Netzwerksegmentierung: So trennen Sie Kameras, Drucker und Haustechnik vom Firmennetz
06.10.2026
8 Min. Lesezeit
Von Christoph Harrison, UWA-zertifiziert
Ohne Netzwerksegmentierung reicht ein einziges Gerät mit einer Sicherheitslücke, und ein Angreifer steht mitten im Firmennetz. Das kann die Kamera am Eingang sein, der Drucker im Gang oder der Datenlogger der Photovoltaikanlage. Netzwerksegmentierung sorgt dafür, dass so ein Einbruch beim ersten Gerät stehen bleibt und nicht bis zum Server, zur Kassa oder zur Buchhaltung weiterläuft.
In vielen Netzen, die ich im Burgenland übernehme, hängen Büro-PCs, Telefone, Kameras, Smart-Steckdosen und das Gäste-WLAN im selben Netz. Jedes Gerät sieht jedes andere. Dieser Ratgeber zeigt, wie Sie das ändern: welche Geräte in welche Zone gehören, wie die Umstellung abläuft und welche Regeln dazwischen gelten. Die technische Umsetzung mit Firewall und VLANs beschreibe ich auf der Seite Netzwerksicherheit mit Firewall und VLANs.
Warum ein gehacktes Gerät das ganze Netz gefährdet
Im August 2019 hat Microsoft beschrieben, wie eine staatlich unterstützte Angreifergruppe in Firmennetze gekommen ist: über ein VoIP-Telefon, einen Bürodrucker und einen Video-Decoder. In 2 Fällen war noch das Standardpasswort des Herstellers gesetzt, im dritten fehlte ein Update. Von diesen Geräten aus haben die Angreifer das Netz abgesucht und sich zu Konten mit mehr Rechten vorgearbeitet. Microsoft empfahl damals unter anderem, solche Geräte in ein eigenes Netz zu stellen.
Fachleute nennen dieses Weiterwandern Lateral Movement: Der Angreifer nutzt das erste Gerät nur als Tür und sucht sich von dort den Weg zu dem, was wirklich wertvoll ist. In einem flachen Netz ohne Trennung steht ihm dabei nichts im Weg.
Neu ist das Tempo. Das österreichische CERT (cert.at) hat am 20.04.2026 gewarnt, dass KI-Werkzeuge Schwachstellen inzwischen auf hohem Niveau finden und ausnutzen, dass Exploit-Code schnell entsteht und das Zeitfenster zwischen Bekanntwerden und Angriff kleiner wird. Mit erfolgreichen Angriffen auf Geräte am Netzrand sei zu rechnen, gute Netzwerksegmentierung gehöre deshalb zu den angebrachten Maßnahmen. Wie weit das schon geht, zeigt der KI-Ausbruch bei OpenAI im Juli 2026: KI-Agenten in einer Testumgebung haben einen Weg ins Internet gefunden und sind mit öffentlich liegenden Zugangsdaten und selbst gefundenen Schwachstellen in Server von Hugging Face eingedrungen.
Für Ihr Unternehmen heißt das: Dass irgendwann eines der vielen Geräte im Netz eine Lücke hat, lässt sich kaum ausschließen, vor allem bei Geräten, die keine Updates mehr bekommen. Ob daraus ein Schaden wird, hängt davon ab, was ein Angreifer von diesem Gerät aus erreichen kann.
Was Netzwerksegmentierung bedeutet
Netzwerksegmentierung teilt ein Netz in mehrere getrennte Bereiche, sogenannte Segmente oder Zonen. Technisch geschieht das meistens mit VLANs: Auf denselben Kabeln, Switches und Access Points laufen mehrere logische Netze, die sich gegenseitig nicht sehen. Wie das im Detail funktioniert, erklärt der Beitrag VLAN einfach erklärt.
Ein VLAN allein ist aber nur die halbe Arbeit. Erst die Firewall-Regeln zwischen den Zonen entscheiden, wer mit wem sprechen darf. Der Grundsatz dafür heißt Default Deny: Zwischen den Zonen ist alles verboten, und jede nötige Verbindung wird einzeln erlaubt. Der Kassa-PC darf den Kassadrucker erreichen, die Kamera darf das nicht.
3 Begriffe, die oft durcheinandergehen:
- Netzwerktrennung: der Oberbegriff. Bereiche werden voneinander getrennt, physisch mit eigenen Leitungen oder logisch mit VLANs.
- Netzwerksegmentierung: die geplante Aufteilung in mehrere Zonen mit Regeln dazwischen. Das ist, was ein Unternehmen mit 5 bis 30 Arbeitsplätzen braucht.
- Mikrosegmentierung: jedes einzelne System bekommt eigene Regeln. Das ist für Rechenzentren und Unternehmen mit sehr hohem Schutzbedarf gedacht und für die meisten KMU überdimensioniert.
Welche Geräte in welche Zone gehören
Die Leitfrage ist einfach: Welche Geräte haben ein ähnliches Sicherheitsniveau, und was müssen sie wirklich erreichen? Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) formuliert es im IT-Grundschutz genauso: In ein Segment gehören nur Endgeräte mit ähnlichem Sicherheitsniveau (Anforderung NET.1.1.A6).
| Zone | Typische Geräte | Was die Zone darf |
|---|---|---|
| Verwaltung | Gateway, Switches, Access Points, NAS-Server | Verwaltungszugang nur vom Admin-PC, die Freigaben am NAS sind für die Firmengeräte und den Scan-Ordner der Drucker offen |
| Firmengeräte | Büro-PCs, Notebooks, Firmen-Handys, Kassa-PC | Server, Drucker, Internet |
| Telefonie | VoIP-Telefone, DECT-Basis | nur der Telefonanbieter im Internet |
| Kameras und Zutritt | Überwachungskameras, Gegensprechanlage, Türleser | nur der Videorekorder bzw. die Steuerung |
| Haustechnik | Wechselrichter und Datenlogger, Energiemessung, Smart-Steckdosen, Leuchten, Alarmzentrale | nur die eigene Cloud, gesteuert aus der Firmenzone |
| Drucker | Multifunktionsgeräte, Etikettendrucker | nur der Scan-Ordner am Server |
| Gäste | Besucher, private Handys der Mitarbeiter | nur Internet, Geräte sehen sich gegenseitig nicht |
Wie fein Sie teilen, hängt vom Unternehmen ab. Ob die Kassa ein eigenes Netz bekommt oder bei den Firmengeräten bleibt, funktioniert beides, solange die Regeln dazwischen stimmen.
Die Haustechnik ist die Zone, die am häufigsten fehlt. Wechselrichter, Energiezähler und Smart-Home-Geräte bekommen selten Updates, laufen jahrelang und hängen oft dort, wo der Elektriker sie eingesteckt hat: im Hauptnetz. Das BSI empfiehlt für Gebäudetechnik ohne Sicherheitsupdates ausdrücklich die Trennung über ein eigenes Segment (INF.13.A11) und für IoT-Geräte ein eigenes Netzsegment, das nur mit dem Management sprechen darf (SYS.4.4.A5).
Aus der Praxis: 11 Netze, für den Kunden 6 Zonen
Wie das konkret aussieht, zeigt das Konzept für ein Gewerbeunternehmen im Bezirk Eisenstadt-Umgebung mit eigener Photovoltaikanlage. Im Netz hingen Büro-PCs und Kassa, 2 NAS-Server, 9 VoIP-Telefone, Kameras und eine Gegensprechanlage, 3 Drucker und ein Printserver, Energiemessung, Wechselrichter-Logger und eine Alarmanlage.
Technisch sind daraus 11 VLANs geworden, jedes mit eigenem Adressbereich. Dem Kunden erkläre ich sie als 6 Zonen wie in der Tabelle oben, nur zählen die Drucker dort zu den Firmengeräten. Niemand außer dem Techniker muss 11 Netze im Kopf behalten. Für die Zuordnung reicht eine Frage je Gerät: Mit wem muss es sprechen?
2 Dinge fallen bei solchen Umstellungen immer wieder auf:
- Das Einrichten der Zonen ist schnell erledigt. In einem UniFi-Netz ab Network-Version 9 wird jedes VLAN einer Zone zugeordnet, die Regeln stehen danach zwischen den Zonen statt zwischen einzelnen Netzen.
- Die eigentliche Arbeit ist das Übersiedeln. Jedes Gerät muss in sein neues Netz, Drucker brauchen den Scan-Ordner neu, Telefone und Kassa dürfen dabei nicht ausfallen. Genau dieser Teil wird gern auf später verschoben. Ohne ihn bleibt die Haustechnik aber im Hauptnetz, und die Trennung steht nur auf dem Papier.
So läuft die Umstellung in 5 Schritten
- Inventur: Jedes Gerät im Netz wird erfasst und bekommt einen eindeutigen Namen. Dabei tauchen fast immer Geräte auf, von denen niemand mehr wusste, etwa ein alter Printserver, ein vergessener WLAN-Repeater oder die Netzwerkkarte einer USV.
- Zonenplan und Regelmatrix: Für jede Zone wird festgelegt, was sie erreichen darf. Ausgangspunkt ist Default Deny, jede Freigabe wird einzeln begründet.
- Netze und Zonen anlegen: im Gateway, bevor ein Gerät umzieht. Davon merkt im Büro niemand etwas.
- Geräte übersiedeln: Gerät für Gerät, in einem Wartungsfenster außerhalb der Kassa- und Telefonzeiten, mit einem festgelegten Punkt, an dem zurückgeschaltet wird, falls etwas hakt.
- Testen und dokumentieren: Jede Regel wird geprüft, auch die verbotenen Wege. Am Ende steht ein Plan mit allen Netzen, Adressen und Regeln, der Ihnen gehört.
Diese Stolpersteine planen wir von Anfang an ein: Ein Drucker in einer anderen Zone wird von den PCs nicht mehr gefunden, solange die automatische Geräteerkennung (mDNS) nicht zwischen den Netzen weitergereicht wird. Der Scanner braucht eine einzelne Freigabe zum Ablageordner am NAS. Und die App für Smart-Home-Geräte bekommt nur die Ports frei, die sie zur Steuerung braucht.
Was BSI, CISA und NIS2 dazu sagen
Neben cert.at empfehlen auch das deutsche BSI und die US-Behörde CISA die Netzwerksegmentierung, und die EU nennt sie in der NIS2-Richtlinie:
- BSI IT-Grundschutz: NET.1.1 verlangt schon in der Basis-Absicherung eigene Segmente für Gastzugänge und Bereiche, deren Endgeräte nicht ausreichend kontrolliert werden (A5), sowie Segmente nach Sicherheitsniveau (A6). SYS.4.4.A5 sagt für IoT-Geräte, sie sollten in einem eigenen Netzsegment laufen, und UPnP muss an allen Routern deaktiviert sein.
- CISA (US-Behörde für Cybersicherheit): rät, IoT-Geräte nach Möglichkeit in ein eigenes, dediziertes Netz zu stellen.
- NIS2: Die EU-Richtlinie zählt Netzwerksegmentierung in Erwägungsgrund 89 zur grundlegenden Cyberhygiene, im Artikeltext steht sie nicht als eigene Pflicht. Die Pflichten der Richtlinie treffen vor allem Unternehmen ab mittlerer Größe in den betroffenen Sektoren. Für alle anderen ist sie ein guter Maßstab. Ob Ihr Unternehmen darunterfällt, zeigt der NIS2-Check.
Was Segmentierung nicht ersetzt
Segmentierung begrenzt den Schaden. Sie verhindert nicht, dass ein einzelnes Gerät angegriffen wird. Deshalb gehört sie mit 3 weiteren Gewohnheiten zusammen:
- Updates als Routine: Gateway, Switches, Access Points, NAS und Firmware der Geräte werden regelmäßig aktualisiert. Das ist Teil der laufenden Wartung und Betreuung.
- Zugangsdaten sicher verwahren: Standardpasswörter ändern und Zugangsdaten in einem Passwort-Manager ablegen, den das ganze Team nutzt, statt in einer Word-Datei.
- Datensicherung außer Haus: Wenn trotz allem etwas passiert, entscheidet die Sicherung, wie schnell Sie wieder arbeiten. Die Grundregel dafür ist die 3-2-1-Regel: 3 Kopien, 2 verschiedene Speicher, 1 davon außer Haus.
Netzwerksegmentierung im Burgenland rund um Eisenstadt
Harrison Networks plant und setzt Netzwerksegmentierung für Unternehmen im Burgenland rund um Eisenstadt um, bis Mattersburg und Wiener Neustadt. Wir erfassen Ihre Geräte, erstellen den Zonenplan, übersiedeln jedes Gerät in seine Zone und übergeben Ihnen die vollständige Dokumentation. Holen Sie sich eine kostenlose Ersteinschätzung, und wir sehen uns gemeinsam an, welche Zonen Ihr Netz braucht.