Was ist Segmentierung in der IT?
Die Anzahl und die Professionalität von Cyberangriffen nehmen drastisch zu, z. B. per Phishing oder Ransomware. Unternehmen müssen sich heute nicht mehr fragen, ob es sie treffen wird. Die Frage lautet vielmehr, ob und wie gut sie für den Ernstfall geschützt sind. Eine wirksame Segmentierung ist dabei eine Grundvoraussetzung. Genauer gesagt, bedeutet Segmentierung die Aufteilung des kompletten Netzwerks in logisch getrennte Zonen. Ein Device aus Abteilung A kann also nicht einfach mit Devices in den Abteilungen B bis Z kommunizieren. Es sei denn, es wurde ausdrücklich erlaubt.
Jede dieser Zonen hat eigene Regeln, Berechtigungen und Sicherheitsmaßnahmen. Wer darf wann welche Daten erreichen und entsprechend nutzen? Diese Frage sollte genau durchdacht sein. Dadurch wird die „laterale Bewegung“ von Angreifern, also das Wandern durch das Unternehmensnetzwerk, deutlich erschwert und verlangsamt. Klassischerweise geschieht dies auf den Layern 2 und 3 des OSI-Modells, also in den Datenverbindungs- und Netzwerkschichten, und meistens mithilfe von VLANs (Trennung in verschiedene Broadcast-Domänen), Subnetzen (logische Partitionen eines IP-Netzwerks) und Firewalls (Netzwerksicherung).
Das Ziel besteht darin, dass Geräte und Systeme, die nicht direkt miteinander kommunizieren sollen, in separaten Netzwerksegmenten zu platzieren. Zwischen diesen Segmenten kontrollieren Regeln (z. B. Firewall ACLs), welche Verbindungen erlaubt sind.
Zu wenig Schutz, zu viele Risiken
Viele Unternehmensnetzwerke sind historisch gewachsen, das heißt sie wurden erweitert, ergänzt und angepasst, jedoch nicht grundlegend neu strukturiert. Das bedeutet ebenfalls, dass sie nicht auf moderne Sicherheitsanforderungen ausgerichtet sind. Dadurch ergeben sich häufige Schwachstellen: eine flache Netzarchitektur mit zu wenigen bzw. unklaren Sicherheitszonen, geringe Transparenz für die Kommunikation zwischen Systemen, hoher administrativer Aufwand für manuelle Segmentierung sowie Angst vor Betriebsunterbrechung durch Veränderungen in der Infrastruktur.
Die Folge ist, dass Angreifer, welche einmal ins Unternehmensnetzwerk eingedrungen sind, sich unbemerkt und ungehindert im gesamten Unternehmen bewegen können. Das ist vergleichbar mit einem Einbrecher, der nach der Eingangstür einen einfachen Zugang zum Serverraum und gleichzeitig zur Buchhaltung hat.
Der nächste Schritt: Mikrosegmentierung
Die klassische Segmentierung arbeitet ausschließlich auf Netzwerkebenen, z. B. nach Abteilungen, Standorten oder Netzklassen (Produktionsnetz, Office-Netz, Gäste-WLAN). Das ist gut, aber nicht mehr ausreichend. Mikrosegmentierung hingegen setzt eine Ebene tiefer an: Sie definiert fein abgestimmte Kommunikationsregeln auf Applikations-, Dienst- oder sogar Benutzerebene. Das bedeutet, dass nur exakt definierte Verbindungen erlaubt sind – unabhängig davon, wo sich ein System befindet (vor Ort, in der Cloud, hybride Lösung). Gerade im Zusammenhang mit einer Zero-Trust-Strategie, bei der kein Gerät und kein Nutzer automatisch vertrauenswürdig ist, ist die Mikrosegmentierung ein zentraler Bestandteil.
Unser Tipp: intelligente Mikrosegmentierung ohne Agenten
Als DTS halten wir nichts von „Standard“. Wir sind ein deutsch-europäischer IT-Innovator, der stets neue Security-Pfade beschreitet und einen unabhängigen Ansatz der Eigenentwicklung von Security Software mit den Besten am Markt partnerschaftlich verbindet. Unsere neue Lösung zur Microsegmentation ist ein solcher neuartiger, zukunftsweisender Weg. Die Lösung arbeitet automatisiert, dynamisch und identitätsbasiert, also ganz im Sinne unserer Zero-Trust-Strategie. Sie analysiert kontinuierlich den Netzwerkverkehr und erkennt, welche Verbindungen tatsächlich notwendig sind. Auf dieser Grundlage werden automatisch genaue Sicherheitsrichtlinien erstellt, ohne manuelle ACLs oder starre, manuelle Regeln. Die Besonderheit ist, dass DTS Microsegmentation agentenlos funktioniert. Die Lösung nutzt die bestehenden Sicherheitsmechanismen, z. B. eine interne Windows-Firewall und kann dadurch ohne großen Aufwand in Ihrer IT-Infrastruktur implementiert werden. Die Kommunikation wird genau gesteuert, sodass sich selbst interne Systeme nicht gegenseitig sehen können, solange dies nicht vorher freigegeben wurde. Die Regeln sind anpassbar und dynamisch. Sie passen sich automatisch auf Benutzerrollen, Zeitfenster oder den Gerätestatus an. Wir minimieren Ihre Angriffsfläche effektiv, stärken Ihre Netzwerktransparenz und schaffen eine führende Basis für nachhaltiges Zero Trust.