VLAN im Unternehmen: Netzwerksegmentierung für Sicherheit und Ordnung

Ein VLAN (Virtual LAN) ist ein logisch getrenntes Netzwerk innerhalb derselben physischen Infrastruktur. Anstatt separate Kabel und Switches für jedes Segment zu verwenden, werden VLANs eingerichtet, die von Managed Switches durch 802.1Q-Tags getrennt werden. Das Ergebnis: weniger Kabel, mehr Sicherheit und einfachere Verwaltung.

TL;DR — Kernpunkte

• VLAN trennt Broadcast-Domänen — weniger Rauschen, bessere Performance
• VLAN ist die Basis eines Zero Trust Netzwerks — der Zugriff zwischen VLANs wird explizit kontrolliert
• Für ein VLAN benötigen Sie einen Managed Switch und einen Router mit 802.1Q-Unterstützung
• Fehler im VLAN-Design werden typischerweise durch IoT-Geräte und Gäste-WLAN aufgedeckt

Warum VLAN und kein separates physisches Netzwerk

In der Praxis würden separate physische Netzwerke doppelte Hardware und Verkabelung bedeuten — nicht nur teuer, sondern auch komplex in der Wartung. VLANs bieten dieselbe logische Isolation, wobei mehrere Netzwerke über denselben Switch laufen. Für wirklich getrennte Umgebungen (z. B. kritische Infrastrukturen) können beide Ansätze komplementär sein.

Empfohlenes VLAN-Design für KMU

Was Sie für ein VLAN benötigen

• Managed Switch mit 802.1Q-Unterstützung (mindestens) — HPE Aruba, MikroTik, Cisco, Ubiquiti UniFi, TP-Link Omada
• Router / Firewall mit Unterstützung für VLAN-Interfaces (z. B. pfSense)
• Access Points mit mehreren SSIDs, die auf VLANs gemappt sind
• IP-Adressplan und Dokumentation

Typische Fehler bei der Implementierung

1. Alle Ports sind Trunk-Ports — der Port zur Workstation sollte ein Access-Port sein, kein Trunk.
2. Fehlendes Native VLAN oder falsches Native VLAN zwischen Trunks (Standard-VLAN 1 bleibt offen).
3. Alle VLANs können untereinander kommunizieren — die Konfiguration der Firewall-Regeln am Router wird übersehen.
4. Access Points trennen SSIDs nicht nach VLANs (Gäste und Mitarbeiter im selben VLAN).
5. Das IoT-VLAN hat vollen Internetzugriff — Kameras senden Datenverkehr, wohin sie wollen.

VLAN und WLAN

Moderne Access Points ermöglichen es, jede SSID einem eigenen VLAN zuzuordnen. Das bedeutet: interne SSID → VLAN 10, Gäste-SSID → VLAN 30, IoT-SSID → VLAN 40. Die Benutzer bemerken davon nichts — sie sehen nur die Liste der WLAN-Netzwerke, befinden sich aber tatsächlich in getrennten logischen Segmenten. Dies ist der schnellste Weg, um die Exponierung durch Gäste und IoT-Geräte zu begrenzen.

Messung und Dokumentation

Dokumentieren Sie jedes VLAN: Zweck, VLAN-ID, Subnetz, DHCP-Bereich, Zielkommunikation, verantwortliche Person. Eine gute Dokumentation ist der beste Schutz bei einem Teamwechsel oder einem Vorfall.

Zero Trust: Was nach den VLANs kommt

VLANs sind eine hervorragende Basis, aber nicht das Endziel. Der nächste Schritt ist die Mikrosegmentierung und Zero Trust, bei der die Identität bei jedem Zugriff überprüft wird, nicht nur beim Eintritt in das Netzwerk. In der Praxis setzen wir dies durch Entra Private Access, Azure Application Gateway oder spezialisierte ZTNA-Lösungen um. Mehr über diesen Ansatz lesen Sie in unserem Artikel über Phishing und Identitätssicherheit.

Benötige ich VLANs, wenn ich nur 10 Computer habe?

Ja, zumindest eine minimale Segmentierung — mindestens ein separates VLAN für Gäste und IoT. Schon das reduziert das Risiko einer lateralen Bewegung eines Angreifers.

Welche Switches empfehlen Sie für KMU?

Für einfache Umgebungen Ubiquiti UniFi und TP-Link Omada wegen der einfachen Verwaltung, für anspruchsvollere Umgebungen HPE Aruba oder MikroTik. Prüfen Sie immer die Unterstützung für IGMP-Snooping (für VoIP und Multicast).

Beeinflusst ein VLAN die Netzwerkleistung?

Vernachlässigbar. Die Vorteile (kleinere Broadcast-Domänen, bessere Isolation) überwiegen die wenigen Mikrosekunden Verarbeitungszeit bei weitem.

Wie richte ich Inter-VLAN-Routing ein?

Über einen Router (pfSense, MikroTik) oder einen L3-Switch. Definieren Sie immer explizite Firewall-Regeln zwischen den VLANs — standardmäßig Deny.