Cyberpediavon Brain
DEENFR

Netzwerksegmentierung und VLAN gegen Ransomware

Ein in Zonen unterteiltes Netz (VLAN, interne Firewalls, Mikrosegmentierung) begrenzt Ransomware. Was Beschäftigte tun, damit die Trennung hält.

In 30 Sekunden

Wo es passiert
Im internen Netzwerk des Unternehmens, sobald ein Arbeitsplatzrechner oder ein Konto kompromittiert ist.
Was der Angreifer will
Von einem Rechner zu weiteren wechseln, um möglichst viele Daten zu verschlüsseln1.
Wenn es schon passiert ist
Informieren Sie sofort die IT oder die Sicherheitsabteilung, die den Rechner isoliert; wenn man Sie darum bittet, ziehen Sie das Kabel oder schalten Sie das WLAN aus2.
Der Reflex
Schließen Sie kein nicht genehmigtes Gerät und keinen nicht genehmigten Datenträger an, bleiben Sie im Netz, das für Ihre Arbeit vorgesehen ist, und melden Sie einen Rechner, der sich merkwürdig verhält, schnell, damit er isoliert werden kann.

Worum es geht

Ransomware bleibt selten auf dem ersten betroffenen Computer. Laut MITRE ATT&CK kann sich Verschlüsselungssoftware wie ein Wurm durch ein Netzwerk ausbreiten, um die Daten vieler Rechner zu verschlüsseln und den Schaden zu maximieren1. Die Aufteilung des Netzes in abgeschottete Zonen ist eine der Antworten auf dieses Risiko.

Diese Seite erklärt, was die Begriffe VLAN, interne Firewall und Mikrosegmentierung bedeuten, was Beschäftigte tun können, damit diese Aufteilung hält, und welche Fallstricke sie wirkungslos machen.

Direkte Fragen

Was ist Netzwerksegmentierung?

Darunter versteht man die Aufteilung eines Netzwerks in kleinere, voneinander isolierte Segmente, um den Datenverkehr zwischen Geräten, Systemen und Anwendungen zu kontrollieren. MITRE ATT&CK gibt an, dass dies die Angriffsfläche verkleinert, die Bewegungen des Angreifers bremst und kritische Werte schützt3.

Was sind ein VLAN und eine interne Firewall?

MITRE ATT&CK beschreibt eine Trennung aus physischen Grenzen, logischer Trennung per VLAN und Zugriffsregeln, die von Geräten wie Firewalls und Routern durchgesetzt werden3. Ein VLAN ist also eine logische Trennung, und die interne Firewall kontrolliert, was von einem Segment ins andere gelangt.

Und die Mikrosegmentierung?

Es ist dasselbe Prinzip auf der Ebene der einzelnen Workloads. MITRE ATT&CK empfiehlt softwaredefinierte Netzwerkwerkzeuge, um auf dieser Ebene zu segmentieren und laterale Bewegungen zu verhindern3.

Warum betrifft das Beschäftigte?

Weil die Segmentierung durch einen Fehler von Nutzern umgangen werden kann. Die CISA stellt klar, dass sie unwirksam werden kann, wenn die Regeln der Organisation nicht eingehalten werden, etwa wenn ein Wechseldatenträger oder andere Geräte mit mehreren Segmenten verbunden werden2.

1Wie es funktioniert1 min

Das Prinzip besteht darin, Systeme nach Funktion, Schutzbedarf und Risiko zu gruppieren. MITRE ATT&CK nennt als Beispiele Zahlungssysteme, Personaldatenbanken, Produktionssysteme und aus dem Internet erreichbare Server3. Web-, DNS- und Mailserver, die von außen erreichbar sind, stehen in einer demilitarisierten Zone (DMZ), mit strengen Filterregeln zum internen Netz3.

Die Regeln folgen dem Prinzip „Verbot als Standard“: Zugriffskontrolllisten auf den Netzwerkgeräten und Firewalls, die sowohl den Verkehr zwischen außen und innen als auch den zwischen internen Rechnern begrenzen3. MITRE ATT&CK empfiehlt außerdem, WLAN und kabelgebundene Netze zu trennen, insbesondere wenn das Kabelnetz Zugang zu sensiblen Ressourcen bietet3.

Die CISA empfiehlt, die Dienste oder Abteilungen der Organisation zu trennen und die klassische IT von industriellen Systemen getrennt zu halten. Ihr Leitfaden zeigt ein Schema eines „flachen“ (nicht segmentierten) Netzwerks und ein Schema eines segmentierten Netzwerks2.

Das britische NCSC geht mit „Zero Trust“ weiter: Das dem Netzwerk innewohnende Vertrauen wird entfernt, das Netzwerk gilt als feindlich, und jede Anfrage wird anhand einer Zugriffsrichtlinie geprüft4. Nach Darstellung des NIST verlagert dieser Ansatz die Verteidigung von statischen Perimetern auf Nutzer, Assets und Ressourcen5. Das NIST sagt, dass Zero Trust Ressourcen schützt und nicht Netzwerksegmente5.

2Was Sie tun1 min
  • Schließen Sie kein nicht genehmigtes Gerät an, weder an eine Netzwerkdose noch an einen Rechner. Die CISA nennt den Anschluss von Wechseldatenträgern oder Geräten an mehrere Segmente als Ursache für das Scheitern der Segmentierung2.
  • Nutzen Sie das Netz, das für Ihre Arbeit vorgesehen ist. MITRE ATT&CK empfiehlt, WLAN und Kabelnetz zu trennen, wenn Letzteres Zugang zu sensiblen Ressourcen bietet3.
  • Melden Sie einen verdächtigen Rechner schnell der IT oder der Sicherheitsabteilung, die die betroffenen Systeme koordiniert isoliert. Wenn man Sie darum bittet, ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus: Die CISA nennt das Trennen von Geräten als Ausweichlösung, wenn das Offlinenehmen nicht sofort möglich ist2.
  • Schalten Sie nicht von sich aus ohne Anweisung aus. Die CISA gibt an, dass das Trennen der Stromversorgung Spuren im Arbeitsspeicher verloren gehen lässt und nur erfolgt, wenn eine Trennung vom Netz anders nicht möglich ist2.
3Die Fallstricke2 min

Das flache Netz. Wenn alles mit allem kommuniziert, öffnet ein einziger kompromittierter Rechner den Zugang zum Rest. MITRE ATT&CK weist darauf hin, dass sich ein Angreifer mit gültigen Domänenzugangsdaten über Fernzugriffsprotokolle wie SSH oder RDP mit vielen Rechnern verbinden kann6.

Ein VLAN ohne Filterung. Trennen allein genügt nicht, wenn nichts den Übergang kontrolliert. MITRE ATT&CK verlangt Firewall-Regeln, die RDP-Verkehr zwischen Sicherheitszonen blockieren, und „Verbot als Standard“ in den Zugriffskontrolllisten3. Außerdem empfiehlt es, die Regeln regelmäßig zu überprüfen, die Datenflüsse zu überwachen und die Segmentierung durch regelmäßige Penetrationstests zu prüfen3.

Zu weit gefasste Regeln. MITRE ATT&CK empfiehlt, nur die nötigen Ports und den nötigen Verkehr zuzulassen3. Eine Regel, die alles durchlässt, nimmt der Zone ihren Sinn.

Nicht abgeschottete Administration. Die versteckten administrativen Freigaben von Windows (C$, ADMIN$, IPC$) erlauben das Kopieren von Dateien aus der Ferne und andere Verwaltungsfunktionen, und ein Angreifer kann sie mit einem gültigen Administratorkonto nutzen7. Für WinRM rät MITRE ATT&CK, kritische Enklaven mit einer getrennten Infrastruktur zu isolieren und den Zugriff auf bestimmte Geräte zu beschränken3.

Verwundbare Server, die von überall erreichbar sind. Bekannte Schwachstellen gibt es in gängigen Diensten wie SMB und RDP sowie in internen Anwendungen wie MySQL8. MITRE ATT&CK empfiehlt zu segmentieren, um den Zugang zu kritischen Systemen auf kontrollierte Wege zu beschränken3.

Kopien von Werkzeugen von einem Rechner auf den nächsten. Ein Angreifer kann Dateien zwischen internen Systemen kopieren, mit Freigabeprotokollen wie SMB oder über eine authentifizierte RDP-Verbindung9.

4Reale Fälle1 min

2016: Angriff auf das ukrainische Stromnetz

Laut MITRE ATT&CK nutzte die Gruppe Sandworm Team beim Angriff auf das ukrainische Stromnetz im Jahr 2016 den Befehl net use, um sich mit Netzwerkfreigaben zu verbinden7. Die hier zitierten Quellen geben zu diesem Vorfall keine weiteren Einzelheiten.

Kampagne APT28 „Nearest Neighbor“

MITRE ATT&CK gibt an, dass APT28 während der Kampagne „Nearest Neighbor“ SMB nutzte, um Dateien zu übertragen und sich lateral zu bewegen7. Die hier zitierten Quellen nennen für diese Kampagne kein Datum.

Merkblatt

Kennung
CP-228
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Sicher surfen (browse_safely)
Brain-Reflex
cr-079
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
9 Quellen geprüft am 3. November 2026
Quellen9 Quellen
  1. MITRE ATT&CK, „Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1486/ (abgerufen am 3. November 2026)
  2. CISA, „#StopRansomware Guide | CISA“. https://www.cisa.gov/stopransomware/ransomware-guide (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1030/ (abgerufen am 3. November 2026)
  4. NCSC (Royaume-Uni), „Zero trust architecture design principles“. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (abgerufen am 3. November 2026)
  5. NIST, „SP 800-207, Zero Trust Architecture | CSRC“. https://csrc.nist.gov/pubs/sp/800/207/final (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1021/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1021/002/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1210/ (abgerufen am 3. November 2026)
  9. MITRE ATT&CK, „Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1570/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Netzwerksegmentierung und VLAN gegen Ransomware“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/

BibTeX 
@misc{brain_cp228_de_2026,
  author = {Brain},
  title = {Netzwerksegmentierung und VLAN gegen Ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0