Was ist Netzwerksegmentierung?

Vorteile der Netzwerksegmentierung

Unabhängig vom jeweils angewandten Schema bietet die Netzwerksegmentierung deutliche Vorteile im Vergleich zu flachen Netzwerken ohne Hierarchie oder Subnetze. Insbesondere profitieren Organisationen von folgenden Eigenschaften segmentierter Netzwerke:

• Stärkere Cybersicherheit für vertrauliche Daten: Dies wird durch Prävention von Sicherheitsverletzungen durch ein- und ausgehenden Traffic, schärfere Zugriffskontrollen sowie spezifische Sicherheitskontrollen für jedes einzelne Segment gewährleistet.
• Vereinfachte Erfüllung von Nachweispflichten: Durch Einschränkung des Zugriffs auf sowie der Möglichkeit zur Übermittlung bestimmte/r Daten wird die Erbringung von Konformitätsnachweisen gemäß branchenspezifischen bzw. aufsichtsrechtlichen Vorschriften wie DSGVO und PCI DSS vereinfacht.
• Einfachere Risikoanalyse und Schadensbegrenzung: Wenn sich Cyberkriminelle nicht frei im gesamten Netzwerk bewegen können, lassen sich Angriffstechniken leichter erkennen und Schwachstellen im Sicherheitsstatus der Organisation aufdecken.
• Mehr Sicherheit für Endgeräte und User: Indem verhindert wird, dass sich Bedrohungen innerhalb des Netzwerks ausbreiten können, werden User und Endgeräte geschützt. Umgekehrt sind auch die Netzwerksegmente vor Bedrohungen sicher, die von Endgeräten ausgehen.
• Geringeres Risiko der Netzwerküberlastung: Aktivitäten in einem Segment verursachen keine Engpässe in anderen Bereichen des Netzwerks. Wenn z. B. Kunden in einem Einzelhandelsgeschäft Gast-WLAN nutzen, wird die Abwicklung von Kreditkartentransaktionen dadurch nicht beeinträchtigt.

Handlungsempfehlungen für Netzwerksegmentierung

Bei der Implementierung und Wartung eines effektiven Modells zur Netzwerksegmentierung sind vor allem fünf Handlungsempfehlungen zu beachten:

1. Nicht zu stark segmentieren

Viele Organisationen übertreiben es anfangs mit der Segmentierung und gliedern ihre Netzwerke in zu viele einzelne Teile auf. Dadurch wird die Transparenz des Netzwerks insgesamt beeinträchtigt, sodass der Verwaltungsaufwand eher noch größer wird als vor der Segmentierung. Umgekehrt dürfen die Segmente aber auch nicht zu groß sein – sonst ist die Angriffsfläche zu breit, was wiederum dem Sicherheitsstatus der Organisation schadet.

2. Regelmäßige Revisionen durchführen

Netzwerksegmentierung ist eine hervorragende Möglichkeit zur Stärkung der Netzwerksicherheit. Damit sie wirklich effektiv ist, muss jedoch laufend überprüft werden, ob Sicherheitslücken tatsächlich geschlossen, Zugriffsberechtigungen streng durchgesetzt und anfallende Updates umgehend installiert werden. Insbesondere lässt sich durch regelmäßige Revisionen sicherstellen, dass ein lückenloser Schutz gewährleistet und potenzielle Risiken behoben werden, noch bevor kriminelle Akteure sie ausnutzen können.

3. Prinzip der minimalen Rechtevergabe beachten

Wie effektiv eine Strategie zur Zugriffsverwaltung ist, hängt vor allem davon ab, inwieweit das Prinzip der minimalen Rechtevergabe berücksichtigt und durchgesetzt wird. Auch bei der Netzwerksegmentierung ist dieser Gesichtspunkt von maßgeblicher Bedeutung. Durch konsequente Umsetzung einer minimalen Rechtevergabe lässt sich gewährleisten, dass ausschließlich befugte User auf Ressourcen zugreifen können, die sie für ihre Arbeit tatsächlich benötigen. Dieser Punkt ist eine entscheidende Grundvoraussetzung für Zero Trust Network Access.

4. Zugriff für externe Dritte einschränken

Zugriffsrechte für externe Dritte sind immer mit hohem Risiko verbunden und sollten daher nur unter strikter Berücksichtigung des Erforderlichkeitsprinzips gewährt werden. Das gilt erst recht, wenn es sich um Zugriffsrechte für mehrere Netzwerksegmente handelt. Durch Segmentierung wird zwar das Gesamtrisiko eines erfolgreichen Angriffs auf das Netzwerk reduziert. Das heißt jedoch noch lange nicht, dass Zugriffsberechtigungen wahllos und ohne Rücksicht auf die Konsequenzen für den Sicherheitsstatus des Netzwerks an externe User vergeben werden dürfen.

5. Alles automatisieren, was sich automatisieren lässt

Bei der Segmentierung des Netzwerks bietet sich eine Vielzahl von Chancen zur Automatisierung. Neben den allgemeinen Vorteilen der Automatisierung – verbesserte Transparenz, kürzere Reaktionszeiten, Stärkung der Sicherheit usw. – unterstützt automatische Netzwerksegmentierung die schnelle Erkennung und Klassifizierung neuer Assets und Daten. Auch dieser Punkt zählt zu den Best Practices für eine effektive Segmentierung.

Nachteile herkömmlicher Segmentierung

Heutige Netzwerkarchitekturen verteilen sich über mehrere Cloud und Rechenzentren. Es führt kein Weg an der Einsicht vorbei, dass herkömmliche Segmentierungskonzepte mit Firewalls und VLAN angesichts dieser Komplexität keinen zuverlässigen Schutz gewährleisten.

Herkömmliche Firewalls haben ein entscheidendes Manko, das der Segmentierung unmittelbar entgegensteht: Sie lassen flache Netzwerke entstehen, in deren Innern uneingeschränkte laterale Bewegungsfreiheit herrscht. Diesen Mangel auszugleichen, ist so umständlich und aufwendig, dass es die Kapazitäten der meisten Organisationen übersteigt. Trotz ihres erweiterten Funktionsumfangs weisen Firewalls der nächsten Generation weiterhin einen gravierenden Nachteil auf: Um auf Anwendungen zugreifen zu können, müssen User Zugang zum Netzwerk erhalten. Das gleiche gilt für VLANs.

Herkömmliche Ansätze bringen eine ganze Reihe von Herausforderungen für die Organisation mit sich:

• Unnötige Zugriffsberechtigungen: Herkömmliche Firewall-basierte Segmentierung dient zur Abwehr externer Angriffe, bietet aber keinen Schutz vor Insider-Bedrohungen.
• Fehlkonfigurationen: VLANs werden in heutigen Architekturen häufig falsch konfiguriert – insbesondere, wenn die Infrastruktur von einem externen Cloud-Anbieter verwaltet wird und die Organisation keine Möglichkeit hat, Änderungen vorzunehmen.
• Hoher Verwaltungsaufwand: Bei neuen Anwendungen oder Geräten bzw. sonstigen Änderungen an der Infrastruktur müssen jedes Mal die Firewall-Regeln neu konfiguriert werden, und selbst alltägliche Aufgaben wie Schwachstellen-Scans sind mit einem höheren Ressourcenaufwand verbunden.
• Komplizierte Kontrollmechanismen: Aufgrund der mangelnden Granularität herkömmlicher Methoden ist die Festlegung von Segmentierungsrichtlinien für Remote-Mitarbeiter, Geschäftspartner, Kunden usw. unnötig kompliziert.
• Mangelnde Skalierbarkeit: Wachsende Netzwerke lassen sich nur durch Neugliederung in kleinere Segmente bzw. Aktualisierung vorhandener Segmente bewältigen, was zu höheren Kosten für Skalierung und Wartung führt.
• Unbefriedigende Performance: Je mehr Netzwerkgeräte (Firewalls, Router usw.) eingesetzt werden, desto stärker ist die Beeinträchtigung der Netzwerkleistung insgesamt.