Warum ist Netzwerksegmentierung für die NIS2-Sicherheitsplanung wichtig?

Alexander Brütsch · 16 Okt. 2026

Netzwerksegmentierung ist für die NIS2-Sicherheitsplanung wichtig, weil sie verhindert, dass sich ein Angreifer nach einem erfolgreichen Einbruch ungehindert durch das gesamte Unternehmensnetz bewegen kann. NIS2 verlangt von betroffenen Unternehmen technische Schutzmaßnahmen, die genau das leisten: Schadensbegrenzung durch strukturelle Trennung. Die folgenden Abschnitte beantworten die häufigsten Fragen rund um Segmentierung, Umsetzung und Nachweispflichten.

Welche konkreten Anforderungen stellt NIS2 an die Netzwerkarchitektur?

NIS2 schreibt keine bestimmte Netzwerktopologie vor, verlangt aber nachweislich wirksame technische Maßnahmen zum Schutz von Netz- und Informationssystemen. Dazu gehören Zugangskontrollen, Segmentierung kritischer Systeme und die Fähigkeit, einen Sicherheitsvorfall einzudämmen, bevor er sich ausbreitet. Unternehmen müssen diese Maßnahmen dokumentieren und auf Anfrage belegen können.

Konkret ergibt sich aus Artikel 21 der NIS2-Richtlinie die Pflicht, Risiken für Netz- und Informationssysteme durch geeignete und verhältnismäßige technische Maßnahmen zu beherrschen. Netzwerksegmentierung ist dabei kein explizit genanntes Werkzeug, aber eine der am häufigsten empfohlenen Umsetzungsmaßnahmen, weil sie mehrere Anforderungen gleichzeitig adressiert: Zugriffskontrolle, Schadensbegrenzung und Systemverfügbarkeit.

Für Betreiber wesentlicher und wichtiger Einrichtungen bedeutet das in der Praxis, dass produktive Systeme, Verwaltungsnetze, OT-Umgebungen und externe Zugänge voneinander getrennt betrieben werden sollten. Die genaue Ausgestaltung richtet sich nach dem individuellen Risikoprofil des Unternehmens, das im Rahmen eines NIS2-Assessments ermittelt wird.

Wie funktioniert Netzwerksegmentierung technisch?

Netzwerksegmentierung teilt ein physisches oder virtuelles Netzwerk in mehrere isolierte Bereiche auf, sogenannte Segmente oder Zonen. Der Datenverkehr zwischen diesen Zonen wird durch Firewalls, Router oder Switches kontrolliert und gefiltert. Nur explizit erlaubte Kommunikation passiert die Zonengrenze, alles andere wird geblockt.

Technisch lässt sich Segmentierung auf verschiedenen Wegen umsetzen. VLANs (Virtual Local Area Networks) trennen Netzwerkbereiche auf Layer-2-Ebene innerhalb derselben physischen Infrastruktur. Firewalls zwischen den Segmenten erzwingen Regeln auf Layer 3 und höher. In modernen Umgebungen kommen zunehmend softwarebasierte Lösungen (Software-Defined Networking) zum Einsatz, die Segmentierung flexibel und zentral steuerbar machen.

Ein typisches Segmentierungsmodell trennt mindestens folgende Bereiche voneinander:

Büronetz mit Endgeräten der Mitarbeitenden
Serversegment mit internen Anwendungen und Datenbanken
DMZ für Systeme mit Außenkontakt (Webserver, Mail-Relay)
Verwaltungsnetz für IT-Administration und privilegierte Zugriffe
OT/IoT-Segment für Produktions- oder Gebäudetechnik, sofern vorhanden

Zwischen diesen Segmenten gelten strenge Kommunikationsregeln, die regelmäßig überprüft und angepasst werden.

Welche Risiken reduziert Netzwerksegmentierung im Angriffsfall?

Netzwerksegmentierung begrenzt die Bewegungsfreiheit eines Angreifers nach einem initialen Einbruch. Ohne Segmentierung kann sich Schadsoftware oder ein kompromittiertes Konto lateral durch das gesamte Netz bewegen. Mit Segmentierung bleibt der Schaden auf das betroffene Segment beschränkt, solange die Zonenregeln greifen.

Ransomware-Angriffe zeigen diesen Unterschied besonders deutlich. In flachen Netzwerken ohne Segmentierung verschlüsselt Ransomware oft innerhalb von Minuten Hunderte von Systemen. In segmentierten Umgebungen stoppt die Ausbreitung an den Zonengrenzen, weil die Schadsoftware keine Verbindung in benachbarte Segmente aufbauen kann.

Segmentierung schützt außerdem vor Insider-Bedrohungen. Ein Mitarbeitender, dessen Konto kompromittiert wurde oder der absichtlich handelt, hat nur Zugriff auf das Segment, das seiner Rolle entspricht. Kritische Systeme wie Buchhaltungsdatenbanken oder Produktionssteuerungen sind von regulären Arbeitsplätzen aus nicht erreichbar.

Ein weiterer Effekt ist die verbesserte Sichtbarkeit. Wenn der Datenverkehr an Zonengrenzen gefiltert und protokolliert wird, lassen sich Anomalien früher erkennen. Das unterstützt direkt die Anforderungen von NIS2 an Monitoring und Incident Detection.

Was ist der Unterschied zwischen Netzwerksegmentierung und Mikrosegmentierung?

Netzwerksegmentierung teilt das Netz in grobe Zonen auf, typischerweise nach Funktion oder Standort. Mikrosegmentierung geht einen Schritt weiter und definiert Sicherheitsrichtlinien auf der Ebene einzelner Workloads, Anwendungen oder sogar Prozesse. Der wesentliche Unterschied liegt im Granularitätsgrad der Kontrolle.

Bei klassischer Segmentierung schützt eine Firewall den Übergang zwischen zwei Netzbereichen. Innerhalb eines Segments können Systeme weiterhin frei miteinander kommunizieren. Mikrosegmentierung beseitigt auch diese interne Kommunikationsfreiheit: Jeder Workload erhält explizite Regeln, mit wem er sprechen darf, unabhängig davon, in welchem Netzbereich er sich befindet.

Für die meisten mittelständischen Unternehmen ist klassische Netzwerksegmentierung der richtige Ausgangspunkt. Mikrosegmentierung lohnt sich vor allem in Cloud-nativen Umgebungen, bei hochsensiblen Datenverarbeitungsprozessen oder wenn Zero-Trust-Architekturen umgesetzt werden sollen. NIS2-Anforderungen lassen sich in der Regel gut mit durchdachter Zonensegmentierung erfüllen, ohne den Aufwand einer vollständigen Mikrosegmentierung.

Wann sollten Unternehmen mit der Netzwerksegmentierung beginnen?

Unternehmen sollten mit der Netzwerksegmentierung beginnen, bevor ein Sicherheitsvorfall eintritt, nicht danach. Für NIS2-pflichtige Unternehmen gilt zusätzlich: Die Umsetzung technischer Schutzmaßnahmen ist keine Option, sondern eine Rechtspflicht. Wer noch kein segmentiertes Netz betreibt, hat Handlungsbedarf.

Der richtige Einstiegspunkt ist eine Bestandsaufnahme der aktuellen Netzwerkarchitektur. Welche Systeme kommunizieren miteinander? Welche Daten fließen wo? Welche Systeme sind besonders schützenswert? Auf Basis dieser Analyse lässt sich ein Segmentierungskonzept entwickeln, das realistisch umsetzbar ist und den größten Sicherheitsgewinn bringt.

Unternehmen, die noch am Anfang stehen, sollten zunächst die offensichtlichsten Trennlinien ziehen: Produktion vom Büronetz, Administration von regulären Arbeitsplätzen, externe Zugänge von internen Systemen. Diese Grundsegmentierung ist oft mit überschaubarem Aufwand umsetzbar und verbessert das Sicherheitsniveau sofort spürbar.

Wer parallel eine NIS2-Compliance aufbauen will, sollte Segmentierung als Teil eines größeren Maßnahmenpakets planen, nicht als isoliertes Projekt. Die technische Umsetzung lässt sich dann sinnvoll mit Monitoring, Patch-Management und Zugriffskontrolle verzahnen.

Wie lässt sich Netzwerksegmentierung im NIS2-Audit nachweisen?

Im NIS2-Kontext muss Netzwerksegmentierung dokumentiert, überprüfbar und wirksam sein. Der Nachweis erfolgt über Netzwerkpläne, Firewall-Regelwerke, Konfigurationsdokumentationen und Protokolle, die zeigen, dass die Zonenregeln aktiv greifen und regelmäßig überprüft werden.

Konkret bedeutet das: Ein aktuelles Netzwerkdiagramm, das die Segmentstruktur abbildet, ist Pflicht. Dazu kommen dokumentierte Firewall-Regeln mit Begründung für jede erlaubte Verbindung sowie Nachweise über regelmäßige Reviews dieser Regeln. Änderungen an der Netzwerkarchitektur sollten in einem Change-Management-Prozess erfasst sein.

Technische Tests wie Penetrationstests oder Schwachstellenscans, die die Wirksamkeit der Segmentierung überprüfen, stärken den Nachweis erheblich. Sie zeigen, dass die Segmentierung nicht nur auf dem Papier existiert, sondern tatsächlich hält, was sie verspricht. Regelmäßige Tests sind auch deshalb sinnvoll, weil Netzwerke sich verändern und neue Verbindungen unbeabsichtigt Zonengrenzen aushebeln können.

Audit-Prüfer erwarten keine perfekte Architektur, aber eine nachvollziehbare, risikobasierte Begründung der getroffenen Entscheidungen und den Beweis, dass die Maßnahmen gelebt werden.

Wie UBESAFE bei der NIS2-konformen Netzwerksegmentierung unterstützt

UBESAFE begleitet Unternehmen von der ersten Bestandsaufnahme bis zur auditfähigen Umsetzung. Der Ansatz verbindet technisches Engineering mit Compliance-Expertise, sodass Segmentierungsmaßnahmen nicht nur funktionieren, sondern auch nachweisbar NIS2-Anforderungen erfüllen.

NIS2-Audit mit GAP-Analyse: Ermittlung des aktuellen Reifegrads der Netzwerkarchitektur und Ableitung konkreter Segmentierungsmaßnahmen
Technische Umsetzung: Planung und Implementierung von Netzwerkzonen, Firewall-Regelwerken und Zugriffskontrollen
Dokumentation und Nachweis: Erstellung auditfähiger Netzwerkpläne, Konfigurationsdokumentationen und Review-Prozesse
Managed Service: Kontinuierliches Monitoring, Schwachstellenscans und Patchmanagement, damit die Segmentierung dauerhaft wirksam bleibt

Unternehmen, die wissen wollen, wo sie aktuell stehen, können mit einem kostenlosen Erstaudit starten. UBESAFE analysiert den Ist-Zustand und zeigt auf, welche Schritte für eine NIS2-konforme Netzwerksicherheit konkret notwendig sind.