Netzwerk schützen: Gäste und interne Systeme sinnvoll trennen

Netzwerkzugänge sinnvoll trennen und schützen

Montagmorgen in einem KMU: Eine externe Fachperson kommt für die Wartung der Produktionsmaschine, im Sitzungszimmer möchten Gäste ins WLAN und im Büro wird ein neuer Drucker angeschlossen. Wenn alle Geräte im selben Netzwerk arbeiten, sehen sie oft mehr, als sie für ihre Aufgabe brauchen. Das fällt im Alltag selten auf. Problematisch wird es, wenn ein ungeschütztes Gerät kompromittiert wird oder eine falsche Verbindung Zugang zu Dateien, Kassen oder Verwaltungsoberflächen eröffnet.

Der erste Schritt ist keine grosse Umbauarbeit, sondern eine brauchbare Übersicht. Erfassen Sie, welche Geräte wo stehen, wer dafür zuständig ist und welche Verbindungen tatsächlich nötig sind. Für den Rundgang durch Betrieb und Serverraum hilft eine kurze Liste:

• Gerätetyp und Standort, etwa Access Point im Lager, Kasse im Verkauf oder Steuerung in der Produktion
• verantwortliche Person oder Fachbereich, auch bei Geräten von Lieferanten
• benötigte Ziele und Dienste im Netzwerk, beispielsweise Internet, Druckserver, Zahlungsdienst oder Fernwartung
• Zeitpunkt und Grund für zeitlich begrenzte Zugriffe

Diese Landkarte muss nicht perfekt sein. Sie soll unbekannte Geräte, alte Anschlüsse und unnötige Verbindungen sichtbar machen. Eine Kasse benötigt vielleicht den Zahlungsdienst, nicht jeden Büro-PC. Eine Produktionsmaschine braucht allenfalls Fernwartung durch den Hersteller, aber keinen Zugriff auf Personalunterlagen. Diese Klärung ist die Grundlage für Netzwerk und WLAN, das zum Betrieb und zu den vorhandenen Geräten passt.

Gäste, Technik und Arbeitsplätze getrennt planen

Ein Gäste-WLAN soll Internetzugang ermöglichen, nicht Drucker, Freigaben oder Verwaltungsoberflächen sichtbar machen. Dasselbe gilt meist für private Geräte von Mitarbeitenden. In einem Dienstleistungsbetrieb kann ein Tablet im Empfang nur den Kalender oder eine bestimmte Anwendung benötigen; die Buchhaltung und die Ablage bleiben davon getrennt. In einer Werkstatt darf ein Diagnosegerät mit dem benötigten System sprechen, ohne dass es automatisch alle Arbeitsplätze erreicht.

VLANs teilen ein Netzwerk logisch in getrennte Bereiche. Allein damit ist aber noch nicht entschieden, was zwischen diesen Bereichen möglich ist. Erst Firewall-Regeln schaffen die Grenze: Übergänge sind standardmässig gesperrt und werden gezielt nach Quelle, Ziel, Dienst und Zweck freigegeben. Netzwerksegmentierung für KMU erläutert diesen Ansatz vertieft.

Die sinnvolle Trennung ist keine Übung im maximalen Abschotten. Zu viele Sonderregeln machen Störungen schwieriger zu beheben und erschweren Veränderungen. Zu offene Regeln unterlaufen dagegen den Schutz. Beginnen Sie deshalb mit wenigen nachvollziehbaren Zonen, etwa Arbeitsplätze, Server und Geschäftsanwendungen, Gäste, technische Geräte sowie Administration. Prüfen Sie dann mit den Fachbereichen, welche Übergänge wirklich gebraucht werden. Wenn die externe Wartung einer Anlage nur einmal pro Quartal nötig ist, kann ein zeitlich begrenzter und protokollierter Zugang besser sein als eine dauerhafte Freigabe.

WLAN und Kabelnetz verdienen dieselbe Aufmerksamkeit. Aktuelle Verschlüsselung, getrennte Zugänge und zentrale Verwaltung helfen im WLAN. An frei zugänglichen Kabelports können deaktivierte Anschlüsse, Zugangskontrolle oder ein Gastsegment sinnvoll sein. In einem kleinen Büro mit kontrolliertem Zugang genügt häufig eine einfache, sauber dokumentierte Lösung. In einem Ladenlokal oder gemeinsam genutzten Gebäude ist das Risiko höher, weil Besuchende physisch an Anschlüsse gelangen können.

Betrieb und Notfall vorbereiten

Netzwerkschutz bleibt nur wirksam, wenn er im Alltag gepflegt wird. Dokumentieren Sie Netzplan, IP-Bereiche, Zugangsdaten, Zuständigkeiten und zentrale Einstellungen so, dass eine Vertretung handeln kann. Sichern Sie Konfigurationen von Firewall, Switches und Access Points vor Änderungen und aktualisieren Sie Geräte regelmässig. Nach einem Austausch oder Umbau lohnt sich ein kurzer Test: Funktionieren Drucken, Telefonie, Gäste-WLAN, wichtige Fachanwendungen und die erlaubte Fernwartung noch wie vorgesehen?

Auch einfache Hinweise schaffen Übersicht: ein ausgefallener Access Point, ein unbekanntes Gerät oder ungewöhnliche Anmeldungen. Sie ersetzen keine umfassende Sicherheitsüberwachung, helfen aber, Abweichungen früh zu erkennen. Wer die Meldungen entgegennimmt und wie sie eingeordnet werden, sollte vorab geklärt sein.

Für den Verdacht auf eine Kompromittierung braucht es einen ruhigen, bekannten Ablauf: betroffenes Gerät wenn möglich vom Netzwerk trennen, zuständige Personen informieren, Zeitpunkt und Beobachtungen festhalten und relevante Protokolle sichern. Nicht jede Störung ist ein Angriff; vorschnelles Löschen kann jedoch die Analyse erschweren. Eine Firewall ist dabei eine wichtige Kontrollstelle. Firewall für jede Umgebung erklärt, worauf es beim passenden Einsatz ankommt.

Ein gut geschütztes Netzwerk macht die normale Arbeit nicht komplizierter. Es sorgt dafür, dass Gäste, Arbeitsplätze und technische Geräte genau die Verbindungen erhalten, die sie brauchen. Damit bleiben Auswirkungen eines Fehlers oder Vorfalls begrenzt und Ihr Betrieb kann gezielter reagieren.