Ein Netz für alles

Bei einer Bestandsaufnahme in einem Betrieb mit zwei Standorten fanden wir 140 Geräte im Netz. Die Liste der Verantwortlichen kannte 90.

Der Rest: zwei alte Drucker, ein längst ersetztes NAS, das nie abgeklemmt wurde, zwei Tablets aus einem Projekt von 2019 — und eine Klimasteuerung mit Weboberfläche, deren Passwort noch das aus der Auslieferung war. Alle in demselben Netz wie der Server mit der Buchhaltung. Genau darum geht es bei der Netzwerk-Segmentierung: Nicht darum, dass jemand einen Fehler gemacht hat, sondern darum, dass ein flaches Netz jedes einzelne Gerät zum möglichen Einstieg macht.

Server und Arbeitsplätze werden gepflegt. Updates laufen, Virenschutz ist aktiv, jemand fühlt sich zuständig. Bei allem anderen ist das anders — und alles andere sind heute die meisten Geräte:

Kameras und Türsprechanlagen. Drucker und Multifunktionsgeräte. Zeiterfassung, Zutrittskontrolle, Alarmanlage. Klima-, Heizungs- und Torsteuerungen. Und Steuerungsrechner an Maschinen, die nicht aktualisiert werden dürfen, weil sonst die Herstellerfreigabe fällt.

Diese Geräte laufen jahrelang unangetastet, bekommen selten Updates, und niemand denkt an sie. Deshalb sind sie interessant. Der Maschinenrechner ist dabei der ehrlichste Fall: Er darf oft gar nicht aktualisiert werden. Ihn abzuschotten ist nicht die zweitbeste Lösung, sondern die einzige.

Dass das Netz in Bereiche geteilt wird und festgelegt ist, welcher Bereich mit welchem sprechen darf. Man muss sich darunter keinen Umbau vorstellen — in den allermeisten Betrieben ist die Verkabelung längst geeignet, es fehlt nur die Aufteilung darauf.

Typischerweise entstehen vier bis sechs Bereiche: Arbeitsplätze, Server, Nebengeräte, Gäste, dazu je nach Betrieb Produktion und Fernwartung. Dazwischen gilt dann eine simple Grundregel: erlaubt ist, was gebraucht wird, nicht was möglich ist. Der Arbeitsplatz muss zum Server, der Server nicht zur Kamera. Das Gäste-WLAN muss ins Internet und sonst nirgendwohin.

Zwei Dinge entscheiden darüber, ob das auf Dauer trägt. Erstens gehören die Regeln an eine Stelle — wenn drei Geräte mitentscheiden, wer wohin darf, weiß nach zwei Jahren niemand mehr, warum etwas geht oder nicht geht. Eine Firewall als zentrales Regelwerk ist nicht die teuerste Variante, sondern die, die man in fünf Jahren noch versteht. Zweitens wird schrittweise gearbeitet: erst das Gästenetz, dann die Nebengeräte, dann die Produktion. Jeder Schritt bringt für sich schon etwas, und keiner legt den Betrieb still.

An vier Prüfungen, für die Sie kein Werkzeug brauchen:

• Gibt es ein getrenntes Gäste-WLAN — getrennt, nicht bloß mit eigenem Passwort?
• Kann ein normaler Arbeitsplatz die Kamera-Oberfläche aufrufen? Wenn ja, kann es jedes Gerät im Haus.
• Hängen Besprechungsraum und Serverschrank an derselben Netzstruktur?
• Weiß jemand, welche Geräte überhaupt im Netz sind — und stimmt die Liste?

Die letzte Frage ist die unangenehmste, und sie ist der Grund, warum am Anfang keine Umstellung steht, sondern eine Bestandsaufnahme.

Die Klimasteuerung landete anschließend im Bereich für Nebengeräte: erreichbar für die zwei Menschen, die sie bedienen, unerreichbar für alles andere. Aufwand dafür: etwa ein Arbeitstag, zusammen mit dem Rest der Aufteilung.

Das Passwort haben wir trotzdem geändert. Segmentierung ersetzt keine Grundhygiene, sie begrenzt nur den Schaden, wenn die Hygiene irgendwo fehlt — und irgendwo fehlt sie immer.

Kein Neubau — meistens reicht die vorhandene Verkabelung, die Aufteilung passiert in der Konfiguration. Keine Einschränkung im Alltag: Richtig gemacht merken die Mitarbeiter nichts; wenn sie etwas merken, war die Aufteilung zu grob. Und kein Ersatz für alles andere. Ein Klick auf den falschen Anhang im Büro wird dadurch nicht verhindert. Verhindert wird, dass daraus ein Vorfall für den ganzen Betrieb wird.

Wo das im Gesamtbild steht, haben wir auf der Übersicht zur IT-Sicherheit im Mittelstand einsortiert.

Bevor man aufteilt, muss man wissen, was da ist. Diese Bestandsaufnahme — welche Geräte, welche Aufgabe, wer braucht Zugriff — ist die eigentliche Arbeit; die Aufteilung folgt daraus fast von allein.

Wir machen das im laufenden Betrieb und legen Ihnen danach eine Liste vor: was im Netz steht, was davon niemandem gehört und welche drei Trennungen bei Ihnen den größten Unterschied machen. Ob und wann Sie umsetzen, entscheiden Sie danach.