In vielen Betrieben in Wien teilen sich Arbeitsplätze, Server, Drucker, Gäste-Handys und manchmal Maschinensteuerungen ein einziges Netz. Segmentierung schneidet dieses Netz in Zonen, sodass ein kompromittiertes Notebook nicht frei auf Freigaben, Verwaltungsoberflächen und die Werkstatt zugreift. VYN IT Solution GmbH plant solche Netze von der Heigerleinstraße 23, 1160 Wien, setzt sie vor Ort in Wien und Umgebung um und betreut sie remote in Österreich.

Wenn jeder alles im selben Netz sieht

Der Auslöser ist selten ein Architekturworkshop, sondern ein konkreter Vorfall. Ein Gast steckt das private Notebook ins Büro-LAN, das WLAN-Passwort steht am Empfang, oder ein PC aus der Buchhaltung öffnet eine präparierte Mail. Im flachen Netz ist der Dateiserver danach nur eine Freigabe entfernt. Gleichzeitig sehen Drucker, Kameras und alte Steuerungen dieselben Broadcasts wie die Domänenrechner. Störungen lassen sich schlecht zuordnen, weil alles miteinander spricht.

Segmentierung ist für ein Büro mit einem Dutzend Arbeitsplätzen kein Selbstzweck mit zwanzig Netzen. Sinnvoll sind wenige Zonen mit klarer Aufgabe: Mitarbeitende, Server und Verwaltung, Gäste, Drucker oder Gebäudetechnik. Zwischen den Zonen entscheidet die Firewall, wer wohin darf. Ein Gast kommt ins Internet, nicht auf die Freigabe der Personalabteilung. Die Buchhaltung erreicht den Server, nicht die Administrationsseite der Gegensprechanlage.

Zonen, die ein KMU im Alltag tragen kann

  1. Zonen. Büro, Server, Gäste und Technik benennen, bevor Adressen und Regeln entstehen.
  2. Bestand. Welche Geräte müssen miteinander sprechen, etwa Zeiterfassung, Scanner und Warenwirtschaft.
  3. Regeln. Nur die nötigen Wege freigeben und in der Regel den Zweck dazuschreiben.
  4. WLAN. Gäste-SSID in die Gästezone, Büro-SSID in die Bürozone, getrennte Passwörter.
  5. Prüfung. Von einem Gäste-Laptop und einem Büro-PC testen, was erreichbar ist und was nicht.

Die Regeln gehören in dieselbe Dokumentation wie die IP-Liste. Wenn später ein neuer Scanner in die falsche Zone gerät, fällt das an der fehlenden Freigabe auf und nicht erst daran, dass Rechnungen liegen bleiben. Änderungen an Zonen passen in ein Wartungsfenster, in dem jemand die Warenwirtschaft und den Druck danach kurz prüft. So bleibt die Segmentierung ein Betriebsmittel und kein einmaliges Projektbild.

Woran Projekte in der Praxis scheitern

  • Gäste-WLAN nur umbenennen und im selben Netz wie die Server belassen.
  • Die Firewall mit einer Freigabe von jeder Zone in jede andere öffnen, damit alles sofort wieder geht.
  • Drucker in die Serverzone stellen, weil die Installation dann schneller wirkt.
  • Regeln ohne Kommentar anlegen, sodass ein Jahr später niemand mehr weiß, warum der Port offen ist.

Beispiel aus dem Betriebsalltag

Eine Metallbau-Werkstatt in Wien hatte Büro-PCs, einen Dateiserver und die Steuerungs-PCs der Maschinen an demselben Switch. Nach einem verschlüsselten Notebook im Büro waren auch Projektordner betroffen. Wir haben Büro, Server und Maschinen in getrennte Zonen gelegt, den Fernwartungszugang der Maschinenhersteller auf einzelne Ziele beschränkt und das Gäste-WLAN der Monteure aus dem Büronetz genommen. Die Maschinen blieben für den Hersteller erreichbar, die Freigaben nicht mehr für jedes Gerät im Haus.

Kurze Entscheidungshilfe

  • Kommt ein Gastgerät ins Internet, ohne eine Bürofreigabe zu sehen?
  • Liegen Administrationsoberflächen von Firewall, USV und Switch in einer eigenen Zone?
  • Ist dokumentiert, welches Gerät welche Zone braucht?
  • Gibt es einen Test nach jeder neuen Regel, nicht nur beim ersten Aufbau?

Wenn die Segmentierung Ihres Büronetzes bei Ihnen ansteht, klären wir den Umfang unverbindlich: Network und Firewall. VLAN im kleinen Büro Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.