Wenn die Bücherei im Verwaltungsnetz hängt.

Ein Netz ohne Trennung ist wie ein Gebäude, in dem jede Tür immer offen steht: Wer einmal drin ist, kommt überall hin.

Und es sind heute deutlich mehr Nutzer als früher: Neben PCs und Servern funken Kassensysteme, Smart-TVs im Sitzungssaal, Kameras, Sensoren und private Handys mit, in einem mittleren Haus mit 10 bis 50 Arbeitsplätzen kommen schnell weit über hundert Geräte zusammen, von denen die IT nur einen Teil je bewusst aufgenommen hat. Konkret heißt das:

• Ein infiziertes Gerät gefährdet alle. Der verseuchte Besucher-Laptop im Bücherei-WLAN, der präparierte USB-Stick am Azubi-PC, die veraltete Türsprechanlage: Jedes schwächste Glied hat direkten Zugriff auf die Fachverfahren der Verwaltung oder die Buchhaltung des Betriebs.
• Geräte, die niemand mehr pflegt, bleiben Vollmitglieder. Die Haustechnik-Steuerung von 2011 bekommt nie wieder ein Update, hängt aber gleichberechtigt neben dem Server.
• Niemand sieht, was passiert. Ohne Zonen gibt es keine Übergänge, an denen eine Firewall mitlesen und Alarm schlagen könnte. Genau in solchen Netzen bewegen sich Angreifer wochenlang unbemerkt, wie im Beitrag über Ransomware beschrieben.

Der Satz “bei uns hat doch jeder Zugriff auf alles” beschreibt keinen kollegialen Betrieb. Er beschreibt ein Netz, das auf den ersten ernsten Vorfall wartet.

Die gute Nachricht: Ordnung schaffen heißt fast nie neu verkabeln.

Moderne Switches beherrschen VLANs, virtuelle Netze auf derselben Leitung. Die Technik ist seit 1998 genormt (IEEE 802.1Q) und steckt in praktisch jedem aktuellen Switch; bis zu 4.094 getrennte Netze sind damit auf einer Leitung möglich, weit mehr, als je ein Haus braucht. Damit wird das eine physische Netz in logische Zonen unterteilt: Verwaltung, Gäste, Haustechnik, Kasse, jede Zone für sich, und dazwischen entscheidet die Firewall (falls diese VLANs unterstützt) nach klaren Regeln, wer mit wem reden darf. Die Bücherei bekommt ihr eigenes Netz mit Internet, aber ohne Weg zur Verwaltung. Die Türsprechanlage darf genau eines: klingeln.

Der Weg dorthin ist Handwerk in vier Schritten: Bestandsaufnahme (was hängt wirklich alles im Netz? Das Ergebnis überrascht jedes Mal), Zonenplan auf Papier, Umsetzung in Etappen außerhalb der Stoßzeiten, und ein gepflegtes Regelwerk im Betrieb. Für ein typisches Rathaus oder einen Mittelständler reden wir über wenige Projekttage, nicht über Monate.

Wichtig für die Akzeptanz im Haus: Für die Beschäftigten ändert sich durch die Trennung nichts Spürbares. Die Programme laufen, die Drucker drucken, das WLAN heißt wie vorher. Die neuen Wände sind unsichtbar, bis zu dem Tag, an dem sie einen Vorfall aufhalten, und genau dann sind sie ihr Geld wert.

Im Alltag wird das Netz dadurch oft ruhiger, weil nicht mehr jedes Gerät den Verkehr aller anderen mitbekommt.

Die virtuelle Netztrennung ist eine dieser Maßnahmen, die gleich mehrere Baustellen auf einmal kleiner machen:

• Sicherheit: Ein Vorfall bleibt in seiner Zone. Aus dem Totalschaden wird ein begrenzter Zwischenfall.
• Nachweise: Ob Informationssicherheitskonzept der Kommune, Cyber-Versicherung oder NIS2-Pflichten für Versorger: Überall ist die Segmentierung eine Kernanforderung. Wer sie hat, hakt ab statt nachzurüsten.
• Betrieb: Ein sauber aufgeteiltes Netz ist dokumentiert, und ein dokumentiertes Netz macht jede künftige Änderung schneller und günstiger, vom neuen Access Point bis zur zentralen Verwaltung mehrerer Standorte.

Die Zoneneinteilung folgt einer einfachen Frage: Was hat dieselbe Vertrauensstufe und denselben Pflegezustand? Bewährt haben sich in Rathäusern und Betrieben fünf Grundzonen:

• Verwaltung/Büro: die gepflegten Arbeitsplätze und Server, das Herzstück mit den sensibelsten Daten.
• Gäste und Öffentlichkeit: Besucher-WLAN, Bücherei-Terminals, Schulungsräume. Internet ja, Hausnetz/interne Ressourcen nein.
• Technik und Gebäude: Türsprechanlagen, Heizungssteuerung, Kameras, Aufzüge, alles, was selten Updates sieht, aber ewig lebt.
• Kasse und Fachgeräte: Kassensysteme, Zeiterfassung, Produktionsmaschinen, mit exakt den Verbindungen, die der Hersteller braucht, und nicht mehr.
• Telefonie: Die Sprachgeräte bekommen ihre eigene Zone, das verbessert nebenbei die Gesprächsqualität, weil Sprache priorisiert werden kann.

Schulen ergänzen ihre pädagogischen Ebenen, wie im Beitrag über die drei Schulnetze beschrieben, und wer Anlagen wie Wasserwerke betreibt, zieht dafür eine eigene, besonders strenge Zone ein. Mehr Zonen als nötig sollte es übrigens auch nicht geben: Ein Zonenplan, den niemand mehr versteht, ist der Anfang des nächsten Wildwuchses.

Als Faustregel: Mit den fünf Grundzonen plus höchstens zwei Sonderzonen kommt fast jedes Haus aus, und jede Zone hat einen Verantwortlichen, der weiß, was wo hineingehört.

Niemand muss sein gewachsenes Netz an einem Wochenende umkrempeln. Bewährt hat sich die Reihenfolge nach Risiko: zuerst Gäste und Besucher heraustrennen (größter Gewinn, kleinster Aufwand), dann die ungepflegten Sorgenkinder wie Haustechnik und Altgeräte in eine eigene Zone, dann die Feinarbeit zwischen Verwaltung, Kasse und Technik. Nach jedem Schritt ist das Haus messbar sicherer, und der Betrieb läuft währenddessen normal weiter. Die Etappen lassen sich zudem bequem mit ohnehin geplanten Terminen verbinden, etwa einem Switch-Tausch oder dem wöchentlichen, monatlichen oder jährlichen Wartungsfenster, dann kostet die Trennung nicht einmal einen eigenen Anfahrtstermin.

Wenn Sie nicht sicher sind, was bei Ihnen alles am selben Netz hängt: Genau dafür gibt es unsere Bestandsaufnahme. Danach liegt ein Netzwerkplan auf dem Tisch, der diese Frage ein für alle Mal beantwortet. Erstgespräch anfragen.