IT-Sicherheit
Mikrosegmentierung
Mikrosegmentierung teilt ein Netz fein auf, sodass einzelne Systeme und Dienste abgeschottet sind und Angreifer sich nicht frei im Netz bewegen können.
- Lateral Movement eindämmen
- Bis auf Dienst-Ebene
- Ost-West-Verkehr
- Baustein von Zero Trust
Mikrosegmentierung teilt ein Netz fein auf, bis hinunter auf einzelne Dienste und Workloads. Statt nur grob nach VLANs zu trennen, regeln Richtlinien, wer mit wem überhaupt sprechen darf.
Dieser Artikel erklärt, wie Mikrosegmentierung wirkt, mit welchen Techniken sie umgesetzt wird und worauf es bei der Einführung ankommt. Sie ist ein zentraler Baustein von Zero Trust.
Kurz gesagt
Stärken
- Begrenzt Lateral Movement und den Blast Radius eines Vorfalls
- Kontrolliert auch den Ost-West-Verkehr, nicht nur Nord-Süd am Perimeter
- Reicht bis auf Workload- und Dienst-Ebene, über VLANs hinaus
- Zentraler Baustein von Zero Trust und der Zonen-Anforderungen aus NIS2/IT-Grundschutz
Schwächen
- Setzt Sichtbarkeit der Abhängigkeiten und Flows voraus; ohne sie reißen Verbindungen ab
- Big-Bang-Feinsegmentierung im laufenden Produktionsbetrieb ist riskant
- Erfordert laufende Pflege der Regeln; in sehr kleinen, flachen Netzen geringer Nutzen
1. Was Mikrosegmentierung ist
Mikrosegmentierung ist eine Netzwerk-Sicherheitstechnik, die ein Netz in viele kleine, isolierte Segmente unterteilt und für jedes feingranulare Zugriffsregeln definiert, über IP-Bereiche und VLANs hinaus. Ziel ist, die Angriffsfläche zu verkleinern, die seitliche Ausbreitung (Lateral Movement) zu begrenzen und den Schaden eines Vorfalls (Blast Radius) einzudämmen.
Während klassische Segmentierung grobe Zonen schafft (etwa Client- und Server-Netz), reicht Mikrosegmentierung bis auf die Ebene einzelner Anwendungen und Dienste.
2. Ost-West statt nur Nord-Süd
Klassische Firewalls schützen vor allem den Nord-Süd-Verkehr, also Kommunikation, die das Netz betritt oder verlässt. Die meisten Angreifer bewegen sich aber im Ost-West-Verkehr, also zwischen internen Systemen, sobald sie einen Fuß in der Tür haben.
Genau hier setzt Mikrosegmentierung an: Sie kontrolliert auch die interne Kommunikation zwischen Servern und Workloads, sodass ein kompromittiertes System nicht ungehindert weiter ins Netz vordringen kann.
3. Techniken
Mikrosegmentierung lässt sich auf mehreren Wegen umsetzen, je nach Umgebung:
- VLAN und VXLAN Zonenbildung im Netz, siehe VXLAN für skalierbare Overlays.
- Host- und Distributed-Firewall Regeln direkt am Workload oder im Hypervisor, unabhängig vom physischen Netz.
- SDN / OVN softwaredefinierte Netze mit zentral verwalteten Policies.
- Identitätsbasierte Policies Regeln nach Workload-Identität statt nur nach IP-Adresse.
Kein Standard schreibt eine bestimmte Technik vor
NIST, BSI und CISA beschreiben das Ziel (feine Segmentierung, kontrollierte Kommunikation zwischen Zonen), legen aber keine konkrete Technik wie VXLAN oder SDN als Pflicht fest. Welche Umsetzung passt, hängt von der Umgebung ab.
4. Mikrosegmentierung und Zero Trust
Die CISA ordnet Mikrosegmentierung ausdrücklich als zentralen Bestandteil einer Zero-Trust-Architektur ein. Sie setzt das Prinzip „never trust, always verify" auf Netzebene um: Auch interne Verbindungen müssen explizit erlaubt sein, durchgesetzt an Policy Enforcement Points. Mehr dazu unter Zero Trust.
5. Policy-Modell und stufenweiser Rollout
Tragfähige Regeln sind Allowlists nach dem Prinzip „standardmäßig verboten“ und stützen sich möglichst auf Identität oder Labels der Workloads statt auf IP-Adressen, die sich bei DHCP, Cloud-Skalierung oder Container-Neustarts ändern. Durchgesetzt wird je nach Umgebung am Hypervisor-vSwitch (verteilte Firewall), per Host-Agent, an einer NGFW oder in Kubernetes über NetworkPolicy eines CNI wie Calico oder Cilium, wobei NetworkPolicies ohne unterstützendes CNI wirkungslos bleiben.
Der Rollout läuft in Stufen: erst Flows kartieren, dann die Policy im Beobachtungs- bzw. Alarm-Modus fahren (Treffer werden protokolliert, aber nicht geblockt), Ausnahmen bereinigen und erst danach segmentweise auf Durchsetzung schalten. Ausnahmen gehören dokumentiert, befristet und regelmäßig überprüft, sonst sammeln sich „temporäre“ Freigaben zu einem dauerhaften Risiko.
6. Bezug zu NIS2 und IT-Grundschutz
Netz-Segmentierung ist ein anerkannter Baustein technischer Sicherheitsmaßnahmen. Der BSI-IT-Grundschutz fordert im Baustein NET.1.1 die Trennung von Systemen mit unterschiedlichem Schutzbedarf (etwa Clients und Server in getrennten Segmenten, kontrolliert über Firewalls), und Netz-Segmentierung zählt zu den anerkannten technischen Maßnahmen im Rahmen der NIS2-Risikomanagementpflichten (§ 30 BSIG), ohne dass eine bestimmte Technik vorgeschrieben wäre. Mikrosegmentierung ist eine feingranulare Ausgestaltung dieser Anforderungen.
7. Einführung in der Praxis
Der häufigste Fehler ist, sofort alles fein segmentieren zu wollen. Ohne genaue Kenntnis der Abhängigkeiten reißt man Verbindungen ab, die Anwendungen brauchen.
Erst Sichtbarkeit, dann Segmentierung. Wer Abhängigkeiten und Datenflüsse nicht kennt, scheitert an der Feinsegmentierung. Besser erst Zonen bilden, dann gezielt feiner schneiden, schrittweise statt Big Bang.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Mikrosegmentierung im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.