Neue Switches, moderne Access Points und eine leistungsfähigere Firewall machen aus einem gewachsenen Netzwerk noch keine moderne Infrastruktur. Viele Unternehmen beginnen eine Netzwerkmodernisierung mit Hardware, bevor überhaupt klar definiert wurde, welche Geschäftsprozesse geschützt werden müssen, wo tatsächliche Engpässe liegen und welche Systeme miteinander kommunizieren dürfen. In dieser Folge von IT for Business geht es deshalb um die komplette Checkliste für eine nachhaltige Netzwerkmodernisierung – von Switches und Verkabelung über Segmentierung, WLAN und Firewall bis zu VPN, Remotezugriff, Monitoring und laufendem Betrieb.ㅤ MIT DEM ISTZUSTAND BEGINNEN Bevor Hardware bestellt wird, muss klar sein, wie das bestehende Netzwerk tatsächlich aufgebaut ist. Welche Geschäftsprozesse hängen davon ab? Welche Anwendungen, Produktionssysteme, Cloud-Dienste, Telefone, Kameras oder Remotezugänge sind kritisch?Dazu gehört eine nachvollziehbare Netzwerktopologie mit Switches, Uplinks, WLAN-Abdeckung, Firewallregeln, VPN-Verbindungen und Verkabelung.Wichtig ist außerdem die Trennung zwischen Symptomen und Ursachen. Eine langsame Anwendung kann durch Internet, WLAN, einen überlasteten Uplink, ein Endgerät oder eine falsche Konfiguration verursacht werden. Ohne Analyse wird schnell die falsche Komponente ersetzt. DAS ZIELBILD DEFINIEREN Nach der Bestandsaufnahme muss klar sein, was das zukünftige Netzwerk leisten soll. Welche Verfügbarkeit wird benötigt? Welche Bereiche müssen besonders geschützt werden? Wie viele zusätzliche Arbeitsplätze oder Standorte könnten hinzukommen?Ebenso wichtig ist die Frage nach der Verantwortung. Wird die Umgebung intern betrieben, durch einen Dienstleister oder gemeinsam?Für jede zentrale Komponente sollte nachvollziehbar sein, warum sie benötigt wird, welche Funktion sie übernimmt und wer im Fehlerfall verantwortlich ist.ㅤS WITCHES RICHTIG DIMENSIONIEREN In Unternehmensnetzwerken sind Managed Switches die Grundlage für kontrollierbaren Betrieb. Sie ermöglichen unter anderem VLANs, Portkonfiguration, PoE und eine bessere Fehleranalyse.Bei der Dimensionierung sollte nicht nur die aktuelle Anzahl belegter Ports betrachtet werden. Arbeitsplätze, Telefone, Drucker, Kameras, Access Points, Besprechungsräume und Produktionsgeräte müssen ebenso berücksichtigt werden wie zukünftige Erweiterungen.Auch Uplinks verdienen besondere Aufmerksamkeit. Einzelne Arbeitsplätze können ausreichend angebunden sein, während die gemeinsame Verbindung zwischen Etagenverteiler und zentralem Netzwerk längst zum Engpass geworden ist.ㅤ POE UND BANDWIDTH NICHT UNTERSCHÄTZEN Bei PoE-Switches zählt nicht nur die Anzahl der verfügbaren Ports, sondern das gesamte Leistungsbudget.Access Points, Telefone und Kameras beziehen Strom über das Netzwerkkabel. Deshalb muss geprüft werden, wie viel Leistung diese Geräte tatsächlich benötigen und welche Reserve für zukünftige Erweiterungen vorhanden ist.Moderne Access Points können außerdem höhere Anforderungen an ihre Netzwerkanbindung stellen. Ein leistungsfähiges WLAN hinter einem zu langsamen Switchport kann unnötig ausgebremst werden.ㅤ VERKABELUNG UND GLASFASER PLANEN Strukturierte Verkabelung mit Patchfeldern, eindeutig beschrifteten Dosen und nachvollziehbaren Kabelwegen reduziert später erheblich den Aufwand bei Änderungen und Störungen.Für längere Strecken, Gebäudeverbindungen, hohe Bandbreiten oder Bereiche mit elektromagnetischen Störungen kann Glasfaser sinnvoll sein.Entscheidend ist nicht nur die technische Leistungsfähigkeit. Ein Techniker sollte bei einer Störung schnell erkennen können, welcher Port, welches Kabel und welcher Dienst betroffen sind.ㅤ SEGMENTIERUNG STATT EINES GROSSEN NETZES Arbeitsplätze, Server, Drucker, Kameras, Gäste, Produktionssysteme und technische Geräte sollten nicht automatisch innerhalb desselben Netzes miteinander kommunizieren können.VLANs ermöglichen die logische Trennung dieser Bereiche. Ein Drucker muss beispielsweise nicht mit Kameras kommunizieren und ein Gast im WLAN benötigt keinen Zugriff auf interne Server.Segmentierung reduziert damit nicht nur Sicherheitsrisiken, sondern macht Netzwerke auch besser kontrollierbar. DIE FIREWALL SETZT DIE REGELN DURCH VLANs schaffen Grenzen. Die Firewall entscheidet, welcher Verkehr diese Grenzen überschreiten darf.Firewallregeln sollten deshalb eindeutig definieren, welches Netzwerk auf welches Ziel und welchen Dienst zugreifen darf. Pauschale Regeln wie „intern darf alles“ reduzieren kurzfristig den Konfigurationsaufwand, erhöhen langfristig aber Risiken und erschweren die Analyse.Auch temporäre Ausnahmen sollten dokumentiert und später wieder entfernt werden. FIREWALL-LEISTUNG REALISTISCH BEWERTENDie Mitarbeiterzahl allein reicht für die Dimensionierung einer Firewall nicht aus. Relevant sind Internetverkehr, VPN-Verbindungen, Logging, Intrusion Prevention und gegebenenfalls TLS-Inspection.Die tatsächliche Leistung kann mit aktivierten Sicherheitsfunktionen deutlich unter dem maximal angegebenen Firewalldurchsatz liegen.Neben der Hardware müssen außerdem Lizenzen, Security-Subscriptions, Support, Austauschoptionen und Produktlebenszyklen berücksichtigt werden. WLAN NACH NUTZUNG PLANEN Die Anzahl der Access Points sollte nicht anhand von Quadratmetern oder Bauchgefühl bestimmt werden.Entscheidend sind Anzahl und Dichte der Geräte, Gebäudestruktur, Besprechungsräume, Produktionsflächen, Scanner, Videokonferenzen und mögliche Störquellen.Eine professionelle WLAN-Ausleuchtung hilft dabei, Funkzellen, Überlagerungen, bauliche Hindernisse und reale Kapazitätsanforderungen zu berücksichtigen.Guter Empfang allein bedeutet noch nicht automatisch gute WLAN-Performance unter Last.ㅤWIFI 6, 6E ODER WIFI 7?Neuere WLAN-Standards können Vorteile bringen, wenn Endgeräte, Gerätedichte und tatsächliche Nutzung dazu passen.Ein moderner Access Point bringt jedoch wenig, wenn Switchport, Verkabelung oder PoE-Versorgung zum Flaschenhals werden.Die Technologie sollte deshalb zur vorhandenen und geplanten Infrastruktur passen – nicht lediglich ausgewählt werden, weil ein neuerer Standard verfügbar ist. GASTNETZ UND TECHNISCHE GERÄTE TRENNEN Mitarbeiter, Gäste und technische Geräte benötigen unterschiedliche Zugriffsrechte.Ein Gastnetz sollte beispielsweise den Internetzugang ermöglichen, ohne interne Systeme erreichbar zu machen. Scanner, Sensoren oder andere technische Geräte benötigen wiederum nicht automatisch dieselben Berechtigungen wie Mitarbeiter-Notebooks.WLAN und kabelgebundene Infrastruktur müssen deshalb Bestandteil derselben Segmentierungs- und Security-Architektur sein. VPN UND REMOTEZUGRIFF KONTROLLIEREN Bei Standortverbindungen und Remotezugriffen geht es nicht nur um Verschlüsselung. Entscheidend ist, welcher Nutzer nach erfolgreicher Anmeldung welche Systeme tatsächlich erreichen darf.Ein Site-to-Site-VPN sollte nur die notwendigen Dienste zwischen Standorten freigeben. Ebenso benötigt ein externer Dienstleister häufig lediglich zeitlich begrenzten Zugriff auf ein bestimmtes System statt auf das komplette Unternehmensnetz.MFA gehört bei Remotezugriffen zum Mindestniveau. Alte Benutzerkonten und ehemalige Dienstleisterzugänge müssen regelmäßig überprüft und entfernt werden. ZERO TRUST NETWORK ACCESS ALS ALTERNATIVE Für einzelne Anwendungen kann Zero Trust Network Access eine Alternative zum klassischen VPN darstellen.Dabei erhält ein Benutzer keinen allgemeinen Zugang zum Unternehmensnetzwerk, sondern nur Zugriff auf die konkret benötigte Anwendung.Das kann insbesondere dann interessant sein, wenn ein klassisches VPN unnötig breite Zugriffswege eröffnet.ㅤ AUSFÄLLE DER INTERNETVERBINDUNG EINPLANEN Auch die Internetanbindung gehört in die Risikoanalyse. Wenn bei einem Ausfall Telefonie, Auftragsbearbeitung, Cloud-Anwendungen oder Produktion stillstehen, kann ein zweiter Anschluss oder ein Mobilfunk-Backup wirtschaftlich sinnvoll sein.Redundanz sollte jedoch konkrete Ausfallrisiken reduzieren. Zwei vermeintlich unabhängige Verbindungen helfen wenig, wenn beide über denselben kritischen Infrastrukturpunkt laufen. MONITORING UND DOKUMENTATION Mit der Installation endet die Modernisierung nicht. Switches, Firewalls, VPN-Tunnel und andere zentrale Komponenten müssen überwacht werden.Relevante Ereignisse können beispielsweise ausgefallene Internetverbindungen, Portfehler, ungewöhnliche Auslastung, unterbrochene VPN-Tunnel oder sicherheitsrelevante Veränderungen sein.Zur Dokumentation gehören Netzwerktopologie, IP-Plan, VLANs, Portbelegungen, Firewallregeln, WLAN-Konzept und VPN-Verbindungen. Diese Informationen müssen nach Änderungen aktualisiert werden und dürfen nicht nur als Projektdokumentation existieren. BACKUPS, FIRMWARE UND CHANGE MANAGEMENT Konfigurationen von Firewalls und Switches sollten regelmäßig gesichert werden. Ebenso wichtig ist ein getesteter Wiederherstellungsweg.Firmware-Updates benötigen einen kontrollierten Ablauf aus Prüfung, Freigabe, Installation und anschließender Kontrolle. Bei kritischen Komponenten gehören Wartungsfenster und Rückfallplan dazu.Auch Veränderungen benötigen einen einfachen Change-Prozess. Neue Geräte, Firewallregeln und temporäre Ausnahmen sollten beantragt, geprüft, dokumentiert und gegebenenfalls später wieder entfernt werden. Sie möchten wissen, wie IT Ihr Business voranbringen kann? Dann vernetzen Sie sich mit mir auf LinkedIn und bleiben Sie bei den neuesten Trends und Best Practices immer auf dem Laufenden.
