Inhalt in Kürze
- Laut BSI-Lagebericht 2025 stieg die Zahl neuer Schwachstellen um 24 Prozent — KMU sind besonders gefährdet
- Zero Trust ersetzt das alte Perimeter-Modell: „Never trust, always verify” wird zum Standard
- Netzwerk-Monitoring erkennt Angriffe und Ausfälle, bevor Schaden entsteht
- Netzwerk-Forensik klärt nach einem Vorfall, was genau passiert ist
87 Prozent der deutschen Unternehmen waren laut Bitkom Wirtschaftsschutz 2025 von Datendiebstahl, Spionage oder Sabotage betroffen. Der Schaden: 202,4 Milliarden Euro. Die meisten Angriffe starten über das Netzwerk.
BSI-Lagebericht 2025: Was sich geändert hat
Der BSI-Lagebericht 2025 zeichnet ein klares Bild: Die tägliche Zahl neuer Schwachstellen stieg um 24 Prozent. Ransomware bleibt die größte Bedrohung. Und KMU sind laut BSI besonders verwundbar, weil grundlegende Schutzmaßnahmen fehlen.
Das BSI empfiehlt fünf zentrale Maßnahmen:
- Einführung eines Informationssicherheitsmanagementsystems (ISMS)
- Regelmäßiges Patch- und Schwachstellenmanagement
- Mitarbeiter-Sensibilisierung
- Mehrschichtige Schutzmechanismen (Firewall, Endpoint Security)
- Kritische Prüfung von IT-Dienstleistern
Firewall: Ihre erste Verteidigungslinie
Eine Firewall kontrolliert, welcher Datenverkehr in Ihr Netzwerk rein und raus darf. Für Unternehmen reicht der Paketfilter eines Heimrouters nicht aus.
Was eine Business-Firewall können muss
- Stateful Packet Inspection. Prüft den Kontext jedes Datenpakets, nicht nur die Adresse.
- Intrusion Prevention System (IPS). Erkennt und blockiert bekannte Angriffsmuster automatisch.
- VPN-Gateway. Sichere Verbindung für Mitarbeiter im Homeoffice oder unterwegs.
- Content Filtering. Blockiert gefährliche oder unerwünschte Websites.
- VLAN-Routing. Steuert den Datenverkehr zwischen Netzwerksegmenten.
- Zentrale Verwaltung. Alle Regeln an einem Ort, nicht verteilt über mehrere Geräte.
Viele Unternehmen in Hamburg haben noch eine Firewall aus 2018 oder 2019. Das Problem: Ältere Modelle haben nicht genügend Durchsatz für moderne Cloud-Anwendungen und VPN-Verbindungen. Prüfen Sie, ob Ihre Firewall noch zum aktuellen Bedarf passt.
Netzwerk-Verschlüsselung: Daten auf dem Transportweg schützen
Verschlüsselung schützt Daten nicht nur auf der Festplatte, sondern auch unterwegs im Netzwerk. Die wichtigsten Protokolle:
| Protokoll | Einsatz | Status |
|---|---|---|
| WPA3 | WLAN-Verschlüsselung | Aktueller Standard |
| TLS 1.3 | Webanwendungen, E-Mail | Pflicht |
| IPsec | VPN-Verbindungen | Standard für Site-to-Site |
| MACsec | LAN-Verschlüsselung | Empfohlen für sensible Bereiche |
Besonders relevant für Unternehmen mit Compliance-Anforderungen: Die NIS2-Richtlinie verlangt „angemessene technische Maßnahmen” — Netzwerkverschlüsselung gehört dazu.
Zero Trust: Das neue Sicherheitsmodell
Das alte Modell: Alles hinter der Firewall ist vertrauenswürdig. Das neue Modell: Nichts ist vertrauenswürdig — auch nicht der Rechner im Büro.
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Zero Trust in 5 Schritten umsetzen
- Identitäten absichern: Multi-Faktor-Authentifizierung (MFA) für alle Zugänge. Ohne Ausnahme.
- Geräte verifizieren: Nur verwaltete, aktuelle Geräte erhalten Netzwerkzugriff. Bring-Your-Own-Device nur mit Mobile Device Management.
- Netzwerk segmentieren: VLANs, Micro-Segmentierung. Kein flaches Netzwerk, in dem ein kompromittiertes Gerät alles erreichen kann.
- Least Privilege: Jeder Nutzer bekommt nur die Rechte, die er für seine Arbeit braucht. Kein Mitarbeiter ist Admin auf seinem Rechner.
- Kontinuierlich überwachen: Jeder Zugriff wird protokolliert und auf Anomalien geprüft. Automatisiert, nicht manuell.
Zu viel auf einmal wollen. Zero Trust ist kein Projekt, sondern ein Prozess. Starten Sie mit MFA und Netzwerk-Segmentierung — das bringt den größten Sicherheitsgewinn bei geringstem Aufwand.
Netzwerk-Monitoring: Probleme erkennen, bevor sie eskalieren
Monitoring bedeutet: Ihre Netzwerkgeräte werden rund um die Uhr überwacht. Fällt ein Switch aus, steigt die Latenz oder verhält sich ein Gerät ungewöhnlich — werden wir sofort alarmiert.
Was wir bei unseren Kunden überwachen
- Verfügbarkeit: Sind alle Switches, Router, Access Points erreichbar?
- Auslastung: Wie hoch ist der Datenverkehr? Gibt es Engpässe?
- Latenz: Reagiert das Netzwerk schnell genug für Videokonferenzen?
- Fehler: Paketverlust, CRC-Fehler, Port-Ausfälle
- Sicherheit: Unbekannte Geräte im Netz, ungewöhnliche Datenströme
Tools wie PRTG Network Monitor, Auvik oder die integrierten Dashboards von Managed-IT-Plattformen machen das möglich.
Netzwerk-Zugangskontrolle: Wer darf rein?
Network Access Control (NAC) stellt sicher, dass nur autorisierte und konforme Geräte Zugang zu Ihrem Netzwerk erhalten. Ein unbekanntes Gerät, das jemand an eine Netzwerkdose steckt? Wird automatisch in ein Quarantäne-VLAN geschoben.
Wie NAC funktioniert
- Gerät wird angeschlossen — kabelgebunden oder per WLAN
- NAC prüft: Ist das Gerät bekannt? Ist es verwaltet? Ist die Firmware aktuell?
- Entscheidung: Voller Zugang, eingeschränkter Zugang oder Quarantäne
- Protokollierung: Jeder Zugangsversuch wird dokumentiert
Lösungen wie FortiNAC oder Microsoft Entra ID (für Cloud-basierte Zugangskontrolle) machen NAC auch für KMU erschwinglich. Die Kombination mit Managed IT stellt sicher, dass die Regeln aktuell bleiben.
Perimeter-Sicherheit vs. Zero Trust
Die klassische Perimeter-Sicherheit — „alles hinter der Firewall ist sicher” — ist veraltet. Gründe:
- Homeoffice: Mitarbeiter arbeiten von außerhalb des Perimeters
- Cloud-Dienste: Daten liegen nicht mehr nur im lokalen Netzwerk
- BYOD: Private Geräte im Firmennetz sind keine Seltenheit
- Laterale Bewegung: Wenn ein Angreifer den Perimeter überwindet, hat er Zugriff auf alles
Zero Trust löst dieses Problem, indem jeder Zugriff einzeln geprüft wird — egal ob von innen oder außen.
Netzwerk-Forensik: Was nach dem Angriff passiert
Wenn ein Sicherheitsvorfall passiert, reicht „Stecker ziehen” nicht. Netzwerk-Forensik untersucht:
- Wie ist der Angreifer eingedrungen? Phishing-Mail, offener Port, kompromittiertes VPN?
- Was wurde kompromittiert? Welche Systeme, welche Daten?
- Wie lange war der Angreifer im Netzwerk? Wochen? Monate?
- Welche Daten wurden abgegriffen? Meldepflicht nach DSGVO beachten.
Ohne Forensik tappen Sie im Dunkeln und können den gleichen Angriff nicht verhindern. Deshalb ist Logging-Pflicht: Alle relevanten Systeme müssen Protokolle schreiben, die im Ernstfall auswertbar sind.
IT-Sicherheit ist Chefsache. Sprechen Sie mit uns.
15 Minuten. Kostenlos. Ihre aktuelle Sicherheitslage — ehrlich bewertet.
Erstgespräch buchen →Aus der Praxis: Ransomware-Angriff auf ein Hamburger KMU
„Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage."
— Bernd Kühn, Geschäftsführer, Sanitärbetrieb, 20-25 Mitarbeiter
Solche Fälle sehen wir regelmäßig bei Unternehmen, die zu uns wechseln. Die häufigsten Ursachen: keine Netzwerk-Segmentierung, kein Monitoring, keine getesteten Backups.
Tipp: Mehr über Netzwerk-Services von hagel IT erfahren.
