Damit ein Vorfall im Segment bleibt.

Ja. Wir migrieren in Etappen innerhalb von Wartungsfenstern, jeder Schritt ist rollbackfähig und bestehende Verbindungen bleiben erhalten. So entsteht die Trennung schrittweise, ohne den laufenden Betrieb zu unterbrechen.

Oft nicht. Vorhandene Switches mit VLAN- und VRF-Fähigkeit, ergänzt um eine zentrale Firewall an den Übergängen, reichen für viele Setups. Für policy-basierte Filterung direkt am Switch prüfen wir, ob die vorhandene Hardware ACLs oder Group-Based Policy unterstützt. Wo etwas fehlt, benennen wir es offen und planen den Austausch gezielt.

Netzsegmentierung ist ein technischer Baustein, der Bereiche im Netz voneinander trennt und Übergänge kontrolliert. Zero Trust ist ein weitergehendes Sicherheitsmodell nach dem Prinzip "never trust, always verify": Es prüft kontinuierlich Identität, Gerätezustand und Kontext, unabhängig vom Netzstandort des Nutzers oder Geräts (NIST SP 800-207). Segmentierung ist eine notwendige technische Grundlage von Zero Trust, aber nicht das ganze Modell. Wie beides zusammengehört, beschreiben wir auf der Zero-Trust-Seite im Bereich IT-Sicherheit.

Risikobasiert. Nicht jedes System braucht ein eigenes Mikrosegment, kritische Anwendungen, OT und sensible Daten dagegen schon. Wir trennen dort fein, wo der Schaden im Ernstfall groß wäre, und halten den Rest betreibbar.

Aus versionierten Policies in Git und protokollierten Übergängen im SIEM, typisch Wazuh und OpenSearch, entsteht ein Audit-Trail. Damit lässt sich gegenüber Prüfern und Versicherern zeigen, dass die Trennung nicht nur geplant, sondern wirksam ist. Zusätzlich empfehlen wir eine aktive Verifikation: den durchgesetzten Ist-Zustand gegen das Soll-Konzept prüfen, nicht nur loggen. Mit Werkzeugen wie Batfish lassen sich Netzkonfigurationen und Erreichbarkeitsregeln analysieren, ohne direkten Gerätezugriff. Wer unter NIS2 fällt, muss technische Maßnahmen regelmäßig auf Wirksamkeit prüfen, Segmentierung gehört dazu. Mikrosegmentierung ist ein fortlaufender Prozess, kein einmaliges Projekt.

Das entscheidet die Netzzugangskontrolle (NAC, Network Access Control): Per 802.1X-Authentifizierung weist ein RADIUS-Server dem Gerät beim Verbinden ein VLAN zu, je nach Identität und Gerätezustand. Geräte ohne 802.1X-Unterstützung lassen sich über MAC Authentication Bypass (MAB) in kontrollierte Segmente leiten. Damit ist die VLAN-Zuweisung nicht mehr statisch am Port, sondern dynamisch und richtliniengesteuert. Details dazu beschreiben wir auf der Seite zur Netzzugangskontrolle (NAC).