15 Oktober 2026

Netzwerksegmentierung ist die Aufteilung eines Netzwerks in abgegrenzte Bereiche mit kontrollierten Kommunikationsbeziehungen. In Produktionsumgebungen können beispielsweise Büro-IT, Fertigungszellen und Wartungssysteme getrennt betrachtet werden. Ziel ist, notwendige Verbindungen zu ermöglichen und unerwünschte Zugriffe oder die Ausbreitung von Störungen zu begrenzen.

Was bedeutet Netzwerksegmentierung?

In einem vollständig offenen Netzwerk können viele Systeme unmittelbar miteinander kommunizieren. Dadurch kann ein Problem an einer Stelle Auswirkungen auf weitere Bereiche haben. Segmentierung schafft Grenzen, an denen Kommunikation entsprechend festgelegter Regeln zugelassen oder unterbunden wird.

Die Einteilung richtet sich nach Funktionen, Schutzbedarf und Abhängigkeiten. Eine rein organisatorische Aufteilung nach Abteilungen ist nicht immer geeignet. Zwei räumlich getrennte Anlagen können eng zusammenarbeiten, während benachbarte Maschinen kaum Daten austauschen müssen. Die Architektur sollte deshalb auf den tatsächlichen betrieblichen Anforderungen beruhen.

Die CISA beschreibt Segmentierung als Bestandteil mehrschichtiger Netzwerksicherheit und bezieht dabei auch die Trennung von OT-Bereichen ein. Eine demilitarisierte Zone, kurz DMZ, kann als zwischengeschalteter Bereich dienen. Solche Grundkonzepte müssen für die konkrete Anlage mit geeigneten Kommunikationsregeln umgesetzt werden.

Segment, VLAN, Firewall und DMZ unterscheiden

Begriff	Funktion	Wichtige Grenze
Segment	Abgegrenzter Netzwerkbereich	Die tatsächliche Trennung hängt von Architektur und Regeln ab
VLAN	Logische Aufteilung auf der Vermittlungsebene lokaler Netze	Erlaubtes Routing kann die Kommunikation zwischen VLANs weiterhin ermöglichen
Firewall	Kontrolle von Verbindungen nach einer Regelbasis	Unpassende oder zu breite Regeln begrenzen die Schutzwirkung
DMZ	Gesonderter Bereich für definierte Übergangs- oder Vermittlungsdienste	Eine DMZ ist nur so wirksam wie ihre kontrollierten Verbindungen

Ein VLAN allein ist daher kein vollständiges Sicherheitskonzept. Wenn zwischen allen VLANs uneingeschränkt kommuniziert werden darf, bleibt die gewünschte Begrenzung häufig aus. Ebenso reicht die bloße Installation einer Firewall nicht. Ihre Regeln müssen auf den benötigten Datenflüssen beruhen und im Betrieb gepflegt werden.

Physische Trennung kann für bestimmte Anforderungen sinnvoll sein. Sie muss jedoch vollständig betrachtet werden: Wartungsrechner, Wechselmedien oder zusätzliche Funkverbindungen können andere Übergänge schaffen. Eine vermeintlich isolierte Anlage ist nicht allein deshalb unabhängig, weil sie keinen regulären Anschluss an das Büronetz besitzt.

Kommunikationsbedarf vor der Umsetzung erfassen

Vor einer Änderung muss bekannt sein, welche Verbindungen für den Betrieb erforderlich sind. Dazu gehören neben offensichtlichen Prozessdaten auch Zeitdienste, Namensauflösung, Lizenzdienste, Sicherungen oder Wartungsfunktionen. Werden solche Abhängigkeiten übersehen, kann eine gut gemeinte Trennung notwendige Abläufe unterbrechen.

Eine Kommunikationsmatrix kann Quelle, Ziel, Dienst, Richtung, Zweck und Verantwortliche enthalten. Bei zeitweise benötigten Verbindungen sollte zusätzlich ihre Aktivierung geregelt sein. Die Matrix ist eine betriebliche Planungsgrundlage und muss mit dem tatsächlichen Zustand abgeglichen werden.

Die Erfassung selbst muss zur Anlage passen. Ungeprüfte aktive Untersuchungen können empfindliche Komponenten belasten. Verfahren, Umfang und Zeitpunkt sollten deshalb mit den zuständigen Anlagenverantwortlichen abgestimmt werden. Vorhandene Dokumentation und geeignete passive Beobachtungen können wichtige Informationen liefern, ersetzen aber nicht in jedem Fall die fachliche Prüfung.

Praxisbeispiel: Büro-IT und zwei Fertigungszellen

Das folgende Beispiel ist fiktiv. Ein Werk betreibt zwei Fertigungszellen und ein zentrales Berichtssystem. Die Zellen müssen Produktionsmeldungen bereitstellen, benötigen aber keinen allgemeinen Zugriff auf Büroarbeitsplätze. Wartung erfolgt nur für definierte Aufgaben über einen vorgesehenen Zugang.

Die Planung sieht getrennte Bereiche für Büro-IT, Übergangsdienste und die beiden Zellen vor. Ein Dienst im Übergangsbereich übernimmt die vorgesehene Datenvermittlung. Für jede Verbindung wird beschrieben, welches System sie initiiert, welche Informationen übertragen werden und warum sie benötigt wird.

Die beiden Zellen erhalten keine pauschale gegenseitige Erreichbarkeit. Wenn später eine gemeinsame Funktion erforderlich wird, wird die konkrete Verbindung geprüft und ergänzt. Für die Wartung werden Zielsysteme und Berechtigungen gesondert festgelegt.

Vor der Umstellung testet das Werk Normalbetrieb, Wiederanlauf und notwendige Wartungsabläufe. Dabei zeigt sich beispielsweise, ob ein bisher unbemerkter gemeinsamer Dienst benötigt wird. Die Architektur wird anhand dieser Erkenntnisse vervollständigt, statt fehlende Funktionen durch eine allgemeine Freigabe aller Verbindungen zu umgehen.

Segmentierung im laufenden Betrieb erhalten

Änderungen kontrollieren

Neue Maschinen, zusätzliche Dienste und geänderte Wartungsanforderungen können neue Verbindungen benötigen. Jede Regel sollte einen nachvollziehbaren Zweck und eine zuständige Stelle besitzen. Zeitlich begrenzte Ausnahmen müssen nach ihrem Ablauf überprüft und gegebenenfalls entfernt werden.

Wirksamkeit prüfen

Die Prüfung sollte sowohl erlaubte als auch unerwünschte Kommunikationswege berücksichtigen. Es reicht nicht, dass die Produktion nach einer Änderung weiterläuft. Zusätzlich ist zu klären, ob die beabsichtigten Grenzen tatsächlich wirken und ob alternative Wege die Trennung umgehen.

Ausfälle und Wiederherstellung berücksichtigen

Komponenten an Netzgrenzen können selbst ausfallen. Ihr Verhalten muss zu den betrieblichen Anforderungen passen. Auch Sicherung und Wiederherstellung von Konfigurationen gehören in die Planung. Wird nach einem Defekt eine veraltete Regelbasis geladen, kann die tatsächliche Architektur von der dokumentierten abweichen.

Nutzen und Grenzen in der Produktion

Eine geeignete Segmentierung kann Kommunikationsbeziehungen übersichtlicher machen und die Ausbreitung bestimmter Ereignisse begrenzen. Sie unterstützt damit OT-Security, ersetzt aber keine geschützten Benutzerkonten, kontrollierten Programme oder geeignete Wiederherstellungsabläufe.

Innerhalb eines Segments können weiterhin Risiken bestehen. Auch eine ausdrücklich erlaubte Verbindung kann missbraucht werden, wenn die beteiligten Systeme nicht ausreichend geschützt sind. Die Bewertung muss daher die Inhalte und Berechtigungen relevanter Zugriffe einschließen, soweit die eingesetzte Technik und Anwendung dies ermöglichen.

Zu kleinteilige oder schlecht dokumentierte Strukturen können den Betrieb unnötig erschweren. Das Ziel ist eine begründete, beherrschbare Architektur. Anzahl und Größe der Segmente ergeben sich aus den Anforderungen; eine möglichst hohe Zahl getrennter Bereiche ist kein eigenständiger Qualitätsnachweis.

Typische Fehler

Netzplan ohne Regeln: Die Zeichnung zeigt Grenzen, die technisch nicht umgesetzt sind.
Zu breite Freigaben: Aus Bequemlichkeit werden ganze Bereiche gegenseitig erreichbar gemacht.
Versteckte Verbindungen: Wartungsgeräte oder zusätzliche Netzzugänge umgehen die vorgesehenen Übergänge.
Fehlende Zuständigkeit: Niemand überprüft, ob Regeln noch gebraucht werden.
Nur Normalbetrieb testen: Wiederanlauf, Diagnose oder Sicherung funktionieren nach der Umstellung nicht mehr.

Eine nachvollziehbare Dokumentation verbindet deshalb fachlichen Zweck, technische Umsetzung und betriebliche Verantwortung. Sie sollte bei Umbauten und bei der Übergabe an neue Dienstleister mitgeführt werden.

Häufige Fragen zur Netzwerksegmentierung

Reicht ein VLAN zur Absicherung einer Fertigungszelle?

Ein VLAN kann eine logische Trennung ermöglichen, beantwortet aber noch nicht, welche Kommunikation zwischen Bereichen zugelassen wird. Routing und weitere Übergänge müssen mit betrachtet werden. Für eine Sicherheitsgrenze sind passende Kontrollmechanismen und Regeln erforderlich. Die konkrete Umsetzung hängt vom Schutzbedarf und von den notwendigen Verbindungen der Zelle ab.

Was ist eine industrielle DMZ?

Ein gesonderter Netzwerkbereich für definierte Dienste zwischen unterschiedlich geschützten Umgebungen. Er kann beispielsweise Datenvermittlung oder einen kontrollierten Wartungsübergang aufnehmen. Die DMZ ist keine automatische Sicherheitsgarantie. Entscheidend sind die zugelassenen Verbindungen, die Absicherung ihrer Dienste und die Vermeidung unkontrollierter direkter Wege zwischen den angrenzenden Bereichen.

Kann Segmentierung die Produktion beeinträchtigen?

Ja, wenn notwendige Kommunikationsbeziehungen fehlen oder Komponenten das erforderliche Zeitverhalten nicht erfüllen. Deshalb müssen Abhängigkeiten erfasst und Änderungen passend getestet werden. Neben dem Normalbetrieb sind Wiederanlauf und Wartung relevant. Eine abgestimmte Umstellung mit einem definierten Rückfallverfahren verringert das Risiko unerwarteter Unterbrechungen.

Verhindert Segmentierung alle Cyberangriffe?

Nein. Sie begrenzt bestimmte Kommunikationswege und kann Auswirkungen reduzieren. Erlaubte Verbindungen, lokale Zugänge oder Schwachstellen innerhalb eines Segments bleiben relevant. Segmentierung ist deshalb Teil eines umfassenderen Schutzkonzepts. Berechtigungen, sichere Konfigurationen, Überwachung und Wiederherstellung müssen entsprechend dem konkreten Risiko ebenfalls berücksichtigt werden.

Wie oft sollten Regeln überprüft werden?

Bei relevanten Änderungen und zusätzlich in einem zum Betrieb passenden regelmäßigen Verfahren. Eine pauschale Frist ist nicht für jede Anlage geeignet. Wichtig ist, dass Zweck und Verantwortliche bekannt bleiben und befristete Ausnahmen tatsächlich nachverfolgt werden. Nicht mehr benötigte Verbindungen sollten kontrolliert beendet werden, ohne notwendige Abläufe ungeprüft zu unterbrechen.

Quelle und fachliche Einordnung

CISA: Layering Network Security Through Segmentation, Januar 2022, grundlegende Einordnung von Segmentierung und DMZ. Das Produktionsbeispiel und die betrieblichen Prüffragen sind eigenständige Erläuterungen. Stand: Oktober 2026.