VLAN einfach erklärt: was es für Ihr Unternehmen bedeutet

Sie haben den Begriff VLAN schon öfter gehört, vielleicht in einem Angebot eines IT-Dienstleisters oder beim Gespräch mit Ihrem Netzwerktechniker. Und Sie fragen sich zu Recht, was genau dahintersteckt und ob Sie das als Unternehmer überhaupt brauchen. Die kurze Antwort: Ja, mit ziemlicher Sicherheit. Die lange Antwort lesen Sie jetzt.

Was ist ein VLAN? Einfach erklärt

VLAN steht für Virtual Local Area Network, also ein virtuelles, lokales Netzwerk. Der Trick dahinter: Auf derselben physischen Hardware, also denselben Kabeln, demselben Switch und demselben Router, laufen mehrere getrennte Netzwerke gleichzeitig, ohne dass sie sich gegenseitig sehen oder erreichen können.

Stellen Sie sich ein Bürogebäude mit mehreren Stockwerken vor. Alle Stockwerke stehen im selben Haus, teilen sich Fundament, Stromleitung und Eingangstür. Trotzdem hat jedes Stockwerk seine eigene Tür mit eigenem Schlüssel. Wer im dritten Stock arbeitet, kommt nicht einfach so ins zweite Stockwerk, auch wenn beide im selben Gebäude sitzen.

Genau so funktioniert ein VLAN. Ihre gesamte Netzwerk-Hardware, Kabel, Switches, WLAN-Access-Points, bleibt eine physische Einheit. Aber logisch teilen Sie sie in mehrere getrennte “Stockwerke” auf. Jedes VLAN hat eigene Zugriffsregeln, eigene IP-Adressen und eigene Berechtigungen, obwohl technisch alles über dieselbe Leitung läuft.

Technisch passiert das über den Standard IEEE 802.1Q, der seit 1998 definiert, wie Netzwerkgeräte Datenpakete mit einer VLAN-Kennung (“Tag”) versehen. Jedes Paket weiß dadurch, zu welchem virtuellen Netz es gehört, auch wenn es über dieselbe physische Leitung wie Pakete aus einem anderen VLAN läuft.

Nutzen von VLANs für jedes Unternehmen

In den meisten kleinen und mittleren Unternehmen läuft heute noch alles in einem einzigen, flachen Netzwerk. Der Laptop aus dem Büro, das Kassensystem, das Gäste-WLAN für Kunden und der smarte Drucker hängen alle im selben Netz und können sich theoretisch gegenseitig erreichen. Das ist praktisch, aber ein erhebliches Sicherheitsrisiko.

Typische Netzsegmente, die in einem Unternehmen ab etwa 5 Mitarbeitern sinnvoll getrennt werden sollten:

• Kassa- und Zahlungssysteme (POS): Kassenterminals, Kartenlesegeräte und die dazugehörige Software, oft mit besonders hohen Anforderungen an Datensicherheit.
• Gäste-WLAN: Internetzugang für Kunden, Besucher oder Patienten, ohne jeden Zugriff auf interne Systeme.
• Büro- und Mitarbeiternetz: Arbeitsplätze, Laptops, interne Drucker und der Zugriff auf gemeinsame Dateien oder ein NAS.
• Maschinen, IoT und Produktionsgeräte: Smart-TVs, Überwachungskameras, Sensoren oder Produktionsanlagen, die selten Updates bekommen und deshalb ein beliebtes Einfallstor sind.

Ohne Trennung hängt das schwächste Glied im selben Netz wie die sensibelsten Systeme. Und in der Praxis ist meistens das IoT-Gerät oder das Gäste-WLAN das schwächste Glied, nicht der gut gewartete Bürorechner. Welche Geräte in welche Zone gehören und wie die Umstellung abläuft, zeigt der Ratgeber zur Netzwerksegmentierung im Unternehmen.

Das betrifft nicht nur Unternehmen mit Kundenkontakt. Auch reine Büros, Produktionshallen oder Arztpraxen haben in der Regel mehrere Gerätekategorien mit unterschiedlichem Schutzbedarf: Buchhaltungssoftware und Patientendaten auf der einen Seite, Smart-TV im Besprechungsraum oder vernetzte Produktionsmaschine auf der anderen. Ein VLAN-Konzept sorgt dafür, dass diese Bereiche zwar dieselbe Infrastruktur nutzen, aber klar getrennte Zugriffsrechte haben.

Wenn Sie Ihr Netzwerk ohnehin gerade neu aufsetzen oder erweitern, lohnt sich ein Blick auf eine Netzwerk-Installation von Anfang an, bei der VLANs von Anfang an mitgeplant werden, statt sie nachträglich in ein gewachsenes System zu quetschen.

Ein Beispiel: Gast im selben Netz wie die Kassa

Nehmen wir ein konkretes Beispiel aus dem Alltag. Ein Café oder ein kleines Handelsunternehmen bietet Gäste-WLAN an, weil das heute erwartet wird. Der Router ist derselbe wie für das Kassensystem, weil das beim Einrichten einfach schneller ging und niemand extra darüber nachgedacht hat.

Ein Gast verbindet sich mit dem WLAN. Sein Smartphone ist unbemerkt mit Schadsoftware infiziert, zum Beispiel durch eine App aus einem inoffiziellen Store. Diese Schadsoftware sucht automatisch nach anderen Geräten im selben Netzwerk. Weil Kassensystem und Gäste-WLAN im selben flachen Netz hängen, kann sie das Kassenterminal erreichen, Datenverkehr mitlesen oder im schlimmsten Fall Zugriff auf gespeicherte Zahlungsdaten bekommen.

Mit einem eigenen VLAN für das Gäste-WLAN wäre dieses Szenario technisch gar nicht möglich. Das Gastgerät sieht nur das Internet, aber keine anderen Geräte im Unternehmen, egal was auf dem Smartphone läuft. Das ist der Kern von Netzwerksegmentierung: Nicht jedes Risiko verhindern, aber verhindern, dass sich ein Problem in einem Bereich ungehindert auf den Rest des Netzwerks ausbreitet.

Solche Vorfälle hängen oft direkt mit generell instabilen oder schlecht geplanten Netzwerken zusammen. Wenn Ihnen das aus Ihrem eigenen Unternehmen bekannt vorkommt, finden Sie in unserem Beitrag zu Problemen mit dem Firmen-WLAN weitere typische Ursachen.

VLANs und Datenschutz: die DSGVO-Perspektive

Netzwerksegmentierung ist nicht nur ein technisches Nice-to-have, sie ist auch ein Baustein der Datenschutz-Compliance. Art. 32 DSGVO verpflichtet Unternehmen, unter Berücksichtigung des Stands der Technik “geeignete technische und organisatorische Maßnahmen” zu treffen, um personenbezogene Daten angemessen zu schützen. Der Gesetzestext lässt sich im Original bei EUR-Lex nachlesen.

Was als “Stand der Technik” gilt, orientiert sich in der Praxis stark am IT-Grundschutz des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI). Im Baustein NET.1.1 “Netzarchitektur und -design” empfiehlt das BSI ausdrücklich, Netze in Sicherheitssegmente aufzuteilen und den Übergang zwischen diesen Segmenten über Firewalls kontrolliert zu gestalten, unter anderem durch VLANs. Die vollständige Empfehlung finden Sie im BSI-Grundschutzkompendium.

Für Ihr Unternehmen heißt das konkret: Wenn Sie Kundendaten, Mitarbeiterdaten oder Zahlungsdaten verarbeiten, und das tut praktisch jedes KMU, ist eine sinnvolle Netzwerksegmentierung ein nachvollziehbarer Baustein, um diese Sorgfaltspflicht zu erfüllen. Sie ersetzt keine vollständige Dokumentation oder ein Datenschutzkonzept, aber sie ist ein wichtiger und vergleichsweise günstig umsetzbarer Teil davon. Ähnliche Überlegungen spielen auch bei den NIS2-Vorgaben für österreichische KMU eine Rolle, falls Ihr Unternehmen davon betroffen ist.

Wie werden VLANs technisch eingerichtet?

Die gute Nachricht: Sie müssen das nicht selbst verstehen, um es zu bekommen. Aber ein grobes Bild hilft, um mit Ihrem Netzwerktechniker auf Augenhöhe zu sprechen.

Für ein funktionierendes VLAN-Konzept braucht es im Kern zwei Dinge:

• Einen managed Switch: Im Gegensatz zu einem einfachen Consumer-Switch lässt sich ein managed Switch konfigurieren. Er kann einzelnen Ports bestimmte VLANs zuweisen und Datenverkehr entsprechend markieren und weiterleiten.
• Ein VLAN-fähiges Gateway mit Firewall: Das Gateway übernimmt die Rolle des “Türstehers” zwischen den Stockwerken. Es entscheidet, welches VLAN mit welchem anderen VLAN sprechen darf und welches nicht, und regelt zusätzlich den Zugriff auf das Internet je Segment.

In der Praxis läuft das bei einem UniFi-Setup so ab: Jedes VLAN bekommt einen eigenen Namen und eine eigene VLAN-ID, dazu ein eigenes WLAN-Netzwerk, falls benötigt (zum Beispiel ein separates Gäste-WLAN-SSID). Anschließend werden Firewall-Regeln definiert, die festlegen, welches VLAN welches andere erreichen darf. Das gesamte Setup wird zentral über eine Oberfläche verwaltet und für Sie dokumentiert, statt in mehreren Einzelkonfigurationen zu verschwinden. Wie ein UniFi-Netzwerk mit sauberer Segmentierung im Detail aussieht, hängt stark von Ihrer Unternehmensgröße und Ihren Geräten ab.

Ein Punkt, der in der Praxis oft übersehen wird: Die Konfiguration allein reicht nicht. Genauso wichtig ist eine saubere Dokumentation, welches VLAN wofür da ist, welche Geräte darin hängen und welche Regeln gelten. Nur so kann ein Konzept auch Monate oder Jahre später noch nachvollzogen und erweitert werden, egal ob durch Sie selbst oder einen neuen Ansprechpartner. Bei Harrison Networks gehört diese Dokumentation standardmäßig zu jedem Projekt, und die Zugangsdaten bleiben dabei durchgehend bei Ihnen als Unternehmen, nicht beim Dienstleister.

Beispiel: VLAN-Konzept für ein Unternehmen mit 10 Mitarbeitern

Damit das Ganze greifbarer wird, hier ein typisches VLAN-Konzept, wie es für ein Unternehmen mit rund 10 Mitarbeitern, Kassensystem, Gäste-WLAN und ein paar IoT-Geräten sinnvoll sein kann:

Wichtig ist dabei nicht die exakte Anzahl der Segmente, sondern das Prinzip dahinter: Jedes VLAN bekommt genau die Rechte, die es tatsächlich braucht, nicht mehr. Wenn Sie zusätzlich Kameras im Einsatz haben, gehören diese ebenfalls in ein eigenes VLAN, wie es zum Beispiel bei einer professionellen Videoüberwachung sinnvoll ist, damit die Kamera-Streams nicht im selben Netz wie sensible Bürodaten landen.

Der Sicherheitsgewinn in einem Satz

Ein VLAN trennt logisch, was physisch auf derselben Hardware läuft, so wie getrennte Stockwerke im selben Gebäude. Für Ihr Unternehmen bedeutet das konkret: Kassensystem, Gäste-WLAN, Büro und IoT-Geräte laufen unabhängig voneinander, ohne dass Sie für jedes Segment eigene Kabel oder Geräte brauchen.

Der Sicherheitsgewinn ist real und lässt sich an einfachen Beispielen zeigen, etwa wenn ein infiziertes Gästegerät keinen Weg zur Kasse findet. Gleichzeitig ist Netzwerksegmentierung ein nachvollziehbarer Baustein, um den Anforderungen aus Art. 32 DSGVO an angemessene technische Maßnahmen gerecht zu werden.

Die technische Einrichtung braucht kein Informatikstudium, aber ein durchdachtes Konzept und passende Hardware, die VLAN-Tagging nach 802.1Q unterstützt. Wenn Ihr aktuelles Netzwerk noch alles in einen Topf wirft, ist das ein guter Zeitpunkt, das zu ändern, bevor ein einzelnes kompromittiertes Gerät zum Problem für das ganze Unternehmen wird. Wenn Sie unsicher sind, ob Ihr Netzwerk sauber segmentiert ist: Jetzt unverbindlich anfragen und eine Einschätzung für Ihr Unternehmen holen.