Brauche ich dafür neue Hardware?

Meist nicht. Die meisten Business-Switches und Firewalls beherrschen VLANs und Regeln bereits. Neu kaufen muss man nur, wenn das vorhandene Gerät, zum Beispiel ein einfacher Router des Internetanbieters, getrennte Netze nicht kann.

Wird das Netz durch die Trennung langsamer?

Nein, nicht spürbar. Der Verkehr innerhalb eines Segments läuft unverändert. Nur Verbindungen zwischen den Segmenten werden von der Firewall geprüft, und das liegt bei Büroanwendungen weit unter dem, was man merkt.

Was ist der Unterschied zwischen VLAN und eigenem Netzwerkkabel?

Ein VLAN trennt die Netze logisch auf denselben Leitungen, ein eigenes Kabel trennt sie physisch. Für Betriebe genügt ein VLAN mit Firewall-Regeln fast immer; physische Trennung lohnt sich nur bei hohen Anforderungen.

Kann ich das Gäste-WLAN selbst trennen?

Teilweise ja, viele Router bieten ein Gastnetz an, das vom Hauptnetz getrennt ist. Prüfen sollte man, ob es wirklich nur ins Internet führt und ob die Kassa oder das Kartenterminal nicht doch daran hängt.

Begriff

Netzwerksegmentierung

Aktualisiert: 09.10.2026

Netzwerksegmentierung bedeutet, ein Firmennetz in mehrere getrennte Bereiche zu unterteilen, die nur über kontrollierte Übergänge miteinander sprechen. Typisch sind eigene Bereiche für Büro, Produktion oder Kassa, Gäste-WLAN und Geräte, die keine Updates mehr bekommen. In den meisten Betrieben ist dafür keine neue Hardware nötig: Die vorhandenen Switches und die Firewall können es bereits, es wurde nur nie eingerichtet.

Warum ein flaches Netz teuer wird

In einem gewachsenen Netz erreicht jedes Gerät jedes andere: das Gästehandy die Buchhaltung, der Kassenrechner den Server, die Maschinensteuerung ohne Updates alles. Ein einzelnes befallenes Gerät hat damit Zugriff auf den gesamten Betrieb. Segmentierung begrenzt den Schaden auf den Bereich, in dem er entstanden ist: Sie verhindert nicht den Vorfall, sondern seine Ausbreitung. Bei Ransomware ist das der Unterschied zwischen einem betroffenen Rechner und einem stillstehenden Betrieb.

Wie die Trennung technisch gemacht wird

Es gibt drei übliche Wege, die sich kombinieren lassen. Erstens VLANs: Ein Switch teilt sein Netz in virtuelle, voneinander getrennte Netze, obwohl alle Geräte am selben Kabel hängen. Zweitens getrennte Anschlüsse an der Firewall, sodass jedes Segment einen eigenen Port hat und die Firewall entscheidet, was dazwischen durchgelassen wird. Drittens getrennte WLAN-Namen, die jeweils in ein eigenes Segment münden, zum Beispiel eines für Mitarbeiter, eines für Gäste und eines für Geräte. Die Regeln dazwischen legt die Firewall fest. Ohne Regeln ist ein VLAN nur ein Etikett.

Welche Segmente ein Kleinbetrieb braucht

Für einen Betrieb mit fünfzehn Arbeitsplätzen genügen meist vier bis fünf Bereiche. Das Büronetz mit den Arbeitsplätzen. Ein Servernetz für Server und Sicherungsgeräte, das nur die nötigen Dienste anbietet. Ein Gästenetz, das nur ins Internet führt. Ein Netz für Geräte, die nicht gepflegt werden können: Kassa, Kameras, Zeiterfassung, Maschinensteuerung, Drucker, Smart-TVs. Bei Bedarf ein Netz für die Haustechnik, etwa Loxone oder KNX. Mehr Segmente erhöhen den Aufwand schneller als den Nutzen.

Der übliche Weg bei alten Geräten

Maschinensteuerungen und medizinische Geräte laufen oft auf Systemen, für die es keine Updates mehr gibt, und lassen sich nicht austauschen. Die richtige Antwort ist dann nicht Abwarten, sondern Abtrennen: ein eigenes Segment, in dem das Gerät ausschließlich mit dem sprechen darf, was es für seine Aufgabe braucht, zum Beispiel mit dem einen Rechner, der es bedient. Das Gerät bleibt unverändert, das Risiko schrumpft auf den Bereich, in dem es steht.

Woran Sie merken, dass Ihr Netz getrennt gehört

Wenn Gäste über dasselbe WLAN surfen wie die Buchhaltung, wenn Kassa, Kameras oder Maschinen im selben Netz hängen wie die Büro-PCs, oder wenn niemand sagen kann, welches Gerät welches erreichen muss. Jedes davon heißt: Ein einziges befallenes Gerät erreicht alles. Der erste Schritt ist eine Liste der Geräte und ihrer Verbindungen; die Trennung selbst richten wir zusammen mit Firewall und VPN ein, die Planung der Funkzellen gehört zu Netzwerk und WLAN.

Typische Fehler

Das Gästenetz bekommt ein eigenes Passwort, hängt aber technisch im selben Netz. Die Trennung wird am Montag eingerichtet und am Dienstag wieder aufgehoben, weil der Drucker nicht mehr erreichbar ist, und danach traut sich niemand mehr heran. Die Regeln werden zu streng ohne Bestandsaufnahme gesetzt oder zu locker, sodass die Firewall alles durchlässt. Ein „Ausnahmeregel für den Lieferanten“ bleibt jahrelang bestehen. Und niemand dokumentiert, welches Segment welchen Zweck hat, sodass der Nächste, der das Netz anfasst, die Trennung versehentlich aushebelt.

In der Praxis

Für einen Betrieb mit Gäste-WLAN, Kassa oder Maschinen ist die Trennung die wirksamste Einzelmaßnahme nach der Datensicherung. Firewall und getrennte Netze richten wir für 690 € ein, das Netzwerk und WLAN selbst für 890 €. Der Aufwand liegt fast immer in der Bestandsaufnahme (welches Gerät muss wen erreichen), nicht in der Konfiguration. Diese Liste entsteht am besten im laufenden Betrieb über zwei, drei Wochen, weil erst dann auffällt, welche Verbindung wirklich gebraucht wird. Wer das Netz dauerhaft sauber getrennt und überwacht haben möchte, findet die laufende Betreuung ab 29 € je Arbeitsplatz und Monat unter EDV- und IT-Betreuung.

Richtpreise, netto zzgl. USt. Stand: Oktober 2026 · Die Preisliste

Der verbreitete Irrtum

„Das Gästenetz hat ein eigenes Passwort, das reicht.“ Ein eigenes Passwort ist keine Trennung. Solange beide im selben Netz hängen, sieht das Gästegerät alles, was dort steht. Getrennt ist ein Netz erst, wenn die Firewall den Verkehr dazwischen blockiert.

In Österreich: Gäste, Kassa und Haustechnik im Betrieb

In oberösterreichischen Betrieben wächst das Netz meist über Jahre: erst Büro-PCs, dann ein Gäste-WLAN im Gasthaus oder Hotel, die Registrierkasse oder das Kartenterminal, Kameras, vielleicht die Haussteuerung. Wer Gästen WLAN anbietet, sollte sie vom Betriebsnetz trennen, schon damit Belegdaten und Mitarbeiterdaten nicht im selben Netz liegen. Kassa und Zahlungsgeräte gehören in ein eigenes Segment, das nur die nötigen Ziele erreicht. Datenschutzrechtlich verlangt die DSGVO angemessene technische Maßnahmen; eine saubere Trennung ist dafür ein nachvollziehbarer Baustein, auf den man sich im Zweifel berufen kann. Als Zulieferer größerer Unternehmen wird die Trennung außerdem zunehmend nachgefragt, mehr dazu im Beitrag NIS2 und Lieferkette.

Florin Feier aus Lenzing erfasst das Netz per Fernwartung und richtet die Trennung in der Regel dort ein; das Umstecken von Geräten und das Prüfen vor Ort übernimmt er in Salzburg, Linz, Wels, Gmunden, Vöcklabruck und im Salzkammergut. Einstieg sind die Seiten Netzwerk und WLAN und IT-Sicherheit. Zur WLAN-Planung gibt es den Beitrag WLAN im Betrieb planen.

Häufige Folgefragen

Brauche ich dafür neue Hardware?: Meist nicht. Die meisten Business-Switches und Firewalls beherrschen VLANs und Regeln bereits. Neu kaufen muss man nur, wenn das vorhandene Gerät, zum Beispiel ein einfacher Router des Internetanbieters, getrennte Netze nicht kann.
Wird das Netz durch die Trennung langsamer?: Nein, nicht spürbar. Der Verkehr innerhalb eines Segments läuft unverändert. Nur Verbindungen zwischen den Segmenten werden von der Firewall geprüft, und das liegt bei Büroanwendungen weit unter dem, was man merkt.
Was ist der Unterschied zwischen VLAN und eigenem Netzwerkkabel?: Ein VLAN trennt die Netze logisch auf denselben Leitungen, ein eigenes Kabel trennt sie physisch. Für Betriebe genügt ein VLAN mit Firewall-Regeln fast immer; physische Trennung lohnt sich nur bei hohen Anforderungen.
Kann ich das Gäste-WLAN selbst trennen?: Teilweise ja, viele Router bieten ein Gastnetz an, das vom Hauptnetz getrennt ist. Prüfen sollte man, ob es wirklich nur ins Internet führt und ob die Kassa oder das Kartenterminal nicht doch daran hängt.

Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu Netzwerk & WLAN besprechen oder ein Angebot für Netzwerk & WLAN zusammenstellen.

Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.