Was ist ein VLAN? Einfach erklärt für Unternehmer

Du hast den Begriff VLAN schon öfter gehört, vielleicht in einem Angebot eines IT-Dienstleisters oder beim Gespräch mit deinem Netzwerktechniker. Und du fragst dich zurecht, was genau dahintersteckt und ob du das als Unternehmer überhaupt brauchst. Die kurze Antwort: Ja, mit ziemlicher Sicherheit. Die lange Antwort liest du jetzt.

Was ist ein VLAN? Einfach erklärt

VLAN steht für Virtual Local Area Network, also ein virtuelles, lokales Netzwerk. Der Trick dahinter: Auf derselben physischen Hardware, also denselben Kabeln, demselben Switch und demselben Router, laufen mehrere getrennte Netzwerke gleichzeitig, ohne dass sie sich gegenseitig sehen oder erreichen können.

Stell dir ein Bürogebäude mit mehreren Stockwerken vor. Alle Stockwerke stehen im selben Haus, teilen sich Fundament, Stromleitung und Eingangstür. Trotzdem hat jedes Stockwerk seine eigene Tür mit eigenem Schlüssel. Wer im dritten Stock arbeitet, kommt nicht einfach so ins zweite Stockwerk, auch wenn beide im selben Gebäude sitzen.

Genau so funktioniert ein VLAN. Deine gesamte Netzwerk-Hardware, Kabel, Switches, WLAN-Access-Points, bleibt eine physische Einheit. Aber logisch teilst du sie in mehrere getrennte “Stockwerke” auf. Jedes VLAN hat eigene Zugriffsregeln, eigene IP-Adressen und eigene Berechtigungen, obwohl technisch alles über dieselbe Leitung läuft.

Technisch passiert das über den Standard IEEE 802.1Q, der seit 1998 definiert, wie Netzwerkgeräte Datenpakete mit einer VLAN-Kennung (“Tag”) versehen. Jedes Paket weiß dadurch, zu welchem virtuellen Netz es gehört, auch wenn es über dieselbe physische Leitung wie Pakete aus einem anderen VLAN läuft.

Warum jedes Unternehmen VLANs braucht

In den meisten kleinen und mittleren Unternehmen läuft heute noch alles in einem einzigen, flachen Netzwerk. Der Laptop aus dem Büro, das Kassensystem, das Gäste-WLAN für Kunden und der smarte Drucker hängen alle im selben Netz und können sich theoretisch gegenseitig erreichen. Das ist praktisch, aber ein erhebliches Sicherheitsrisiko.

Typische Netzsegmente, die in einem Betrieb ab etwa 5 Mitarbeitern sinnvoll getrennt werden sollten:

• Kassa- und Zahlungssysteme (POS): Kassenterminals, Kartenlesegeräte und die dazugehörige Software, oft mit besonders hohen Anforderungen an Datensicherheit.
• Gäste-WLAN: Internetzugang für Kunden, Besucher oder Patienten, ohne jeden Zugriff auf interne Systeme.
• Büro- und Mitarbeiternetz: Arbeitsplätze, Laptops, interne Drucker und der Zugriff auf gemeinsame Dateien oder ein NAS.
• Maschinen, IoT und Produktionsgeräte: Smart-TVs, Überwachungskameras, Sensoren oder Produktionsanlagen, die selten Updates bekommen und deshalb ein beliebtes Einfallstor sind.

Ohne Trennung hängt das schwächste Glied im selben Netz wie die sensibelsten Systeme. Und in der Praxis ist meistens das IoT-Gerät oder das Gäste-WLAN das schwächste Glied, nicht der gut gewartete Bürorechner.

Das betrifft nicht nur Betriebe mit Kundenkontakt. Auch reine Büros, Produktionshallen oder Arztpraxen haben in der Regel mehrere Gerätekategorien mit unterschiedlichem Schutzbedarf: Buchhaltungssoftware und Patientendaten auf der einen Seite, Smart-TV im Besprechungsraum oder vernetzte Produktionsmaschine auf der anderen. Ein VLAN-Konzept sorgt dafür, dass diese Bereiche zwar dieselbe Infrastruktur nutzen, aber klar getrennte Zugriffsrechte haben.

Wenn du dein Netzwerk ohnehin gerade neu aufsetzt oder erweiterst, lohnt sich ein Blick auf eine strukturierte Netzwerk-Installation, bei der VLANs von Anfang an mitgeplant werden, statt sie nachträglich in ein gewachsenes System zu quetschen.

Ein Beispiel: Gast im selben Netz wie die Kassa

Nehmen wir ein konkretes Beispiel aus dem Alltag. Ein Café oder ein kleiner Handelsbetrieb bietet Gäste-WLAN an, weil das heute erwartet wird. Der Router ist derselbe wie für das Kassensystem, weil das beim Einrichten einfach schneller ging und niemand extra darüber nachgedacht hat.

Ein Gast verbindet sich mit dem WLAN. Sein Smartphone ist unbemerkt mit Schadsoftware infiziert, zum Beispiel durch eine App aus einem inoffiziellen Store. Diese Schadsoftware sucht automatisch nach anderen Geräten im selben Netzwerk. Weil Kassensystem und Gäste-WLAN im selben flachen Netz hängen, kann sie das Kassenterminal erreichen, Datenverkehr mitlesen oder im schlimmsten Fall Zugriff auf gespeicherte Zahlungsdaten bekommen.

Mit einem eigenen VLAN für das Gäste-WLAN wäre dieses Szenario technisch gar nicht möglich. Das Gastgerät sieht nur das Internet, aber keine anderen Geräte im Betrieb, egal was auf dem Smartphone läuft. Das ist der Kern von Netzwerksegmentierung: Nicht jedes Risiko verhindern, aber verhindern, dass sich ein Problem in einem Bereich ungehindert auf den Rest des Netzwerks ausbreitet.

Solche Vorfälle hängen oft direkt mit generell instabilen oder schlecht geplanten Netzwerken zusammen. Wenn dir das aus deinem eigenen Betrieb bekannt vorkommt, findest du in unserem Beitrag zu Problemen mit dem Firmen-WLAN weitere typische Ursachen.

VLANs und Datenschutz: die DSGVO-Perspektive

Netzwerksegmentierung ist nicht nur ein technisches Nice-to-have, sie ist auch ein Baustein der Datenschutz-Compliance. Art. 32 DSGVO verpflichtet Unternehmen, unter Berücksichtigung des Stands der Technik “geeignete technische und organisatorische Maßnahmen” zu treffen, um personenbezogene Daten angemessen zu schützen. Der genaue Gesetzestext lässt sich zum Beispiel bei dejure.org nachlesen.

Was als “Stand der Technik” gilt, orientiert sich in der Praxis stark am IT-Grundschutz des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI). Im Baustein NET.1.1 “Netzarchitektur und -design” empfiehlt das BSI ausdrücklich, Netze in Sicherheitssegmente aufzuteilen und den Übergang zwischen diesen Segmenten über Firewalls kontrolliert zu gestalten, unter anderem durch VLANs. Die vollständige Empfehlung findest du im BSI-Grundschutzkompendium.

Für dein Unternehmen heißt das konkret: Wenn du Kundendaten, Mitarbeiterdaten oder Zahlungsdaten verarbeitest, und das tut praktisch jeder Betrieb, ist eine sinnvolle Netzwerksegmentierung ein nachvollziehbarer Baustein, um diese Sorgfaltspflicht zu erfüllen. Sie ersetzt keine vollständige Dokumentation oder ein Datenschutzkonzept, aber sie ist ein wichtiger und vergleichsweise günstig umsetzbarer Teil davon. Ähnliche Überlegungen spielen auch bei den neuen NIS2-Anforderungen für KMU in Österreich eine Rolle, falls dein Betrieb davon betroffen ist.

Wie werden VLANs technisch eingerichtet?

Die gute Nachricht: Du musst das nicht selbst verstehen, um es zu bekommen. Aber ein grobes Bild hilft, um mit deinem Netzwerktechniker auf Augenhöhe zu sprechen.

Für ein funktionierendes VLAN-Konzept braucht es im Kern zwei Dinge:

• Einen managed Switch: Im Gegensatz zu einem einfachen Consumer-Switch lässt sich ein managed Switch konfigurieren. Er kann einzelnen Ports bestimmte VLANs zuweisen und Datenverkehr entsprechend markieren und weiterleiten.
• Ein VLAN-fähiges Gateway mit Firewall: Das Gateway übernimmt die Rolle des “Türstehers” zwischen den Stockwerken. Es entscheidet, welches VLAN mit welchem anderen VLAN sprechen darf und welches nicht, und regelt zusätzlich den Zugriff auf das Internet je Segment.

In der Praxis läuft das bei einem UniFi-Setup so ab: Jedes VLAN bekommt einen eigenen Namen und eine eigene VLAN-ID, dazu ein eigenes WLAN-Netzwerk, falls benötigt (zum Beispiel ein separates Gäste-WLAN-SSID). Anschließend werden Firewall-Regeln definiert, die festlegen, welches VLAN welches andere erreichen darf. Das gesamte Setup wird zentral über eine Oberfläche verwaltet und für dich dokumentiert, statt in mehreren Einzelkonfigurationen zu verschwinden. Wie ein durchdachtes UniFi-Netzwerk mit sauberer Segmentierung im Detail aussieht, hängt stark von deiner Betriebsgröße und deinen Geräten ab.

Ein Punkt, der in der Praxis oft übersehen wird: Die Konfiguration allein reicht nicht. Genauso wichtig ist eine saubere Dokumentation, welches VLAN wofür da ist, welche Geräte darin hängen und welche Regeln gelten. Nur so kann ein Konzept auch Monate oder Jahre später noch nachvollzogen und erweitert werden, egal ob durch dich selbst oder einen neuen Ansprechpartner. Bei Harrison Networks gehört diese Dokumentation standardmäßig zu jedem Projekt, und die Zugangsdaten bleiben dabei durchgehend bei dir als Unternehmen, nicht beim Dienstleister.

Beispiel: VLAN-Konzept für einen Betrieb mit 10 Mitarbeitern

Damit das Ganze greifbarer wird, hier ein typisches VLAN-Konzept, wie es für einen kleineren Betrieb mit rund 10 Mitarbeitern, Kassensystem, Gäste-WLAN und ein paar IoT-Geräten sinnvoll sein kann:

Wichtig ist dabei nicht die exakte Anzahl der Segmente, sondern das Prinzip dahinter: Jedes VLAN bekommt genau die Rechte, die es tatsächlich braucht, nicht mehr. Wenn du zusätzlich Kameras im Einsatz hast, gehören diese ebenfalls in ein eigenes VLAN, wie es zum Beispiel bei einer Videoüberwachung sinnvoll ist, damit die Kamera-Streams nicht im selben Netz wie sensible Bürodaten landen.

Fazit

Ein VLAN trennt logisch, was physisch auf derselben Hardware läuft, so wie getrennte Stockwerke im selben Gebäude. Für dein Unternehmen bedeutet das konkret: Kassensystem, Gäste-WLAN, Büro und IoT-Geräte laufen unabhängig voneinander, ohne dass du für jedes Segment eigene Kabel oder Geräte brauchst.

Der Sicherheitsgewinn ist real und lässt sich an einfachen Beispielen zeigen, etwa wenn ein infiziertes Gästegerät keinen Weg zur Kasse findet. Gleichzeitig ist Netzwerksegmentierung ein nachvollziehbarer Baustein, um den Anforderungen aus Art. 32 DSGVO an angemessene technische Maßnahmen gerecht zu werden.

Die technische Einrichtung braucht kein Informatikstudium, aber ein durchdachtes Konzept und passende Hardware, die VLAN-Tagging nach 802.1Q unterstützt. Wenn dein aktuelles Netzwerk noch alles in einen Topf wirft, ist das ein guter Zeitpunkt, das zu ändern, bevor ein einzelnes kompromittiertes Gerät zum Problem für den ganzen Betrieb wird.