Campus Security neu denken: Von der Firewall zur Fabric

Viele Unternehmen schützen ihre Netzwerke noch immer wie eine Burg: außen dicke Mauern, innen ein vermeintlich sicherer Raum. Doch diese Vorstellung passt nicht mehr zur Realität. Angriffe beginnen heute häufig im Inneren, etwa über infizierte Laptops, kompromittierte IoT-Geräte oder Phishing-Mails, die unbemerkt Zugang verschaffen.

Was Campus Security heute bedeutet

Campus Security beschreibt die Absicherung aller Netzwerkbereiche außerhalb des Rechenzentrums, also von Büroflächen über Fertigungsanlagen bis zu IoT-Umgebungen. Entscheidend wird dabei der Schutz des sogenannten Ost-West-Verkehrs. Damit sind die Datenströme gemeint, die innerhalb eines Campus-Netzwerks zwischen Abteilungen, Geräten oder Standorten fließen.

Klassische Firewalls schützen jedoch vor allem den Nord-Süd-Verkehr, also den Austausch zwischen dem internen Netz und dem Internet. Doch wenn sich ein Angreifer bereits im Inneren befindet, greifen diese Mechanismen zu kurz.

Für laterale Bewegung, also das seitliche Ausbreiten eines Angreifers, sind andere Hebel wirksamer: Identitätsmanagement, Segmentierung, klare Richtlinien (Policies) und Transparenz über Datenflüsse. Ziel ist nicht nur die Abwehr, sondern die Beherrschbarkeit – also klare Rollen, reproduzierbare Prozesse und ein Betrieb, der mitwächst.

Typische Schwachstellen im Campus-Netzwerk

• Große, flache Layer-2-Netze: Ein Angreifender kann sich unbemerkt seitlich ausbreiten.
• Geräteschatten durch IoT, BYOD und Produktionsanlagen: Häufig fehlt ein vollständiges Inventar.
• Historische Regeln und fehlende Dokumentation: Niemand weiß, welche Ports und Ziele eine Applikation wirklich braucht.
• Passwort-Hygiene mit Nebenwirkungen: Zu häufige erzwungene Änderungen führen zu unsicheren Mustern.
• Silostrukturen zwischen Netzwerk-, Server- und Security-Teams: Entscheidungen dauern, Lücken bleiben länger offen.

Fabric-Architektur als Basis für Sicherheit

Ein modernes Campus-Netzwerk ist heute so aufgebaut, dass logische Sicherheitszonen unabhängig vom physischen Standort funktionieren. Diese Struktur, oft als Fabric bezeichnet, sorgt dafür, dass sich Netzwerke zentral steuern und gleichzeitig flexibel erweitern lassen. Abteilungen, Gäste oder IoT-Geräte können so in eigene Bereiche aufgeteilt werden, ohne dass dafür separate physische Netze notwendig sind.

Dabei legen Richtlinien fest, welche Systeme miteinander kommunizieren dürfen und welche Verbindungen unterbunden werden. Dadurch entsteht eine klare Trennung zwischen sensiblen und allgemeinen Bereichen. Diese Architektur schafft Transparenz über alle Datenflüsse, verhindert unkontrollierte Zugriffe und bildet die Grundlage für wirksame Segmentierung und moderne Campus Security.

3 Hebel für mehr Netzwerksicherheit

1. Network Access Control (NAC) – Identität als Fundament

Ohne verlässliche Identitäten und Gerätezustände fehlt jeder Richtlinie der Anker. Network Access Control sorgt dafür, dass sich jedes Gerät im Campus-Netzwerk authentifizieren muss. Das System erkennt, ob es ein Laptop, ein Sensor oder ein Drucker ist, und weist automatisch die passende Rolle zu. Diese Rolle bestimmt den Netzwerkzugang und kann direkt auf Switches oder Access Points durchgesetzt werden.

Vorteile von NAC:

• Weniger Fehler durch Automatisierung: Rollen kommen aus dem System, nicht aus Tabellen.
• Höhere Transparenz im Campus-Netzwerk: Das Unternehmen kennt sein Gerätelager und sieht, was sich wann anmeldet.
• Schnellere Reaktion: Kompromittierte Geräte lassen sich gezielt isolieren, statt ganze Netze zu sperren.

2. Gruppenbasierte Segmentierung – der tragfähige Mittelweg

Mikrosegmentierung auf Host-Ebene gilt als besonders sicher, ist aber in der Praxis schwer zu pflegen. Jede Änderung – etwa ein neuer Laptop oder Sensor – erfordert manuelle Anpassungen. Deshalb setzen viele Unternehmen auf gruppenbasierte Segmentierung, die logische Gruppen wie Abteilungen, Standorte oder Funktionsbereiche abbildet, ohne jedes Gerät einzeln verwalten zu müssen. Das hält den Aufwand gering, bietet aber dennoch hohen Schutz. Damit bleibt das Campus-Netzwerk übersichtlich und leicht administrierbar.

Vorteile der Segmentierung:

• Sicherheit steigt, weil laterale Bewegungen zwischen Zonen unterbunden werden.
• Betrieb bleibt effizient: Teams pflegen Rollen statt Einzelgeräte.
• Migration gelingt schrittweise, ohne Unterbrechungen im Betrieb.

3. Sichtbarkeit und Alarmierung – erkennen, was nicht passt

Security funktioniert nur mit Kontext. Wenn z. B. ein Drucker mit einem HR-System spricht oder ein Sensor plötzlich ins Internet sendet, muss das auffallen. Security Information and Event Management (SIEM)-Lösungen sammeln Netzwerkdaten, vergleichen Muster und schlagen Alarm, wenn etwas Ungewöhnliches passiert. Entscheidend ist, Fehlalarme zu reduzieren und klare Abläufe für den Ernstfall zu definieren.

Vorteile eines SIEM:

• Schnellere Erkennung von Anomalien und Fehlkonfigurationen.
• Nachvollziehbarkeit für Audits und Forensik.
• Grundlage für Automatisierung von der Erkennung zur gezielten Gegenmaßnahme.

Campus-Security-Spezialfälle und Use Cases

IoT- und Gäste-WLAN-Sicherheit

Diese Bereiche sollten strikt vom Unternehmensnetz getrennt sein. Eine bewährte Methode im WLAN ist Multi-PSK (Multi Pre-Shared Key): Alle Geräte nutzen denselben WLAN-Namen (SSID), aber individuelle Zugangsschlüssel. Fällt ein Gerät aus oder geht verloren, wird nur dessen Schlüssel gesperrt, nicht das gesamte WLAN.

Produktion und Operational Technology (OT)

In puncto Betriebstechnologie müssen minimale Zugriffsrechte und klare Whitelists gelten. Eine Fabric-Architektur ermöglicht es, Produktionssysteme logisch vom Office-Netz zu trennen, ohne physische Netze doppelt aufzubauen.

BYOD (Bring Your Own Device)

Private Geräte sollten nur zeitlich begrenzte Zugänge mit klaren Kommunikationsregeln erhalten. Captive Portals und Identitätsprüfungen können verhindern, dass sich unbekannte Geräte dauerhaft verbinden.

Zero Trust im Campus-Netzwerk – sicher, aber benutzerfreundlich

Zero Trust Network Access (ZTNA) bedeutet, dass es kein automatisches Vertrauen gibt. Jede Verbindung muss sich authentifizieren, unabhängig davon, ob sie aus dem internen oder externen Netz stammt. Damit Zero Trust im Alltag funktioniert, braucht es Komfortfunktionen wie Single Sign-On (SSO), Multifaktor-Authentifizierung (MFA) und passgenaue Passwortrichtlinien.

Denn häufig zeigt sich, dass zwanghafte Passwortwechsel alle 30 Tage meist zu unsicheren Mustern oder Post-its auf dem Bildschirm führen. Besser sind starke, längere Passwörter, MFA und regelmäßige Security-Awareness-Schulungen.

Automatisierung und KI in der Campus Security

Mit wachsenden Datenmengen werden manuelle Analysen schnell zur Herausforderung. Künstliche Intelligenz kann hier unterstützen, indem sie Muster erkennt, Ereignisse korreliert und Fehlalarme minimiert.

Künftig reagieren Systeme automatisiert: Verdächtige Verbindungen werden isoliert, Tickets erstellt, Vorfälle dokumentiert. Wichtig ist, Automatisierung gezielt einzusetzen. So können Maschinen klar definierte Abläufe übernehmen, während kritische Entscheidungen weiterhin in der Verantwortung des Menschen bleiben.

Der Weg zu ganzheitlicher Campus Security

Campus Security funktioniert, wenn Identität, Segmentierung und Sichtbarkeit zusammenwirken. Network Access Control schafft Transparenz und Kontrolle, gruppenbasierte Segmentierung sorgt für Stabilität, und eine moderne Architektur bildet die technische Basis. Wer diese Elemente mit klaren Prozessen, geschulten Mitarbeitenden und gezielter Automatisierung verbindet, erhöht die Sicherheit, ohne die Produktivität zu beeinträchtigen.

Vom Assessment über das Zonenmodell bis hin zur Umsetzung einer zukunftsfähigen Campus-Security-Strategie – Axians begleitet Sie dabei. Kontaktieren Sie uns, wenn Sie Fragen zum Thema haben oder einfach mehr darüber erfahren möchten.