--- id: CP-228 slug: netzwerksegmentierung-vlan-mikrosegmentierung lang: de title: Netzwerksegmentierung und VLAN gegen Ransomware description: Ein in Zonen unterteiltes Netz (VLAN, interne Firewalls, Mikrosegmentierung) begrenzt Ransomware. Was Beschäftigte tun, damit die Trennung hält. canonical_url: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ markdown_url: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Netzwerksegmentierung und VLAN gegen Ransomware“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Netzwerksegmentierung und VLAN gegen Ransomware Ransomware bleibt selten auf dem ersten betroffenen Computer. Laut MITRE ATT&CK kann sich Verschlüsselungssoftware wie ein Wurm durch ein Netzwerk ausbreiten, um die Daten vieler Rechner zu verschlüsseln und den Schaden zu maximieren [1]. Die Aufteilung des Netzes in abgeschottete Zonen ist eine der Antworten auf dieses Risiko. Diese Seite erklärt, was die Begriffe VLAN, interne Firewall und Mikrosegmentierung bedeuten, was Beschäftigte tun können, damit diese Aufteilung hält, und welche Fallstricke sie wirkungslos machen. ## In 30 Sekunden - Wo es passiert: im internen Netzwerk des Unternehmens, sobald ein Arbeitsplatzrechner oder ein Konto kompromittiert ist. - Was der Angreifer will: von einem Rechner zu weiteren wechseln, um möglichst viele Daten zu verschlüsseln [1]. - Wenn es schon passiert ist: Informieren Sie sofort die IT oder die Sicherheitsabteilung, die den Rechner isoliert; wenn man Sie darum bittet, ziehen Sie das Kabel oder schalten Sie das WLAN aus [2]. - Der Reflex: Schließen Sie kein nicht genehmigtes Gerät und keinen nicht genehmigten Datenträger an, bleiben Sie im Netz, das für Ihre Arbeit vorgesehen ist, und melden Sie einen Rechner, der sich merkwürdig verhält, schnell, damit er isoliert werden kann. ## Direkte Fragen ### Was ist Netzwerksegmentierung? Darunter versteht man die Aufteilung eines Netzwerks in kleinere, voneinander isolierte Segmente, um den Datenverkehr zwischen Geräten, Systemen und Anwendungen zu kontrollieren. MITRE ATT&CK gibt an, dass dies die Angriffsfläche verkleinert, die Bewegungen des Angreifers bremst und kritische Werte schützt [3]. ### Was sind ein VLAN und eine interne Firewall? MITRE ATT&CK beschreibt eine Trennung aus physischen Grenzen, logischer Trennung per VLAN und Zugriffsregeln, die von Geräten wie Firewalls und Routern durchgesetzt werden [3]. Ein VLAN ist also eine logische Trennung, und die interne Firewall kontrolliert, was von einem Segment ins andere gelangt. ### Und die Mikrosegmentierung? Es ist dasselbe Prinzip auf der Ebene der einzelnen Workloads. MITRE ATT&CK empfiehlt softwaredefinierte Netzwerkwerkzeuge, um auf dieser Ebene zu segmentieren und laterale Bewegungen zu verhindern [3]. ### Warum betrifft das Beschäftigte? Weil die Segmentierung durch einen Fehler von Nutzern umgangen werden kann. Die CISA stellt klar, dass sie unwirksam werden kann, wenn die Regeln der Organisation nicht eingehalten werden, etwa wenn ein Wechseldatenträger oder andere Geräte mit mehreren Segmenten verbunden werden [2]. ## Wie es funktioniert Das Prinzip besteht darin, Systeme nach Funktion, Schutzbedarf und Risiko zu gruppieren. MITRE ATT&CK nennt als Beispiele Zahlungssysteme, Personaldatenbanken, Produktionssysteme und aus dem Internet erreichbare Server [3]. Web-, DNS- und Mailserver, die von außen erreichbar sind, stehen in einer demilitarisierten Zone (DMZ), mit strengen Filterregeln zum internen Netz [3]. Die Regeln folgen dem Prinzip „Verbot als Standard“: Zugriffskontrolllisten auf den Netzwerkgeräten und Firewalls, die sowohl den Verkehr zwischen außen und innen als auch den zwischen internen Rechnern begrenzen [3]. MITRE ATT&CK empfiehlt außerdem, WLAN und kabelgebundene Netze zu trennen, insbesondere wenn das Kabelnetz Zugang zu sensiblen Ressourcen bietet [3]. Die CISA empfiehlt, die Dienste oder Abteilungen der Organisation zu trennen und die klassische IT von industriellen Systemen getrennt zu halten. Ihr Leitfaden zeigt ein Schema eines „flachen“ (nicht segmentierten) Netzwerks und ein Schema eines segmentierten Netzwerks [2]. Das britische NCSC geht mit „Zero Trust“ weiter: Das dem Netzwerk innewohnende Vertrauen wird entfernt, das Netzwerk gilt als feindlich, und jede Anfrage wird anhand einer Zugriffsrichtlinie geprüft [4]. Nach Darstellung des NIST verlagert dieser Ansatz die Verteidigung von statischen Perimetern auf Nutzer, Assets und Ressourcen [5]. Das NIST sagt, dass Zero Trust Ressourcen schützt und nicht Netzwerksegmente [5]. ## Was Sie tun - Schließen Sie kein nicht genehmigtes Gerät an, weder an eine Netzwerkdose noch an einen Rechner. Die CISA nennt den Anschluss von Wechseldatenträgern oder Geräten an mehrere Segmente als Ursache für das Scheitern der Segmentierung [2]. - Nutzen Sie das Netz, das für Ihre Arbeit vorgesehen ist. MITRE ATT&CK empfiehlt, WLAN und Kabelnetz zu trennen, wenn Letzteres Zugang zu sensiblen Ressourcen bietet [3]. - Melden Sie einen verdächtigen Rechner schnell der IT oder der Sicherheitsabteilung, die die betroffenen Systeme koordiniert isoliert. Wenn man Sie darum bittet, ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus: Die CISA nennt das Trennen von Geräten als Ausweichlösung, wenn das Offlinenehmen nicht sofort möglich ist [2]. - Schalten Sie nicht von sich aus ohne Anweisung aus. Die CISA gibt an, dass das Trennen der Stromversorgung Spuren im Arbeitsspeicher verloren gehen lässt und nur erfolgt, wenn eine Trennung vom Netz anders nicht möglich ist [2]. ## Die Fallstricke Das flache Netz. Wenn alles mit allem kommuniziert, öffnet ein einziger kompromittierter Rechner den Zugang zum Rest. MITRE ATT&CK weist darauf hin, dass sich ein Angreifer mit gültigen Domänenzugangsdaten über Fernzugriffsprotokolle wie SSH oder RDP mit vielen Rechnern verbinden kann [6]. Ein VLAN ohne Filterung. Trennen allein genügt nicht, wenn nichts den Übergang kontrolliert. MITRE ATT&CK verlangt Firewall-Regeln, die RDP-Verkehr zwischen Sicherheitszonen blockieren, und „Verbot als Standard“ in den Zugriffskontrolllisten [3]. Außerdem empfiehlt es, die Regeln regelmäßig zu überprüfen, die Datenflüsse zu überwachen und die Segmentierung durch regelmäßige Penetrationstests zu prüfen [3]. Zu weit gefasste Regeln. MITRE ATT&CK empfiehlt, nur die nötigen Ports und den nötigen Verkehr zuzulassen [3]. Eine Regel, die alles durchlässt, nimmt der Zone ihren Sinn. Nicht abgeschottete Administration. Die versteckten administrativen Freigaben von Windows (C$, ADMIN$, IPC$) erlauben das Kopieren von Dateien aus der Ferne und andere Verwaltungsfunktionen, und ein Angreifer kann sie mit einem gültigen Administratorkonto nutzen [7]. Für WinRM rät MITRE ATT&CK, kritische Enklaven mit einer getrennten Infrastruktur zu isolieren und den Zugriff auf bestimmte Geräte zu beschränken [3]. Verwundbare Server, die von überall erreichbar sind. Bekannte Schwachstellen gibt es in gängigen Diensten wie SMB und RDP sowie in internen Anwendungen wie MySQL [8]. MITRE ATT&CK empfiehlt zu segmentieren, um den Zugang zu kritischen Systemen auf kontrollierte Wege zu beschränken [3]. Kopien von Werkzeugen von einem Rechner auf den nächsten. Ein Angreifer kann Dateien zwischen internen Systemen kopieren, mit Freigabeprotokollen wie SMB oder über eine authentifizierte RDP-Verbindung [9]. ## Reale Fälle ### 2016: Angriff auf das ukrainische Stromnetz Laut MITRE ATT&CK nutzte die Gruppe Sandworm Team beim Angriff auf das ukrainische Stromnetz im Jahr 2016 den Befehl net use, um sich mit Netzwerkfreigaben zu verbinden [7]. Die hier zitierten Quellen geben zu diesem Vorfall keine weiteren Einzelheiten. ### Kampagne APT28 „Nearest Neighbor“ MITRE ATT&CK gibt an, dass APT28 während der Kampagne „Nearest Neighbor“ SMB nutzte, um Dateien zu übertragen und sich lateral zu bewegen [7]. Die hier zitierten Quellen nennen für diese Kampagne kein Datum. ## Quellen 1. MITRE ATT&CK, „Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1486/ (abgerufen am 3. November 2026) 2. CISA, „#StopRansomware Guide | CISA“. https://www.cisa.gov/stopransomware/ransomware-guide (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1030/ (abgerufen am 3. November 2026) 4. NCSC (Royaume-Uni), „Zero trust architecture design principles“. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (abgerufen am 3. November 2026) 5. NIST, „SP 800-207, Zero Trust Architecture | CSRC“. https://csrc.nist.gov/pubs/sp/800/207/final (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1021/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1021/002/ (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1210/ (abgerufen am 3. November 2026) 9. MITRE ATT&CK, „Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1570/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.