Netzwerk
Ransomware auf einem Vertriebsrechner hat in den meisten Betrieben freie Bahn bis in die Produktion. Nicht weil die Angreifer besonders gut sind, sondern weil zwischen Büro und Fertigung technisch keine Wand steht.
Im flachen Netz reicht ein befallener Büro-Rechner, und die Ransomware läuft bis in die Produktion durch.
Was ist Netzwerksegmentierung?
Netzwerksegmentierung teilt ein Firmennetz in getrennte Zonen, zum Beispiel Büro, Produktion und Gastzugang, und regelt mit einem Firewall-Regelwerk, welcher Datenverkehr zwischen den Zonen erlaubt ist. Eine Infektion in einer Zone kann sich dann nicht ungehindert in die nächste ausbreiten.
Das Muster, das ich immer wieder sehe
In den meisten mittelständischen Betrieben, die ich zu Gesicht bekomme, hängen Büro-PCs, Server und Maschinensteuerungen im selben Netz. Historisch gewachsen, nie bewusst entschieden. Das Ergebnis: Ein infizierter Rechner in der Buchhaltung kann Maschinen ansprechen, die eigentlich nichts mit Rechnungen zu tun haben. Heißt: Der Vorfall im Büro wird zum Produktionsstillstand.
Zonen statt offenes Vertrauen
Segmentierung nach Zonen mit App-ID-basiertem Regelwerk trennt Büro und Fertigung technisch. Heißt: Eine Infektion im Vertrieb erreicht die Produktionssteuerung gar nicht erst, weil die Firewall den Weg dorthin schlicht nicht kennt. Derselbe Ansatz, mit dem ich zuvor Netze für mehrere tausend Nutzer im Konzern abgesichert habe.
Was zuerst passiert
Der erste Schritt ist keine neue Firewall, sondern eine Bestandsaufnahme: Welches Gerät spricht heute mit welchem? Diese Sichtbarkeit fehlt in den meisten Betrieben komplett. Ohne sie lässt sich keine Zone sauber ziehen.
Wie ich das umsetze
Büro, Produktion, Gast-WLAN, Fernwartung: eigene Netzsegmente mit klaren Grenzen, aus der Bestandsaufnahme abgeleitet.
App-ID-basierte Firewall-Regeln statt offener Port-Freigaben zwischen den Zonen. Betrieben, nicht nur einmal eingerichtet.
ZUM FIREWALL-BETRIEB03OT ABSICHERNFür Produktionsnetze gelten eigene Regeln. Maschinen, die nie ein Update bekommen, brauchen zusätzlichen Schutz von außen statt Patches von innen.
ZU OT-SICHERHEITFragen zur Netzwerksegmentierung
Erst der Befund, dann das Netz.
Ein flaches Netz gibt Schadsoftware den ganzen Betrieb auf einmal. Der Außencheck ist der erste Schritt: Ich sehe von außen, welche Systeme erreichbar sind und ob sich Ihre Domain fälschen lässt.
KOSTENLOS · OHNE ZUGRIFF AUFS NETZ · NUR ÖFFENTLICH SICHTBARES