KI-Hacking und Netzwerksicherheit: Wie Netzwerksegmentierung im Mittelstand den Schaden begrenzt

Was KI an Cyberangriffen verändert

Nach Einschätzung des BSI senkt KI Aufwand, Zeitbedarf und Einstiegshürden für Cyberangriffe maßgeblich. Rechtschreibfehler taugen schon seit 2024 nicht mehr als Erkennungsmerkmal für Phishing, schrieb das BSI damals. In der Bitkom-Studie Wirtschaftsschutz 2026 sind sich 31 Prozent der befragten Unternehmen sicher, dass Angreifer bei ihnen KI eingesetzt haben, weitere 51 Prozent vermuten es. Vier Veränderungen treffen kleine Betriebe besonders:

• Phishing in fehlerfreiem Deutsch, zugeschnitten auf Lieferanten, Projekte und Ansprechpartner, die auf deiner Website und in sozialen Netzwerken stehen
• Gefälschte Stimmen am Telefon und Deepfake-Videos in Online-Meetings. Laut Bitkom hatten 8 Prozent der Unternehmen einen Schaden durch Deepfakes, im Vorjahr waren es 4 Prozent
• Schwachstellen werden schneller ausgenutzt. Aus einem veröffentlichten Update lässt sich laut BSI in Minuten bis Stunden ein Angriff ableiten, Patchen innerhalb weniger Tage gilt nicht mehr als ausreichend
• Mehr Angriffe von weniger erfahrenen Tätern, weil KI Werkzeuge und Anleitungen liefert, für die man früher Fachwissen brauchte

Der Einstieg bleibt dabei meist derselbe. Als Ursachen erfolgreicher Angriffe nennen die betroffenen Unternehmen bei Bitkom vor allem unzureichende Erkennung (59 Prozent), Fehlkonfigurationen (57 Prozent) und lückenhaftes Identitäts- und Zugriffsmanagement (55 Prozent). Das BSI empfiehlt deshalb, das Netz zu segmentieren, damit eine einzelne Schwachstelle nicht die gesamte Organisation gefährdet, die Zwei-Faktor-Anmeldung überall einzusetzen, wo sie möglich ist, und Sicherungen getrennt vorzuhalten, weil Angriffe auf Backups gängige Praxis sind.

Warum der Aufbau des Netzes über den Schaden entscheidet

In vielen Betrieben ist das Netzwerk mit der Firma gewachsen. Erst kamen die Büro-PCs, dann der Server für die Warenwirtschaft, später Drucker, Maschinensteuerungen, Telefone, Kameras und das WLAN für Besucher. Technisch landen solche Geräte oft im selben Netz, weil das am schnellsten eingerichtet ist und jedes Gerät jedes andere erreicht.

Für einen Angreifer ist genau diese Erreichbarkeit der Hebel. Wer einen einzigen PC übernommen hat, sieht von dort den Server, die Freigaben, das NAS mit den Sicherungen und jede Maschine mit veralteter Software. Ransomware arbeitet sich auf diesem Weg von Gerät zu Gerät vor, Fachleute nennen das Lateral Movement. Netzwerksegmentierung setzt an dieser Stelle an und bestimmt, wie weit der erste Klick reicht.

Vergrößern

Netzwerksegmentierung: Jede Gerätegruppe bekommt ihre Zone

Bei der Netzwerksegmentierung wird ein Netz in mehrere getrennte Bereiche geteilt, technisch meist über VLANs. Geräte mit ähnlicher Aufgabe und ähnlichem Risiko kommen in dieselbe Zone, und zwischen den Zonen steht die Firewall. Für einen Betrieb mit Büro, Lager und Produktion hat sich eine Aufteilung bewährt, die sich an den Aufgaben orientiert:

Dazu kommt eine Management-Zone für Gateway, Switches und Access Points. Wer die Netzwerktechnik verwaltet, tut das nur von dort aus. Wie viele Zonen ein Betrieb braucht, hängt an seinen Geräten. Entscheidend ist, dass jede Zone eine klare Aufgabe hat. Das BSI verlangt im IT-Grundschutz-Baustein NET.1.1 schon in den Basis-Anforderungen, Clients und Server in getrennten Segmenten zu betreiben, Gäste in eigene Segmente zu legen und nur Geräte mit ähnlichem Sicherheitsniveau zusammenzufassen.

Zonenbasierte Firewall: Regeln zwischen den Zonen

Klassische Firewalls arbeiten mit langen Regellisten je Netz, die mit jedem neuen Gerät unübersichtlicher werden. Eine zonenbasierte Firewall (Zone-Based Firewall) fasst Netze zu Zonen zusammen und legt fest, welche Zone mit welcher sprechen darf. Das lässt sich als Tabelle lesen und prüfen, auch von jemandem, der die Regeln nicht selbst geschrieben hat. Bei UniFi gibt es die zonenbasierte Firewall seit Version 9.0 der Network-Anwendung, sie läuft auf den UniFi-Gateways.

Zwischen den Zonen ist grundsätzlich alles gesperrt, was nicht ausdrücklich erlaubt ist. Jede Freigabe hat einen Grund, den man in der Dokumentation nachlesen kann.

Portregeln: nur die Dienste, die der Betrieb braucht

Zonen legen fest, wer mit wem spricht. Portregeln legen fest, worüber. Ein Produktionsrechner braucht vom Server nur den Datenbankzugriff der Warenwirtschaft, keine Dateifreigaben und keinen Fernzugriff. Typische Regeln für einen Betrieb mit Büro und Produktion:

• Produktion zum Server: nur der Dienst der Warenwirtschaft, etwa der Datenbankzugriff von JTL-Wawi
• Büro und Produktion zu den Druckern: nur die Druckprotokolle
• Telefonie: nur die Verbindung zur Telefonanlage
• Gäste: nur Internet, kein Zugriff auf interne Zonen
• Kameras: kein Internet, Zugriff nur aus der Management-Zone
• Von außen: keine offenen Ports auf interne Geräte, Fernzugriff ausschließlich über VPN

Zugänge überwachen und Identitäten schützen

Ein segmentiertes Netz schützt besser, wenn du siehst, was darin passiert. Das Gateway protokolliert die Verbindungen zwischen den Zonen, und eine Angriffserkennung (IDS/IPS) meldet bekannte Angriffsmuster. Fällt ein Drucker plötzlich durch Verbindungsversuche in die Server-Zone auf, ist das ein Signal, das ohne Zonen im allgemeinen Datenverkehr untergehen würde.

Bei den Identitäten zählt vor allem der zweite Faktor für jedes Konto. Laut Microsoft Digital Defense Report 2025 blockt die Mehrfaktor-Anmeldung über 99 Prozent der unberechtigten Zugriffe. Mit Microsoft Entra ID melden sich die Mitarbeitenden mit ihrem Microsoft-365-Konto an den PCs an, und Intune verwaltet die Geräte zentral, mit Updates, Verschlüsselung und Richtlinien. Damit lässt sich auch festlegen, dass nur verwaltete, aktuelle Geräte auf Firmendaten zugreifen.

Zur Zugangsüberwachung gehören auch die physischen Zugänge zum Betrieb. Kameras an den Eingängen zeichnen bei einer lokalen Lösung wie UniFi Protect auf dem eigenen Gateway auf, die Bilder verlassen den Betrieb nicht, und die Kameras liegen in ihrer eigenen Zone ohne Internet.

Backups, die ein Angriff nicht erreicht

Moderne Ransomware sucht gezielt nach Sicherungen, bevor sie verschlüsselt. Deshalb liegt das NAS in der Server-Zone, und nur der Sicherungsdienst darf darauf schreiben. Eine zweite Kopie liegt außer Haus, etwa in Microsoft 365. Das BSI empfiehlt dafür die 3-2-1-Regel mit drei Versionen der Daten auf zwei verschiedenen Medien, mindestens eine davon an einem weiteren Ort. Und eine Sicherung zählt erst, wenn die Wiederherstellung einmal geprobt wurde. Wie du Backup, Updates und Dokumentation dauerhaft organisierst, beschreiben wir im Artikel über Managed IT im Mittelstand.

So gehst du vor

1. 1Bestandsaufnahme: Alle Geräte im Netz erfassen, auch Maschinen, Drucker, Telefone, Kameras und das, was keiner mehr kennt.
2. 2Zonenplan: Geräte nach Aufgabe gruppieren und in einer Tabelle festhalten, welche Zone mit welcher sprechen muss.
3. 3Technik prüfen: Kann das vorhandene Gateway Zonen und Regeln abbilden? Gängige Internet-Router wie die FritzBox trennen meist nur ein Gastnetz ab, dann übernimmt ein eigenes Gateway mit Firewall.
4. 4Umstellung in Etappen: Gateway, Switches, WLAN und Endgeräte nacheinander, mit Rückweg für jeden Schritt und außerhalb der Produktionszeiten.
5. 5Regeln schärfen: Die ersten Wochen mitlesen, was zwischen den Zonen läuft, und Freigaben enger ziehen.
6. 6Dokumentieren: Netzplan, Zonen- und Portregeln, Zugangs- und Backup-Konzept, damit das Netz nicht an einer Person hängt.

KI macht Angriffe billiger, schneller und glaubwürdiger, und irgendwann klickt jemand. Ob dieser Klick einen PC kostet oder den ganzen Betrieb, entscheidet der Aufbau des Netzes. Netzwerksegmentierung mit einer zonenbasierten Firewall, Zwei-Faktor-Anmeldung und Sicherungen außerhalb der Reichweite eines Angreifers lassen sich in einem Mittelstandsbetrieb geplant und in Etappen umsetzen. Den digitalen Arbeitsplatz mit Microsoft 365 richten wir dabei gleich mit ein.