In einem typischen 30-Mann-KMU, zu dem wir nach einem Vorfall kommen, sieht das Netz fast immer gleich aus: ein gemeinsames 192.168.1.0/24, in dem der Empfangs-PC den Produktionsserver sieht, die Kasse den Buchhaltungsserver und der Drucker im Flur den ganzen Rest. Kommt Ransomware über eines dieser Geräte herein, deckt sie in vier Stunden alles ab, was eine IP-Adresse hat.
Netzwerksegmentierung ist kein Thema für eine CISO-Konferenz. Sie ist eine der günstigsten und am stärksten unterschätzten Verteidigungsmaßnahmen im KMU — und gleichzeitig diejenige, die am häufigsten fehlt. Die meisten Firmen, die wir betreuen, haben ordentliche Backups, MFA aktiviert und sogar einige Schulungen. Und dann haben sie ein flaches Netz, in dem alle alle sehen, und der erste ernsthafte Angriff kostet Wochen Arbeit.
Dieser Text geht darum, was Segmentierung im Alltag einer 30-Mann-Firma wirklich bedeutet, was sie nicht ist (obwohl sie so verkauft wird) und welche Zonen man zuerst trennen sollte.
Flaches Netz = kostenlose Autobahn für Ransomware
„Flaches Netz" heißt: jedes Gerät in der Firma — Mitarbeiterrechner, Dateiserver, ERP, Drucker, Kameras, VoIP-Telefone, der Fernseher im Besprechungsraum, jemandes privater Laptop „nur kurz" am Kabel — lebt in einem Subnetz. Jedes kann jedes andere ansprechen. Keine Isolation, keine Grenzen, keine Protokolle.
Aus Sicht des Angreifers ist das eine Traum-Infrastruktur. Ein Einstiegspunkt genügt — meistens ein Mitarbeiter-PC, der einen infizierten Anhang geöffnet hat — und man kann:
- Das gesamte Netz nach offenen Freigaben scannen (SMB, RDP, SQL-Datenbanken).
- Sich auf Service-Accounts einloggen, die „überall hin müssen".
- Dateien auf dem Dateiserver verschlüsseln, zu dem der Rechner Laufwerke gemappt hat.
- Weitere Rechner über bekannte Sicherheitslücken oder schwache Passwörter übernehmen.
Dieser ganze Verkehr läuft innerhalb des Netzes — unterhalb des Radars der Perimeter-Firewall, denn die Firewall bewacht die Grenze zur Außenwelt, nicht den Verkehr zwischen Empfang und Serverraum. Deshalb braucht moderne Ransomware nicht viele Stunden: ihr genügt, dass das Netz ein einziger großer offener Raum ist.
Segmentierung verwandelt diesen Raum in eine Wohnung mit Türen. Nach dem Einbruch ist der Eindringling immer noch drin — aber nicht mehr überall gleichzeitig.
Eine 27-Mann-Tischlerei und eine E-Mail am Freitag
Bei einem unserer Kunden — einer 27-Mann-Tischlerei, die Möbel auf Maß baut — hat die Buchhalterin am Freitagnachmittag auf eine Mail geklickt, die wie eine Rechnung vom Stamm-Plattenlieferanten aussah. ZIP mit einem Makro. Der Virenscanner reagierte am Arbeitsplatz, aber zu spät — der Prozess hatte bereits ein Skript gestartet, das anfing, das Netz zu scannen.
Die Firma hatte die für die Branche typische Konfiguration: ein einziges LAN 192.168.0.0/24, in dem Bürorechner, ein Dateiserver mit CAD-Projekten, ein Comarch-Optima-Server, eine CNC-Steuerung in der Werkstatt (Windows XP, weil nie jemand aktualisiert hat — „läuft, also nicht anfassen") und ein paar Netzfreigaben mit Passwörtern wie „firma2018" zusammensaßen. Innerhalb von vier Stunden hatte die Ransomware den Dateiserver, die Optima-Datenbank und — am schmerzhaftesten — die CNC-Konfigurationsdateien verschlüsselt. Die Werkstatt stand still.
Die Wiederherstellung dauerte 5 Arbeitstage: das Dateiserver-Backup war von der vorherigen Nacht (Wochenkopie), Optima aus der Tageskopie, aber die CNC-Konfigurationen mussten aus dem Gedächtnis der Maschinenbediener und Papiernotizen rekonstruiert werden. Produktionsverluste — nach Schätzung des Inhabers — überstiegen 60 000 zł, ohne unsere Arbeit am Wiederaufbau.
Nach dem Vorfall haben wir mit ihnen eine einfache Segmentierung eingerichtet: vier VLANs (Büro, Server, Werkstatt/OT, Gäste), Regeln auf einer internen Firewall, die den Verkehr zwischen ihnen auf das wirklich Nötige beschränken, Isolation der CNC-Steuerung vom Bürobetrieb, separate Administrator-Konten für die Server (nicht erreichbar von Bürorechnern). Hardware-Kosten — ein neuer Router/Firewall der Einstiegsklasse (MikroTik/Fortinet) — rund 4 500 zł. Konfigurationsarbeit — zwei Tage.
Ein halbes Jahr später klickte ein weiterer Mitarbeiter auf eine weitere böse Mail. Die Ransomware verschlüsselte einen Rechner. Der Rest des Netzes hat es nicht gemerkt. Wiederherstellung: drei Stunden, inklusive Kaffee.
Das ist keine Geschichte von Zauberei. Es ist die Geschichte, dass derselbe Angriff in einem nicht segmentierten Netz 60 000 zł plus eine Woche Stillstand kostet — und in einem segmentierten das Neuaufsetzen eines Laptops aus einem Image.
Was Segmentierung im Alltag einer 30-Mann-Firma wirklich heißt
Im Konzern bedeutet Segmentierung meist Mikrosegmentierung, Zero Trust, SASE und ein Fünfjahresprojekt mit Beratern. Im KMU genügt etwas viel Einfacheres: das Netz in einige Zonen aufteilen, zwischen denen der Verkehr bewusst begrenzt ist.
Technisch geschieht das über VLANs auf einem managebaren Switch (die meisten Switches unter 2 000 zł können das bereits) und Regeln auf einer internen Firewall — meistens auf demselben Edge-Router, den du ohnehin schon hast. Du brauchst keinen neuen Serverschrank. Du brauchst Bewusstsein dafür, was wirklich miteinander reden muss, und die Entscheidung, dass der Rest — nicht.
Drei einfache Fragen, die man sich für jedes Gerätepaar in der Firma stellen sollte:
- Muss Rechner X wirklich auf Server Y zugreifen können? Wenn ja — über welchen Port und welches Protokoll?
- Ist der Zugriff dauerhaft oder nur manchmal?
- Was passiert, wenn Rechner X infiziert wird — wie weit kommt der Eindringling?
Die meisten Antworten lauten „eigentlich nicht". Das Tablet im Besprechungsraum hat keinen Grund, den Dateiserver zu sehen. Der Empfangsrechner braucht keinen Zugriff auf die ERP-Datenbank. Der Drucker muss nicht mit der Datenbank reden. Diese „eigentlich nicht"-Antworten sind genau die Blockierregeln, die man aufschreiben sollte.
5 Zonen, die in einem KMU sinnvoll zu trennen sind
Das ist nicht die einzig richtige Aufteilung — aber sie funktioniert für ein typisches 10–50-Mann-KMU und lässt sich in zwei Tagen umsetzen.
- Bürozone (Mitarbeiterrechner). Alle Laptops und Desktops in Verwaltung, Vertrieb, Buchhaltung. Sie haben Internetzugang und Zugriff auf ausgewählte Anwendungsserver (ERP, CRM, Dateifreigaben), aber keinen Zugriff aufs Produktionsnetz und keinen auf IoT/Drucker aus anderen Zonen.
- Server-Zone. ERP, Datenbank, Dateiserver, Mailserver (falls on-prem), Domain Controller. Von außerhalb dieser Zone nur Zugriff über konkrete Anwendungsports. Administration (RDP, SSH, Panel) nur von einem dedizierten Rechner/Jump-Host, nicht von jedem Schreibtisch.
- Produktions- / OT-Zone. Maschinensteuerungen, HMI-Panels, Kassen, Barcodeleser, Lagerterminals. Häufig alte Systeme, die sich nicht aktualisieren lassen. Regel: kein Internetzugriff (außer notwendigen Herstellerservern), kein Zugriff vom Schreibtisch, kein Zugriff von Gästen.
- Gäste- und privates WLAN. Gäste, private Mitarbeitertelefone, Smart-TVs, das WLAN-Kaffeevollautomat. Nur Internet, kein Zugriff auf irgendetwas im Inneren. Eigene SSID auf eigenem VLAN — zehn Minuten Konfiguration auf einem typischen Access Point.
- IoT-/Druck-Zone. Drucker, Kameras, Alarme, IoT. Diese Geräte haben notorisch ungepatchte Schwachstellen. Halt sie getrennt und lass sie nur mit konkreten Management-Servern sprechen.
Diese fünf Zonen decken 90 % der Segmentierungsbedürfnisse eines typischen KMU ab. Man kann sie weiter unterteilen (z. B. Buchhaltung getrennt vom Rest des Büros), aber das sind Feinheiten — der größte Gewinn kommt aus der Trennung dieser fünf.
Was keine Segmentierung ist, obwohl sie so verkauft wird
Die Branche verkauft unter dem Etikett „Segmentierung" einiges, was gut klingt, aber das Problem nicht löst. Die häufigsten Verwechslungen:
- Ein zweites WLAN mit anderem Passwort. Wenn beide SSIDs in dasselbe LAN münden, hast du einfach zwei Namen für dieselbe Autobahn. Echte Segmentierung verlangt, dass die zweite SSID in einem eigenen VLAN mit eigenen Regeln liegt.
- „Wir haben eine Firewall, wir sind sicher". Eine Perimeter-Firewall bewacht die Internetgrenze. Sie sieht keinen internen Verkehr. Ransomware, die schon drin ist, schiebt sich unter ihrem Radar zwischen Rechnern hin und her.
- VLANs ohne Firewall-Regeln. Ein VLAN allein trennt nur Layer 2 (Broadcast). Wenn der Router zwischen den VLANs alles durchlässt, hast du wieder ein flaches Netz — nur mit mehr Konfiguration.
- „Antivirus auf jedem Rechner". Antivirus rettet den einen Rechner, der gerade „Glück" hat. Er rettet kein Netz, in dem Vertrauen global ist. AV und Segmentierung sind keine Alternativen — sie sind verschiedene Schichten.
- Eine teure „NGFW" mit UTM, IPS, Sandbox. All diese Funktionen sind wertvoll, aber wenn dahinter ein flaches Netz steht, hast du 25 000 zł für ein Gateway ausgegeben, das die Ransomware gar nicht umgehen muss — sie lebt entspannt im Inneren.
Jedes dieser Dinge hat seinen Platz als Teil des Puzzles. Keines ersetzt die bewusste Aufteilung des Verkehrs in Zonen.
Womit du diese Woche anfangen kannst
Wenn du ein 10–50-Mann-KMU führst und diese Liste dir das Bild „wir haben ein flaches Netz" verschafft, ist die gute Nachricht: die erste echte Risikoreduktion lässt sich in zwei Abenden machen. In dieser Reihenfolge:
- Zeichne das Netz auf Papier. Was du hast: wie viele Switches, wie viele Access Points, wo die Server, wo die Steuerungen, wo die Drucker. Ohne diese Übersicht lässt sich keine Aufteilung planen.
- Trenne das Gäste-WLAN ab. Der einfachste Schritt mit sofortigem Effekt. Eigene SSID, eigenes VLAN, nur Internet. Eine Stunde auf einem typischen Ubiquiti-/MikroTik-/Aruba-Instant-Access-Point.
- Trenne das Produktions-/OT-Netz ab. Wenn du irgendetwas Industrielles hast (CNC, Kassen, Terminals, Laborgeräte), halte das in einem eigenen VLAN ohne Internetzugang, mit Zugriff aus dem Büro nur über konkrete Ports. Das ist es, was die Produktion rettet, wenn das Büro fällt.
- Deaktiviere SMBv1 und passwortlose Freigaben. Ein Klassiker aus 2017–2024 — die meisten Masseninfektionen laufen immer noch über diese Wege. Zehn Minuten pro Rechner.
- Prüfe deine Admin-Konten. Ein Alltagsrechner sollte sich nicht als Domain-Admin anmelden. Trenne Alltagskonten von Admin-Konten und lass Admin nur von einem kontrollierten Punkt aus zu.
- Plane den vollständigen Segmentierungs-Rollout. Nach diesen ersten Schritten hast du bereits ~50 % des Nutzens. Den Rest solltest du auf 2–3 Wochenenden mit Vorbereitung verteilen (Kauf eines managebaren Switches, falls keiner da ist, VLAN-Design, Firewall-Regeln).
Segmentierung stoppt Ransomware nicht. Ransomware kommt irgendwann durch — über Phishing, über ein verseuchtes Update, über einen kompromittierten Lieferanten. Aber Segmentierung entscheidet, ob du einen Rechner und drei Stunden verlierst oder die ganze Firma und eine Woche. Diese Differenz kannst du nach dem Vorfall nicht mehr kaufen — du kaufst sie jetzt, wenn nichts passiert.
Wenn du das in deiner Firma sortieren möchtest, aber nicht sicher bist, ob du mit dem Switch, der Firewall oder der Netzkarte anfangen sollst — wir helfen KMU regelmäßig dabei, solche Themen in Einzelteile zu zerlegen. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Ransomware verschlüsselt nicht die ganze Firma, weil sie schlau ist. Sie verschlüsselt, weil die ganze Firma in einem Raum sitzt.