NIS-2 verlangt mehr als eine Firewall — warum Netzwerksegmentierung zur Pflicht wird
3 Min. Lesezeit
Eine Firewall am Internetübergang klingt nach ausreichendem Schutz, und für viele kleine Netzwerke war sie das auch lange Zeit. Wer heute noch so plant, unterschätzt, wie viele Wege inzwischen ins Firmennetz führen: Cloud-Dienste, mobile Geräte, externe Dienstleister und Homeoffice-Zugänge schaffen einzeln nur ein kleines zusätzliches Risiko. In der Summe entsteht daraus ein Netz aus Einfallstoren, das eine einzelne Firewall nicht mehr abdeckt.
Was NIS-2 von Unternehmen verlangt
Die NIS-2-Richtlinie macht aus einer bislang oft freiwilligen Selbstverpflichtung eine regulatorische Pflicht. Betroffene Unternehmen müssen Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs vorweisen, nicht nur zur Abwehr eines Angriffs, sondern auch für den Fall, dass er trotzdem gelingt. Ein Notfallplan für den geordneten Notbetrieb gehört damit zur Pflichtausstattung, kein optionales Extra mehr für Unternehmen mit Zeit übrig.
Die drei Schutzziele als Ausgangspunkt
Jede sinnvolle Sicherheitsarchitektur beginnt bei denselben drei Fragen: Wer darf auf welche Information zugreifen (Vertraulichkeit), bleiben Daten dabei unverändert und korrekt (Integrität), und stehen Systeme zuverlässig zur Verfügung, wenn sie gebraucht werden (Verfügbarkeit)? Diese CIA-Triade ist keine akademische Übung. Sie entscheidet in der Praxis, ob eine Netzwerksegmentierung an der richtigen Stelle verläuft oder ob ein Notfallplan im Ernstfall tatsächlich greift.
Wo die Praxis oft scheitert
Die größte Lücke liegt selten in der Technik selbst, sondern in der laufenden Pflege. Eine Netzwerksegmentierung, die kritische Systeme sauber von Gästen und weniger vertrauenswürdigen Bereichen trennt, verhindert, dass sich ein Angreifer nach dem ersten erfolgreichen Zugriff ungehindert weiterbewegt. Genau daran krankt es häufig: Segmente existieren auf dem Papier, wachsen über Jahre unkontrolliert zusammen, weil neue Systeme schnell angebunden werden müssen und die saubere Trennung dabei zur Nebensache wird. Ein strukturiertes Patch- und Schwachstellenmanagement mit regelmäßiger Protokollierung und gesicherten Konfigurationen ist die zweite Baustelle, die oft nur reaktiv statt geplant läuft.
Firewalls sind ein Werkzeug, keine Lösung
Firewalls kontrollieren den Netzwerkverkehr und trennen Sicherheitsbereiche voneinander, aber ihre Schutzwirkung hängt vollständig von der Konfiguration ab. Eine einfache regelbasierte Firewall reicht für einen klar abgegrenzten Zugang aus, sobald jedoch mehrere Anwendungen, Cloud-Dienste und externe Partner eingebunden sind, stößt sie an ihre Grenzen. Next-Generation-Firewalls prüfen zusätzlich den Inhalt der Verbindungen und überwachen nicht nur eingehenden, sondern auch ausgehenden Datenverkehr, was auffällige Datenabflüsse sichtbar macht, die eine einfache Firewall durchlässt. Welche Variante sinnvoll ist, entscheidet sich an den tatsächlichen Anforderungen, nicht an der Größe des Unternehmens allein.
WLAN und Fernzugriffe: unterschätzte Einfallstore
Ein ungeschütztes oder veraltet verschlüsseltes WLAN öffnet Angreifern die Tür, ohne dass ein Kabel gesteckt werden muss. Aktuelle Standards wie WPA3 erschweren gängige Angriffe wie Deauthentication deutlich gegenüber älteren Verfahren, und eine funktionale Trennung zwischen Arbeits- und Gäste-WLAN gehört inzwischen zur Grundausstattung. Beim Fernzugriff gilt dasselbe Prinzip: VPN-Verbindungen mit aktueller Verschlüsselung schützen den Kommunikationsweg, ersetzen aber keine sichere Konfiguration der Endgeräte, über die sich Mitarbeitende einwählen.
Was Sie jetzt prüfen sollten: Ist Ihre Netzwerksegmentierung noch aktuell, oder wurde sie seit der letzten größeren Systemanbindung nicht mehr überprüft? Existiert ein Notfallplan für den geordneten Notbetrieb, und wurde er jemals getestet, statt nur dokumentiert zu sein? Wer diese beiden Fragen nicht klar beantworten kann, sollte genau hier ansetzen, bevor der nächste Vorfall die Antwort erzwingt.
Quellen: DSN GROUP – „Schützen Sie Ihr Unternehmensnetzwerk wirksam?“ (https://www.dsn-group.de/datenschutz-notizen/schuetzen-sie-ihr-unternehmensnetzwerk-wirksam)