Produktionsnetz Büro Netz trennen: So gelingt die Segmentierung

Sie möchten Produktionsnetz Büro Netz trennen, wissen aber nicht, wo Sie anfangen sollen? In einem gewachsenen Netz können der Buchhaltungs-PC, die CNC-Steuerung, das WLAN für Besucher und die Zeiterfassung im selben unsegmentierten Netz hängen. Das funktioniert im Tagesgeschäft, kann aber zum Risiko werden, sobald im Büro ein Schadprogramm auftaucht. Dieser Beitrag zeigt, wie Sie bei der Segmentierung vorgehen und welche Vorkehrungen die Risiken für den laufenden Betrieb verringern.

Warum Büro- und Produktionsnetz getrennt sein sollten

Büro und Produktion haben unterschiedliche Anforderungen:

• Büro-Geräte surfen im Internet, öffnen E-Mail-Anhänge und werden regelmäßig aktualisiert. Sie sind dadurch ein naheliegender Einstiegspunkt für Angriffe.
• Produktionssysteme wie Maschinensteuerungen, Anlagenrechner oder Messgeräte können über viele Jahre laufen. Updates sind unter Umständen nur in Absprache mit dem Hersteller oder in Wartungsfenstern möglich. Manche Systeme lassen sich gar nicht mehr aktualisieren.

Sind beide Welten in einem flachen Netz verbunden, kann ein infizierter Büro-Rechner im ungünstigen Fall bis zu den Maschinen vordringen. Eine sauber umgesetzte Segmentierung kann die Ausbreitung eines Angriffs begrenzen und die Reaktion erleichtern. Sie verhindert Vorfälle nicht vollständig. Auch für die Anforderungen aus NIS2 und für Anfragen von Kunden oder Versicherern ist ein nachvollziehbar segmentiertes Netz eine gute Grundlage. Ob Ihr Unternehmen konkret betroffen ist, hängt von Branche und Größe ab.

Produktionsnetz Büro Netz trennen: Die Schritte im Überblick

1. Bestandsaufnahme: Was hängt eigentlich im Netz?

Erfassen Sie alle Geräte: Maschinen, SPS-Steuerungen, Industrie-PCs, Drucker, Scanner, Kameras, Zeiterfassung, Terminals, Server. Notieren Sie zu jedem Gerät IP-Adresse, Standort, Hersteller, Betriebssystem und wer es administriert. Besonders wichtig: Welche Verbindungen gibt es nach außen, etwa Fernwartung durch Maschinenhersteller?

2. Zonen festlegen

Teilen Sie die Geräte nach Schutzbedarf in Zonen ein. Ein mögliches Grundmodell:

• Büro (Arbeitsplätze, Drucker)
• Server und zentrale Dienste (ERP, Dateiserver)
• Produktion (Steuerungen, Anlagen, Maschinen-PCs)
• Gäste-WLAN
• Management (Administration von Switches, Firewall, Hypervisor)

Wie viele Zonen sinnvoll sind, hängt von Ihrem Betrieb ab. Starten Sie lieber mit wenigen klaren Zonen, als sich in einem zu feinen Konzept zu verlieren.

3. Kommunikationsbeziehungen klären

Welche Systeme müssen miteinander sprechen? Typische Beispiele: Das ERP- oder MES-System übergibt Aufträge an die Produktion, Maschinen liefern Betriebsdaten zurück, ein Server spielt Programme auf Steuerungen. Halten Sie für jede Beziehung Quelle, Ziel, Protokoll und Port fest. Diese Liste wird später zur Grundlage Ihrer Firewall-Regeln.

4. Technik wählen: VLANs und Firewall

VLANs schaffen getrennte logische Netze auf den Switches. Entscheidend ist, ob und wie zwischen diesen Netzen geroutet wird. Für kontrollierte Übergänge zwischen Büro und Produktion empfiehlt sich eine passend konfigurierte Firewall mit aktivierter Protokollierung, die Regeln durchsetzt und Verbindungen nachvollziehbar macht. Dafür eignet sich eine Firewall mit ausreichend Anschlüssen und Leistung, wie wir sie im Rahmen von Sophos Security und Firewall einrichten. Prüfen Sie außerdem, ob Ihre Switches VLANs und Management-Zugriffe sauber unterstützen und aktuell gepatcht sind.

5. Regeln nach dem Prinzip „Nur was nötig ist“

Alles, was nicht ausdrücklich erlaubt ist, wird gesperrt. Statt „Büro darf alles in die Produktion“ gilt dann zum Beispiel: Nur der MES-Server darf auf bestimmte Ports der Steuerungen zugreifen. Der Weg aus der Produktion ins Internet wird ebenfalls eingeschränkt. Das gilt auch für Updates und Cloud-Dienste von Maschinenherstellern, die Sie gezielt freigeben.

6. Fernwartung kontrolliert regeln

Wenn Hersteller Maschinen aus der Ferne warten, sollten Sie dauerhaft offene Zugänge oder Modems am Produktionsnetz vermeiden. Besser sind ein definierter Zugang über die Firewall oder einen Jumphost, Anmeldung mit Mehrfaktor-Authentifizierung, Freigabe nur bei Bedarf und Protokollierung. Sprechen Sie mit den Herstellern, was technisch unterstützt wird.

7. Umsetzen, testen, dokumentieren

Setzen Sie die Trennung schrittweise um, am besten in einem geplanten Wartungsfenster und nach Rücksprache mit der Produktionsleitung. Testen Sie jede Zone mit den Verantwortlichen: Läuft die Auftragsübergabe, funktionieren Drucken, Zeiterfassung und Datensicherung? Halten Sie Netzplan, Regelwerk und Ansprechpartner schriftlich fest. Nur so bleibt das Konzept auch nach Personalwechseln nachvollziehbar.

Typische Stolpersteine bei der Segmentierung

• Feste IP-Adressen und unbekannte Abhängigkeiten: Manche Maschinen sind mit festen Adressen konfiguriert oder greifen auf Freigaben zu, von denen niemand mehr weiß. Eine Umstellung ohne Bestandsaufnahme kann Stillstand verursachen.
• Dienste wie DNS, DHCP und Zeitsynchronisation: Prüfen Sie je Zone, welche Geräte diese Dienste benötigen. Geben Sie nur die erforderlichen Verbindungen frei und berücksichtigen Sie gegebenenfalls einen DHCP-Relay.
• Datensicherung: Prüfen Sie, ob Server oder Maschinen-PCs in der Produktion in Ihr Backup eingebunden sind und der Weg zum Sicherungsziel weiter freigegeben ist.
• Alte Systeme: Für nicht mehr aktualisierbare Geräte kann eine eigene, stark eingeschränkte Zone sinnvoll sein. Sie ersetzt aber keine langfristige Erneuerungsplanung.
• Fehlende Zuständigkeit: Produktion und IT kennen mitunter nur jeweils einen Teil der Anlagen und Abhängigkeiten. Binden Sie beide früh ein.

Checkliste vor dem Start

• Netzplan und Geräteliste aktuell?
• Zonen und Kommunikationsbeziehungen definiert?
• Firewall mit ausreichend Anschlüssen, Leistung und Support vorhanden?
• Switches VLAN-fähig, Management-Zugang abgesichert?
• Fernwartungszugänge der Hersteller bekannt und geregelt?
• Wartungsfenster mit der Produktionsleitung abgestimmt?
• Rückfallplan für den Fall, dass eine Verbindung nicht funktioniert?
• Dokumentation und Verantwortlichkeiten festgelegt?

Wenn Sie Ihre Ausgangslage zunächst einordnen möchten, hilft Ihnen unser kostenloser IT-Sicherheits- und NIS2-Check als Selbsttest in wenigen Minuten. Für die technische Seite finden Sie weitere Informationen unter Netzwerk und WLAN.

Häufige Fragen

Reicht ein VLAN, um Produktions- und Büronetz zu trennen?

Ein VLAN schafft ein getrenntes logisches Netz, mehr nicht. Entscheidend ist, ob und wie zwischen den Netzen geroutet wird. Für kontrollierte Übergänge empfiehlt sich eine passend konfigurierte Firewall mit aktivierter Protokollierung. Zusätzlich sollten Switch-Konfiguration und Zugänge abgesichert sein.

Muss die Produktion nach der Trennung komplett vom Internet abgeschottet sein?

Nein, das ist nicht zwingend. Entscheidend ist, dass nur definierte Verbindungen erlaubt sind, etwa für Herstellerwartung oder Updates. Alles andere wird gesperrt.

Wie lange dauert die Segmentierung?

Das hängt von Größe, Dokumentationsstand und Zahl der Maschinen ab. Bestandsaufnahme und Abstimmung mit der Produktion können einen erheblichen Teil des Aufwands ausmachen, nicht nur die reine Konfiguration. Eine seriöse Aussage ist erst nach einer Analyse Ihres Netzes möglich.

Kann die Trennung im laufenden Betrieb erfolgen?

Teilweise. Vorbereitung und Planung laufen parallel zum Betrieb. Für den Umbau selbst empfehlen sich abgestimmte Wartungsfenster, damit Sie bei Problemen schnell zurückgehen können.

So unterstützt Sie die comgie IT

Wir von der comgie IT unterstützen Unternehmen in Münster und im Münsterland bei Netzwerk, Firewall und IT-Sicherheit. Welche Unterstützung für Ihre Segmentierung sinnvoll ist, klären wir anhand Ihrer Anforderungen. Wenn Sie Ihr Produktionsnetz und Büronetz sinnvoll trennen möchten, sprechen Sie uns an und buchen Sie direkt einen Online-Termin für ein Erstgespräch.