Was ist ein VLAN und wozu dient es?

Was ein VLAN ist

Ein VLAN (Virtual Local Area Network) teilt ein physisches Netzwerk in mehrere logisch getrennte Netze auf. Ihre Geräte hängen weiterhin an denselben Switches und denselben Kabeln, verhalten sich aber so, als lägen sie in voneinander unabhängigen Netzen. Ein Rechner aus dem Verwaltungsnetz erreicht das Gäste-WLAN genauso wenig, als wären beide auf getrennter Hardware verkabelt.

Möglich wird das durch eine Markierung, die der Switch an jeden Datenrahmen anhängt: den VLAN-Tag, standardisiert nach IEEE 802.1Q. Anhand dieser Kennung weiß der Switch, zu welchem logischen Netz ein Anschlussport gehört. Verbindungen, über die der Verkehr mehrerer VLANs läuft – etwa zwischen zwei Switches oder zwischen Switch und WLAN-Infrastruktur –, werden als Trunk- oder Uplink-Ports bezeichnet und übertragen die Tags mit.

Voraussetzung sind verwaltbare, also konfigurierbare Switches. Einfache, nicht verwaltbare Modelle kennen keine VLANs. Ein praktischer Nebeneffekt: Jedes VLAN bildet eine eigene Broadcast-Domäne. Pakete, die an alle Geräte im Netz gerichtet sind, bleiben innerhalb ihres Segments. Das hält wachsende Netze übersichtlich und erleichtert die Fehlersuche.

Typische Einsatzbereiche im Firmennetz

Der häufigste Grund für VLANs ist die Trennung von Gerätegruppen, die nichts miteinander zu tun haben sollen:

• Gäste-WLAN: Besucher erhalten Internetzugang, aber keinen Zugriff auf interne Systeme.
• Telefonie (VoIP): Die Telefone laufen in einem eigenen Segment, getrennt vom Datenverkehr der Arbeitsplätze.
• Gebäudetechnik und IoT: Heizungssteuerungen, Kameras oder Zeiterfassungsterminals bringen oft nur schwache eigene Schutzmechanismen mit und lassen sich so wirksam abschotten.
• Server und Arbeitsplätze: Die Clients dürfen nur die Dienste erreichen, die sie für ihre Arbeit benötigen.
• Drucker und Multifunktionsgeräte: Sie erhalten ausschließlich die Verbindungen, die für ihren Betrieb nötig sind.
• Management-VLAN: Die Verwaltungsoberflächen von Switches, Access Points und USV sind von Arbeitsplätzen aus nicht erreichbar.

Welche dieser Segmente für Sie infrage kommen, hängt davon ab, welche Geräte in Ihrem Netz tatsächlich vorhanden sind.

Was ein VLAN leistet – und was nicht

Hier liegt das häufigste Missverständnis: Ein VLAN allein ist noch keine Sicherheitsmaßnahme. Es trennt den Verkehr, aber es filtert nicht. Geräte in unterschiedlichen VLANs können nur dann miteinander kommunizieren, wenn eine Komponente zwischen den Netzen die Pakete weiterreicht – in der Regel eine Firewall oder ein Layer-3-Switch. Erst die Regeln auf dieser Komponente entscheiden, welche Verbindungen erlaubt sind. Die Schutzwirkung entsteht also aus der Kombination: VLANs trennen, die Firewall kontrolliert. Ein Netz, in dem zwischen allen VLANs alles erlaubt ist, bringt Aufwand ohne Sicherheitsgewinn.

Was VLANs außerdem leisten: Sie bringen Struktur. Statt Geräte beliebig zu mischen, legen Sie fest, welche Gruppe wohin gehört. Das erleichtert die Rechtevergabe, die Diagnose bei Störungen und spätere Erweiterungen. Wenn Sie künftig Anforderungen aus Audits, Versicherungsfragebögen oder Kundenvorgaben erfüllen müssen – etwa die Trennung von Kartenterminals oder bestimmten Maschinen –, haben Sie mit einem sauberen VLAN-Konzept die Grundlage bereits gelegt.

Was VLANs nicht leisten: Sie ersetzen weder Firewalls noch aktuelle Firmware noch durchdachte Zugriffsrechte auf Servern. Und sie schützen nicht innerhalb eines Segments: Ein kompromittiertes Gerät im selben VLAN wie andere Arbeitsplätze kann diese weiter angreifen – die Trennung greift dann nicht.

Wann sich ein VLAN-Konzept nicht lohnt

Nicht jedes Netz braucht diese Struktur. In einem kleinen Büro mit wenigen Arbeitsplätzen, einem Server und ohne Gäste-WLAN ist ein einziges, gut gepflegtes Netz völlig ausreichend. Jedes VLAN bedeutet Konfigurations- und Wartungsaufwand, und jede Trennung muss bei Störungen auch diagnostiziert werden können.

Ebenso wenig lohnt sich der Schritt, wenn Ihre Switches keine VLANs unterstützen und ein Austausch aus anderen Gründen nicht ansteht. Eine funktionierende Infrastruktur nur wegen der Segmentierung zu ersetzen, ist selten wirtschaftlich. Und schließlich: Wenn niemand das Konzept pflegt und dokumentiert – weder im eigenen Haus noch beim betreuenden Dienstleister –, wird aus der sauberen Trennung binnen kurzer Zeit ein undurchschaubares Konstrukt, das mehr schadet als nützt.

So gehen Sie die Einführung an

Beginnen Sie nicht am Switch, sondern am Konzept.

Erstens: Bestandsaufnahme. Listen Sie alle Gerätegruppen – Arbeitsplätze, Server, Drucker, Telefone, WLAN-Clients, Gebäudetechnik. Fragen Sie für jede Gruppe: Mit wem muss sie kommunizieren? Daraus entsteht eine schlichte Matrix, die Grundlage für Segmentgrenzen und spätere Firewall-Regeln ist.

Zweitens: Hardware prüfen. Unterstützen alle Switches VLANs? Reichen die Portzahlen an jedem Standort? Kann Ihre Firewall mehrere Netze bedienen und zwischen ihnen filtern?

Drittens: Plan festlegen. Jedes VLAN erhält eine Kennung, einen sprechenden Namen und ein eigenes IP-Netz. Halten Sie fest, welches Segment wo anliegt und welche Ports ihm zugeordnet sind.

Viertens: Routing und Regeln definieren. Legen Sie fest, welche Verbindungen zwischen den Segmenten erlaubt sind. Als Ausgangslage bewährt sich: alles sperren, was nicht ausdrücklich benötigt wird.

Fünftens: kontrolliert umsetzen. Migrieren Sie zunächst ein Segment und testen Sie Drucken, Freigaben, Telefonie und Internetzugang, bevor das nächste folgt. Planen Sie ein Wartungsfenster ein, und achten Sie darauf, den Verwaltungszugang zu Ihren Switches nicht versehentlich abzuschneiden – ein klassischer Fehler bei der ersten VLAN-Umstellung.

Sechstens: dokumentieren. Konzept, VLAN-Liste, Portbelegung und Firewall-Regeln gehören in eine Unterlage, die auch ohne denjenigen verständlich ist, der sie erstellt hat.

Fragen an Ihren IT-Dienstleister

Wenn ein externer Partner die Umstellung durchführt, klären Sie vorab:

• Wo liegt die Dokumentation, und wie wird sie bei Änderungen gepflegt?
• Wie ist der Verkehr zwischen den VLANs geregelt – über die Firewall oder einen Layer-3-Switch, und mit welchen Regeln?
• Was passiert beim Ausfall dieser zentralen Komponente?
• Wie kommen neue Geräte ins richtige Segment – über fest konfigurierte Ports oder eine automatisierte Zuordnung?
• Wer darf Änderungen vornehmen, und wie werden sie abgenommen?

An den Antworten erkennen Sie, ob der Anbieter ein durchdachtes Konzept hat oder nur Konfigurationen verteilt.

Woran Sie erkennen, dass etwas schiefläuft

Einige Warnsignale zeigen, dass ein VLAN-Konzept seinen Zweck verfehlt: Zwischen allen Segmenten ist pauschal alles erlaubt. Das Gäste-WLAN erreicht interne Server. Neue Geräte landen wahllos in einem Standard-VLAN, weil niemand die Ports zuordnet. Nur eine einzige Person kennt das Setup, und es gibt keine Unterlagen. Oder es existieren Segmente, deren Zweck niemand mehr erklären kann. In all diesen Fällen tragen Sie den Aufwand der Trennung, erzielen aber nicht deren Nutzen.

Wer im Unternehmen zuständig ist

Die fachliche Umsetzung liegt bei der IT-Verantwortung im Haus oder beim betreuenden Dienstleister. Die Geschäftsführung legt die Schutzziele fest – etwa dass Gäste und Gebäudetechnik keinen Zugriff auf Unternehmensdaten haben – und entscheidet bei Abwägungen zwischen Komfort und Trennung. Änderungen am Konzept sollten über einen festen Prozess laufen: anfragen, prüfen, umsetzen, dokumentieren. So bleibt das Netz auch nach Jahren nachvollziehbar, statt mit jeder Erweiterung undurchsichtiger zu werden.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.