Segmentierung des Firmennetzwerks mit VLAN: Kameras, Drucker und Gäste getrennt

Die kurze Antwort: Befinden sich Kameras, Drucker, Gäste und der Buchhaltungsrechner im selben Netzwerk, genügt es, das schwächste Gerät zu kompromittieren, damit ein Angreifer auf alles andere zugreifen kann. Die Lösung ist Segmentierung: Ein physisches Netzwerk wird in getrennte VLANs (virtuelle Netzwerke nach dem Standard IEEE 802.1Q) aufgeteilt und durch Regeln ergänzt, die zwischen ihnen nur den notwendigen Datenverkehr zulassen. Die dafür erforderliche Technik ist heute auch für Unternehmen mit fünf Beschäftigten verfügbar.

Was ist ein flaches Netzwerk und warum ist es gefährlich?

Ein flaches Netzwerk bedeutet, dass alle Geräte im Unternehmen denselben IP-Adressbereich und dieselbe Broadcast-Domäne verwenden. Der Laptop der Buchhaltung, das NAS mit den Sicherungen, der Drucker, acht IP-Kameras und das Smartphone einer Aushilfskraft befinden sich im selben Bereich. Wer Zugriff auf eines dieser Geräte erhält, kann von dort aus alle anderen untersuchen: offene Ports, freigegebene Ordner, Druckwarteschlangen und die Weboberflächen der Kameras.

Eine Firewall an der Grenze zum Internet hilft hier nicht, denn sie kontrolliert den Datenverkehr von außen nach innen. Sobald sich ein Angreifer im Netzwerk befindet, bewegt er sich seitwärts weiter (Lateral Movement, also von Gerät zu Gerät), ohne dass die Firewall am Netzwerkrand etwas davon bemerkt, da dieser Datenverkehr sie gar nicht durchläuft.

Besonders anschaulich zeigt sich das bei Ransomware: Ein Gerät wird kompromittiert, der Angreifer ermittelt die im Netzwerk sichtbaren Ressourcen und verschlüsselt auch ein als Netzlaufwerk eingebundenes NAS. Ohne Segmentierung bedeutet „sichtbar“ schlicht „alles“. Wie der erste Tag eines solchen Vorfalls aussieht, beschreibt der Artikel Ransomware im Unternehmen: die ersten 24 Stunden.

Über welche Geräte Angreifer typischerweise ins Netzwerk gelangen

IP-Kameras und Rekorder

Das Botnetz Mirai aus dem Jahr 2016 ist ein Lehrbuchbeispiel. Es durchsuchte das Internet nach Geräten, die durch werkseitige oder fest im System hinterlegte Benutzernamen und Passwörter geschützt waren, meldete sich über Telnet und SSH an und rekrutierte Router, IP-Kameras und Videorekorder. Im September 2016 legte ein von Mirai ausgeführter Angriff die Website KrebsOnSecurity mit einem Datenverkehr von 620 Gb/s lahm. Am 1. Oktober 2016 wurde der Quellcode des Botnetzes im Forum Hackforums veröffentlicht. Eine auf der Konferenz USENIX Security 2017 vorgestellte Analyse bezifferte den Höchststand auf rund 600.000 infizierte Geräte.

Für ein kleines Unternehmen ist nicht das Volumen dieses Angriffs entscheidend, sondern der Zugangsweg: ein Standardpasswort. Verzeichnisse mit werkseitigen Zugangsdaten für Kameras sind öffentlich verfügbar und umfassen Dutzende Hersteller, darunter Axis, Hikvision, Dahua, Bosch, Pelco und Sony. Einige Hersteller – etwa Hanwha, Hikvision und Panasonic – erzwingen heute bei der ersten Anmeldung ein eigenes Passwort. Andere weisen lediglich darauf hin und erlauben trotzdem die weitere Einrichtung. Ein typischer Fund in der Praxis: ein sechs Jahre altes Kamerasystem, dessen Firmware nie aktualisiert wurde und dessen Oberfläche aus dem gesamten Firmennetz erreichbar ist.

Netzwerkdrucker

Drucker stellen Port 9100 für den sogenannten Raw-Print-Dienst (JetDirect/AppSocket) bereit, der grundsätzlich keine Anmeldung vorsieht. Wer diesen Port erreichen kann, kann Druckaufträge und bei den meisten Geräten auch PJL-Steuerbefehle senden: Variablen im NVRAM lesen und ändern, auf das Dateisystem des Druckers zugreifen oder den Text auf dem Display überschreiben.

Noch problematischer ist der Inhalt der Konfiguration. Ein Multifunktionsgerät, das für „In Ordner scannen“ und „An E-Mail scannen“ eingerichtet ist, speichert Zugangsdaten für SMB, LDAP, SMTP oder FTP – also für freigegebene Ordner, das Benutzerverzeichnis und das E-Mail-System. Ein Drucker mit veralteter Firmware ist deshalb nicht nur ein Drucker, sondern auch ein Speicher für Dienstkonten. Die Empfehlungen verschiedener Quellen stimmen überein: Port 9100 sollte ausschließlich von Druckservern oder aus dem Drucker-VLAN erreichbar und niemals direkt dem Internet ausgesetzt sein.

Smart-TVs und andere IoT-Geräte

Ein Android-Fernseher im Besprechungsraum, ein Konferenzsystem, ein Zeiterfassungsterminal oder eine Klimaanlage mit WLAN: Niemand kümmert sich um ihre Aktualisierung, der Hersteller stellt nach einigen Jahren keine neue Firmware mehr bereit und das Gerät bleibt weitere acht Jahre im Netzwerk – mit vollständigem Zugriff auf alles andere, weil es irgendwann einfach mit dem Firmen-WLAN verbunden wurde.

Wie VLAN funktioniert

Der Standard IEEE 802.1Q ergänzt einen Ethernet-Frame um eine Kennzeichnung (Tag) mit einer VLAN-Nummer. Anhand dieser Kennzeichnung entscheidet der Switch, wohin der Frame weitergeleitet werden darf. In der Praxis sind drei Begriffe wichtig:

  • Access-Port (untagged) — ein Port für ein einzelnes Endgerät. Ihm ist eine PVID zugewiesen, also die Nummer des VLANs, dem eingehender unmarkierter Datenverkehr zugeordnet wird. Eine Kamera an einem Port mit PVID 30 befindet sich im VLAN 30, ohne selbst davon zu wissen; an der Kamera muss nichts eingestellt werden.
  • Trunk-Port (tagged) — ein Port zwischen Switches oder zwischen Switch und Router, über den mehrere VLANs gleichzeitig übertragen werden, wobei jeder Frame seine eigene Kennzeichnung trägt.
  • Gateway — der Router oder die Firewall besitzt eine Schnittstelle für jedes VLAN, stellt dort DHCP bereit und entscheidet anhand von Regeln, welche Systeme miteinander kommunizieren dürfen.

Die entscheidende Folge: Der Datenverkehr zwischen zwei VLANs muss immer über den Router laufen. Die Regeln werden zentral an einer Stelle definiert, und die Standardregel sollte „verboten“ lauten. Freigegeben werden konkrete Ausnahmen, nicht umgekehrt.

Dabei handelt es sich um eine logische Trennung, die auf der vorhandenen physischen Infrastruktur aufbaut. Zusätzliche Kabel müssen dafür in der Regel nicht verlegt werden. Mit der physischen Seite des Netzwerks – Verkabelung, Netzwerkschrank, Beschriftung und Zustand der Ports – befasst sich der Audit des Computernetzwerks und der Verkabelung.

Welche Segmente getrennt werden sollten und was wohin gehört

SegmentWas gehört hinein?Zugang zum InternetZugang zu anderen SegmentenWarum getrennt?
ArbeitsstationenLaptops und PCs der Beschäftigten, Firmenhandysjanur zu bestimmten Diensten auf Servern und Druckernvon hier stammen die meisten Infektionen (Anhänge, Websites, USB-Geräte)
Server und NASDomänencontroller, Dateiserver, ERP, Buchhaltungnur für Updateskein ausgehender Zugriff auf Client-Netzwerkeein Server muss nicht selbstständig eine Verbindung zum Rechner eines Benutzers aufbauen
Kameras und IoTIP-Kameras, Rekorder, Fernseher, Zeiterfassung, Sensorensperren, sofern der Hersteller keine Cloud-Anbindung voraussetztkeinerGeräte ohne Updates dürfen keinen Zugriff auf Daten haben
DruckerMultifunktionsgeräte, Druckservernur für Firmware-Updatesnur Annahme von Druckaufträgen aus dem ArbeitsplatznetzPort 9100 erfordert keine Anmeldung, die Konfiguration enthält Dienstkonten
Gäste und BYODBesucher, private Smartphones, Techniker von Dienstleisternja, mit GeschwindigkeitsbegrenzungkeinerGeräte außerhalb Ihrer Verwaltung, über deren Zustand Sie nichts wissen
SicherungsumgebungBackup-Server, Ziel-NAS, Bandsicherungnur zum externen Speicherortdie Sicherung initiiert die Verbindung, nicht der Clientletzte Rettung nach einem Ransomware-Angriff; wird auch durch die Vyhláška vorgeschrieben
VerwaltungOberflächen von Switches, Access Points, Firewall und IPMIneinnur von einer vorgesehenen Arbeitsstation oder über VPNwer die Switch-Verwaltung kontrolliert, kann sämtliche Regeln umgehen

Eine Regel, die sich unbedingt einzuhalten lohnt: Die Sicherungsumgebung darf nicht mit einem gewöhnlichen Benutzerkonto von einer normalen Arbeitsstation aus erreichbar sein.

WLAN: Ein Gästenetz ist mehr als nur ein zweites Passwort

Ein einzelner Access Point kann mehrere SSIDs (Netzwerknamen) gleichzeitig ausstrahlen und jeder davon ein anderes VLAN zuweisen. Für die Segmentierung benötigen Sie daher nicht doppelt so viele Geräte. Ein korrekt eingerichtetes Gästenetz besitzt drei Eigenschaften:

  1. Eine eigene, dem Gäste-VLAN zugeordnete SSID — der Datenverkehr der Gäste gelangt gar nicht erst in das Firmen-VLAN; eine Regel am Gateway erlaubt lediglich den Zugang zum Internet.
  2. Aktivierte Client-Isolation — Geräte innerhalb derselben SSID können auch untereinander nicht kommunizieren. Andernfalls kann das Smartphone eines Besuchers auf den Laptop eines anderen Besuchers zugreifen.
  3. Begrenzte Geschwindigkeit — damit ein einzelner Besucher, der Updates herunterlädt, nicht die gesamte Internetverbindung des Unternehmens auslastet.

Ein häufiges Missverständnis: „Wir haben ein anderes WLAN für Gäste“ bedeutet meistens lediglich, dass für dasselbe Netzwerk ein anderes Passwort verwendet wird. Entscheidend ist, welchem VLAN die SSID zugeordnet ist und welche Regeln dort gelten. Wenn Sie gleichzeitig Probleme mit der Abdeckung oder Verbindungsabbrüchen lösen möchten, lesen Sie auch WLAN-Probleme: schwaches Signal und Ausfälle.

Was die tschechische Gesetzgebung zur Segmentierung sagt

Der Nový kybernetický zákon (neues Cybersicherheitsgesetz, in Kraft seit dem 1. November 2025) teilt verpflichtete Einrichtungen in zwei Regelungsstufen ein und verlangt in beiden Fällen eine Netzwerksegmentierung.

  • Vyhláška č. 410/2025 Sb. (Regelungsstufe mit geringeren Pflichten) verlangt in § 11 písm. a) die Segmentierung des Netzwerks „včetně oddělení provozního a zálohovacího prostředí“ (einschließlich der Trennung von Betriebs- und Sicherungsumgebung).
  • Vyhláška č. 409/2025 Sb. (Regelungsstufe mit höheren Pflichten) verlangt in § 26 odst. 5 die Trennung der Sicherungsumgebung von anderen Umgebungen.

NÚKIB hat für die Regelungsstufe mit geringeren Pflichten ein Handbuch mit praktischen Beispielen veröffentlicht. Demnach kann die Trennung physisch oder logisch erfolgen, also gerade auch mithilfe von VLANs. Ob Ihr Unternehmen von diesen Pflichten betroffen ist, erläutert der Artikel Zákon o kybernetické bezpečnosti 264/2025 und für wen er gilt.

Selbst wenn das Gesetz für Ihr Unternehmen nicht gilt, lohnt es sich, diese Anforderungen als Mindeststandard zu betrachten. Die „Trennung von Betriebs- und Sicherungsumgebung“ entscheidet nach einem Ransomware-Angriff darüber, ob noch eine brauchbare Sicherung vorhanden ist.

Schrittweise Einführung

1. Ermitteln Sie, was sich tatsächlich im Netzwerk befindet. Ohne Inventarisierung ist eine Planung sinnlos: Erstellen Sie eine Liste der Geräte mit MAC-Adresse, Switch-Port, Einsatzzweck und verantwortlicher Person. Dabei finden sich fast immer zwei oder drei Geräte, bei denen niemand weiß, wer sie angeschlossen hat.

2. Planen Sie VLANs und Adressbereiche. Verwenden Sie eine verständliche Nummerierung, beispielsweise 10 für Arbeitsstationen, 20 für Server, 30 für Kameras, 40 für Drucker, 50 für Gäste, 60 für Sicherungen und 99 für die Verwaltung. Jedes VLAN erhält einen eigenen IP-Adressbereich. Erstellen Sie zusätzlich eine Tabelle der erlaubten Datenströme und nicht nur eine Liste der Netzwerke.

3. Stellen Sie einen Rückweg zur Verwaltung sicher. Das Verwaltungs-VLAN muss erreichbar sein, bevor Sie mit der Filterung beginnen. Bei MikroTik vermeiden Sie eine Aussperrung, indem Sie das Verwaltungs-VLAN bereits auf dem Trunk-Port einrichten, bevor Sie vlan-filtering aktivieren. Halten Sie grundsätzlich ein Konsolenkabel bereit.

4. Beginnen Sie mit den Gästen. Dieser Schritt birgt das geringste Risiko und bringt sofort einen Nutzen: neue SSID, Gäste-VLAN, Client-Isolation und die Regel „nur nach außen“. Falls etwas nicht funktioniert, wird der reguläre Unternehmensbetrieb nicht beeinträchtigt.

5. Fahren Sie mit Kameras und IoT fort. Legen Sie die Kameras auf Access-Ports mit der PVID des Kamera-VLANs, prüfen Sie, ob nur die dafür vorgesehene Arbeitsstation auf das Livebild zugreifen kann, und entfernen Sie Weiterleitungen von Internetports zum Rekorder.

6. Danach folgen die Drucker. Richten Sie ein Drucker-VLAN ein und erlauben Sie ausschließlich den Datenverkehr von Arbeitsstationen zu den benötigten Druckports. Ändern Sie die im Multifunktionsgerät gespeicherten Dienstkonten und aktualisieren Sie die Firmware. Segmentierung begrenzt die Folgen einer Schwachstelle, beseitigt die Schwachstelle aber nicht.

7. Zum Schluss kommen Server und Sicherungen. Dies ist der sensibelste Schritt. Er sollte außerhalb der Betriebszeiten und mit einem getesteten Rückfallplan durchgeführt werden. Trennen Sie die Sicherungsumgebung so, dass das Sicherungssystem die Verbindung zur Quelle aufbaut und nicht umgekehrt.

8. Dokumentieren Sie alles. Halten Sie das VLAN-Schema, die Regeltabelle und die Personen mit Verwaltungszugriff schriftlich fest. Ohne Dokumentation wird der nächste Techniker die Segmentierung innerhalb eines Jahres wieder in ein flaches Netzwerk verwandeln.

Geeignete technische Grundlage

Für die Aufteilung eines Netzwerks ist keine Enterprise-Technik erforderlich. Praktisch alle aktuellen Managed Switches unterstützen 802.1Q:

  • TP-Link Omada — VLAN-Konfiguration über den Omada Controller für die Serien Agile, Access, Access Plus, Access Pro, Access Max, Aggregation und Campus. Der Uplink zum Router wird als tagged, die Client-Ports werden als untagged mit der jeweiligen PVID eingerichtet. Auch der Router muss VLANs unterstützen und für jedes VLAN DHCP bereitstellen.
  • Ubiquiti UniFi — Netzwerke werden im Controller definiert, SSIDs den VLANs zugeordnet und die Client-Isolation sowohl auf Netzwerkebene als auch für einzelne SSIDs aktiviert.
  • MikroTik — VLANs werden auf der Bridge über vlan-filtering eingerichtet. Access-Ports erhalten eine pvid, Trunk-Ports werden als tagged konfiguriert. Auf Geräten mit einem geeigneten Switch-Chip erfolgt die Filterung in Hardware und damit ohne Verlust an Durchsatz.

Das häufigste Hindernis ist nicht der Preis eines Switches, sondern ein unmanaged Switch unter einem Schreibtisch, über den die Hälfte des Büros angeschlossen ist.

Die häufigsten Fehler

  • VLANs ohne Regeln. Die Netzwerke sind getrennt, aber das Gateway routet uneingeschränkt zwischen ihnen.
  • Vergessene Verwaltung. Die Verwaltungsoberfläche eines Switches oder Access Points bleibt mit dem Standardpasswort im Benutzer-VLAN. Wer darauf zugreifen kann, kann die übrigen Regeln ändern.
  • Ein Gerät in zwei Netzwerken. Ein Drucker oder Server mit zwei Netzwerkkarten in unterschiedlichen VLANs bildet eine Brücke zwischen ihnen.
  • Sicherung als eingebundenes Laufwerk. Ein Backup-NAS, das von jeder Arbeitsstation mit einem gewöhnlichen Konto erreichbar ist, wird zusammen mit dem Rest verschlüsselt.
  • Gäste-SSID ohne Client-Isolation. Die Besucher können zwar nicht auf das Firmennetz zugreifen, sehen aber gegenseitig ihre Geräte.
  • Portweiterleitung zum Rekorder. Ein Kamerasystem, das für die mobile Überwachung direkt im Internet erreichbar ist, entspricht genau dem Szenario, durch das Mirai groß wurde. Die Lösung ist ein VPN und kein weitergeleiteter Port.

Benötigen Sie Unterstützung?

Segmentierung ist eine Aufgabe, die einmal sorgfältig umgesetzt und danach nur noch gepflegt werden muss. Bei ITHOPE in Brünn entwickeln wir für Unternehmen eine Netzwerkaufteilung, die auf die vorhandene Technik im Netzwerkschrank zugeschnitten ist: VLANs und Regeln am Gateway, getrennte Netze für Gäste, Kameras und Drucker sowie eine gemäß der Vyhláška isolierte Sicherungsumgebung. Anschließend verwalten wir das Netzwerk fortlaufend, damit es nicht innerhalb eines Jahres wieder in seinen ursprünglichen Zustand zurückfällt. Dazu passen unsere Leistungen in den Bereichen IT-Verwaltung und Datensicherung sowie weitere Angebote unter IT für Unternehmen. Kontaktieren Sie uns, wenn Sie wissen möchten, wie es um Ihr Netzwerk steht – bevor Sie es auf unangenehme Weise herausfinden.

Für das Segment „Server und NAS“ bieten wir ebenfalls praktische Unterstützung: NAS-Service in Brünn – Installation, Austausch von Festplatten und Überwachung von Netzwerkspeichern, damit die Segmentierung auch auf der Datenseite sinnvoll umgesetzt ist.

Quellen

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).