Praxisbeispiel Versicherung: Mikrosegmentierung unter DORA
Server, Terminalserver und Kubernetes in einem Segmentierungsmodell: KAEMI hat bei einem deutschen Versicherungsunternehmen Zero-Trust-Mikrosegmentierung eingeführt: ein Professional-Services-Projekt von der ersten Abhängigkeits-Karte bis zur Übergabe an das interne Team, seither co-managed betreut. Den Takt gab die EU-Verordnung DORA vor.
Die Ausgangslage
Versicherungsunternehmen fallen unter DORA, die EU-Verordnung 2022/2554 zur digitalen operationalen Resilienz im Finanzsektor, anwendbar seit dem 17. Januar 2025. Der Perimeter des Unternehmens war gut ausgebaut. Innen sah es aus wie in den meisten gewachsenen Infrastrukturen: Wer einmal drin ist, kommt weit. Den Ost-West-Verkehr zwischen den Systemen sah niemand vollständig.
Dazu kamen drei sehr unterschiedliche Workload-Welten: klassische Server im Rechenzentrum, Terminalserver-Farmen für die Fachanwendungen und eine wachsende Kubernetes-Plattform. Netzzentrierte Firewalls prüfen diesen Verkehr nur an Zonengrenzen. Was innerhalb einer Zone oder innerhalb des Clusters passiert, blieb unsichtbar und ungeregelt.
Der Auftrag an KAEMI: Sichtbarkeit herstellen, ein Segmentierungsmodell für alle drei Welten entwerfen, ohne Betriebsunterbrechung einführen und so übergeben, dass das interne Team die Segmentierung selbst weiterführen kann. Und zwar so dokumentiert, dass es vor internen Prüfern und der Aufsicht besteht. Wie bei Referenzen aus regulierten Branchen üblich, nennen wir den Kunden hier nicht namentlich.
Das Projekt im Überblick
- Branche
- Versicherung
- Sitz
- Deutschland
- Umgebung
- Server im Rechenzentrum, Terminalserver-Farmen, Kubernetes
- Treiber
- DORA (Verordnung (EU) 2022/2554)
- Leistung
- Professional Services: Analyse & Design, Rollout, Übergabe ans interne Team, Co-Managed-Betreuung
Auf Wunsch des Kunden anonymisiert.
Der regulatorische Rahmen
Was DORA von der Netzwerksicherheit verlangt
DORA schreibt keinen Hersteller und kein Produkt vor. Die Verordnung und ihre technische Regulierungsnorm formulieren aber Anforderungen, zu denen Segmentierung einen wesentlichen Beitrag leisten kann. Vier davon haben das Projekt geprägt.
Identifizieren (Art. 8)
DORA verlangt, die IKT-Landschaft und ihre Abhängigkeiten zu kennen. Die Abhängigkeits-Karte zeigt laufend, welche Systeme mit welchen sprechen: ein lebendes Inventar statt einer veralteten Netzskizze.
Schützen und vorbeugen (Art. 9)
Die technische Regulierungsnorm zu DORA (Delegierte Verordnung (EU) 2024/1774, Art. 13) nennt die Segmentierung der Netze ausdrücklich, abgestuft nach Kritikalität der unterstützten Funktionen. Mikrosegmentierung adressiert genau diese Vorgabe, durchgesetzt am einzelnen Workload.
Eindämmen und weiterarbeiten (Art. 11)
Reaktion und Wiederherstellung setzen voraus, dass ein Vorfall lokal bleibt. Kompromittierte Workloads lassen sich isolieren, kritische Prozesse laufen weiter. Der Wirkungsradius eines Angriffs wird zur planbaren Größe.
Nachweisen (Art. 5 und 6)
Die Aufsicht (in Deutschland die BaFin) erwartet belegbares Risikomanagement. Kommunikationskarte, Policies und Änderungshistorie liegen als Prüfungsartefakte bereit; niemand muss sie für ein Audit erst zusammensuchen.
Die Umgebung
Drei Workload-Welten, ein Segmentierungsmodell
Jede der drei Welten bringt eine eigene Schwierigkeit mit. Entscheidend war, sie nicht mit drei getrennten Lösungen zu beantworten, sondern mit einem Modell, das überall dieselbe Sprache spricht.
Server im Rechenzentrum
Die Kernsysteme der Versicherung, von der Bestandsführung bis zur Schadenbearbeitung, erhielten zuerst ein Ringfencing: einen Schutzring um jede kritische Anwendung. Durchgesetzt werden die Regeln direkt am Workload, nicht an einer Zonengrenze. Auch Nachbarn im selben Netzsegment erreichen die Anwendung nur noch, wenn eine Regel es erlaubt.
Terminalserver
Viele Nutzer teilen sich ein System, klassische IP-Regeln unterscheiden nicht, wer eine Verbindung öffnet. Deshalb gelten hier nutzer- und gruppenbasierte Regeln: Jede Session erreicht nur die Anwendungen, die zur Rolle gehören. Eine kompromittierte Session bleibt eingehegt und taugt nicht mehr als Sprungbrett ins Rechenzentrum.
Kubernetes
Pods entstehen und verschwinden, IP-Adressen sind flüchtig. Die Regeln folgen deshalb der Workload-Identität (Labels und Namespaces) statt Adresslisten. Der Ost-West-Verkehr im Cluster wird sichtbar, und Verbindungen zwischen Cluster, VMs und Datenbanken folgen demselben Policy-Modell wie der Rest der Umgebung.
Das Vorgehen
In vier Phasen zur durchgesetzten Segmentierung
Segmentierung scheitert selten an der Technik, häufig am Vorgehen. Deshalb wird keine Regel scharf geschaltet, deren Wirkung nicht vorher in der Simulation sichtbar war.
-
Sichtbarkeit zuerst
Sensorik auf Servern, Terminalservern und im Cluster ausgerollt, danach mehrere Wochen den echten Verkehr beobachtet. Das Ergebnis ist eine Abhängigkeits-Karte über alle drei Welten: ein belastbares Bild, das auch die Verbindungen zeigt, an die niemand mehr gedacht hat.
-
Modell und Simulation
Statt IP-Listen ein Tag-Modell aus Umgebung, Anwendung und Rolle. Ringfencing der kritischen Anwendungen zuerst, dann feinere Regeln bis hinunter zur Mikrosegmentierung einzelner Workloads. Alles zunächst im Simulationsmodus: Die Plattform zeigt, was eine Regel blockieren würde, bevor sie es tut.
-
Schrittweise Durchsetzung
Scharf geschaltet wurde Anwendung für Anwendung, jeweils erst, wenn die Simulation keine legitimen Verbindungen mehr meldete, abgestimmt mit den Fachbereichen. So kam der Rollout ohne Betriebsunterbrechung aus.
-
Übergabe an das interne Team
Zum Abschluss Dokumentation, Runbooks und Schulung: Das interne Team übernahm die Führung der Plattform mit klaren Prozessen für neue Regeln, neue Workloads und Ausnahmen. Seither betreut KAEMI die Umgebung co-managed über die Professional Services weiter.
Das Ergebnis
Was die Versicherung heute hat
- Eine aktuelle Kommunikationskarte über Server, Terminalserver und Kubernetes, die laufend gepflegt wird und nicht als Projektdokument veraltet.
- Kritische Anwendungen im Ringfence, laterale Bewegung zwischen Workloads auf das definierte Minimum begrenzt.
- Nutzerbezogene Regeln auf den Terminalservern: Sessions erreichen nur, was zur Rolle gehört.
- Ein Policy-Modell für alle drei Welten, durchgesetzt am Workload statt an Zonengrenzen.
- Belastbare Nachweise für DORA-Prüfungen: Karte, Policies und Änderungshistorie sind jederzeit abrufbar.
- Ein internes Team, das die Segmentierung nach Übergabe und Schulung selbst führt, co-managed betreut durch die Professional Services von KAEMI.
DORA-Anforderungen mit Segmentierung beantworten
Im gemeinsamen Analyse-Workshop machen wir sichtbar, wo sich ein Angreifer in Ihrer Umgebung ausbreiten würde, und zeigen, wie Segmentierung die Anforderungen aus DORA unterstützen kann. Unverbindlich und auf Ihre Infrastruktur bezogen.