VLANs im Unternehmen: Warum Netztrennung Sicherheit und Stabilität verbessert

In vielen kleinen Netzwerken beginnt alles sehr einfach: Router, Switch, einige Computer, Drucker und vielleicht ein NAS. Alle Geräte befinden sich im selben Netzwerk und können grundsätzlich miteinander kommunizieren.

Solange die Umgebung klein bleibt, wirkt das übersichtlich. Mit der Zeit kommen jedoch immer mehr Geräte hinzu: Smartphones, Access Points, Kameras, VoIP-Telefone, Kassensysteme, Server, Haustechnik, IoT-Geräte und Gäste-WLAN.

Spätestens dann stellt sich die Frage: Müssen wirklich alle Geräte im selben Netzwerk miteinander sprechen können?

Genau hier kommen VLANs ins Spiel.

Was ist ein VLAN?

VLAN steht für Virtual Local Area Network.

Ein VLAN ermöglicht es, ein physisches Netzwerk logisch in mehrere getrennte Netze aufzuteilen.

Mehrere Geräte können am selben Switch angeschlossen sein und trotzdem unterschiedlichen Netzwerksegmenten angehören.

Beispielsweise:

 

Netzwerk
├── VLAN 10: Mitarbeiter
├── VLAN 20: Server
├── VLAN 30: Gäste
├── VLAN 40: VoIP
├── VLAN 50: Kameras
└── VLAN 60: Haustechnik / IoT

 

Diese Netze sind logisch voneinander getrennt. Kommunikation zwischen ihnen muss bewusst über Routing und Firewall-Regeln erlaubt werden.

Warum ein einziges großes Netzwerk problematisch werden kann

In einem flachen Netzwerk befinden sich alle Geräte im selben logischen Segment.

Das ist einfach zu konfigurieren, bedeutet aber häufig auch, dass viele Geräte direkt miteinander kommunizieren können.

Ein Gäste-Smartphone, ein Drucker, ein Fernseher und ein Server befinden sich dann möglicherweise im selben Netzwerkbereich.

Das ist aus Sicherheits- und Administrationssicht nicht ideal.

Je größer das Netzwerk wird, desto schwieriger wird außerdem nachvollziehbar, welche Geräte tatsächlich miteinander kommunizieren müssen.

Netztrennung reduziert den möglichen Schadensbereich

Ein wichtiger Vorteil von VLANs ist die Begrenzung des sogenannten Blast Radius.

Wird beispielsweise ein unsicheres IoT-Gerät kompromittiert, sollte daraus nicht automatisch ein direkter Netzwerkzugriff auf Server oder Arbeitsplätze entstehen.

Befindet sich das Gerät in einem eigenen VLAN, können Firewall-Regeln genau definieren, welche Verbindungen erlaubt sind.

Ein Kameranetz benötigt beispielsweise möglicherweise Zugriff auf einen zentralen Recorder, aber keinen Zugriff auf die Buchhaltung.

VLANs sind keine Firewall

Ein häufiger Irrtum besteht darin, VLANs selbst als Sicherheitsbarriere zu betrachten.

Ein VLAN trennt Netzwerkbereiche logisch. Entscheidend ist anschließend, wie der Verkehr zwischen diesen Netzen kontrolliert wird.

Dafür wird typischerweise Routing in Kombination mit Firewall-Regeln verwendet.

Die eigentliche Sicherheitslogik könnte beispielsweise lauten:

• Gäste dürfen ausschließlich ins Internet.
• Mitarbeiter dürfen auf bestimmte Server zugreifen.
• Kameras dürfen nur mit dem Videoserver kommunizieren.
• IoT-Geräte dürfen keine internen Benutzergeräte erreichen.
• Management-Zugriffe sind nur aus einem Administratornetz möglich.

Erst das Zusammenspiel aus Segmentierung und Zugriffskontrolle ergibt eine sinnvolle Sicherheitsarchitektur.

Das Gäste-WLAN gehört in ein eigenes Netz

Gerade in Hotels, Gastronomie und Unternehmen mit Kunden-WLAN sollte das Gäste-Netz konsequent vom internen Firmennetz getrennt werden.

Ein Gast benötigt Internetzugriff. Er benötigt normalerweise keinen Zugriff auf:

• Server,
• Rezeptions-PCs,
• Drucker,
• NAS-Systeme,
• Kassensysteme,
• Haustechnik,
• Netzwerkmanagement.

Deshalb sollte Gästeverkehr technisch isoliert werden.

Mehr zum Thema Funkplanung und Gäste-WLAN erklären wir in Stabiles Hotel-WLAN beginnt mit der richtigen Planung.

Server können in einem eigenen VLAN liegen

Auch zentrale Serversysteme können separat segmentiert werden.

Dadurch lässt sich genauer steuern, welche Clients und Dienste auf welche Systeme zugreifen dürfen.

Ein Dateiserver muss beispielsweise nicht automatisch aus jedem beliebigen Netzwerksegment erreichbar sein.

Ebenso sollten Verwaltungsoberflächen, Hypervisoren oder Backup-Systeme nicht unnötig breit zugänglich sein.

Segmentierung schafft damit eine zusätzliche Ebene, auf der Zugriffe eingeschränkt werden können.

VoIP profitiert ebenfalls von einer eigenen Struktur

IP-Telefone besitzen andere Anforderungen als normale Arbeitsplatzrechner.

Ein separates VoIP-VLAN kann dabei helfen, Telefonie logisch von gewöhnlichem Datenverkehr zu trennen.

In größeren Umgebungen können dadurch beispielsweise Quality-of-Service-Regeln übersichtlicher umgesetzt werden.

Außerdem erleichtert eine klare Segmentierung Fehlersuche und Administration.

IoT-Geräte gehören nicht automatisch ins Mitarbeiter-Netz

Moderne Unternehmen besitzen immer mehr Geräte, die zwar Netzwerkzugriff benötigen, aber nicht denselben Vertrauensstatus wie ein verwalteter Firmencomputer haben.

Dazu gehören beispielsweise:

• Smart-TVs,
• Gebäudesteuerung,
• Wetterstationen,
• Zutrittssysteme,
• digitale Displays,
• Kameras,
• Sensoren,
• weitere Embedded-Geräte.

Solche Geräte werden häufig seltener aktualisiert und besitzen teilweise eingeschränkte Sicherheitsfunktionen.

Sie sollten deshalb nicht automatisch im selben Netz wie Arbeitsplatzrechner oder Server betrieben werden.

Ein Management-VLAN kann administrative Zugriffe schützen

Netzwerkgeräte besitzen häufig eigene Verwaltungsoberflächen: Switches, Firewalls, Access Points, Storage-Systeme oder Hypervisoren.

Diese Interfaces sollten möglichst nicht aus jedem Client-Netz erreichbar sein.

Ein separates Management-Netz kann administrative Zugriffe auf einen klar definierten Bereich beschränken.

Idealerweise dürfen nur Administrator-Arbeitsplätze oder bestimmte Management-Systeme darauf zugreifen.

VLAN-Tags und 802.1Q

Damit mehrere VLANs über dieselbe physische Verbindung transportiert werden können, wird häufig IEEE 802.1Q verwendet.

Dabei erhält ein Ethernet-Frame zusätzliche Informationen, die angeben, zu welchem VLAN er gehört.

Dadurch kann beispielsweise eine einzelne Verbindung zwischen zwei Switches Daten mehrerer VLANs gleichzeitig übertragen.

Solche Verbindungen werden typischerweise als Trunks bezeichnet.

Access Port und Trunk Port unterscheiden sich

Ein klassischer Arbeitsplatz benötigt meist keine Kenntnis über VLAN-Tags.

Der Switchport wird einem bestimmten VLAN zugeordnet und der angeschlossene Computer sieht lediglich sein normales Netzwerk.

Solche Ports werden häufig als Access Ports bezeichnet.

Zwischen Switches, Firewalls, Access Points oder Virtualisierungshosts müssen dagegen häufig mehrere VLANs gleichzeitig übertragen werden.

Dort kommen Trunk-Verbindungen zum Einsatz.

WLAN und VLANs ergänzen sich sehr gut

Professionelle Access Points können mehrere WLAN-Netze beziehungsweise SSIDs bereitstellen.

Diese können unterschiedlichen VLANs zugeordnet werden.

Beispielsweise:

 

SSID "Hotel-Gast"
→ VLAN 30

SSID "Mitarbeiter"
→ VLAN 10

SSID "Technik"
→ VLAN 60

 

Obwohl dieselben Access Points verwendet werden, landen die Clients dadurch in unterschiedlichen logischen Netzen.

Die eigentliche Zugriffskontrolle erfolgt anschließend über Firewall und Routing.

Zu viele SSIDs können das WLAN belasten

Die Möglichkeit, viele getrennte WLAN-Netze anzulegen, bedeutet nicht, dass man beliebig viele SSIDs erzeugen sollte.

Jede SSID verursacht zusätzlichen Verwaltungsverkehr im Funknetz.

Eine WLAN-Struktur sollte deshalb genauso einfach bleiben wie möglich.

Wenn zwei Gerätetypen dieselben Sicherheits- und Zugriffsanforderungen besitzen, benötigen sie nicht zwingend unterschiedliche WLAN-Namen.

Netztrennung sollte bewusst geplant werden und nicht aus Gewohnheit entstehen.

Wie viele VLANs braucht ein kleines Unternehmen?

Dafür gibt es keine feste Zahl.

Ein Betrieb mit acht Arbeitsplätzen benötigt möglicherweise nur wenige Segmente, während ein Hotel mit Gäste-WLAN, VoIP, Kameras, Haustechnik, Rezeption und Servern deutlich mehr Trennung benötigt.

Die Frage sollte deshalb nicht lauten:

„Wie viele VLANs können wir anlegen?“

Sondern:

„Welche Systeme besitzen unterschiedliche Sicherheits- und Kommunikationsanforderungen?“

Ein mögliches Beispiel für ein kleines Unternehmen

Eine einfache Struktur könnte beispielsweise so aussehen:

 

VLAN 10 - Clients
VLAN 20 - Server
VLAN 30 - Gäste
VLAN 40 - VoIP
VLAN 50 - IoT
VLAN 99 - Management

 

Dabei bedeutet diese Aufteilung noch nicht, dass alle Netze vollständig voneinander isoliert sein müssen.

Ein Client im VLAN 10 kann beispielsweise Zugriff auf bestimmte Server im VLAN 20 erhalten.

Das Gäste-VLAN darf dagegen ausschließlich Richtung Internet kommunizieren.

Die Regeln sollten sich an der tatsächlichen Nutzung orientieren.

Ein mögliches Beispiel für ein Hotel

In einem Hotel könnten zusätzliche Anforderungen entstehen:

 

VLAN 10 - Rezeption / Verwaltung
VLAN 20 - Server
VLAN 30 - Gäste-WLAN
VLAN 40 - VoIP
VLAN 50 - Kassensysteme
VLAN 60 - Kameras
VLAN 70 - Haustechnik / IoT
VLAN 99 - Netzwerkmanagement

 

Das Ziel ist auch hier nicht, möglichst viele Nummern zu produzieren.

Entscheidend ist die Trennung unterschiedlicher Vertrauensbereiche.

Segmentierung hilft bei der Fehlersuche

VLANs besitzen nicht nur Sicherheitsvorteile.

Sie können auch die Fehlersuche erleichtern.

Wenn klar dokumentiert ist, welche Geräte sich in welchem Netz befinden, lässt sich ein Problem leichter eingrenzen.

Beispielsweise kann schnell festgestellt werden, ob ausschließlich das VoIP-Netz, das Gäste-WLAN oder ein Serversegment betroffen ist.

Eine gute Netzwerkstruktur macht Probleme nicht unmöglich, aber sie macht sie häufig verständlicher.

VLANs ersetzen keine saubere IP-Planung

Jedes Netzwerksegment benötigt einen sinnvollen IP-Adressbereich.

Werden Subnetze beliebig angelegt, kann die Umgebung schnell unübersichtlich werden.

Eine klare Planung erleichtert:

• Dokumentation,
• Routing,
• Firewall-Regeln,
• VPN-Verbindungen,
• Monitoring,
• Fehleranalyse.

Besonders bei mehreren Standorten sollte frühzeitig darauf geachtet werden, dass sich IP-Bereiche nicht unnötig überschneiden.

Firewall-Regeln sollten möglichst konkret sein

Nach der Segmentierung beginnt die eigentliche Zugriffskontrolle.

Eine schlechte Regel wäre beispielsweise:

 

VLAN 10 → VLAN 20: alles erlauben

 

Das kann funktionieren, verschenkt aber einen großen Teil des Sicherheitsgewinns.

Sinnvoller kann es sein, nur tatsächlich benötigte Verbindungen zu erlauben.

Beispielsweise:

 

Client-Netz
→ DNS zum Domain Controller
→ SMB zum Dateiserver
→ HTTPS zur internen Anwendung

 

Wie granular solche Regeln werden sollten, hängt von der Größe und Wartbarkeit der Umgebung ab.

Sicherheit darf nicht so komplex werden, dass später niemand mehr versteht, warum eine bestimmte Regel existiert.

Dokumentation ist bei VLANs entscheidend

Eine technisch hervorragende Segmentierung bringt wenig, wenn nach zwei Jahren niemand mehr weiß, was VLAN 47 eigentlich macht.

Deshalb sollte dokumentiert werden:

• VLAN-ID,
• Name und Zweck,
• IP-Subnetz,
• DHCP-Bereich,
• Gateway,
• relevante Firewall-Regeln,
• zugehörige Switchports oder SSIDs.

Gerade in kleineren Umgebungen reicht dafür häufig bereits eine übersichtliche und konsequent gepflegte Dokumentation.

VLANs alleine verhindern keinen Angriff

Netzwerksegmentierung ist eine zusätzliche Sicherheitsmaßnahme, kein vollständiges Security-Konzept.

Ein kompromittierter Administrator, unsichere Firewall-Regeln oder schlecht geschützte Zugangsdaten können auch ein segmentiertes Netzwerk gefährden.

Deshalb gehören zur IT-Sicherheit weiterhin unter anderem:

• Updates,
• Multi-Faktor-Authentifizierung,
• saubere Berechtigungen,
• Endpoint-Schutz,
• Monitoring,
• Backups,
• regelmäßige Überprüfung der Konfiguration.

Weitere Informationen dazu finden Sie unter IT-Sicherheit & Backup.

Typische Fehler bei VLAN-Projekten

Alles segmentieren, nur weil es möglich ist

Zu viele VLANs erhöhen die Komplexität. Jede zusätzliche Zone benötigt Routing, Regeln und Dokumentation.

VLANs anlegen, aber zwischen ihnen alles erlauben

Dann bleibt zwar eine logische Trennung bestehen, der Sicherheitsgewinn ist jedoch gering.

Gäste und interne Geräte im selben WLAN betreiben

Besonders bei öffentlich zugänglichen Netzen sollte eine klare Isolation vorhanden sein.

Management-Oberflächen aus jedem Netz erreichbar machen

Administrative Interfaces sollten möglichst nur dort erreichbar sein, wo sie tatsächlich benötigt werden.

Keine Dokumentation führen

Das Netzwerk funktioniert heute, wird aber bei der nächsten Erweiterung unnötig schwer verständlich.

Wann lohnt sich eine Netzsegmentierung?

Eine Segmentierung wird besonders interessant, wenn unterschiedliche Gerätetypen und Vertrauensbereiche vorhanden sind.

Dazu gehören beispielsweise:

• öffentliches Gäste-WLAN,
• interne Mitarbeitergeräte,
• Server,
• Kameras,
• VoIP,
• IoT- oder Haustechnik,
• Kassensysteme,
• Management-Systeme.

Selbst in einem kleinen Unternehmen kann eine einfache Segmentierung bereits sinnvoll sein.

Eine gute Segmentierung bleibt verständlich

Das Ziel ist nicht, ein möglichst kompliziertes Netzwerk zu bauen.

Ein gutes Netzwerk sollte auch Jahre später nachvollziehbar bleiben.

Jede Zone sollte einen klaren Zweck besitzen. Jede Firewall-Regel sollte erklärbar sein. Und jede Sonderlösung sollte einen echten technischen oder geschäftlichen Grund haben.

Gerade bei kleinen und mittleren Unternehmen ist einfach, sauber und dokumentiert häufig besser als eine unnötig komplexe Enterprise-Architektur.

Fazit: Nicht jedes Gerät muss mit jedem Gerät sprechen

VLANs ermöglichen es, ein gemeinsames physisches Netzwerk in unterschiedliche logische Bereiche aufzuteilen.

Dadurch können Gäste, Mitarbeiter, Server, Telefonie, Kameras und IoT-Geräte voneinander getrennt werden.

Der eigentliche Sicherheitsgewinn entsteht anschließend durch bewusst definierte Firewall-Regeln zwischen diesen Bereichen.

Die wichtigste Frage bei der Planung lautet deshalb:

„Welche Systeme müssen tatsächlich miteinander kommunizieren – und welche sollten voneinander getrennt bleiben?“ 

Weitere Informationen finden Sie unter Netzwerktechnik für Unternehmen und Hotels sowie unter Hotel-IT. Wenn Sie ein bestehendes Netzwerk strukturieren oder eine neue Infrastruktur planen möchten, erreichen Sie uns über die Kontaktseite.