DMZ und Netzwerksegmentierung: Server vom Heimnetz trennen

Kurz: Eine DMZ ist ein abgeschirmter Netzbereich für aus dem Internet erreichbare Server; die Segmentierung begrenzt den Schaden, wenn ein Gerät übernommen wird.

Genauer: In einem flachen Netz erreicht jedes Gerät jedes andere. Wird ein einzelnes (zum Beispiel ein unsicheres IoT-Gerät oder ein öffentlicher Server) gehackt, steht dem Angreifer das ganze Netz offen. Segmentierung teilt das Netz in Zonen, zwischen denen eine Firewall den Verkehr kontrolliert.

Im Detail

Die DMZ (Demilitarisierte Zone)

Server, die aus dem Internet erreichbar sein müssen (Webserver, Mailserver), stehen in einer eigenen Zone, getrennt vom internen Netz:

Internet ── Firewall ── DMZ (Webserver)
               │
               └── Internes Netz (PCs, Drucker)

Regeln: Aus dem Internet darf nur auf die DMZ-Server und nur auf bestimmte Ports; aus der DMZ darf nicht frei ins interne Netz verbunden werden; das interne Netz darf in die DMZ administrieren. So bleibt ein gehackter Webserver in seiner Zone gefangen.

Im Heimnetz

• Gästenetz für Besucher und IoT-Geräte (Smart-TV, Kameras, Steckdosen), getrennt vom privaten Netz. Viele Router bieten es.
• VLANs in besseren Routern/Switches trennen Bereiche virtuell (privat, IoT, Server, Gäste).
• Die „DMZ-Funktion“ vieler Fritz!Boxen und Router (Exposed Host) leitet alle Ports an ein Gerät weiter und ist keine echte DMZ; sie ist riskant und sollte vermieden werden.
• Für Heimserver: Portfreigaben gezielt und möglichst per VPN zugreifen.

Prinzipien

Least Privilege (nur nötige Verbindungen erlauben), Defense in Depth (mehrere Schutzschichten), Standard: alles blockieren, Ausnahmen erlauben, Protokollierung und Überwachung, Updates. In Firmen kommen Zero Trust (jede Anfrage prüfen, auch intern) und Mikrosegmentierung hinzu.

Umsetzung

Plane Zonen (Nutzer, Server, Gäste, Verwaltung, IoT), definiere Firewall-Regeln zwischen den Zonen und teste, dass verbotene Verbindungen wirklich scheitern (zum Beispiel mit nmap, ping, curl). Dokumentiere das Netzschema und halte Geräte aktuell.

Siehe auch: Firewall, VLAN, NAT, Homelab und Selfhosting, Least Privilege