Produktionsnetze müssen verfügbar bleiben – auch während Sicherheitsmaßnahmen eingeführt werden. Identitätsbasierte Mikrosegmentierung und Just-in-Time-MFA begrenzen seitliche Bewegungen im Netz, schützen privilegierte Zugriffe und beziehen Altsysteme ein, ohne die gewachsene OT-Infrastruktur grundlegend umzubauen. Drei Praxisbeispiele zeigen, wie sich Resilienz, Nachweisfähigkeit und Betriebssicherheit zusammenführen lassen.

Illustration Absmeier foto ki designer

Mikrosegmentierung teilt die vernetzte Produktion in kontrollierbare Sicherheitszonen und begrenzt privilegierte Zugriffe.

Management Summary

Resilienz vor Reaktion: In der Fertigung zählt nicht allein, Angriffe schneller zu erkennen. Entscheidend ist, ihre Ausbreitung so zu begrenzen, dass produktionskritische Abläufe verfügbar bleiben.
Mikrosegmentierung mit Betriebsfokus: Automatisierte Regeln auf Basis realer Kommunikationsbeziehungen reduzieren manuellen Pflegeaufwand und erleichtern eine schrittweise Einführung.
Identität wird zur Kontrollinstanz: Zugriffe werden nicht pauschal nach Netzwerkstandort, sondern nach Identität, Gerät, Zielsystem und konkretem Bedarf freigegeben.
Altsysteme bleiben integrierbar: Netzwerkbasierte Just-in-Time-MFA kann privilegierte Protokolle absichern, ohne jedes OT-System technisch verändern zu müssen.
Nachweise entstehen im Betrieb: Kontinuierliche Regeldurchsetzung, Netzwerkkarten und Protokolle unterstützen Audits, Cyberversicherungen und die Managementsicht auf das Restrisiko.

Die Fertigungsindustrie hat eine äußerst geringe Toleranz gegenüber Ausfallzeiten – und Angreifer wissen das. Schon eine einzige Stunde Ausfallzeit kann Großserienhersteller Millionenkosten und gleichzeitig Schockwellen durch globale Lieferketten senden. Während KI-gestützte Angreifer schneller denn je vorgehen, hat sich die durchschnittliche Zeit bis zur Erkennung und Eindämmung einer Sicherheitsverletzung im letzten Jahr laut dem 2026 Cost of a Data Breach Report von IBM erhöht.

Kay Ernst, Regional Manager DACH beim IT-Sicherheitsanbieter Zero Networks, erklärt, wie Mikrosegmentierung helfen und zugleich mit signifikant weniger Aufwand umgesetzt werden kann:

Unternehmen der Fertigungsindustrie können es sich nicht leisten, sich allein auf Erkennung und Reaktion zu verlassen. Sicherheitsteams wissen, dass Mikrosegmentierung der Schlüssel zum Aufbau präventiver Cyber-Resilienz ist, doch herkömmliche Ansätze haben sich gerade in Fertigungsumgebungen als untauglich erwiesen: Komplexe, agentenbasierte Bereitstellungen überfordern schlanke IT-Teams. Die manuelle Regelverwaltung kann mit den Produktionsplänen nicht Schritt halten, und die Angst, ein Live-System lahmzulegen, blockiert Projekte schon im Vorfeld.

Drei Unternehmen haben erfolgreich identitätsbasierte Mikrosegmentierung eingesetzt, um ihre Cyber-Resilienz zu stärken, ohne den Betrieb komplexer zu machen. Diese Hersteller haben das Ausfallrisiko während der Implementierung beseitigt, die Anforderungen an Cyberversicherungen erfüllt und den Schutz auf Altsysteme ausgeweitet, ohne die Infrastruktur zu stören, von der ihr Betrieb abhängt.

Störungsfreie Netzwerksegmentierung: Beseitigung des Ausfallrisikos

Viele Hersteller, die Mikrosegmentierung implementieren, befürchten, dass ein neues Sicherheitstool zu Betriebsstörungen führen könnte. Die Neukonfiguration der Netzwerkarchitektur birgt oft genau das Risiko, das Sicherheitsteams zu vermeiden versuchen: ungeplante Ausfallzeiten. Deshalb nennt in einer Umfrage von Zero Networks die Hälfte der Sicherheitsverantwortlichen in der Fertigungsindustrie die Komplexität der Implementierung als ihr größtes Bedenken hinsichtlich der Mikrosegmentierung, dicht gefolgt von Störungen des laufenden Betriebs.

Vermeer stellt Industrie- und Landwirtschaftsmaschinen her, die weltweit für die Versorgung mit Lebensmitteln und Energie sorgen. Das Sicherheitsteam hatte die Aufgabe, eine Lösung für einen virtuellen Air Gap zu finden, die die Gesamtsicherheit verbessern könnte. Angesichts eines komplexen Netzwerks und der Unverträglichkeit von Ausfallzeiten konnte sich Vermeer jedoch nicht auf herkömmliche Tools oder manuelle Ansätze verlassen.

Atlantic Constructors, ein Anbieter von gewerblichen Bauleistungen, Vorfertigung und Industriedienstleistungen, sah sich mit einer ähnlichen Herausforderung konfrontiert. Steigende Anforderungen an Cyberversicherungen veranlassten das Team, nach einer Mikrosegmentierungslösung zu suchen. Bei einigen der evaluierten Produkte drohte eine langwierige, komplexe Implementierung, die den Geschäftsbetrieb stören könnte.

Die Lösung: Agentenlose Bereitstellung und deterministische Regelautomatisierung

Vermeer und Atlantic Constructors erreichten dank des automatisierten, agentenlosen Ansatzes einen granularen Schutz ohne die Ausfallrisiken und die Implementierungskomplexität herkömmlicher Mikrosegmentierungstools:

Eine agentenlose Architektur koordiniert native, hostbasierte Firewalls, die bereits in der Umgebung vorhanden sind, und vermeidet so die Latenz und das Integrationsrisiko, das mit agentenbasierten Tools einhergeht.
Eine definierte Lernphase ermöglicht es der Automatisierungs-Engine, den tatsächlichen Datenverkehr zu beobachten und Regeln auf der Grundlage des tatsächlichen Netzwerkverhaltens zu erstellen, wodurch der anfängliche manuelle Aufwand entfällt.
Regeln, die über eine deterministische »Human-on-the-Loop«-Automatisierung generiert und durchgesetzt werden, spiegeln wider, was das Netzwerk tatsächlich benötigt, um sicher zu laufen, ohne die Gefahr, legitimen Datenverkehr zu blockieren.

»Wir setzen auf eine agentenlose Lösung, die sich auf die in Windows integrierte Netzwerk-Firewall stützt. Das ermöglicht es uns, sowohl Zulassungen als auch Sperrungen für den PC oder den Host zu steuern, zwischen denen die Verbindungen bestehen. Darüber hinaus verfügt die Lösung über eine automatische Engine, die lernt, diese Daten erfasst und in Regeln umsetzt«, erklärt Justin Manifold, Senior IT Security Engineer bei Vermeer.

Durch den Einsatz der störungsfreien, deterministischen Lösung gelang es Vermeer, sein Netzwerk innerhalb von 30 Tagen zu segmentieren und den gesamten legitimen Datenverkehr aufrechtzuerhalten. In ähnlicher Weise verbesserte Atlantic Constructors die Netzwerkleistung und -zuverlässigkeit.

Altsysteme und Anbieterabhängigkeit: JIT-MFA flächendeckend ausweiten

Fertigungsumgebungen basieren auf einer über Jahrzehnte gewachsenen Infrastruktur, für die viele Sicherheitstools nicht ausgelegt sind. Anbieter von Mikrosegmentierungslösungen, die komplexe Konfigurationen erfordern, und proprietäre MFA-Tools zwingen Fertigungsunternehmen dazu, Sicherheitslücken in Kauf zu nehmen oder zusätzliche Komplexität in eine betriebskritische Umgebung einzuführen.

Mikron ist ein führender Anbieter hochleistungsfähiger Produktionssysteme. Das Unternehmen fertigt die komplexen Komponenten, die zur Herstellung wichtiger Produkte wie pharmazeutische Geräte, Präzisionsmedizintechnik und Automobilteile erforderlich sind. Angesichts häufiger Änderungen an der Umgebung erwies es sich als nahezu unmöglich, konsistente Regeln über Group Policy Objects (GPOs) aufrechtzuerhalten. Verschiedene Segmentierungsanbieter ließen sich nicht ohne Weiteres in die bestehende Umgebung von Mikron integrieren und verlangten proprietäre MFA-Systeme, die die Kontinuität gefährdeten.

In ähnlicher Weise suchte Vermeer nach einer Möglichkeit, privilegierten Zugriff zu schützen, ohne dabei Reibungsverluste zu verursachen, die die bereits reibungslos laufenden Produktions- und Entwicklungsabläufe stören würden.

Die Lösung: Just-in-Time-MFA auf Netzwerkebene

Mikron und Vermeer schlossen Lücken bei der Identitätsverwaltung und des Least-Privilege-Prinzips, ohne kritische Verbindungen zu gefährden oder Altsysteme angreifbar zu machen, indem sie die MFA auf Netzwerkebene für den Just-in-Time-Zugriff einsetzten:

MFA auf Netzwerkebene erweitert die Authentifizierung auf Administratorprotokolle und privilegierte Aktivitäten, ohne die zugrundeliegenden Altsysteme zu berühren oder neue Fehlerquellen einzuführen.
Die nahtlose Integration in die bestehende Infrastruktur sorgt für eine einheitliche Benutzererfahrung, anstatt der Umgebung ein zweites, proprietäres Authentifizierungssystem aufzuzwingen.
In Kombination mit identitätsbasierter Mikrosegmentierung verhindert die MFA auf Netzwerkebene wirksam, dass kompromittierte Anmeldedaten Zugriff auf produktionskritische Systeme ermöglichen.

Für Vermeer gab die Einführung von MFA auf Netzwerkebene dem Sicherheitsteam das Vertrauen, den Schutz des privilegierten Zugriffs zu verstärken und gleichzeitig die Stabilität zu gewährleisten, die seine rund um die Uhr aktive Fertigungsumgebung erfordert. Da sich Zero Networks nahtlos in die Umgebung von Mikron integrierte, ohne proprietäre Tools oder einen »Rip-and-Replace«-Ansatz, erreichte das Unternehmen den benötigten umfassenden Schutz, ohne Betriebsunterbrechungen zu riskieren. Mikron schloss die vollständige Einführung der Netzwerksegmentierung innerhalb weniger Wochen und mit einem Bruchteil des Aufwands ab, den GPOs erfordert hätten.

Cyberversicherung und Compliance-Anforderungen: Überprüfung des Schutzes

Im Industriesektor ist eine Cyberversicherung mittlerweile ein Muss, und Versicherer verlangen den Nachweis, dass Cybersicherheitsstrategien zu echter Resilienz führen. Cyberversicherer verlangen mittlerweile ausdrücklich eine Netzwerksegmentierung, und diese Vorgabe lässt sich mit arbeitsintensiven, veralteten Ansätzen immer schwerer erfüllen.

Steigende Anforderungen der Cyberversicherung haben auch bei Atlantic Constructors die Suche nach einer Mikrosegmentierungslösung vorangetrieben. Das Team musste seine allgemeine Sicherheitslage so stärken, dass sie einer genauen Prüfung standhalten würde.

Die Lösung: Eine cyber-resiliente Segmentierungsarchitektur

Durch die Einführung der identitätsbasierten Mikrosegmentierung konnte Atlantic Constructors die erforderlichen Nachweise zur Compliance erbringen, ohne für das Sicherheitsteam zusätzlichen manuellen Aufwand zu verursachen:

Die kontinuierliche, automatisierte Durchsetzung von Regeln liefert als Nebenprodukt des normalen Betriebs auditfähige Nachweise für die Segmentierung, sodass keine separaten Compliance-Maßnahmen erforderlich sind.
Da die Regeln standardmäßig den Zugriff mit den geringsten Berechtigungen durchsetzen, werden die Pfade, auf die Angreifer und Penetrationstester angewiesen sind, strukturell abgesperrt, noch bevor ein Test sie überhaupt aufspüren kann.
Echtzeit-Netzwerkkartierung zeigt den aktuellen Resilienzstatus auf und ermöglicht so einen aktuellen Einblick in die tatsächliche Risikoexposition.

»Nachdem wir Zero eingeführt hatten, beschlossen wir, einen weiteren Penetrationstest durchzuführen, um zu sehen, wie alles funktionierte. Dabei konnten wir buchstäblich keinen einzigen der getesteten Rechner kompromittieren. Wir führten dann einige Geschwindigkeitstests durch, und die Netzwerkleistung hat sich wahrscheinlich verdoppelt. Die Zuverlässigkeit stieg um 100 Prozent«, erläutert Jim Paolicelli, IT Director bei Atlantic Constructors.

Nachdem Penetrationstests die Wirksamkeit der Mikrosegmentierung bestätigten, ersetzte Atlantic Constructors schließlich mehrere Altsysteme durch eine einheitliche Lösung.

Integrierte Cyber-Resilienz und Stabilität der Lieferkette

Die Szenarien reichen von Ausfallrisiken aufgrund komplexer Implementierung bis hin zu Einschränkungen durch Altsysteme und darüber hinaus. Fertigungsunternehmen stehen seit langem vor Hürden bei der Mikrosegmentierung, die Initiativen zum Stillstand bringen. Ein automatisierter, identitätsgesteuerter Ansatz beseitigt diese Hindernisse. Dies ermöglicht es Unternehmen der Fertigungsindustrie, komplexe Umgebungen ebenso wie Alt-Systeme zu schützen und die betriebliche Resilienz innerhalb von Tagen – statt Jahren – zu steigern.

FAQ: Mikrosegmentierung in der Fertigung

Was ist Mikrosegmentierung?
Mikrosegmentierung unterteilt Umgebungen in kleine, logisch getrennte Schutzbereiche. Kommunikationsbeziehungen werden gezielt erlaubt, damit ein kompromittiertes Konto oder System nicht automatisch weitere Ressourcen erreicht. CISA beschreibt sie als wichtigen Bestandteil von Zero Trust, der Angriffsfläche und laterale Bewegungen reduziert. [1]
Worin unterscheidet sie sich von klassischer Netzwerksegmentierung?
Klassische Segmentierung trennt meist größere Netzbereiche über VLANs, Subnetze oder Firewalls. Mikrosegmentierung setzt feiner an einzelnen Ressourcen, Workloads, Identitäten und Kommunikationspfaden an. NIST betont dabei den Schutz von Ressourcen statt ein implizites Vertrauen in den Netzwerkstandort. [2]
Warum ist das Thema für Fertigungsunternehmen besonders relevant?
OT-Systeme steuern physische Prozesse und müssen Sicherheit, Verfügbarkeit und Zuverlässigkeit gleichzeitig erfüllen. Die zunehmende Vernetzung von IT und OT erweitert mögliche Angriffspfade. CISA empfiehlt deshalb unter anderem umfassende Asset-Transparenz, starke Identitätskontrollen, sichere Kommunikation und mehrschichtige Segmentierung. [3]
Ist Mikrosegmentierung gleichbedeutend mit Zero Trust?
Nein. Zero Trust ist ein Architektur- und Steuerungsprinzip ohne implizites Vertrauen; Mikrosegmentierung ist ein technischer Ansatz, um dieses Prinzip für definierte Ressourcen und Verkehrsbeziehungen umzusetzen. NIST nennt neben Mikrosegmentierung weitere Bereitstellungsansätze. [2] [4]
Kann Mikrosegmentierung in gewachsenen OT-Umgebungen eingeführt werden?
Ja, aber nur schrittweise und auf Basis belastbarer Bestands- und Verkehrskenntnis. Die gemeinsame OT-Leitlinie von CISA und Partnerbehörden hebt Legacy-Infrastruktur, Betriebsgrenzen und Safety-Anforderungen ausdrücklich als Besonderheiten hervor. [3]
Welche Rolle spielt eine Lern- oder Beobachtungsphase?
Sie schafft eine belastbare Ausgangsbasis: Systeme, Dienste und Kommunikationsflüsse werden erfasst, bevor Regeln erzwungen werden. NIST beschreibt Discovery und die fortlaufende Validierung beobachteter Netzwerkflüsse als wichtige Grundlage für Zero-Trust-Richtlinien. [4]
Wie ergänzt Just-in-Time-MFA die Segmentierung?
Mikrosegmentierung begrenzt erreichbare Ziele; Just-in-Time-MFA prüft privilegierte Zugriffe unmittelbar vor der Freigabe und hält das Zeitfenster eng. Das entspricht dem Zero-Trust-Grundsatz, Subjekt und Gerät vor einer Sitzung zu authentifizieren und zu autorisieren. [2]
Welche Kennzahlen sollte das Management verfolgen?
Sinnvoll sind unter anderem der Anteil inventarisierter Assets, abgedeckte kritische Kommunikationspfade, blockierte unerlaubte Verbindungen, Ausnahmen, Regeländerungen, privilegierte Freigaben sowie Ergebnisse kontrollierter Tests. Entscheidend ist die Verbindung zu Geschäftsrisiken wie Produktionsunterbrechung, Wiederanlaufzeit und Lieferfähigkeit.
Unterstützt Mikrosegmentierung NIS2 und Audits?
Sie kann technische und organisatorische Risikomaßnahmen sowie nachvollziehbare Zugriffskontrollen unterstützen. NIS2 erweitert in der EU unter anderem Anforderungen an Risikomanagement, Lieferkettensicherheit, Schwachstellenmanagement, Cyberhygiene und Meldungen; die konkrete Betroffenheit und Nachweisführung muss jedoch organisationsbezogen geprüft werden. [5]
Was ist ein pragmatischer Einstieg?
Mit einem klar abgegrenzten, geschäftskritischen Produktionsbereich beginnen: Assets und Abhängigkeiten erfassen, Kommunikationsflüsse beobachten, Soll-Regeln definieren, zunächst im Test- oder Beobachtungsmodus validieren und erst danach kontrolliert durchsetzen. CISA empfiehlt für die Planung, Konzepte, Herausforderungen und mögliche Vorteile vor der technischen Umsetzung zu klären. [1]

Quellen

[1] CISA: Microsegmentation in Zero Trust – Part One: Introduction and Planning, 29. Juli 2025: https://www.cisa.gov/resources-tools/resources/microsegmentation-zero-trust-part-one-introduction-and-planning
[2] NIST SP 800-207: Zero Trust Architecture, August 2020: https://csrc.nist.gov/pubs/sp/800/207/final
[3] CISA und Partner: Adapting Zero Trust Principles to Operational Technology, April 2026: https://www.cisa.gov/sites/default/files/2026-04/joint-guide-adapting-zero-trust-principles-to-operational-technology_508c.pdf?_hsenc=p2ANqtz–Ze3N3qhSA3MUm-Tq0BCQEbrPIJIFpUVSoc3pdFomio8KPc1V23jWNE14BPM9j0KSXWK8M
[4] NIST: Implementing a Zero Trust Architecture – Architecture and Builds: https://pages.nist.gov/zero-trust-architecture/VolumeB/architecture.html
[5] ENISA: NIS Directive 2: https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/cybersecurity-policies/nis-directive-2
[6] IBM: Cost of a Data Breach Report 2026: https://www.ibm.com/reports/data-breach.

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

164 Artikel zu „Mikrosegmentierung“

Favoriten der Redaktion | IT-Security | News | Services | Strategien | Tipps

Mikrosegmentierung: Neue Strategie für Prävention, Resilienz und Sicherheit

14. März 2026

Mittels automatisierter Mikrosegmentierung können Unternehmen die möglichen Folgen eines Cyberangriffs effizient und effektiv eindämmen. Zero Networks analysierte über einen Zeitraum von zwölf Monaten (Dezember 2024 bis Dezember 2025) etwa 3,4 Billionen Aktivitäten in 400 Unternehmensumgebungen. Ziel war es, zu verstehen, wie sich erfolgreiche Cyberangriffe nach dem ersten Zugriff weiterentwickeln. Das Ergebnis: Die gefährlichsten Aktivitäten…