Probleme · Sicherheit, Backup & Datenschutz
Wie trenne ich im KMU Gäste-WLAN, Büro, Kasse und Produktion?
Kurz gesagt
Du trennst die Bereiche mit Netzwerksegmentierung: VLANs teilen das Netz logisch in Zonen, und eine Firewall erlaubt zwischen den Zonen nur Verbindungen, die nachweislich gebraucht werden. Für viele KMU sind vier bis sechs Zonen ein guter Start: Büro, Produktion, Kasse, Gäste und Verwaltung. So bleibt ein Vorfall auf einen Bereich begrenzt.
Für wen das gilt
Für KMU, in denen Büroarbeitsplätze, Maschinen, Kasse, Kameras, Drucker und Gäste-WLAN im selben Netz hängen. Besonders für Schreinereien und Gewerbe: Büro-IT wird regelmässig erneuert, Maschinen bleiben oft viele Jahre im Einsatz. Das Thema gehört zum Zeitdieb Sicherheit, Backup & Datenschutz.
Solange alles ruhig läuft, fällt ein flaches Netz nicht auf. Öffnet jemand einen schädlichen Anhang oder wird ein ungeschütztes Gerät angeschlossen, kann ein Vorfall von einem Bereich in den nächsten gelangen. Auch eine Fehlkonfiguration oder ein defekter Drucker trifft dann mehr Systeme als nötig.
Auf einen Blick: typische Zonen
Vier bis sechs Segmente sind für viele KMU ein praktikabler Start.
| Zone | Darf | Darf nicht |
|---|---|---|
| Büro | E-Mail, Buchhaltung, ERP, gemeinsame Dateien | Maschinensteuerungen frei erreichen |
| Produktion / OT | nur Verbindungen für Auftrag, Steuerung, Wartung | auf alle Büro-PCs zugreifen |
| Kasse und Zahlungsterminal | Zahlungsdienst | mit Gästen oder Kameras im selben Netz sein |
| Gäste | ausschliesslich Internet | Drucker, Freigaben, Verwaltungsoberflächen sehen |
| Verwaltung | Firewall, Switches, Access Points administrieren | von allen erreichbar sein |
OT (Operational Technology) sind Systeme, die einen physischen Prozess steuern oder überwachen: eine Maschine, eine Heizungssteuerung, eine Kameraanlage.
Aus der Praxis
Eine CNC-Maschine braucht vielleicht den Lizenzserver und den Fernwartungszugang des Herstellers, aber keinen Zugriff auf Büro-PCs oder Personalunterlagen. Deshalb lautet eine gute Regel nicht «Produktion darf ins Büro», sondern: Die definierte Maschinensteuerung darf den konkreten Lizenzserver über den benötigten Dienst erreichen. Jede Freigabe beschreibt Quelle, Ziel, Dienst, Zweck und verantwortliche Person.
Ein häufiges Beispiel ist der neue Multifunktionsdrucker: Er muss aus dem Büro erreichbar sein, vielleicht Scans an einen Maildienst senden und Aufträge aus dem ERP empfangen. Zugang zu Kameras, Kasse oder Maschinen braucht er nicht. Wer das vor der Inbetriebnahme festhält, kann die Regel gezielt setzen. Gleiches gilt für Werkstatt-Tablets: Auftragsdaten und WLAN ja, Netzwerkadministration nein.
Bei Maschinen sind Änderungen heikler als bei Büro-PCs. Ein Update oder eine neue Regel kann einen Prozess unterbrechen, für den ein Herstellerfenster oder ein geplanter Stillstand nötig ist. Teste deshalb ausserhalb der Produktionszeit oder an einem repräsentativen Gerät. Mehr dazu in Wie vernetze ich Maschinen sicher mit der Büro-IT?.
Ehrlich gesagt
Segmentierung ist keine Übung im maximalen Abschotten. Zu viele Sonderregeln machen Störungen schwerer behebbar, zu offene Regeln unterlaufen den Schutz. Am Anfang braucht das etwas Geduld, verhindert aber, dass eine einmal erteilte Notfallfreigabe jahrelang unbemerkt offen bleibt.
Nicht jeder Ort braucht denselben Aufwand: In einem kleinen Büro mit kontrolliertem Zugang genügt oft eine einfache, sauber dokumentierte Lösung. In einem Ladenlokal oder einem gemeinsam genutzten Gebäude ist das Risiko höher, weil Besuchende an Netzwerkanschlüsse kommen. Dort helfen deaktivierte Ports, Zugangskontrolle oder ein Gastsegment.
So gehst du vor
- Rundgang mit den Verantwortlichen: Welches Gerät steht wo, wer ist zuständig (auch bei Lieferantengeräten), mit welchen Systemen tauscht es Daten aus, was passiert, wenn es eine Stunde nicht erreichbar ist? Die Liste muss nicht perfekt sein, sie soll unbekannte Geräte und unnötige Verbindungen sichtbar machen.
- Wenige Zonen festlegen (Tabelle oben).
- Übergänge standardmässig sperren und nur nachweislich benötigte Verbindungen freigeben.
- Fernwartung zeitlich begrenzen und protokollieren. Ist eine Wartung nur einmal pro Quartal nötig, ist ein befristeter Zugang besser als eine Dauerfreigabe.
- Beide Wege testen: Kann das Tablet den Auftrag öffnen? Kann ein Gastgerät den internen Server wirklich nicht erreichen?
- Dokumentieren und sichern: Netzplan, IP-Bereiche, Regeln, Ausnahmen, Zuständigkeiten an einem Ort. Konfigurationen von Firewall, Switches und Access Points vor Änderungen sichern und Geräte regelmässig aktualisieren.
- Periodisch prüfen, etwa bei neuen Maschinen, Umbauten oder einem neuen Kassensystem. Nach jedem Umbau kurz testen: Drucken, Telefonie, Gäste-WLAN, Fachanwendungen, erlaubte Fernwartung.
Einfache Hinweise wie ein ausgefallener Access Point, ein unbekanntes Gerät oder ungewöhnliche Anmeldungen helfen, Abweichungen früh zu sehen. Sie ersetzen keine umfassende Sicherheitsüberwachung. Kläre vorab, wer solche Meldungen entgegennimmt.
Wie ein Gäste- und Firmen-WLAN geplant wird, steht in Wie plane ich das WLAN im Unternehmen richtig?. Die Preise für Netzwerk und Sicherheit findest du auf der Preisseite.
Häufige Fragen
Reichen VLANs allein?
Nein. VLANs teilen das Netz logisch auf derselben Verkabelung. Was zwischen den Bereichen erlaubt ist, entscheiden erst die Firewall-Regeln. Entscheidend sind also die Übergänge, nicht die VLAN-Nummern.
Sind mehr Zonen sicherer?
Nicht automatisch. Jede zusätzliche Ausnahme muss verstanden, getestet und gepflegt werden. Zu wenige Zonen lassen dagegen zu viele Wege offen. Die passende Aufteilung richtet sich nach Risiko, Betriebsablauf und vorhandener Infrastruktur.
Muss ich alte Maschinen ersetzen?
Nicht zwangsläufig. Ein älteres Gerät kann bleiben, wenn es sauber abgegrenzt ist und seine nötigen Verbindungen bekannt sind. Segmentierung ersetzt keine Updates und Backups, reduziert aber die Folgen, wenn ein System nicht sofort aktualisiert werden kann.
Wie regle ich die Fernwartung durch Hersteller?
Dauerhaft offene Zugänge sind bequem, erhöhen aber die Angriffsfläche. Besser ist ein zeitlich begrenzter, protokollierter Zugang, den eine verantwortliche Person bei Bedarf freigibt, ergänzt mit Mehrfaktor-Authentifizierung und einer getrennten Wartungszone.
Was tue ich bei Verdacht auf einen Angriff im Netz?
Ruhig nach bekanntem Ablauf: betroffenes Gerät wenn möglich vom Netz trennen, Zuständige informieren, Zeitpunkt und Beobachtungen festhalten und Protokolle sichern. Nicht vorschnell löschen, das erschwert die Analyse.
