Mikrosegmentierung: Was sie ist und warum sie laterale Angriffe stoppt

Klassische Sicherheitsarchitekturen konzentrieren sich auf den Perimeter – die Grenze zwischen „außen" und „innen". Firewall, VPN und Gateway bewachen den Übergang ins Netzwerk. Doch dieses Modell hat eine entscheidende Schwäche: Sobald ein Angreifer den Perimeter einmal überwunden hat – über eine Phishing-Mail, ein gekapertes Konto oder eine verwundbare Anwendung – bewegt er sich in flachen, durchlässigen Netzen oft ungehindert weiter. Von einem kompromittierten System zum nächsten, tiefer in die Infrastruktur, bis hin zu den wirklich kritischen Daten. Genau diese seitliche Ausbreitung – die laterale Bewegung – macht aus einem einzelnen Vorfall einen unternehmensweiten Schaden.

Mikrosegmentierung setzt hier an. Sie geht davon aus, dass ein Angreifer irgendwann hineinkommt – und sorgt dafür, dass er nicht weiterkommt. Dieser Beitrag erklärt, was Mikrosegmentierung ist, wie sie technisch funktioniert, wie sie sich von klassischer Segmentierung unterscheidet, welche Umsetzungsansätze es gibt und wie KAEMI die Einführung gemeinsam mit Illumio anforderungsorientiert begleitet.

Was ist Mikrosegmentierung?

Mikrosegmentierung ist ein Sicherheitsverfahren, das ein Netzwerk nicht in wenige große Zonen unterteilt, sondern die Kommunikation bis auf die Ebene einzelner Workloads, Anwendungen und Dienste kontrolliert. Statt breiter Segmente entstehen sehr kleine, klar abgegrenzte Bereiche mit eigenen Richtlinien. Jede Verbindung wird nur dann zugelassen, wenn sie ausdrücklich benötigt wird – nach dem Least-Privilege-Prinzip.

Weil diese Richtlinien an der Identität eines Workloads ansetzen und nicht an IP-Adressen oder Netzstrukturen, wird Mikrosegmentierung auch als identitätsbasierte Segmentierung oder Zero-Trust-Segmentierung bezeichnet. Aus einem durchlässigen, „flachen" Netz wird so eine Umgebung, in der grundsätzlich nichts erlaubt ist, was nicht explizit freigegeben wurde.

Nord-Süd oder Ost-West: Wo liegt das eigentliche Risiko?

Um den Nutzen von Mikrosegmentierung zu verstehen, hilft die Unterscheidung zweier Verkehrsrichtungen. Nord-Süd-Verkehr verläuft zwischen außen und innen – etwa vom Internet zum Rechenzentrum. Diesen Übergang bewachen klassische Perimeter-Firewalls. Ost-West-Verkehr dagegen läuft innerhalb der Umgebung, zwischen Servern, Anwendungen und Diensten.

In modernen Rechenzentren und Cloud-Umgebungen entfällt der weitaus größere Teil des Datenverkehrs auf Ost-West-Kommunikation. Genau diesen internen Verkehr sehen Perimeter-Firewalls kaum – und genau ihn nutzt ein Angreifer für die laterale Bewegung. Mikrosegmentierung kontrolliert diese Ost-West-Kommunikation gezielt und schließt damit die Lücke, die der reine Perimeterschutz offen lässt.

Wie unterscheidet sich Mikrosegmentierung von klassischer Netzwerksegmentierung?

Klassische Netzwerksegmentierung trennt Netze über VLANs, Subnetze und Firewalls auf Ebene ganzer Zonen. Sie orientiert sich an der Infrastruktur, arbeitet häufig hardwarebasiert und erfordert bei Änderungen oft Umbauten am Netz. Die Richtlinien sind vergleichsweise grob: Sie regeln, welche Zone mit welcher Zone sprechen darf – nicht, welche einzelne Anwendung mit welchem einzelnen Dienst.

Mikrosegmentierung ist dagegen softwaredefiniert und deutlich feingranularer:

• Granularität: Die Kontrolle reicht bis auf einzelne Workloads und Dienste statt bis auf ganze Subnetze.
• Bezugspunkt: Regeln folgen der Identität und den Eigenschaften eines Workloads – auch dann, wenn dieser verschoben, neu gestartet oder skaliert wird. IP-Adressen sind nicht mehr der Anker.
• Technik: Die Durchsetzung erfolgt software- statt hardwarebasiert, ohne Netzumbau.
• Verkehrsrichtung: Der Fokus liegt auf der Ost-West-Kommunikation, nicht nur auf dem Nord-Süd-Übergang.

Das Ergebnis sind präzise, kontextbezogene Richtlinien statt breiter Zonen – und ein Sicherheitsmodell, das mit dynamischen, sich ständig verändernden Umgebungen mitwächst.

Wie funktioniert Mikrosegmentierung technisch?

Technische Grundlage ist eine softwarebasierte Steuerungsschicht: Eine zentrale Instanz verwaltet die Richtlinien, durchgesetzt werden sie verteilt und möglichst nah am Workload. Anders als bei klassischer Segmentierung hängt die Kontrolle damit nicht an der Netzwerk-Hardware oder der Topologie. Vereinfacht lässt sich das Zusammenspiel in drei Schritten beschreiben:

1. Sichtbarkeit herstellen: Zunächst wird erfasst, welche Workloads es gibt und welche tatsächlich miteinander kommunizieren. Erst diese Karte der Abhängigkeiten macht sinnvolle Regeln möglich.
2. Richtlinien definieren: Auf Basis der Abhängigkeiten werden Least-Privilege-Regeln modelliert – ausgedrückt in den Eigenschaften der Workloads (Rolle, Anwendung, Umgebung), nicht in IP-Adressen.
3. Durchsetzen: Die Regeln werden an Kontrollpunkten nahe am Workload erzwungen. Standardmäßig gilt: Was nicht ausdrücklich erlaubt ist, wird blockiert (Default-Deny). Jede Verbindung wird gegen die Richtlinie geprüft.

Die Administration erfolgt zentral und richtlinienbasiert. Statt einzelne Firewall-Regeln manuell zu pflegen, werden Richtlinien einmal definiert und folgen dem Workload automatisch – über dessen gesamten Lebenszyklus hinweg.

Welche Umsetzungsansätze für Mikrosegmentierung gibt es?

Es gibt nicht den einen Weg zur Mikrosegmentierung. Je nach Umgebung kommen unterschiedliche Ansätze zum Einsatz – oft in Kombination:

• Host- bzw. agentbasiert: Ein schlanker Agent auf dem Workload setzt die Richtlinien direkt am System durch. Dieser Ansatz wirkt granular und funktioniert über Rechenzentrum, Cloud und Endpoints hinweg, unabhängig vom darunterliegenden Netz.
• Netzwerkbasiert: Die Durchsetzung erfolgt über die Netzwerkinfrastruktur. Das nutzt vorhandene Komponenten, ist aber stärker an die Topologie gebunden.
• Hypervisorbasiert: In virtualisierten Umgebungen übernimmt die Virtualisierungsschicht die Segmentierung zwischen den virtuellen Maschinen.
• Cloudnativ: In Public-Cloud-Umgebungen werden die nativen Kontrollmechanismen der Cloud-Plattform genutzt, etwa Security Groups und Cloud-Firewalls.

KAEMI setzt auf den host- bzw. agentbasierten Ansatz: Ein schlanker Agent am Workload setzt die Richtlinien durch – einheitlich über Rechenzentrum, Cloud, Container und Endpoints hinweg, unabhängig vom darunterliegenden Netz und ergänzt um cloudnative Kontrollen, wo sie sinnvoll sind. Der hypervisorbasierte Ansatz ist eine gängige Variante, aber nicht der Weg, den wir gehen.

Mikrosegmentierung und Zero Trust

Mikrosegmentierung gilt als eine der Schlüsselkomponenten für die Umsetzung von Zero Trust. Das Grundprinzip von Zero Trust lautet: Keinem Teilnehmer im Netzwerk wird per se vertraut – weder außerhalb noch innerhalb des Perimeters. Zugriff muss stets nachgewiesen und explizit gewährt werden.

Mikrosegmentierung übersetzt dieses Prinzip in die Praxis, indem sie um jede Anwendung und jeden Workload einen softwaredefinierten „Mikroperimeter" legt. Innerhalb dieses Perimeters gilt Default-Deny: Erlaubt ist nur, was ausdrücklich freigegeben wurde. So wird aus dem abstrakten Zero-Trust-Anspruch eine konkrete, durchsetzbare Kontrolle auf Workload-Ebene.

Welche Vorteile bietet Mikrosegmentierung?

Der Nutzen von Mikrosegmentierung geht über die reine Eindämmung von Angriffen hinaus:

• Eingedämmte laterale Bewegung: Dringt ein Angreifer ein, findet er keine offenen Pfade zu weiteren Systemen mehr. Ein kompromittiertes System wird nicht zum unternehmensweiten Vorfall – der wirksamste Hebel gegen die Ausbreitung von Ransomware.
• Reduzierte Angriffsfläche: Jede nicht benötigte Verbindung, die geschlossen wird, ist ein Pfad weniger, den ein Angreifer nutzen kann.
• Vollständige Sichtbarkeit: Die Kartierung der Kommunikation zeigt erstmals, welche Systeme tatsächlich miteinander sprechen – oft mit überraschenden Erkenntnissen über ungenutzte oder unerwartete Verbindungen.
• Schnellere Erkennung und Eindämmung: Auffälliger Verkehr fällt leichter auf, und im Ernstfall lassen sich betroffene Bereiche gezielt isolieren.
• Zentrale, konsistente Verwaltung: Richtlinien werden einmal definiert und einheitlich durchgesetzt – über Umgebungsgrenzen hinweg.
• Schutz kritischer Anwendungen: Besonders schützenswerte Anwendungen lassen sich per Ringfencing gezielt kapseln.

In welchen Umgebungen kommt Mikrosegmentierung zum Einsatz?

Mikrosegmentierung ist nicht auf einen Umgebungstyp beschränkt. Typische Einsatzfelder sind:

• Rechenzentrum und On-Premises: Schutz der Ost-West-Kommunikation zwischen Servern und Anwendungen.
• Public und Private Cloud: Durchsetzung konsistenter Richtlinien in dynamischen, schnell skalierenden Umgebungen.
• Hybride Landschaften: Einheitliche Kontrolle dort, wo Rechenzentrum und Cloud zusammenwirken.
• Container, Kubernetes und Endpoints: Segmentierung bis hinunter zu einzelnen Container-Workloads und Endgeräten – in Kubernetes-Umgebungen folgen die Richtlinien den Pods und Labels statt festen IP-Adressen.

Gerade in gemischten Umgebungen aus physischen und virtuellen Ressourcen spielt Mikrosegmentierung ihre Stärke aus: Die Richtlinie folgt dem Workload – unabhängig davon, wo er läuft.

Mikrosegmentierung, Compliance und Datenschutz

Über den unmittelbaren Sicherheitsgewinn hinaus kann Mikrosegmentierung die Umsetzung regulatorischer Anforderungen unterstützen. Die konsequente Begrenzung von Zugriffen auf das Notwendige zahlt auf das Prinzip der Datenminimierung ein und hilft, den Zugriff auf personenbezogene und schützenswerte Daten nachvollziehbar einzuschränken – ein Aspekt, der etwa im Kontext der DSGVO relevant ist.

Besonders relevant ist Mikrosegmentierung im Kontext von DORA (Digital Operational Resilience Act): Für Finanzunternehmen und ihre IKT-Dienstleister fordert DORA belastbares IKT-Risikomanagement und ausdrücklich die Begrenzung der Auswirkungen von IKT-Vorfällen. Genau hier wirkt Mikrosegmentierung – sie hält den Radius eines Angriffs klein und schützt so die operative Widerstandsfähigkeit, die DORA in den Mittelpunkt stellt. Auch für Rahmenwerke wie NIS2 oder ISO 27001, die risikoorientierte Maßnahmen zur Netzwerksicherheit und Zugriffskontrolle verlangen, liefert sie einen konkreten technischen Baustein. Die dabei entstehende Sichtbarkeit über Datenflüsse erleichtert zudem Nachweise und Audits. Ob und wie einzelne Anforderungen erfüllt werden, ist stets im jeweiligen Einzelfall zu bewerten.

Welche Herausforderungen gibt es bei der Einführung?

Mikrosegmentierung scheitert selten an der Technik – sondern an Komplexität und fehlender Sichtbarkeit. Die typischen Hürden:

• Fehlende Transparenz: Wer nicht weiß, welche Systeme miteinander kommunizieren, kann keine sinnvollen Regeln definieren. Sichtbarkeit ist die Voraussetzung, nicht das Ergebnis.
• Betriebsrisiko: Zu früh oder zu grob durchgesetzte Regeln können legitime Kommunikation blockieren und Anwendungen stören. Ein Test- bzw. Monitoring-Modus vor der Durchsetzung ist deshalb entscheidend.
• Pflegeaufwand: Umgebungen verändern sich laufend. Richtlinien müssen mitwachsen, sonst veralten sie.
• Organisation: Mikrosegmentierung berührt Netzwerk-, Security- und Anwendungsteams zugleich und braucht klare Verantwortlichkeiten.

Diese Hürden sind beherrschbar – mit einem phasenweisen Vorgehen, dem richtigen Werkzeug und Erfahrung aus vergleichbaren Projekten.

Warum Illumio?

Für die Umsetzung setzt KAEMI auf Illumio, den Pionier der Zero-Trust-Segmentierung. Illumio geht davon aus, dass Angreifer irgendwann hineinkommen – und sorgt dafür, dass sie nicht weiterkommen. Sichtbarkeit, Segmentierung und Eindämmung kommen dabei aus einer Plattform.

• Sichtbarkeit zuerst: Illumio macht die Kommunikation zwischen Workloads sichtbar – eine Karte, die zeigt, welche Systeme tatsächlich miteinander sprechen. Diese Grundlage fehlt in den meisten Umgebungen.
• Illumio Segmentation: Mikrosegmentierung über Rechenzentrum, Cloud, Container und Endpoints hinweg – host-basiert durchgesetzt über einen schlanken Agenten direkt am Workload. Echtzeit-Telemetrie und KI-gestützte Richtlinienempfehlungen helfen, Least Privilege durchzusetzen und laterale Bewegung zu stoppen.
• Test vor Durchsetzung: Richtlinien lassen sich zunächst im Monitoring-Modus beobachten und validieren, bevor sie erzwungen werden – das minimiert das Betriebsrisiko.
• Illumio Insights: Cloud Detection & Response auf Basis eines KI-Security-Graphen, in Minuten ausgerollt. Der Dienst erkennt Angriffspfade und kompromittierte Workloads und dämmt sie per One-Click-Containment ein.
• Ringfencing: Kritische Anwendungen lassen sich gezielt kapseln, ohne das gesamte Netz umbauen zu müssen.

KAEMI ist Illumio Radiate Focus Partner und wurde von Illumio als EMEA Partner of the Year ausgezeichnet – mit ausgewiesener Praxiserfahrung in genau diesem Feld. Einen Überblick über die Plattform gibt unsere Illumio-Produktseite .

Wie KAEMI bei der Einführung hilft

Als Managed-Service-Provider begleitet KAEMI Mikrosegmentierungs-Projekte im Rahmen seiner Professional Services anforderungsorientiert über den gesamten Lebenszyklus – von der ersten Bestandsaufnahme bis zum laufenden Betrieb:

1. Sichtbarkeit schaffen: Wir machen die Workload-Kommunikation transparent und bewerten Abhängigkeiten und Risiken.
2. Richtlinien modellieren: Least-Privilege-Regeln, ausgerichtet an Anwendungen und Rollen statt an IP-Adressen.
3. Testen im Monitoring-Modus: Regeln werden zunächst beobachtet, um legitime Kommunikation nicht zu stören.
4. Schrittweise durchsetzen: Kontrollierte Aktivierung, kritische Anwendungen per Ringfencing gekapselt.
5. Betreiben und pflegen: laufende Überwachung und Anpassung der Richtlinien an eine sich verändernde Umgebung.

So wird aus Mikrosegmentierung kein Mammutprojekt, sondern ein planbarer, phasenweiser Weg zu einem Netzwerk, das Angriffe eindämmt, bevor sie sich ausbreiten.

Fazit

Der Perimeter allein reicht nicht mehr aus, um moderne, verteilte Umgebungen zu schützen. Mikrosegmentierung verlagert die Kontrolle dorthin, wo Angreifer tatsächlich Schaden anrichten – in die Ost-West-Kommunikation zwischen Workloads. Nach dem Zero-Trust-Prinzip umgesetzt, begrenzt sie die laterale Ausbreitung, reduziert die Angriffsfläche und schafft die Sichtbarkeit, die für belastbare Sicherheit und Nachweise nötig ist.

Sie möchten die laterale Ausbreitung in Ihrem Netzwerk eindämmen? Sprechen Sie mit KAEMI über einen unverbindlichen Einstieg – von der Sichtbarkeit bis zur durchgängigen Durchsetzung.