Netzwerksegmentierung für KMU: Wie Sie Angreifer mit einfachen Maßnahmen ausbremsen
80 Prozent aller Ransomware-Angriffe in Deutschland treffen KMU – und in den meisten Fällen bewegen sich die Angreifer ungehindert durch ein flaches Netzwerk, bis sie jeden Server verschlüsselt haben. Netzwerksegmentierung ist die wirksamste Einzelmaßnahme, um genau das zu verhindern. Seit Dezember 2025 ist sie unter NIS2 auch rechtlich gefordert.
Warum flache Netzwerke das größte Risiko sind
In vielen mittelständischen Unternehmen teilen sich Büro-PCs, Produktionsanlagen, Server und Gäste-WLAN ein einziges Netzwerk. Jedes Gerät kann jedes andere erreichen. Was im Alltag bequem erscheint, wird im Angriffsfall zum Verhängnis: Ein kompromittierter Arbeitsplatz-PC reicht aus, damit sich Angreifer lateral durch das gesamte Netz bewegen – von der Buchhaltung zum Domaincontroller, vom Domaincontroller zum Backup-Server.
Das BSI registriert aktuell 280.000 neue Schadprogrammvarianten pro Tag. Gleichzeitig dauert es laut aktuellen Studien im Mittelstand durchschnittlich 197 Tage, bis ein Einbruch überhaupt entdeckt wird. In einem flachen Netzwerk haben Angreifer in dieser Zeit Zugriff auf alles.
⚠️ Typischer Angriffsverlauf ohne Segmentierung
1. Phishing-Mail kompromittiert einen Arbeitsplatz-PC → 2. Angreifer scannt das Netzwerk und findet alle Geräte → 3. Laterale Bewegung zum Domaincontroller → 4. Backup-Server wird gelöscht → 5. Ransomware verschlüsselt alle Systeme gleichzeitig. Gesamtdauer: oft unter 4 Stunden.
Was Netzwerksegmentierung konkret bedeutet
Netzwerksegmentierung teilt ein Unternehmensnetz in voneinander isolierte Bereiche (Segmente). Jedes Segment enthält nur die Geräte, die tatsächlich miteinander kommunizieren müssen. Der Datenverkehr zwischen Segmenten wird durch Firewalls kontrolliert und auf das Notwendige beschränkt.
Das Prinzip ist einfach: Wenn der kompromittierte Büro-PC den Backup-Server gar nicht erst erreichen kann, ist die Ransomware-Verschlüsselung auf ein Segment begrenzt – statt auf das gesamte Unternehmen.
Die wichtigsten Segmente für KMU
| Segment | Enthält | Zugriff auf |
|---|---|---|
| Büro-Netz | Arbeitsplätze, Drucker | Internet, Dateiserver (lesend) |
| Server-Netz | Domaincontroller, Fileserver, ERP | Nur definierte Ports untereinander |
| Backup-Netz | Backup-Server, NAS | Kein Zugriff von Büro-PCs |
| Gäste-WLAN | Besucher-Geräte | Nur Internet, kein internes Netz |
| OT/Produktion | Steuerungen, IoT-Sensoren | Nur spezifische Daten-Gateways |
| Management-Netz | Admin-Zugränge, IPMI/iLO | Nur für IT-Administratoren |
NIS2 und § 30 BSIG: Segmentierung als Pflicht
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG), seit Dezember 2025 in Kraft, definiert in § 30 BSIG zehn Mindestmaßnahmen. Mehrere davon setzen eine funktionierende Netzwerksegmentierung voraus:
Relevante Anforderungen aus § 30 BSIG
- Risikoanalyse und Sicherheitskonzepte: Ohne Segmentierung fehlt ein wesentlicher Baustein im Sicherheitskonzept
- Bewältigung von Sicherheitsvorfällen: Segmentierung ermöglicht gezielte Eindämmung statt Komplettabschaltung
- Zugriffskontrolle: Netzwerkebene ist die erste Schicht der Zugriffskontrolle
- Sicherheit der Lieferkette: Zulieferer-VPN gehört in ein eigenes Segment
Bei Verstößen drohen Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Die persönliche Geschäftsführerhaftung nach § 38 BSIG kommt hinzu: Wer als Geschäftsleitung nachweislich keine angemessenen Maßnahmen ergriffen hat, haftet mit dem Privatvermögen.
Umsetzung in 5 Schritten: So segmentieren KMU ihr Netzwerk
Schritt 1: Netzwerk-Inventar erstellen
Bevor Sie segmentieren können, müssen Sie wissen, was in Ihrem Netz hängt. Ein Schwachstellenscan liefert gleichzeitig eine aktuelle Geräteübersicht und deckt bereits bekannte Sicherheitslücken auf. Dokumentieren Sie jedes Gerät mit IP-Adresse, Funktion und benötigten Kommunikationsbeziehungen.
Schritt 2: Zonen definieren
Gruppieren Sie Geräte nach Schutzbedarf und Funktion. Die Tabelle oben zeigt ein praxiserprobtes Zonenmodell für KMU. Entscheidend ist: Backup-Systeme und Management-Zugänge gehören immer in ein eigenes, besonders geschütztes Segment.
Schritt 3: VLANs einrichten
Die meisten Managed Switches, die in KMU bereits verbaut sind, unterstützen VLANs (Virtual LANs). Ein VLAN trennt den Netzwerkverkehr auf Layer 2 – ohne zusätzliche Hardware. Für jede Zone richten Sie ein eigenes VLAN ein. Die Konfiguration erfordert IT-Fachwissen, ist aber keine Großinvestition.
Schritt 4: Firewall-Regeln zwischen Segmenten
Zwischen den VLANs konfigurieren Sie Firewall-Regeln nach dem Prinzip Deny All, Allow Specific: Erst alles verbieten, dann gezielt nur die Kommunikation erlauben, die tatsächlich benötigt wird. Ein Büro-PC braucht Zugriff auf den Fileserver über SMB – aber keinen auf den Backup-Server oder die Produktionssteuerung.
Schritt 5: Überwachen und testen
Segmentierung ohne Überwachung ist nur halb wirksam. Protokollieren Sie den Datenverkehr zwischen den Segmenten und prüfen Sie regelmäßig, ob die Regeln greifen. Ein periodischer Netzwerk-Scan zeigt, ob Geräte in falsche Segmente geraten sind oder ob unautorisierte Kommunikation stattfindet.
✔️ Quick Wins: Sofort umsetzbar
- Gäste-WLAN sofort vom internen Netz trennen (die meisten Router können das bereits)
- Backup-Server in ein eigenes VLAN verschieben und Zugriff auf den Backup-Dienst beschränken
- Management-Interfaces (iLO, iDRAC, Switch-Konsolen) in ein eigenes Management-VLAN legen
- RDP-Zugriffe per Firewall auf definierte Admin-Workstations beschränken
Häufige Fehler bei der Segmentierung
Zu grobe Segmente: Ein „Server-VLAN“ mit Domaincontroller, Backup und ERP hilft wenig. Der Domaincontroller ist das wertvollste Ziel – er verdient ein eigenes Segment.
Regeln nie überprüft: Segmentierung ist kein Einmal-Projekt. Neue Geräte, geänderte Anforderungen und temporäre „Ausnahmen“ weichen die Regeln mit der Zeit auf. Planen Sie eine vierteljährliche Prüfung ein.
VPN-Tunnel nicht segmentiert: Wenn Zulieferer per VPN ins Netz kommen und dort alles sehen, haben Sie ein Lieferketten-Risiko geschaffen. Jeder externe Zugang gehört in ein eigenes, eng begrenztes Segment.
Was Segmentierung kostet – und was sie spart
Für ein typisches KMU mit 50 bis 200 Arbeitsplätzen liegt der Aufwand bei 2 bis 5 Beratertagen für Planung und Umsetzung – vorausgesetzt, die vorhandene Switch-Infrastruktur unterstützt VLANs. Die meisten modernen Managed Switches tun das.
Dem gegenüber steht der durchschnittliche Schaden eines Ransomware-Angriffs im Mittelstand: 1,6 Millionen Euro Betriebsunterbrechung, Wiederherstellung und Reputationsverlust. Segmentierung reduziert den Blast Radius eines Angriffs auf ein einzelnes Segment – statt das ganze Unternehmen lahmzulegen.
Fazit: Segmentierung ist Pflicht – und machbar
Netzwerksegmentierung ist keine Raketenwissenschaft. Die Technologie (VLANs, Firewalls) ist ausgereift und in den meisten KMU bereits vorhanden. Was fehlt, ist die konsequente Konfiguration. Unter NIS2 ist das keine optionale Best Practice mehr, sondern eine gesetzliche Anforderung. Wer jetzt handelt, schützt sein Unternehmen und erfüllt gleichzeitig die Compliance-Pflichten.
Wie gut ist Ihr Netzwerk geschützt?
Unser kostenloser Schwachstellenscan zeigt, welche Geräte in Ihrem Netz sichtbar sind und wo Segmentierung fehlt. Im Beratungsgespräch entwickeln wir ein Zonenmodell für Ihre Infrastruktur.