Netzwerksegmentierung für KMU: Warum Gäste, Kasse, Büro und Produktion getrennt sein müssen

Netzwerksegmentierung im KMU wirksam umsetzen

In einer Schreinerei hängen Büroarbeitsplätze, CAD, Maschinen, Kasse, Kameras und Gäste-WLAN oft im gleichen Netz. Das funktioniert, solange alles ruhig läuft. Öffnet jedoch eine Mitarbeitende einen schädlichen Anhang oder wird ein ungeschütztes Gerät angeschlossen, kann der Vorfall von einem Bereich in den nächsten gelangen. Auch eine Fehlkonfiguration oder ein defekter Drucker kann mehr Systeme beeinträchtigen als nötig. Netzwerksegmentierung trennt solche Bereiche in kontrollierte Zonen und begrenzt damit, welche Geräte miteinander kommunizieren dürfen.

Der technische Begriff dahinter sind häufig VLANs: logisch getrennte Netze auf derselben Verkabelung. Entscheidend sind aber nicht die VLAN-Nummern, sondern die Übergänge zwischen den Zonen. Diese steuert eine Firewall mit klaren Regeln. Eine CNC-Maschine benötigt vielleicht den Lizenzserver und den Zugang für die Fernwartung des Herstellers, aber keinen freien Zugriff auf alle Büro-PCs. Umgekehrt muss nicht jede Person im Büro die Steuerung einer Maschine erreichen können.

Beginnen Sie deshalb mit dem betrieblichen Alltag. Gehen Sie mit den Verantwortlichen durch die Räume und fragen Sie nicht nur, welches Gerät wo steht, sondern auch: Wer braucht es? Mit welchen Systemen tauscht es Daten aus? Was passiert, wenn es eine Stunde nicht erreichbar ist? Daraus entstehen oft sinnvolle erste Zonen:

• Büroarbeitsplätze für E-Mail, Buchhaltung, ERP und gemeinsame Dateien.
• Produktion und spezialisierte Geräte mit nur den Verbindungen, die für Auftrag, Steuerung oder Wartung nötig sind.
• Kasse, Zahlungsterminal und andere besonders schützenswerte Systeme in einer eigenen, kleinen Zone.
• Gästezugänge mit ausschliesslichem Internetzugang, getrennt von internen Ressourcen.
• Verwaltungsschnittstellen für Firewall, Switches und Access Points, die nur berechtigte IT-Fachpersonen nutzen.

Für Schreinereien und Gewerbe ist diese Betrachtung besonders wichtig: Büro-IT wird regelmässig erneuert, Maschinen bleiben oft viele Jahre im Einsatz. Ein älteres Gerät muss nicht zwangsläufig ersetzt werden, wenn es sauber abgegrenzt ist und seine erforderlichen Verbindungen bekannt sind. Segmentierung ist damit kein Ersatz für Updates oder Backups, sie reduziert aber die Folgen, wenn ein System nicht sofort auf den neuesten Stand gebracht werden kann.

Wenige Zonen, klare Regeln

Vier bis sechs Segmente für Büro, Produktion oder OT, Kasse, Gäste und Verwaltung sind für viele KMU ein praktikabler Start. OT steht für Operational Technology, also Systeme, die einen physischen Prozess steuern oder überwachen, etwa eine Maschine, eine Heizungssteuerung oder eine Kameraanlage. Zu viele Zonen sind nicht automatisch sicherer: Jede zusätzliche Ausnahme muss verstanden, getestet und gepflegt werden. Zu wenige Zonen lassen hingegen zu viele Wege offen. Die passende Aufteilung richtet sich nach Risiko, Betriebsablauf und vorhandener Infrastruktur.

Die Firewall-Regel sollte nicht «Produktion darf ins Büro» lauten. Besser ist: Die definierte Maschinensteuerung darf den konkreten Lizenzserver über den benötigten Dienst erreichen. Jede Freigabe beschreibt Quelle, Ziel, Dienst, Zweck und verantwortliche Person. Starten Sie mit gesperrten Übergängen und geben Sie nur nachweislich benötigte Verbindungen frei. Das braucht anfänglich etwas Geduld, verhindert aber, dass eine einmal erteilte Notfallfreigabe jahrelang unbemerkt bestehen bleibt. Netzwerk schützen ergänzt diese Grundlage mit weiteren Schutzmassnahmen.

Ein häufiges Beispiel ist der neue Multifunktionsdrucker: Er muss aus dem Büro erreichbar sein, eventuell Scans an einen Maildienst senden und vielleicht Aufträge aus dem ERP empfangen. Er braucht jedoch keinen Zugang zu Kameras, Kasse oder Maschinen. Werden diese Anforderungen vor der Inbetriebnahme festgehalten, lässt sich die Regel gezielt setzen und später nachvollziehen. Das Gleiche gilt für Tablets in der Werkstatt: Sie benötigen oft Auftragsdaten und WLAN, aber nicht die Administration der Netzwerkkomponenten.

Produktion, WLAN und Betrieb einbeziehen

Bei Maschinen sind Änderungen anders zu beurteilen als bei klassischen Arbeitsplatz-PCs. Ein Update oder eine neue Firewall-Regel kann einen Prozess unterbrechen, für den ein Herstellerfenster oder ein geplanter Stillstand nötig ist. Beziehen Sie deshalb Produktion, externe Wartung und IT früh ein. Testen Sie zuerst ausserhalb der produktiven Zeit oder an einem repräsentativen Gerät. Dokumentieren Sie, welche Verbindung geprüft wurde und wer die Funktion bestätigt hat.

Externe Fernwartung verdient eine eigene Entscheidung. Dauerhaft offene Zugänge sind bequem, aber sie erhöhen die Angriffsfläche. Sinnvoller ist ein zeitlich begrenzter, protokollierter Zugang, den eine verantwortliche Person bei Bedarf freigibt. Ist Fernwartung für den Betrieb unverzichtbar, lässt sich das Risiko zusätzlich mit Mehrfaktor-Authentifizierung, einer getrennten Wartungszone und klaren Ansprechpersonen reduzieren. OT-Sicherheit für Gewerbe und Produktion vertieft die Verbindung zwischen IT und Maschinen.

Auch Gäste-WLAN, mobile Werkstattgeräte und frei zugängliche Netzwerkanschlüsse gehören zur Planung. Besuchende sollen online sein können, aber weder auf den Fileserver noch auf einen Netzwerkdrucker zugreifen. Ein drahtloses Gästenetz allein genügt nicht, wenn der Access Point oder die Firewall falsch konfiguriert ist. Prüfen Sie nach jeder Umsetzung daher sowohl den erlaubten als auch den gesperrten Weg: Kann das Tablet den vorgesehenen Auftrag öffnen? Kann ein Gastgerät den internen Server wirklich nicht erreichen?

Zentral verwaltete Access Points und Switches machen solche Änderungen nachvollziehbar. Halten Sie Netzplan, Regeln, Ausnahmen und Zuständigkeiten an einem Ort fest und überprüfen Sie sie periodisch, etwa bei neuen Maschinen, Umbauten oder einem Wechsel des Kassensystems. So bleibt Segmentierung ein handhabbarer Teil des Betriebs statt eines einmaligen Projekts. Netzwerk und WLAN hilft dabei, eine passende Struktur für Schutz und Verfügbarkeit zu planen.