Netzwerksegmentierung
Definition
Netzwerksegmentierung bezeichnet die strukturierte Aufteilung eines IT-Netzwerks in logisch oder physisch isolierte Segmente (Zonen), zwischen denen Kommunikation nur durch explizite, kontrollierte Regeln erlaubt wird. Sie reduziert die laterale Angriffsbewegung erheblich: Ein Angreifer, der ein Segment kompromittiert, kann nicht ohne weiteres auf andere Netzwerkbereiche übergreifen und seinen Angriff ausweiten. Im NIS2-Kontext ist Netzwerksegmentierung eine explizit genannte Stand-der-Technik-Maßnahme des BSI und ein zentrales Element des Zero-Trust-Architekturansatzes. Typische Segmentierungsebenen umfassen Produktionsnetzwerke, Büronetzwerke, WLAN-Gastzugänge, Server-Zonen und demilitarisierte Zonen (DMZ) für öffentlich erreichbare Dienste. Mikrosegmentierung als erweiterte Form der Netzwerktrennung ermöglicht feingranulare Kontrolle bis auf Workload-Ebene.
Rechtsgrundlage
§ 30 Abs. 1 BSIG verpflichtet betroffene Einrichtungen zur Umsetzung geeigneter technischer Sicherheitsmaßnahmen nach aktuellem Stand der Technik, wozu das BSI IT-Grundschutz-Kompendium (Baustein NET.1.1 Netzarchitektur und -design) ausdrücklich Netzwerksegmentierung als verpflichtende Maßnahme zählt. ISO/IEC 27001:2022 Anhang A, Kontrolle 8.22 (Segregation of networks) fordert eine risikoorientierte Netzwerktrennung als Standardkontrolle für alle Einrichtungen mit erhöhtem Schutzbedarf. Das BSI IT-Grundschutz-Kompendium konkretisiert die Anforderungen in Baustein NET.1.1 mit konkreten Referenzarchitekturen und Mindestanforderungen für typische Unternehmensszenarien.
Praktische Implikation
Dokumentieren Sie zunächst Ihre aktuelle Netzwerkarchitektur vollständig mit allen Verbindungen, Protokollen und Kommunikationsflüssen — eine genaue Bestandsaufnahme ist Voraussetzung für jede sinnvolle Segmentierungsstrategie. Priorisieren Sie die Trennung besonders kritischer Systeme (z. B. Produktionssteuerung, Datenbanken, Backupsysteme) von weniger kritischen Bereichen wie allgemeinen Büronetzwerken. Implementieren Sie Firewall-Regeln nach dem Prinzip der minimalen Konnektivität: nur explizit benötigte Kommunikation wird zugelassen, alles andere wird gesperrt. Testen Sie die Segmentierungsregeln regelmäßig durch Penetrationstests oder Vulnerability-Scans, um ungewollte Verbindungen frühzeitig zu erkennen. Dokumentieren Sie alle Segmentierungsentscheidungen, Regelwerke und Ausnahmen nachvollziehbar als Nachweis für BSI-Prüfungen.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen