Hinweis: Dies ist ein Demo-Beitrag als Platzhalter für den Blog-Aufbau. Er kann jederzeit gelöscht werden.
Wer Netzwerksicherheit heute noch als reine Perimeter-Frage begreift, hat ein Problem: Sobald ein Angreifer – oder ein kompromittiertes IoT-Gerät – erst einmal im internen LAN sitzt, bewegt er sich in den meisten Mittelstandsnetzen praktisch ungehindert. Klassische VLAN-Strukturen trennen zwar Broadcast-Domains, verhindern aber selten laterale Bewegung zwischen Endgeräten derselben Abteilung. Zero Trust im LAN setzt genau hier an: Vertrauen wird nicht mehr anhand des Netzwerkstandorts vergeben, sondern anhand von Identität, Kontext und Rolle – bei jedem einzelnen Zugriff neu.
Warum klassische VLANs an ihre Grenzen stoßen
VLANs wurden ursprünglich zur Performance- und Broadcast-Optimierung eingeführt, nicht als Sicherheitsgrenze. In der Praxis landen Geräte oft nach Gebäudetrakt oder Switch-Port im selben VLAN – Marketing-PC, Netzwerkdrucker und ein ungepatchter Zeiterfassungs-Terminal inklusive. Innerhalb dieses Segments herrscht implizites Vertrauen: Ein kompromittiertes Endgerät kann ungehindert nach lateralen Zielen scannen.
Zero Trust kehrt diese Logik um: Jede Verbindung – auch innerhalb desselben Segments – muss authentifiziert, autorisiert und fortlaufend überprüft werden. „Never trust, always verify“ gilt dabei nicht nur für Nutzer, sondern gleichermaßen für Maschinen, Dienste und IoT-Geräte.
Zero-Trust-Prinzipien im LAN: Never Trust, Always Verify
Im internen Netz bedeutet Zero Trust konkret: Identität vor IP-Adresse, minimale Rechte statt pauschaler Netzzugehörigkeit, und kontinuierliche Verifikation statt einmaliger Anmeldung am Switch-Port. Die Kombination aus starker Geräte- und Nutzerauthentifizierung, granularen Zugriffsrichtlinien und lückenloser Protokollierung bildet das Fundament.
Least Privilege als Leitprinzip
Das Prinzip der geringsten Berechtigung überträgt sich direkt auf die Netzwerkebene: Ein Gerät oder Nutzer erhält nur Zugriff auf die Ressourcen, die für seine Funktion zwingend erforderlich sind – nicht mehr, und zeitlich nicht länger als nötig. Ein Praktikanten-Notebook braucht keinen Zugriff auf das Produktionsnetz, ein Etikettendrucker keinen auf die Finanzbuchhaltung.
Mikrosegmentierung vs. klassische VLAN-Architektur
Mikrosegmentierung verfeinert die grobe VLAN-Trennung bis auf Ebene einzelner Workloads, Geräteklassen oder sogar Anwendungen. Statt großer, statischer Netzsegmente entstehen viele kleine, policy-gesteuerte Mikroperimeter. Die Durchsetzung erfolgt nicht mehr allein am Switch, sondern zusätzlich über Firewalls, Software-Defined-Networking-Overlays oder identitätsbasierte Access-Control-Listen.
Der entscheidende Unterschied: Klassische VLANs definieren, wer in welchem Segment sitzt – Mikrosegmentierung definiert, wer mit wem sprechen darf, unabhängig vom physischen oder logischen Standort im Netz.
Dynamische VLAN-Zuweisung per 802.1X/RADIUS
Der technische Hebel für Zero Trust am Switch-Port heißt 802.1X in Kombination mit RADIUS. Statt ein VLAN statisch an einen Port zu binden, authentifiziert sich das Endgerät oder der Nutzer beim Verbindungsaufbau gegenüller einem RADIUS-Server – etwa über Zertifikat, Nutzername/Passwort oder MAC-Authentication-Bypass (MAB) für Geräte ohne Supplicant. Der RADIUS-Server liefert im Access-Accept nicht nur „erlaubt“ zurück, sondern per Tunnel-Attributen (Tunnel-Private-Group-ID) gleich das passende VLAN.
Damit landet ein Gerät automatisch im richtigen Segment – unabhängig davon, an welchem physischen Port es angeschlossen wird. Ein Laptop aus der Buchhaltung erhält im Konferenzraum dasselbe VLAN wie am eigenen Arbeitsplatz, ein nicht erkanntes Fremdgerät fällt in ein isoliertes Quarantäne-VLAN mit stark eingeschränktem Zugriff.
Rollenbasierte Policies und Ost-West-Traffic-Kontrolle
Perimeter-Firewalls kontrollieren traditionell Nord-Süd-Verkehr – also den Traffic zwischen LAN und Internet. Der überwiegende Teil des Datenverkehrs in modernen Netzen läuft jedoch Ost-West, also zwischen Servern, Clients und Diensten innerhalb desselben Standorts. Genau hier setzen laterale Angriffe an, etwa bei Ransomware, die sich nach dem ersten Fußfassen im Netz ausbreitet.
Rollen- und policy-basierte Segmentierung definiert Regeln nicht mehr über IP-Subnetze, sondern über logische Gruppen wie „Buchhaltung“, „Produktionsanlage“ oder „Gast-WLAN“. Eine Firewall- oder Switch-Policy erlaubt dann beispielsweise explizit „Buchhaltung → ERP-Server, Port 443″, verweigert aber jede sonstige Ost-West-Kommunikation implizit – auch innerhalb desselben VLANs.
Group-Based Policy und Security Group Tags (SGT)
Ein wesentliches Problem klassischer ACLs ist ihre Kopplung an IP-Adressen: Jede Änderung der Netzstruktur erfordert eine Überarbeitung sämtlicher Regelwerke. Group-Based Policy löst dieses Problem, indem Datenpakete direkt am Zugangs-Switch mit einem Security Group Tag (SGT) markiert werden – einer Kennzeichnung, die die Rolle des sendenden Geräts oder Nutzers trägt, nicht dessen IP-Adresse.
Nachgelagerte Switches und Firewalls im gesamten Netz treffen ihre Weiterleitungsentscheidung dann anhand der SGT-Matrix: Gruppe A darf mit Gruppe B kommunizieren, Gruppe C nicht. Ändert sich die IP-Adressierung durch Umzüge, DHCP-Wechsel oder Standortverlagerungen, bleibt die Policy unverändert gültig – die Tags wandern mit dem authentifizierten Gerät mit.
Herausforderungen in der Praxis
So überzeugend das Konzept ist, die Einführung hat reale Hürden. Drei Themen tauchen in nahezu jedem Mittelstandsprojekt auf.
Legacy-Geräte und Policy-Explosion
Viele Produktionsanlagen, Türsteuerungen oder ältere Netzwerkdrucker unterstützen kein 802.1X. Für diese Geräte bleibt oft nur MAC-Authentication-Bypass oder eine dedizierte Ausnahme-Policy – beides erhöht den Verwaltungsaufwand. Gleichzeitig neigen granulare Policies dazu, unkontrolliert zu wachsen: Aus wenigen VLANs werden schnell Dutzende Gruppen mit hunderten Einzelregeln, wenn nicht von Anfang an ein zentrales Policy-Management mit klarer Namenskonvention und regelmäßigem Regel-Review etabliert wird.
Troubleshooting in segmentierten Netzen
Wenn eine Anwendung plötzlich nicht mehr erreichbar ist, lässt sich die Ursache in einem stark segmentierten Netz nicht mehr allein durch einen Blick auf die Firewall-Regel finden – RADIUS-Zuweisung, SGT-Matrix und lokale ACL müssen gemeinsam betrachtet werden. Ohne zentrales Logging und Monitoring, das Authentifizierung, VLAN-Zuweisung und Policy-Entscheidung korrelieren kann, wird die Fehlersuche schnell zur Suche nach der Nadel im Heuhaufen.
Fazit: Schrittweise Einführung im Mittelstand
Zero Trust im LAN lässt sich nicht an einem Wochenende einführen – und sollte es auch nicht. Bewährt hat sich ein stufenweises Vorgehen:
- Inventarisierung und Klassifizierung aller Endgeräte inklusive Legacy- und IoT-Bestand
- Aufbau einer RADIUS-/NAC-Infrastruktur zunächst im Monitor-Modus ohne Zugriffsverweigerung
- Pilotsegment mit einer klar abgegrenzten Abteilung oder Standortlokation
- Schrittweise Umstellung von Audit- auf Enforcement-Modus je Gerätegruppe
- Einführung von Security Group Tags für die wichtigsten Ost-West-Beziehungen
- Kontinuierliches Policy-Review und zentrales Monitoring als fester Betriebsprozess
Am Ende steht ein LAN, das nicht mehr blind auf den Standort im Netz vertraut, sondern jede Verbindung anhand von Identität und Rolle bewertet. Für den Mittelstand bedeutet das: spürbar reduzierte Angriffsfläche bei lateralen Bewegungen, ohne dass Nutzer im Arbeitsalltag etwas davon merken – vorausgesetzt, Planung und Rollout erfolgen strukturiert und mit ausreichend Testphase vor der harten Durchsetzung.