Microsegmentation.
Microsegmentation begrenzt Kommunikation zwischen Workloads, Servern und Anwendungen. Sie reduziert erreichbare Angriffspfade, wenn ein Konto oder ein System bereits kompromittiert ist.
Kommunikation bewusst begrenzen.
Die Plattformen erfassen Abhängigkeiten, modellieren Regeln und setzen sie je nach Ansatz über Host-Agent, Netzwerk, Cloud-Security-Groups oder Identität durch. Die fachlich schwierige Arbeit ist das Verständnis legitimer Datenflüsse.
Firewall-Regeln segmentieren Zonen. Microsegmentation grenzt feiner zwischen einzelnen Workloads und Anwendungen ab. NAC steuert Netzzugang, ZTNA den Anwendungszugang für Nutzer.
Wer mit wem reden darf.
Microsegmentation teilt ein Netz bis auf einzelne Server, virtuelle Maschinen, Container oder Geräte auf und erlaubt zwischen ihnen nur die Verbindungen, die eine Anwendung tatsächlich braucht. Klassische Segmentierung trennt mit VLANs und Firewalls grosse Zonen; innerhalb einer Zone können alle Systeme miteinander sprechen. Genau diesen Weg nutzen Angreifer und Ransomware für die seitliche Bewegung (Lateral Movement). Microsegmentation setzt die Grenze um jedes einzelne System und begrenzt so den Schaden, wenn ein einzelner Server oder Arbeitsplatz kompromittiert ist.[1,2]
Der erste Schritt ist fast immer eine Karte. Die Produkte beobachten den Verkehr über Agenten, Flow Logs oder Netzgeräte und zeigen, welche Systeme mit welchen Ports miteinander kommunizieren. Aus dieser Karte entstehen Richtlinien in einer Sprache aus Rollen und Labels, etwa «Webserver der Anwendung Lohn dürfen die Datenbank der Anwendung Lohn erreichen». Die Regeln laufen zuerst im Beobachtungsmodus, der zeigt, was sie blockieren würden, bevor sie durchgesetzt werden. Im Betrieb zeigt die Karte auch blockierte Verbindungsversuche, ein frühes Zeichen für seitliche Bewegung.[1,3,4,5]
Für die Durchsetzung gibt es mehrere Orte. Agentenbasierte Produkte steuern die eingebaute Firewall des Betriebssystems, unter Windows über die Windows Filtering Platform, unter Linux über iptables. Agentenlose Ansätze setzen Regeln in der Virtualisierungsschicht als verteilte Firewall auf jedem Host, über Cloud-Security-Groups, über vorhandene Firewalls und Load Balancer oder über programmierte Switches durch. Für OT- und IoT-Geräte, auf denen kein Agent läuft, isolieren einige Produkte jedes Gerät in ein eigenes Segment und lassen nur freigegebene Verbindungen zu. Manche Produkte verlangen für administrative Protokolle wie RDP oder SSH zusätzlich eine Multi-Faktor-Authentisierung auf Netzwerkebene und öffnen den Port nur für die Dauer des Zugriffs (Just in Time).[2,1,5,6,7]
In Kubernetes übernehmen Netzwerkrichtlinien diese Rolle. Offene Projekte wie Calico und Cilium setzen sie im Cluster durch; Cilium nutzt dafür eBPF im Linux-Kernel und bindet Regeln an die Identität von Pod oder Dienst statt an IP-Adressen, die sich in Clustern laufend ändern.[8,9]
Eine Firewall trennt Internet und internes Netz, innen ist alles erreichbar.
Grosse Bereiche wie Büro, Server und Gäste sind getrennt.
Jede Anwendung bildet ein eigenes Segment mit definierten Schnittstellen.
Jeder Server oder Container erhält nur die Verbindungen, die er braucht.
Regeln folgen Dienst, Benutzer oder Gerät statt IP-Adresse und gelten überall.
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Projekt bleibt in der Kartenphase stecken | Die Karte zeigt Tausende Verbindungen, niemand entscheidet. Mit wenigen kritischen Anwendungen und einer einfachen Regel wie «Sperren von Fernwartungsprotokollen zwischen Arbeitsplätzen» beginnen und schrittweise erweitern.[2] |
| Unbekannte Abhängigkeiten | Monatsabschluss, Backup oder Notfallzugriff laufen selten und fehlen in einer kurzen Beobachtung. Beobachtungsphase über einen vollen Geschäftszyklus planen und Anwendungsverantwortliche die Regeln bestätigen lassen.[4] |
| Agenten auf Altsystemen | Ältere Betriebssysteme oder Appliances vertragen keinen Agenten. Für diese Systeme agentenlose Durchsetzung im Netz, im Hypervisor oder über eine vorgeschaltete Appliance vorsehen.[3] |
| Regeln an IP-Adressen gebunden | In Cloud und Kubernetes ändern sich Adressen laufend. Richtlinien an Labels, Tags oder Identitäten binden.[9] |
| Kein Notfallplan | Eine falsche Regel kann eine Produktionsanwendung stoppen. Rückfall auf den Beobachtungsmodus, Änderungsprozess und klare Zuständigkeit für Ausnahmen festlegen.[7] |
| Plattformbindung | Hypervisor-basierte Segmentierung wirkt nur auf der eigenen Virtualisierung. Für gemischte Umgebungen prüfen, welche Workloads ausserhalb der Plattform liegen.[4] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Wo setzt das Produkt Regeln durch: Agent, Hypervisor, Switch, Cloud-Security-Group? | Klare Angabe je Umgebung, auch für Systeme ohne Agent. |
| Welche Betriebssysteme und Altsysteme unterstützt der Agent? | Kompatibilitätsliste mit Versionen und Vorgehen für nicht unterstützte Systeme. |
| Wie entsteht aus der Karte eine Richtlinie? | Vorschläge aus beobachtetem Verkehr, Label-Modell und Beobachtungsmodus vor der Durchsetzung. |
| Wie werden Cloud-, Container- und OT-Umgebungen mit derselben Richtlinie abgedeckt? | Eine Konsole und ein Regelmodell über alle Umgebungen. |
| Was passiert bei Ausfall der Verwaltung? | Regeln bleiben auf den Durchsetzungspunkten aktiv, mit definiertem Verhalten. |
| Welche Notfallfunktion gibt es bei einem Ransomware-Vorfall? | Vorbereitete Sperrstufen, die sich rasch für ganze Bereiche aktivieren lassen.[7] |
Betrieb und Verantwortung
Das Security- oder Netzwerk-Engineering betreibt die Plattform, die Anwendungsverantwortlichen bestätigen die erlaubten Verbindungen ihrer Systeme, und das SOC nutzt blockierte Verbindungsversuche als Hinweis auf Angriffe. Änderungen an Anwendungen müssen den Regelprozess durchlaufen, sonst entstehen Ausfälle oder pauschale Ausnahmen. Sinnvolle Kennzahlen sind Anteil der Workloads mit durchgesetzter Richtlinie, Anzahl offener Ausnahmen, Anteil kritischer Anwendungen im eigenen Segment und blockierte seitliche Verbindungsversuche.
Regulatorischer Bezug
ISO/IEC 27001:2022 verlangt in Annex A 8.22 «Segregation of networks», Gruppen von Diensten, Benutzern und Systemen in Netzen zu trennen, ergänzt um 8.20 «Networks security». DORA verlangt in Art. 9 Abs. 4 Bst. b eine Netzwerk- und Infrastrukturverwaltung, die Mechanismen zur automatischen Isolation betroffener Informationswerte bei Cyberangriffen einschliessen kann. Die NIS2-Durchführungsverordnung (EU) 2024/2690 verpflichtet bestimmte digitale Anbieter in Anhang Ziffer 6.8, Systeme gemäss Risikobewertung in Netze oder Zonen zu segmentieren. Der IKT-Minimalstandard verlangt unter PR.AC-5 den Schutz der Netzwerkintegrität.[10,11,12,13,14]
Quellen: [1] illumio.com · [2] zeronetworks.com · [3] akamai.com · [4] nutanix.com · [5] cisco.com · [6] elisity.com · [7] zscaler.com · [8] tigera.io · [9] docs.cilium.io · [10] isms.online · [11] isms.online · [12] digital-operational-resilience-act.com · [13] eur-lex.europa.eu · [14] ncsc.admin.ch
Elf Werkzeuge im Vergleich.
Microsegmentation-Produkte teilen Netze bis auf einzelne Server, Workloads oder Geräte auf und erlauben nur die Verbindungen, die eine Anwendung tatsächlich braucht, um die seitliche Ausbreitung von Angriffen und Ransomware zu begrenzen. Die Produktformen unterscheiden sich im Durchsetzungspunkt: Agenten steuern die Host-Firewall des Betriebssystems, agentenlose Ansätze setzen Regeln im Hypervisor, auf Switches, über Cloud-Security-Groups oder durch Fernsteuerung der eingebauten Host-Firewall durch. Die meisten Produkte beginnen mit einer Karte der beobachteten Verbindungen, aus der Regeln vorgeschlagen und zunächst im Beobachtungsmodus geprüft werden; für OT und IoT gibt es agentenlose Varianten, die jedes Gerät in ein eigenes Segment legen. Für Kubernetes setzen die Open-Source-Projekte Calico und Cilium Netzwerkrichtlinien direkt im Cluster durch. Konsolidierung prägt auch diese Klasse: Broadcom hat die Übernahme von VMware am 22.11.2023 abgeschlossen und führt die verteilte Firewall heute als VMware vDefend, und Zscaler hat die Übernahme von Airgap Networks am 12.04.2024 abgeschlossen.
Agent: agentenbasiert · Netzwerk: netzwerkbasiert/agentenlos · Abhängigkeiten: Abhängigkeitskarte · Cloud: Cloud-Workloads · Container: Container/Kubernetes · OT: OT · On-Prem: On-Prem-Verwaltung. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Illumio Segmentation
Illumio
Segmentierung für lokale Server, Container, Endpunkte und Workloads in Azure, AWS, GCP und OCI als Teil der Illumio Breach Containment Platform.
Durchsetzung auf Ebene des Betriebssystems über die Windows Filtering Platform unter Windows und iptables unter Linux; der Agent läuft im User Space.
Die Map-Funktion bildet jede Verbindung automatisch aus Telemetrie ab; die Segmentation Map zeigt Verbindungen und blockierte Versuche live.
In Cloud-Umgebungen funktioniert die Durchsetzung mit oder ohne Agent; im Rechenzentrum wird Verkehr auch über IT- und OT-Systeme hinweg abgebildet, ohne die Firewall-Konfiguration zu ändern.
Die Seite verlinkt eine SaaS-Statusseite und ein Partnerprogramm für Technologieintegrationen; das Betriebsmodell der Konsole ist nicht beschrieben.
Rechenzentrum mit gemischten Windows- und Linux-Servern, das Ransomware-Ausbreitung zwischen Anwendungen begrenzen will.
Die Durchsetzung nutzt die eingebauten Firewalls von Windows und Linux, ergänzt um eine Verbindungskarte über Rechenzentrum und Cloud.
Ob die Verwaltung auch im eigenen Rechenzentrum betrieben werden kann und welche Integrationen bestehen, beschreibt die abgerufene Seite nicht.
Akamai Guardicore Segmentation
Akamai Technologies
Segmentierung für virtuelle Maschinen, Server und Container in Hybrid- und Multi-Cloud-Umgebungen sowie für OT, IoMT und cyber-physische Systeme.
Agentenbasierte und agentenlose Varianten; Agenten werden für maximale Sichtbarkeit empfohlen, agentenlos eignet sich für PaaS in der Cloud, IoT und OT.
Eine lebende Karte der gesamten Umgebung zeigt Abhängigkeiten und wie Anwendungen zusammenarbeiten.
Neue Cloud-Instanzen und Kubernetes-Pods werden beim Start automatisch erkannt und in die Karte aufgenommen.
Verfügbar aus der Cloud oder im eigenen Rechenzentrum; Partnerverzeichnis für Technologieintegrationen.
Hybride Umgebung mit Altsystemen, Cloud-Workloads und OT-Anteilen, die mit einer Richtlinie segmentiert werden soll.
Agentenbasierte und agentenlose Durchsetzung sowie Betrieb in der Cloud oder lokal sind in einem Produkt möglich.
Unterstützte ältere Betriebssystemversionen nennt die abgerufene Seite nicht konkret.
Cisco Secure Workload
Cisco
Sichtbarkeit und Durchsetzung über Rechenzentrum und Clouds; in der Public Cloud dienen VPC Flow Logs als Datenquelle.
Agenten auf den Workloads liefern Netzwerk-Telemetrie und setzen Richtlinien über die Filterfunktionen des Betriebssystems durch.
Aus der Analyse von Kommunikationsmustern und Abhängigkeiten der Anwendungen werden Microsegmentation-Richtlinien automatisch erzeugt.
Agentenlose Durchsetzung über Cloud-Security-Groups, NSGs, Firewalls und Load Balancer von F5 und NetScaler; native Integration mit Cisco Secure Firewall.
Als SaaS von Cisco betrieben oder lokal als Hardware- oder virtuelle Appliance auf VMware; Container in Kubernetes und OpenShift werden abgedeckt.
Rechenzentrum mit Cisco-Firewalls, das Workload-Richtlinien über Agenten und Firewalls gemeinsam durchsetzen will.
Richtlinien lassen sich wahlweise über Agenten oder über vorhandene Firewalls, Load Balancer und Cloud-Security-Groups durchsetzen.
OT-Umgebungen und die Liste unterstützter Betriebssysteme stehen nicht auf der abgerufenen Seite; dafür verweist Cisco auf eine Kompatibilitätsmatrix.
ColorTokens Xshield
ColorTokens
Segmentierung von Workloads in AWS, Azure und GCP aus einer Konsole sowie von OT- und IoT-Geräten.
Eine Netzwerkkarte dient zur Definition erlaubter und verbotener Verbindungen (Visual Policy Design).
Agentenlose Durchsetzung für OT und IoT; die Gatekeeper Appliance schützt Altsysteme.
Steuert Kubernetes-Kommunikation auf API-Ebene.
Abgedeckt werden moderne und angepasste ältere Betriebssysteme.
Produktionsbetrieb, der OT-Geräte mit IT-Anwendungen verbinden muss, ohne Malware-Ausbreitung zu riskieren.
Eine Konsole für Cloud-Workloads, Kubernetes, ältere Systeme und OT-Geräte.
Agent, Betriebsmodell der Konsole und Integrationen beschreibt die abgerufene Produktseite nicht.
Zscaler Microsegmentation und Zero Trust Device Segmentation
Zscaler
Zscaler Microsegmentation für Workloads, unter anderem in GCP, und Zero Trust Device Segmentation für OT- und IoT-Geräte in Filiale, Fabrik und Campus.
Microsegmentation nutzt eine agentenbasierte Architektur; die Device Segmentation arbeitet agentenlos und legt jedes Gerät in ein eigenes Segment (/32).
Ein Ransomware Kill Switch reduziert im Vorfall die Angriffsfläche nach vorab wählbaren Stufen.
Übersicht aller Verkehrsflüsse zwischen Workloads und Flow-Sichtbarkeit für Google Kubernetes Engine; Geräte werden in Echtzeit erkannt und automatisch kartiert.
Teil der Zscaler-Plattform; die OT/IoT-Segmentierung arbeitet ohne VLAN-Umbau und ohne Agenten.
Filiale oder Fabrik mit vielen IoT- und OT-Geräten, die ohne VLAN-Umbau voneinander isoliert werden sollen.
Agentenlose Isolation jedes Geräts mit Notfallschalter für Ransomware.
Zwei getrennte Produkte decken Workloads und Geräte ab; Betrieb im eigenen Rechenzentrum ist auf den abgerufenen Seiten nicht beschrieben.
Zero Networks Network Segmentation
Zero Networks
Segmentierung für Server, ältere Anwendungen, Datenbanken sowie OT- und IoT-Geräte als Teil der Zero Networks Platform mit Identitätssegmentierung und Fernzugriff.
Automatisierte, agentenlose Technik steuert ein- und ausgehende Verbindungen jedes Assets.
Multi-Faktor-Authentisierung auf Netzwerkebene öffnet Zugriffe just in time; eine RPC-Firewall ergänzt den Schutz.
Eine Netzwerkkarte und KI-gestützte Segmentierung erzeugen Richtlinien automatisch; Integrationen sind als Funktionsbereich aufgeführt.
Der Hersteller nennt eine Einführung in 30 Tagen und drei Schritten.
Organisation mit gescheitertem oder stockendem Segmentierungsprojekt, die ohne Agenten schnell Ergebnisse braucht.
Agentenlose Durchsetzung mit MFA vor privilegierten Verbindungen senkt den Einführungsaufwand.
Cloud-, Kubernetes- und Betriebsmodell sind auf den abgerufenen Seiten nur als Anwendungsfall genannt, nicht als Funktion beschrieben.
Elisity Microsegmentation Platform
Elisity
Identitätsbasierte Segmentierung für Benutzer, Geräte sowie IT-, OT-, IoT- und IoMT-Umgebungen.
Ohne Endpunkt-Agenten, neue Hardware oder Netzumbau; Richtlinien werden auf unterstützte Netzinfrastruktur von Juniper, Cisco, Hirschmann, Arista und HPE Aruba übertragen.
IdentityGraph setzt Benutzer, Geräte und Cloud-Workloads in Beziehung und bildet die Grundlage der Richtlinien.
Identitäts-, Endpunkt-, Asset- und Risikokontext aus vorhandenen Werkzeugen fliesst in IdentityGraph ein.
Cloud-Konsole für Sichtbarkeit, Richtlinien und Berichte; die Virtual Edge sitzt ausserhalb des Datenpfads und programmiert die Durchsetzungspunkte.
Spital oder Produktionsbetrieb mit vielen Geräten ohne Agent, der vorhandene Switches zur Segmentierung nutzen will.
Segmentierung über bereits vorhandene Switches ohne Agenten und ohne neue Hardware.
Wirkung hängt von der Unterstützung der vorhandenen Switch-Modelle ab; Container und Betrieb ohne Cloud-Konsole sind nicht beschrieben.
VMware vDefend Distributed Firewall
Broadcom (VMware)
Layer-7-Firewall für Zero-Trust-Microsegmentation in Private Clouds, die unabhängig vom darunterliegenden Netz arbeitet.
Die verteilte Firewall wird je virtualisiertem Host aktiviert und schützt die Workloads dort.
Begrenzt die seitliche Ausbreitung von Bedrohungen innerhalb der Private Cloud.
Container Security mit Antrea erweitert den Schutz auf Container-Cluster; die vDefend-API umfasst Funktionen wie Security Intelligence und Segmentierungsberichte.
Lizenzierung je Prozessorkern laut Programmdokumentation von Broadcom; Verwaltung über die NSX-API.
Rechenzentrum auf VMware-Basis, das Segmentierung ohne Agenten in den virtuellen Maschinen umsetzen will.
Durchsetzung direkt in der Virtualisierungsschicht, ohne Software in den virtuellen Maschinen.
Bindung an die VMware-Plattform; die Produktseite lädt Inhalte per JavaScript und war nur über Metadaten und Broadcom-Dokumentation prüfbar.
Nutanix Flow Network Security
Nutanix
Microsegmentation für virtuelle Maschinen auf Nutanix sowie für Container auf der Nutanix Kubernetes Platform.
Flow setzt verteilte Firewall-Regeln direkt auf jedem Host durch.
Viele Organisationen beobachten zuerst Verkehrsmuster, bevor sie Regeln durchsetzen.
Softwaredefinierte Overlay-Netze (VPCs) reichen über lokale und Cloud-Umgebungen.
Aktivierung und Verwaltung in Prism Central.
Organisation mit Nutanix-Infrastruktur, die Segmentierung ohne zusätzliches Produkt einführen will.
In die Nutanix-Plattform integriert und ohne separate Agenten aktivierbar.
Wirkt nur auf Nutanix-Infrastruktur; eine Abhängigkeitskarte ist auf der abgerufenen Seite nicht beschrieben.
Calico
Tigera (Projekt Calico)
Netzwerk und Netzwerksicherheit für Container-, VM- und Bare-Metal-Workloads, unter anderem auf AWS EKS, Azure AKS, Google GKE und Red Hat OpenShift.
Setzt Kubernetes-Netzwerkrichtlinien durch und unterstützt die Datenpfade eBPF, iptables, nftables, Windows und VPP.
Die Komponente Whisker gibt Einblick in den Verkehr der Workloads zur Fehlersuche.
Calico Cloud als SaaS und Calico Enterprise als selbst betriebene Plattform ergänzen das Open-Source-Projekt.
Betrieb im eigenen Cluster; Lizenz Apache 2.0.
Plattformteam, das Netzwerkrichtlinien in Kubernetes-Clustern verschiedener Clouds einheitlich durchsetzen will.
Ein offenes Richtlinienmodell für Kubernetes in vielen Clouds und mit mehreren Datenpfaden.
Schwerpunkt sind Kubernetes-Netzwerkrichtlinien; Verwaltung und Beobachtbarkeit im grösseren Umfang bieten die kommerziellen Varianten Calico Cloud und Calico Enterprise.
Cilium mit Hubble
Cilium-Projekt
Netzwerk, Beobachtbarkeit und Sicherheit für Workloads auf Container-Plattformen wie Docker und Kubernetes.
Basiert auf eBPF im Linux-Kernel und setzt Richtlinien anhand der Identität von Service, Pod oder Container statt anhand von IP-Adressen durch.
Hubble ist eine verteilte Plattform für Netzwerk- und Sicherheitsbeobachtung, die etwa zeigt, welche Verbindungen durch Richtlinien blockiert wurden.
Hubble zeigt den Abhängigkeitsgraphen der Dienste und die HTTP-Aufrufe zwischen ihnen.
Cluster Mesh verbindet mehrere Cluster sicher miteinander; Lizenz Apache 2.0.
Kubernetes-Plattform, die Netzwerkrichtlinien und Sichtbarkeit bis auf Anwendungsebene aus einem Werkzeug braucht.
Identitätsbasierte Richtlinien und ein Dienstgraph aus derselben eBPF-Grundlage.
Setzt Linux mit eBPF und eine Container-Plattform voraus; klassische Server ausserhalb von Clustern und OT-Geräte deckt die abgerufene Dokumentation nicht ab.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- vArmour: Segmentierung auf Basis der Anwendungsbeziehungen
- Airgap Networks: Übernahme durch Zscaler am 12.04.2024 abgeschlossen (10-K FY2024), die agentenlose Segmentierung erscheint heute als Zscaler Zero Trust Device Segmentation (oben verglichen)
- TrueFort: Workload-Segmentierung
- Forescout (Segmentierung in der Vistaro-Plattform): Segmentierung als Teil der NAC-Plattform; siehe Klasse NAC
- AWS Security Groups, Azure Network Security Groups: Grundfunktion der Hyperscaler für Regeln je Workload; ohne Abhängigkeitskarte und übergreifende Verwaltung
- genua cognitix Threat Defender, NGFW mit Segmentierungsfunktionen: Segmentierung über Firewalls im Netz; siehe Klasse Firewalls und IPS
Kennzeichnen,
beobachten, durchsetzen.
- Ein Label-Schema festlegen (z. B. Umgebung, Applikation, Rolle, Standort) und aus CMDB oder Cloud-Tags befüllen; Regeln beziehen sich auf Labels, nicht auf IP-Adressen.
- Zuerst grobe Ringe ziehen: Produktion von Entwicklung trennen und Verwaltungsprotokolle wie RDP, SSH, WinRM und SMB nur von Admin-Systemen zulassen.
- Tier-0-Systeme wie Domain Controller, Backup-Server und Hypervisor-Verwaltung vor der breiten Fläche einschliessen.
- Regeländerungen an Change-Prozess und Deployment koppeln, damit neue Workloads nicht ohne Regeln starten.
- Anteil Workloads im Durchsetzungsmodus statt im Beobachtungsmodus, getrennt nach Kritikalität
- Anzahl erlaubter Verbindungen über Verwaltungsprotokolle von Nicht-Admin-Systemen
- Anzahl durch Segmentierungsregeln verursachter Störungen je Quartal
Applikations-Owner bestätigen die legitimen Datenflüsse ihrer Anwendungen; der Netzwerk- oder Plattformbetrieb setzt Regeln um. Security definiert Mindestregeln für Verwaltungszugriffe und Tier-0-Systeme und genehmigt Ausnahmen.
ISO/IEC 27001:2022 Annex A 8.22 (Trennung von Netzwerken) und 8.20 (Netzwerksicherheit); für OT bildet die Aufteilung in Zonen und Conduits nach IEC 62443-3-2 die Grundlage der Risikobeurteilung.
Die delegierte Verordnung (EU) 2024/1774 zu DORA verlangt in Art. 13 die Trennung und Segmentierung von IKT-Systemen und Netzwerken nach Kritikalität sowie die Dokumentation aller Netzwerkverbindungen und Datenflüsse.
Verschlüsselung und Zero-Trust-Zugang für Nutzer machen Microsegmentation nicht überflüssig. Ein kompromittierter Server mit gültigen Zugangsdaten bewegt sich sonst weiter ungehindert im Ost-West-Verkehr.
Mit einer Anwendungskette.
Der Pilot beginnt nicht mit einer flächigen Blockade. Eine klar abgegrenzte Anwendung mit Frontend, Dienst und Datenbank macht Abhängigkeiten sichtbar und erlaubt eine schrittweise, überprüfbare Durchsetzung.
- Legitime Ost-West-Flüsse über einen Betriebszyklus erfassen
- Eine nicht benötigte Verbindung blockieren und Wirkung prüfen
- Ausnahme, Owner und Ablaufdatum nachvollziehbar führen
- Notfallzugang und Rückfall ohne flächige Öffnung testen
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.