Instant Response
24/7 Sofortreaktion auf Cybersicherheitsvorfälle. Minimieren Sie Schäden durch unseren professionellen Instant Response…
AnsehenDefensive Services
Firewall und Intrusion Detection
Eine Firewall am Übergang ins Internet hat heute jeder. Die Frage, die über den Schaden entscheidet, ist eine andere: Was kann ein Angreifer erreichen, der bereits drin ist? In einem Netz ohne innere Grenzen ist die Antwort: alles.
01
Die Ausgangslage
Der Schaden entsteht nach dem Einbruch
Ein Erstzugang ist ein Vorfall. Was daraus wird, entscheidet sich in den Stunden danach: beim Weitergehen von System zu System, quer durch ein Netz, das historisch gewachsen ist und in dem jeder mit jedem sprechen darf. Lateral Movement heißt dieser Teil eines Angriffs — und er ist der, den Sie mit vertretbarem Aufwand tatsächlich unterbinden können.
Ein übernommener Arbeitsplatzrechner in der Buchhaltung sollte technisch nicht in der Lage sein, die Steuerung in der Fertigung zu erreichen. In den meisten Netzen, die wir sehen, ist er es. Nicht aus Nachlässigkeit — sondern weil nie jemand die Frage gestellt hat, welche Verbindung eigentlich nötig ist.
Der Ansatz
Segmentierung ist der eigentliche Hebel
Zonen werden entlang des Schutzbedarfs geschnitten, nicht entlang des Organigramms und erst recht nicht entlang der gewachsenen Verkabelung. Fertigung, Verwaltung, Gebäudetechnik, Gästenetz, Verwaltungszugänge: Jede dieser Zonen hat einen eigenen Schutzbedarf und eine eigene Liste dessen, was hinein- und hinausdarf.
Erlaubte Verbindungen benennen, nicht verbotene sammeln
Ein Regelwerk, das Verbote sammelt, wächst mit jedem Vorfall und wird nie fertig. Ein Regelwerk, das Erlaubnisse benennt, ist am Anfang mühsam und danach überschaubar. Wir arbeiten grundsätzlich in dieser Richtung — das ist derselbe Gedanke, der hinter Zero Trust steht, nur ohne das Versprechen, ihn an einem Wochenende umzusetzen.
Erst beobachten, dann blockieren
Kein Regelwerk wird am Reißbrett richtig. Neue Regeln laufen deshalb zuerst im Beobachtungsmodus mit: Was würde blockiert, und wäre das ein Problem? Erst wenn diese Liste über Wochen leer bleibt, wird scharf geschaltet. Das kostet Zeit und erspart den Anruf, dass die Produktion steht.
Regeln haben eine Haltbarkeit
Jede Ausnahme aus dem Tagesgeschäft bleibt ohne Pflege für immer stehen. Nach drei Jahren erklärt niemand mehr, wofür Regel 214 gut war, und gelöscht wird sie trotzdem nicht. Zu einem Regelwerk gehört darum von Anfang an, wer es wann überprüft und was mit Regeln geschieht, die niemand mehr begründen kann.
- 01
Bestandsaufnahme
welche Systeme sprechen heute tatsächlich miteinander — gemessen, nicht vermutet
- 02
Zonenmodell
Schnitt nach Schutzbedarf, mit benannter Verantwortung je Zone
- 03
Regelwerk
erlaubte Verbindungen benennen, jede mit Zweck und Eigentümer
- 04
Übergang
Beobachtungsmodus vor dem Blockieren, Zone für Zone statt auf einen Schlag
- 05
Erkennung
Auswertung dessen, was innerhalb der erlaubten Verbindungen passiert
- 06
Pflege
feste Überprüfung, sonst verfällt jedes Regelwerk innerhalb von zwei Jahren
Nicht der Einbruch entscheidet, sondern wie weit er kommt.
02
Die Ergänzung
Erkennung im Netz, nicht nur am Rand
Eine Firewall entscheidet, ob eine Verbindung zustande kommt. Sie sagt nichts darüber, was innerhalb einer erlaubten Verbindung geschieht — und genau dort bewegt sich ein Angreifer, der Zugangsdaten hat. Ein IDS/IPS im Inneren schließt diese Lücke, eine NDR-Auswertung erweitert sie um den gesamten Netzverkehr: systematisches Abklopfen interner Adressbereiche, ein Datenabfluss zu ungewöhnlicher Zeit, Verbindungen zu Infrastruktur, die erst vor Stunden registriert wurde.
Die Bewertung übernimmt NeoI, damit nicht jede Abweichung als Alarm endet — dieselbe Logik wie in der KI-gestützten Bedrohungserkennung, hier auf den Netzverkehr angewandt. Sichtbar wird das Ergebnis in Strider.
- Wochen
- Beobachtungsmodus vor der ersten Blockade
- je Zone
- eine benannte Verantwortung, kein Sammelpostfach
- jährlich
- Überprüfung des gesamten Regelwerks
- ISO 27001
- Segmentierung ist dort eine Anforderung
03
Das Gerät
Hardware-Firewall-Lösung — made in Europe
Wo Sie die Appliance selbst betreiben wollen, liefern wir sie mit Valar: vier abgestufte Modelle von der einzelnen Niederlassung bis zum verteilten Konzernnetz, durchgehend gleiche Verwaltungslogik, dokumentierte Lieferkette.
Entwickelt wird die Lösung in Europa, und das ist der Teil, auf den es ankommt: Betriebssystem, Regelwerk, Erkennung und Verwaltung stammen von uns, die Datenhaltung liegt in der EU. Die Geräte selbst werden nach unseren Vorgaben gefertigt — die Lieferkette weisen wir nach, wir behaupten aber nicht, dass sie europäisch ist.
Für Betreiber kritischer Anlagen und für den öffentlichen Sektor zählt genau diese Unterscheidung. Belegt werden muss in einer Vergabe die Kontrolle über Software, Aktualisierungen und Daten — und die lässt sich belegen, und zwar bevor der Zuschlag erteilt wird, nicht danach.
Wir setzen aber auch das um, was bei Ihnen bereits steht. Ein Herstellerwechsel ist eine eigene Entscheidung mit eigenen Kosten und gehört nicht als Bedingung in ein Segmentierungsprojekt.
Eine Firewall ist kein Projekt, sondern ein Zustand.
04
Die Einschätzung
Wo wir bremsen
Der häufigste Grund, warum Segmentierungsprojekte liegen bleiben, ist ein zu großer erster Schritt. Ein Zonenmodell für das gesamte Haus, entworfen in einem Workshop, umgesetzt in einem Wartungsfenster — das scheitert verlässlich, und danach ist das Thema für Jahre verbrannt.
Wir fangen deshalb mit einer Zone an, meist der mit dem klarsten Schutzbedarf und den wenigsten Abhängigkeiten. Sie liefert das Vorgehen, die Zahlen und die Erfahrung für alle weiteren. Wenn Sie den ganz großen Wurf wollen, sagen wir Ihnen, warum wir davon abraten.
Und: Segmentierung ersetzt keine Aktualisierungen und keine Mehrfaktor-Anmeldung. Sie begrenzt den Schaden, sie verhindert nicht den Einstieg. Wo die Grundlagen fehlen, gehören sie zuerst in Ordnung gebracht.
05
Danach
Betrieb und Nachweis
Eine Firewall ist kein Projekt, sondern ein Zustand. Regeln veralten, Anwendungen ändern ihr Verhalten, Ausnahmen bleiben stehen. Die laufende Pflege übernehmen wir auf Wunsch im Rahmen von SOC Co-Managed — oder wir übergeben sauber dokumentiert an Ihr Team, mit Zonenmodell, Regelbegründung und Prüfplan.
Segmentierung ist eine Anforderung in ISO 27001 und ein zentraler Punkt der NIS2-Umsetzung. Wir dokumentieren so, dass es im Audit trägt — eingebettet in den ISMS-Aufbau, wenn Sie den Nachweis als Ganzes brauchen.
06
Zum Schluss
Der erste Schritt kostet nichts
Bevor über Zonen oder Geräte gesprochen wird, steht eine schlichte Frage: Wissen Sie, welche Systeme in Ihrem Netz heute tatsächlich miteinander sprechen? In den meisten Häusern liegt die Antwort nicht vor — und sie zu messen ist keine große Sache.
Damit fangen wir an. Das Ergebnis gehört Ihnen, unabhängig davon, ob Sie danach mit uns weiterarbeiten.
FAQ
Häufige Fragen
Wir haben doch schon eine Firewall. Reicht das nicht?
Für den Übergang ins Internet ja. Sie sagt aber nichts darüber, was innerhalb Ihres Netzes passiert. Genau dort bewegt sich ein Angreifer, der es einmal hineingeschafft hat — und dort entsteht der eigentliche Schaden. Die Frage ist deshalb nicht, ob Sie eine Firewall haben, sondern wie viele innere Grenzen es dahinter gibt.
Legt Segmentierung nicht den Betrieb lahm?
Wenn man sie an einem Wochenende scharf schaltet, ja. Deshalb läuft jede neue Regel zuerst wochenlang im Beobachtungsmodus mit und liefert eine Liste dessen, was blockiert würde. Was auf dieser Liste steht, wird geklärt, bevor irgendetwas greift. Der Weg ist langsamer und deshalb der einzige, der ankommt.
Wie lange dauert so ein Projekt?
Die erste Zone dauert in der Regel einige Wochen, das gesamte Haus je nach Größe deutlich länger. Wir schneiden es bewusst so zu, dass jede Zone für sich einen Nutzen hat und nicht erst das Ganze am Ende. Ein Zeitplan, der alles in einem Wartungsfenster verspricht, ist unrealistisch.
Müssen wir dafür neue Hardware kaufen?
Nein. Der weitaus größte Teil der Arbeit ist das Zonenmodell und das Regelwerk, und beides ist herstellerunabhängig. Wenn Sie neu beschaffen oder die Herkunft belegen müssen, liefern wir mit Valar eine in Europa entwickelte Hardware-Firewall-Lösung — als Möglichkeit, nicht als Voraussetzung.
Was ist der Unterschied zwischen IDS und IPS?
Ein IDS meldet, ein IPS greift ein. Der Unterschied ist weniger technisch als organisatorisch: Ein eingreifendes System kann auch legitimen Verkehr abschneiden, und dann muss jemand erreichbar sein. Wir beginnen deshalb fast immer meldend und schalten erst dort ein, wo die Regel sicher genug ist und der Betrieb dahintersteht.
Defensive Services
Weitere Leistungen in diesem Bereich
Quantenkryptographie (QaaS)
Harvest now, decrypt later trifft Daten von heute. Kryptographie-Inventar, Bewertung nach Lebensdauer, hybride Umstellu…
AnsehenKI-Bedrohungserkennung
Signaturen erkennen nur Bekanntes. NeoI erkennt Abweichungen vom Normalzustand — und damit auch Angreifer, die ausschli…
AnsehenKontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.