Neu strukturierte technische Unternehmensinfrastruktur

Netzwerk, Server, Gateway, Firewall, Proxy, DMZ und Planungs-Inputs

Diese Version ist klarer aufgebaut: zuerst Zielbild, dann Planungs-Input-Canvas, danach Erklärung der einzelnen Bausteine und ein konkretes Vorgehen.

Canvasdirekt eingebettet
StrukturZiel → Inputs → Design
Fokusverständlich erklärt
OutputPlan + Roadmap

Inhaltsverzeichnis

  1. Zielarchitektur
  2. Planungs-Input-Canvas
  3. Canvas erklärt
  4. Datenflüsse erklärt
  5. Zonenmodell erklärt
  6. DMZ, Proxy, Firewall und Gateway
  7. Server, Cloud und Benutzerbereiche
  8. Backup, Monitoring und Betrieb
  9. Schritt-für-Schritt-Vorgehen
  10. Beispielaufbau
  11. Glossar
↑ oben

1. Zielarchitektur

Die Zielarchitektur zeigt die technische Infrastruktur von außen nach innen: Internet, Perimeter, DMZ, interne Zonen, Benutzer, Cloud und Standorte.

Zielarchitektur: typische technische Unternehmensinfrastruktur Von außen nach innen: Internet → Perimeter → DMZ → interne Zonen → Benutzer, Cloud und Standorte Internet Kunden Partner, Web Perimeter Firewall NAT, VPN Gateway ISP/WAN DMZ Reverse Proxy WAF/TLS Public App API/SFTP/Mail Interne Zonen Server VLAN AD, DNS, Files App/DB VLAN ERP, CRM, SQL Backup/Admin PAM, Restore Nutzer & Cloud Clients PCs, Notebooks Cloud M365, Azure, AWS Standorte VPN, SD-WAN
Grundsatz: Externe Zugriffe dürfen nicht direkt ins interne Netz. Sie laufen über kontrollierte Zonen wie DMZ, Reverse Proxy, VPN/ZTNA und Firewall-Regeln.
↑ oben

2. Planungs-Input-Canvas

Dieses Canvas sammelt alle Informationen, bevor Netzwerk, Firewall, Server oder Cloud technisch geplant werden. Es ist direkt in diese HTML-Datei eingebettet, damit das Bild nicht fehlen kann.

Planungs-Input-Canvas Alle Informationen, die vor dem technischen Architekturdesign geklärt werden müssen Zweck des Canvas Dieses Canvas verhindert, dass Netzwerk, Firewall, Server oder Cloud zu früh geplant werden. Zuerst werden Anforderungen, Risiken, Datenflüsse, Zuständigkeiten und Wiederherstellungsziele gesammelt. 1 Unternehmen & Nutzung □ Anzahl Mitarbeitende und Geräte □ Standorte, Filialen, Produktion, Lager □ Homeoffice, Außendienst, Partnerzugang □ Arbeitszeiten, 24/7, Wartungsfenster □ Kritische Geschäftsprozesse □ Budget und interne IT-Kompetenz 2 Anwendungen & Daten □ ERP, CRM, Files, Mail, Datenbanken □ On-Premise, Cloud oder hybrid □ Öffentliche Webdienste oder APIs □ Datenklassifizierung und Schutzbedarf □ Performance, Latenz, Verfügbarkeit □ RTO und RPO je Anwendung 3 Netzwerk & Standorte □ IP-Plan, VLANs und Subnetze □ Firewalls, Router, Switches, WLAN □ Internetprovider und Bandbreite □ VPN, SD-WAN, MPLS, Cloud Connect □ Drucker, Kameras, VoIP, IoT □ vorhandene Netzwerkdokumentation 4 Security & Zugriff □ MFA für Cloud, VPN und Admins □ Rollen-, Gruppen- und Rechtekonzept □ Adminrechte und privilegierte Konten □ EDR, MDM und Patchmanagement □ Firewall-Regeln und Ausnahmen □ externe Dienstleisterzugänge 5 Betrieb & Monitoring □ Verantwortliche und Eskalation □ Monitoring, Logging, SIEM oder SOC □ SLAs, Reaktionszeiten, Wartung □ Asset Inventory und IPAM □ Change Management und Ticket-System □ Runbooks und Betriebsdokumentation 6 Backup & Notfall □ Backup-Umfang und Frequenz □ offline, offsite oder immutable Backups □ letzter Restore-Test mit Ergebnis □ Notfallkontakte und Rollen □ Wiederanlauf-Reihenfolge □ Ransomware-Szenario geplant? Architekturentscheidungen □ Welche Systeme dürfen öffentlich erreichbar sein? □ Welche Systeme gehören in DMZ, Servernetz, Appnetz, Datenbanknetz oder Cloud? □ Welche Datenflüsse müssen erlaubt, eingeschränkt oder blockiert werden? □ Welche Systeme brauchen Redundanz, Monitoring und schnelle Wiederherstellung? □ Welche Risiken akzeptiert das Unternehmen nicht? Output nach dem Workshop Netzwerkplan · Zonenmodell · VLAN/IP-Plan · Datenflussmatrix · Firewall-Regelmatrix Backup-/Restore-Konzept · Remote-Access-Konzept · Monitoring-Konzept · Umsetzungsroadmap
↑ oben

3. Canvas erklärt

1. Unternehmen & Nutzung

Hier wird geklärt, wie das Unternehmen arbeitet: Mitarbeitende, Standorte, Homeoffice, Produktion, kritische Prozesse und 24/7-Bedarf. Das bestimmt Größe, Redundanz und Sicherheitsniveau.

2. Anwendungen & Daten

Hier werden ERP, CRM, Files, Mail, Datenbanken, Kundenportale und Cloud-Dienste bewertet. Kritische und sensible Daten brauchen stärkere Schutzmaßnahmen.

3. Netzwerk & Standorte

Hier werden IP-Netze, VLANs, Router, Firewalls, Switches, WLAN und Standortverbindungen aufgenommen. Ohne diese Basis entstehen später Konflikte und unsichere Freigaben.

4. Security & Zugriff

Hier geht es um MFA, Rollen, Adminrechte, EDR, Patchmanagement und externe Zugänge. Ziel ist: nur notwendige Rechte, klare Verantwortliche und nachvollziehbare Zugriffe.

5. Betrieb & Monitoring

Hier wird geklärt, wer Systeme betreibt, wer Alarme sieht, welche SLAs gelten und wie Änderungen dokumentiert werden. Ohne Betriebskonzept bleibt die Architektur theoretisch.

6. Backup & Notfall

Hier wird geprüft, ob Daten wirklich wiederherstellbar sind. Entscheidend sind Backup-Umfang, Restore-Test, immutable/offline Kopie und Wiederanlauf-Reihenfolge.

Was kommt nach dem Canvas?

OutputErklärung
Netzwerkplanzeigt Standorte, Netze, Firewalls, Switches, Server und Cloud-Verbindungen
Zonenmodelldefiniert Internet, DMZ, Client, Server, App, DB, Admin, Backup, Guest und IoT
VLAN/IP-Planlegt fest, welche IP-Bereiche und VLANs genutzt werden
Datenflussmatrixbeschreibt Quelle, Ziel, Port, Zweck und Owner
Firewall-Regelmatrixübersetzt Datenflüsse in kontrollierte Firewall-Regeln
Backup-Konzeptdefiniert RTO, RPO, Restore-Test und Schutz gegen Ransomware
Roadmappriorisiert Umsetzung in sinnvollen Phasen
↑ oben

4. Datenflüsse erklärt

Ein Datenfluss beschreibt, wer mit welchem System über welchen Dienst kommunizieren darf. Gute Infrastrukturplanung beginnt mit Datenflüssen, nicht mit Geräten.

Datenfluss-Beispiele Datenflüsse erklären, welche Verbindung erlaubt ist und warum A. Kunde öffnet Webportal KundeInternet Firewall443 erlaubt WAFprüft Anfrage AppDMZ/Appnetz DBnur App-Port B. Mitarbeiter arbeitet remote NotebookHomeoffice VPN/ZTNAMFA IdentityRolle App/Fileerlaubt LoggingAudit C. Administrator wartet Server Admin PCAdmin VLAN PAM/MFAFreigabe BastionJump Host ServerRDP/SSH SIEMAlarm/Log

Beispiel A: Kunde öffnet Webportal

Kunde → Firewall → WAF/Reverse Proxy → Anwendung → Datenbank. Die Datenbank ist nie direkt aus dem Internet erreichbar.

Beispiel B: Mitarbeiter arbeitet remote

Notebook → VPN/ZTNA → MFA/Identity → erlaubte Anwendung → Logging. Der Benutzer bekommt nicht automatisch Zugriff auf das gesamte interne Netz.

Beispiel C: Administrator wartet Server

Admin-PC → PAM/MFA → Bastion → Server → SIEM. Adminzugriffe laufen kontrolliert, getrennt und protokolliert.

↑ oben

5. Zonenmodell erklärt

Ein Zonenmodell trennt Bereiche nach Risiko und Aufgabe. So wird verhindert, dass ein einzelnes kompromittiertes Gerät sofort das gesamte Unternehmen gefährdet.

ZoneZweckBeispiel
Internetexterne WeltKunden, Partner, Homeoffice
PerimeterGrenze zum UnternehmenFirewall, Router, VPN
DMZöffentliche DiensteReverse Proxy, WAF, SFTP
Client VLANBenutzergerätePCs, Notebooks
Server VLANBasisdiensteAD, DNS, DHCP, Files
App VLANAnwendungenERP, CRM, interne Apps
DB VLANDatenbankenSQL, PostgreSQL
Admin VLANAdministrationAdmin-PCs, PAM, Bastion
Backup VLANWiederherstellungBackupserver, Repository
Guest VLANGästenur Internet
IoT VLANGeräteDrucker, Kameras, Sensoren
↑ oben

6. DMZ, Proxy, Firewall und Gateway

DMZ

Zwischenzone für Dienste, die von außen erreichbar sein müssen. Sie schützt interne Systeme vor direkter Exposition.

Forward Proxy

Kontrolliert ausgehenden Internetzugriff von Mitarbeitenden: Webfilter, Malwareprüfung, Logging und Richtlinien.

Reverse Proxy

Nimmt externe Anfragen an, verwaltet TLS, kann WAF nutzen und leitet geschützt an interne Anwendungen weiter.

Firewall

Erlaubt oder blockiert Verkehr anhand von Quelle, Ziel, Port, Zweck, Owner, Logging und Review-Datum.

Beispiel einer guten Firewall-Regel

FeldBeispiel
QuelleReverse Proxy DMZ
ZielApp Server
DienstTCP 443
ZweckKundenportal
OwnerApp-Verantwortlicher
Loggingaktiviert
Reviewalle 90 Tage
↑ oben

7. Server, Cloud und Benutzerbereiche

BereichAufgabe
AD / IdentityBenutzer, Gruppen, Anmeldung und Rechte
DNSNamen in IP-Adressen übersetzen
DHCPIP-Adressen automatisch vergeben
File ServerDateien speichern und bereitstellen
App ServerFachanwendungen bereitstellen
Datenbankstrukturierte Daten speichern
CloudSaaS, IaaS, Identität, Backup oder Anwendungen

Auch Cloud braucht Sicherheitsdesign: MFA, Rollenmodell, Logging, Backup, Adminschutz und klare Richtlinien.

↑ oben

8. Backup, Monitoring und Betrieb

Backup

Schützt vor Löschen, Hardwaredefekt, Ransomware und Fehlkonfiguration. Wichtig sind Restore-Tests, immutable/offline Kopien und Wiederanlauf-Reihenfolge.

Monitoring

Prüft, ob Systeme erreichbar und gesund sind: CPU, RAM, Festplatte, Dienste, Internet, Firewall, Backup-Jobs.

Logging

Speichert Ereignisse: Anmeldungen, fehlgeschlagene Logins, Firewall-Blocks, Adminänderungen, Malware-Funde.

Betrieb

Regelt Verantwortliche, Wartungsfenster, Tickets, Change Management, Dokumentation, Notfallkontakte und Reviews.

↑ oben

9. Schritt-für-Schritt-Vorgehen

  1. Ist-Aufnahme: Geräte, Server, Anwendungen, Cloud, IP-Netze, VLANs, Firewall-Regeln und Backups erfassen.
  2. Kritikalität bewerten: geschäftskritische Systeme, sensible Daten, RTO/RPO und Abhängigkeiten bestimmen.
  3. Zonenmodell bauen: Client, Server, App, DB, Admin, Backup, Guest, IoT, DMZ und Cloud definieren.
  4. Datenflüsse definieren: Quelle, Ziel, Port, Zweck, Owner, Logging und Review dokumentieren.
  5. Umsetzung planen: VLANs, Firewalls, DMZ, Remote Access, Backup und Monitoring priorisieren.
  6. Testen: Zugriff, Blockierungen, Restore, Monitoring und Notfallablauf prüfen.
  7. Dokumentieren: Netzwerkplan, IP-Plan, Regelmatrix, Notfallplan und Betriebsdoku aktuell halten.
↑ oben

10. Beispiel: kleines bis mittleres Unternehmen

Minimal sinnvoll

  • Business Firewall
  • getrenntes Client- und Gäste-WLAN
  • VLANs für Clients, Server, Gäste und Management
  • MFA für Cloud und VPN
  • EDR auf Endgeräten
  • Backup mit Restore-Test
  • einfache Netzwerkdokumentation

Solider Aufbau

  • redundante Firewall
  • DMZ mit Reverse Proxy/WAF
  • VLANs für Client, Server, App, DB, Admin, Backup, Guest und IoT
  • Adminzugriff über Bastion oder PAM
  • zentrales Logging und Monitoring
  • immutable oder offline Backup
  • Notfall- und Wiederanlaufplan
↑ oben

11. Glossar

BegriffErklärung
GatewayÜbergang zwischen Netzwerken
RouterGerät, das Daten zwischen Netzen weiterleitet
Firewallkontrolliert Netzwerkverkehr nach Regeln
DMZZwischenzone für öffentlich erreichbare Dienste
ProxyVermittler zwischen Client und Zielsystem
Forward Proxykontrolliert ausgehende Internetzugriffe
Reverse Proxyschützt interne Webanwendungen vor externen Zugriffen
WAFWeb Application Firewall
VLANlogisch getrenntes Netzwerk
NATÜbersetzung privater IP-Adressen nach außen
VPNverschlüsselte Verbindung für Remote- oder Standortzugriff
ZTNAZero Trust Network Access
MFAAnmeldung mit zusätzlichem Faktor
EDRSchutz und Angriffserkennung auf Endgeräten
SIEMzentrale Sammlung und Analyse von Sicherheitslogs
SOCTeam oder Dienstleister zur Sicherheitsüberwachung
PAMKontrolle privilegierter Adminzugriffe
Bastion HostSprungserver für Administration
RTOmaximale Wiederherstellungszeit
RPOmaximal akzeptabler Datenverlust
Immutable BackupBackup, das nicht verändert oder gelöscht werden kann
IPAMVerwaltung von IP-Adressen und Netzen
Asset InventoryListe aller IT-Systeme und Verantwortlichen
Least Privilegenur notwendige Rechte vergeben
Zero Trustjeder Zugriff wird geprüft, auch intern
⌂ Cockpit