS-, Datei- und Managementzugriff müssen scheitern

Regel 60: Internetzugriff für Gäste

• Quelle und Ziel: Gästezone zum Internet
• Dienst und Aktion: Dienste nach Gäste-Richtlinie erlauben
• Prüfung: Internetzugang testen

Regel 999: nicht beschriebene Übergänge

• Quelle und Ziel: alle übrigen Zonen zu allen übrigen Zielen
• Dienst und Aktion: alle Dienste sperren
• Prüfung: je Zone mindestens einen nicht erlaubten Übergang testen

Der DHCP-Datenfluss braucht eine gesonderte Betrachtung: Clients senden zunächst Broadcasts in ihrem lokalen VLAN. Der Relay-Agent am jeweiligen Gateway leitet diese Anfragen gezielt an 10.86.90.11 weiter. Die Regelbasis muss deshalb den Datenfluss zwischen Relay und DHCP-Server passend zur konkreten Implementierung erlauben. Eine pauschale Freigabe vom gesamten Gäste-VLAN zum Servernetz wäre dafür zu weit.

Eine Regel ist erst vollständig, wenn auch ihre Prüfung feststeht. Ein positiver Test zeigt, dass ein benötigter Dienst funktioniert. Ein negativer Test zeigt, dass ein nicht erlaubter Übergang gesperrt bleibt. Für Regel 50 reicht deshalb nicht nur ein erfolgreicher Internetaufruf. Zusätzlich muss ein Gastgerät beim Versuch zum Dateiserver oder zur Switch-Verwaltung scheitern.

Prüfe die Segmentierung aus beiden Richtungen

Nach der Konfiguration vergleichst du den Ist-Zustand mit der Matrix. Ein kleiner Testplan hält fest, von welchem Ausgangssystem du welches Ziel mit welchem Dienst prüfst und welches Ergebnis erwartet wird.

• Vom Bürocomputer muss eine DNS-Abfrage an 10.86.90.10 erfolgreich sein.
• Vom Bürocomputer muss die SMB-Verbindung zu 10.86.90.20 erfolgreich sein.
• Vom Administrationsnotebook muss eine DNS-Abfrage an 10.86.90.10 erfolgreich sein.
• Vom Gastgerät muss die SMB-Verbindung zu 10.86.90.20 scheitern und protokolliert werden.
• Vom Gastgerät muss HTTPS zur Switch-Verwaltung scheitern und protokolliert werden.
• Vom Administrationsnotebook muss HTTPS zu einer Switch-Verwaltungsadresse funktionieren und protokolliert werden.
• Vom normalen Bürocomputer muss HTTPS zu einer Switch-Verwaltungsadresse scheitern.

Wenn ein unerlaubter Test trotzdem gelingt, prüfst du nicht nur die sichtbare Einzelregel. Möglich sind auch eine frühere allgemeinere Regel, eine falsche Zonen- oder VLAN-Zuordnung, ein zusätzliches Gateway oder eine Managementschnittstelle im falschen Netz. Segmentierung ist nur wirksam, wenn alle vorgesehenen Datenwege über die kontrollierte Grenze führen.

Übertrage das Vorgehen auf eine neue Niederlassung

Was du aus dem Entwurf mitnehmen kannst

Eine nachvollziehbare Segmentierung entsteht in einer festen Reihenfolge:

1. Erfasse Systeme, Aufgaben und Schutzbedarf.
2. Fasse Systeme mit ähnlichen Regeln zu Vertrauenszonen zusammen.
3. Ordne jeder Zone ein VLAN und ein eigenes IP-Netz zu.
4. Beschreibe jeden benötigten Datenfluss mit Quelle, Ziel, Dienst und Zweck.
5. Lege fest, wo Routing und Zugriffskontrolle stattfinden.
6. Übertrage die Datenflüsse in eine minimale Regelmatrix.
7. Prüfe erlaubte und gesperrte Wege und dokumentiere das Ergebnis.

Damit steht nicht nur eine Liste von VLANs. Du kannst erklären, warum die Zonen existieren, welcher Verkehr ihre Grenzen passieren darf und wie du die Wirkung kontrollierst.

Quellenbasis und Abgrenzung

Der KMK-Rahmenlehrplan ordnet die Analyse von Bedrohungen, die Planung von Sicherheitsmaßnahmen sowie den sicheren Betrieb vernetzter Systeme dem Lernfeld 11b zu. Die Fachinformatikerausbildungsverordnung trägt den Bezug zum Installieren und Konfigurieren von Netzwerken und nennt im Prüfungsbereich “Analyse und Entwicklung von Netzwerken” die IT-Sicherheit in Netzwerken. Der FISI-Prüfungskatalog 2026 führt VLAN, Routing, Firewalls und Sicherheitslösungen in Netzwerken auf.

Die Beispielprüfungen wurden ausschließlich genutzt, um wiederkehrende Tätigkeiten wie VLAN-Zuordnung, Routing und die Bewertung ungefilterten Verkehrs zu erkennen. Unternehmen, Zonenmodell, Adressen, Regelmatrix und Aufgaben dieser Lektion sind neu. IEEE 802.1Q trägt die technische Einordnung der VLAN-Segmentierung. NIST SP 800-41 stützt die Ableitung und Prüfung einer Firewall-Policy. NIST SP 800-207 trägt die Abgrenzung, dass ein Netzwerkstandort allein kein Vertrauen begründet.

Diese Lektion berechnet keine Subnetze und zeichnet keinen vollständigen physischen Netzwerkplan. Sie konfiguriert kein bestimmtes Switch- oder Firewall-Produkt. Eine Demilitarized Zone (DMZ) für aus dem Internet erreichbare Dienste, Network Access Control, Mikrosegmentierung, Hochverfügbarkeit und eine vollständige Zero-Trust-Architektur brauchen eigene Entwürfe. Hier bleibt der Dateiserver ausschließlich intern erreichbar, deshalb ist die Serverzone nicht automatisch eine DMZ.

Belegmatrix

• Systeme Vertrauenszonen zuordnen: LF11b und C2 bilden den Ordnungsmittelbezug. Rahmenlehrplan, Ausbildungsordnung und NIST SP 800-207 tragen die Handlung. Szenarioanalyse und Zuordnungsaufgabe machen das Lernziel beobachtbar.
• VLAN und Zugriffskontrolle unterscheiden: LF11b, C2 und SI-PB3 bilden den Ordnungsmittelbezug. Prüfungskatalog, IEEE 802.1Q und NIST SP 800-41 tragen die Einordnung. Erklärung, Merksatz und Entscheidungsquiz prüfen das mentale Modell.
• Datenflüsse vollständig beschreiben: LF11b und SI-PB3 bilden den Ordnungsmittelbezug. Ausbildungsordnung, Prüfungskatalog und NIST SP 800-41 tragen die Policy-Ableitung. Mehrfachauswahl und Regelmatrix machen Quelle, Ziel, Dienst und Zweck prüfbar.
• Routing und Regeln verbinden: LF11b, C2 und SI-PB3 bilden den Ordnungsmittelbezug. Prüfungskatalog und abstrahierte Beispielmuster tragen die Anwendung. Diagramm mit gleichwertiger Textfassung zeigt den kontrollierten Übergang.
• Regelmatrix prüfen: LF11b und SI-PB3 bilden den Ordnungsmittelbezug. NIST SP 800-41 trägt die Prüfung der Firewall-Policy. Fehlersuche, Testmatrix und Transferaufgabe bilden positive und negative Tests ab.