Kurz gesagt: Netzsegmentierung heißt, ein Firmennetz in getrennte Bereiche zu teilen, damit ein befallener PC, ein Gast-Laptop oder eine Kamera nicht direkt an die Server kommt. VLANs sind das übliche Werkzeug dafür: Sie trennen das Netz logisch auf denselben Switches, und eine Firewall kontrolliert den Verkehr zwischen den Segmenten. Das BSI zählt die Segmentierung des Netzes zu seinen Top 10 Maßnahmen gegen Ransomware, weil sie den Schaden eines Angriffs begrenzt.
Stand: 03.11.2026
Warum sollte ein Firmennetz überhaupt getrennt werden?
In vielen kleinen Unternehmen hängt alles in einem Netz: Server, Arbeitsplätze, Drucker, WLAN für Gäste, Kameras, Telefone und die Steuerung der Heizung. Das funktioniert, bis ein Gerät kompromittiert wird. Dann kann sich ein Angreifer ungehindert im Netz umsehen, weil nichts zwischen den Geräten steht. Das BSI schreibt dazu auf seiner Seite zu den Top 10 Ransomware-Maßnahmen: Eine saubere Segmentierung begrenzt den Schaden, weil Schadsoftware dann nur die Systeme im selben Segment erreicht. Es weist auch darauf hin, dass dafür ein sicherer Umgang mit Administratorkonten nötig ist, sonst wird das Konzept untergraben.
Im IT-Grundschutz-Kompendium behandelt das BSI das Thema im Baustein NET.1.1 Netzarchitektur und -design. Sein Ziel ist laut BSI, Informationssicherheit als festen Bestandteil von Netzarchitektur und Netzdesign zu verankern. Aus unserer Praxis empfehlen wir als Minimum für jedes Firmennetz: Clients und Server in getrennten Segmenten, eine Firewall, die den Verkehr dazwischen kontrolliert, ein eigenes Segment für Gäste und nur Geräte mit ähnlichem Sicherheitsniveau im selben Segment.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Was ist ein VLAN?
Ein VLAN (Virtual Local Area Network) ist ein logisch getrenntes Netz auf gemeinsamer Hardware. Ein verwalteter Switch kann seine Ports verschiedenen VLANs zuordnen: Port 1 bis 8 gehören zum Server-VLAN, Port 9 bis 24 zum Client-VLAN, der Port zum Access Point transportiert mehrere VLANs gleichzeitig (Tagging nach IEEE 802.1Q). Geräte in verschiedenen VLANs sehen sich nicht, obwohl sie am selben Switch stecken. Jedes VLAN bekommt ein eigenes IP-Subnetz, und der Übergang zwischen den VLANs läuft über einen Router oder, besser, über die Firewall, die Regeln durchsetzt.
Damit bildest du die Segmentierung ab, ohne für jedes Segment eigene Switches zu kaufen. Für die meisten kleinen und mittleren Unternehmen ist das der wirtschaftlichste Weg.
Welche Segmente braucht ein kleines Unternehmen?
Aus unserer Praxis hat sich für ein typisches KMU diese Aufteilung bewährt:
| Segment | Was gehört hinein | Warum getrennt |
|---|---|---|
| Server | Dateiserver, Datenbank, Domänencontroller, Virtualisierungshosts | Hier liegen die Daten, Clients greifen nur auf freigegebene Dienste zu |
| Infrastrukturdienste | DNS, DHCP, Zeitserver, bei größeren Netzen getrennt vom Server-Segment | Fallen sie aus oder werden manipuliert, betrifft das alle anderen Segmente |
| Clients | Arbeitsplatz-PCs und Notebooks des Unternehmens | Häufigster Einstiegspunkt über E-Mail und Web |
| Gäste | WLAN für Besucher, private Smartphones | Fremde Geräte, über die du keine Kontrolle hast |
| Geräte ohne Kontrolle | Kameras, Drucker, Gebäudetechnik, Telefone, Maschinen | Selten aktualisiert, oft mit Standardpasswörtern |
| Management | Verwaltungszugänge von Switches, Firewall, Hypervisor, USV | Wer hier zugreift, kontrolliert das ganze Netz |
| DMZ | Systeme, die aus dem Internet erreichbar sind | Ein kompromittierter Webdienst darf nicht ins interne Netz führen |
Für das Management-Segment empfehlen wir: Die Verwaltungsoberflächen der Infrastruktur stehen in einem eigenen Segment, eine Firewall kontrolliert den Zugriff, und die Administration läuft möglichst getrennt vom normalen Datenverkehr. Für kleine Netze reicht in der Regel ein eigenes Management-VLAN, auf das nur die Admin-Arbeitsplätze zugreifen dürfen.
Wie setzt du die Segmentierung um?
- Netzplan erstellen. Er enthält neben den Geräten auch die logische Struktur mit Zonen und Segmenten. Ohne Plan weißt du nicht, welches Gerät in welches Segment gehört.
- Festlegen, was mit wem reden darf. Schreib auf, welche Verbindungen zwischen Segmenten erlaubt sind. Clients dürfen auf Dateiserver und Drucker, Kameras nur auf den Aufzeichnungsserver, Gäste nur ins Internet.
- VLANs auf den Switches anlegen und die Ports zuordnen. Access Points bekommen getaggte Ports mit allen WLAN-VLANs, Server-Ports das Server-VLAN, freie Ports ein Sperr-VLAN ohne Verbindung.
- Firewall als Übergang einrichten. Jedes VLAN endet an einer Schnittstelle der Firewall. Dort gilt das Allowlist-Prinzip: Alles ist verboten, außer dem, was in Schritt 2 erlaubt wurde.
- Prüfen, dass VLANs nicht überwunden werden können. Praktisch heißt das: kein Gerät mit einem Bein in zwei VLANs, keine Trunk-Ports an Benutzerplätzen, Standard-VLAN 1 nicht produktiv nutzen.
- Regelmäßig Soll und Ist vergleichen. Gleiche die reale Konfiguration regelmäßig mit dem Netzplan ab. Neue Geräte landen sonst still im falschen Segment.
Wo sind die Grenzen von VLANs?
VLANs sind eine logische Trennung. Systeme mit unterschiedlichem Schutzbedarf gehören in getrennte Segmente, und wenn das nicht möglich ist, sollte sich das Segment nach dem höchsten Schutzbedarf richten. Teilen sich mehrere Firmen einen Switch, etwa in einem Bürogebäude, raten wir zu physisch getrennten Switches oder verschlüsselten Verbindungen. Wo besonders schützenswerte Daten verarbeitet werden, ist eine physische Trennung mit eigenen Switches die sicherere Wahl. Für das normale Firmennetz eines KMU sind VLANs mit Firewall dazwischen aber genau die angemessene Lösung, und sie lassen sich mit vorhandener Hardware umsetzen, sofern die Switches verwaltbar sind.
So unterstützen wir dich
Wir planen und bauen segmentierte Netze für Unternehmen in Osnabrück und Umgebung: Netzplan, VLAN-Konzept, Securepoint-Firewall als Übergang, verwaltete Switches und WLAN mit getrennten Netzen für Mitarbeitende und Gäste. Entfernter betreuen wir die Konfiguration per Fernwartung. Was ein gemanagtes Netzwerk bei uns umfasst, liest du auf der Seite Netzwerk für Unternehmen. Für Managed IT gibt es planbare Monatspauschalen, Projekte rechnen wir nach Aufwand ab.
Häufige Fragen
Brauche ich neue Switches für VLANs?
Nur, wenn deine Switches nicht verwaltbar sind. Einfache unmanaged Switches kennen keine VLANs. Verwaltete Switches und eine Firewall mit mehreren Schnittstellen oder VLAN-Unterstützung reichen aus.
Wie viele VLANs sind sinnvoll?
So wenige wie möglich, so viele wie nötig. Server, Clients, Gäste, Geräte ohne Kontrolle und Management sind ein guter Start. Entscheidend ist, dass Geräte mit ähnlichem Sicherheitsniveau zusammenstehen, nicht eine bestimmte Zahl.
Ist ein Gast-WLAN im eigenen VLAN wirklich nötig?
Ja, das empfehlen wir immer. Gäste dürfen nur ins Internet, nicht ins Firmennetz.
Reicht ein VLAN ohne Firewall?
Nein. Ohne Regeln am Übergang routet der Switch oder Router einfach zwischen den VLANs. Erst die Firewall mit Allowlist macht aus der Trennung einen Schutz.
Quellen
- NET.1.1 Netzarchitektur und -design (Edition 2023) (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- Top 10 Ransomware-Maßnahmen (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
