Technische Unternehmensinfrastruktur – ausführlich erklärt

Ziel: Dieses Dokument erklärt den typischen technischen Aufbau eines Unternehmensnetzwerks: Netzwerk, Server, Gateway, Firewall, DMZ, Proxy, VLANs, VPN/Zero Trust, Backup, Monitoring und Betrieb. Es ist als Lern- und Planungsunterlage gedacht.

1. Grundidee

Technische Infrastruktur ist das digitale Fundament eines Unternehmens. Sie sorgt dafür, dass Mitarbeitende arbeiten können, Anwendungen erreichbar sind, Daten geschützt werden und bei Ausfällen eine Wiederherstellung möglich ist.

Eine gute Infrastruktur beantwortet vier Fragen:

Wichtig ist: Eine Infrastruktur soll nicht nur verbinden, sondern kontrolliert verbinden. Nicht jedes Gerät darf jedes andere Gerät erreichen.

2. Wie man die Architektur liest

Eine Unternehmensarchitektur kann man wie ein Gebäude verstehen:

Merksatz: Je wertvoller ein Bereich ist, desto stärker muss er getrennt, überwacht und eingeschränkt werden.

3. Gesamtarchitektur erklärt

Was passiert von außen nach innen?

1. Ein Zugriff kommt aus dem Internet.
2. Der Router oder das Provider-Gateway nimmt die Verbindung an.
3. Die Edge Firewall prüft Quelle, Ziel, Port und Regelwerk.
4. Öffentliche Dienste werden in die DMZ geleitet.
5. Interne Dienste liegen hinter weiteren Regeln oder internen Firewalls.
6. Clients, Server, Admins, Backups, IoT und Gäste werden getrennt.

Warum diese Trennung?

Ohne Trennung entsteht ein flaches Netzwerk. In einem flachen Netzwerk kann sich ein Angriff oft schnell ausbreiten. Mit Zonen wird festgelegt:

• Gäste dürfen nur ins Internet.
• Clients dürfen nicht direkt auf Datenbanken.
• Adminzugriffe laufen nur aus Adminzonen.
• Backups sind von normalen Benutzerrechten getrennt.
• DMZ-Systeme dürfen nur definierte interne Ziele erreichen.

Typische Zonen

4. Datenflüsse erklärt

Eine gute Architektur wird nicht nur nach Geräten geplant, sondern nach Datenflüssen.

Ein Datenfluss beantwortet:

• Wer ist die Quelle?
• Was ist das Ziel?
• Welcher Port oder Dienst wird genutzt?
• Warum ist der Zugriff nötig?
• Wer ist verantwortlich?
• Muss der Zugriff geloggt werden?
• Ist der Zugriff dauerhaft oder zeitlich begrenzt?

Beispiel: öffentliches Kundenportal

Der richtige Weg:

1. Kunde öffnet das Portal über HTTPS.
2. Die Edge Firewall erlaubt nur Port 443.
3. WAF oder Reverse Proxy prüft die Anfrage.
4. Die Anfrage wird an den App-Server weitergeleitet.
5. Der App-Server spricht mit der Datenbank über einen definierten Port.
6. Logs gehen an Monitoring oder SIEM.

Nicht empfohlen:

• Internet direkt auf internen Appserver.
• Internet direkt auf Datenbank.
• Any-to-any-Regeln auf der Firewall.

Beispiel: Remote-Mitarbeiter

Der richtige Weg:

1. Mitarbeiter nutzt VPN oder ZTNA.
2. Anmeldung erfolgt mit MFA.
3. Gerät wird geprüft.
4. Zugriff wird rollenbasiert erlaubt.
5. Zugriff wird geloggt.

Nicht empfohlen:

• VPN ohne MFA.
• Vollzugriff auf alle internen Netze.
• Zugriff von privaten, ungeprüften Geräten.

Beispiel: Adminzugriff

Der richtige Weg:

1. Admin nutzt separates Admin-Konto.
2. Anmeldung mit MFA.
3. Zugriff über Bastion Host oder PAM.
4. Zielserver erlaubt Adminzugriff nur aus Adminnetz.
5. Session wird protokolliert.

Nicht empfohlen:

• Serveradministration von normalem Benutzer-PC.
• Gemeinsame Admin-Konten.
• Keine Protokollierung privilegierter Aktionen.

5. VLANs und Zonen erklärt

Ein VLAN ist eine logische Trennung innerhalb eines Netzwerks. Mehrere VLANs können über dieselben Switches laufen, bleiben aber logisch getrennt.

Warum VLANs?

VLANs begrenzen Schaden und schaffen Ordnung:

• Gäste bleiben von internen Netzen getrennt.
• Drucker und IoT-Geräte werden isoliert.
• Datenbanken sind nicht direkt von Clients erreichbar.
• Adminsysteme sind nur aus geschützten Netzen erreichbar.
• Backups sind nicht frei aus dem Clientnetz erreichbar.

Typische VLANs

Wichtig

VLANs allein sind noch keine Sicherheit. Zwischen VLANs müssen Firewall-Regeln oder ACLs stehen. Sonst ist die Trennung nur organisatorisch, aber nicht sicher genug.

6. DMZ erklärt

DMZ bedeutet „Demilitarized Zone“. In der IT ist das eine Zwischenzone zwischen Internet und internem Netzwerk.

Warum braucht man eine DMZ?

Manche Dienste müssen von außen erreichbar sein:

• Website
• Kundenportal
• VPN Gateway
• Mail Gateway
• SFTP Gateway
• API Gateway
• Reverse Proxy
• WAF

Diese Systeme werden stärker exponiert als rein interne Systeme. Darum sollten sie nicht direkt im internen Netzwerk stehen.

Gute DMZ-Regel

Typischer Fehler

Ein häufiger Fehler ist eine direkte Portweiterleitung vom Internet auf einen internen Server. Besser ist ein Reverse Proxy oder eine WAF in der DMZ.

7. Proxy erklärt: Forward Proxy und Reverse Proxy

Forward Proxy

Ein Forward Proxy arbeitet für interne Benutzer. Er kontrolliert, wie Benutzer ins Internet gehen.

Beispiel:

Mitarbeiter → Forward Proxy → Internet

Typische Aufgaben:

• Webfilter
• Malwareprüfung
• Downloadkontrolle
• DLP-Regeln
• Protokollierung
• Sperren riskanter Kategorien

Reverse Proxy

Ein Reverse Proxy arbeitet für interne Anwendungen. Er nimmt externe Anfragen entgegen und leitet sie kontrolliert weiter.

Beispiel:

Internet → Reverse Proxy → Web-App

Typische Aufgaben:

• TLS-Zertifikate
• WAF
• URL-Routing
• Load Balancing
• Schutz interner Server
• zentrale Authentifizierung

Unterschied

8. Firewall erklärt

Eine Firewall ist nicht nur ein Gerät, sondern ein Regelwerk und ein Prozess.

Gute Firewall-Regeln haben

• Quelle
• Ziel
• Port oder Dienst
• Zweck
• Owner
• Freigabe
• Logging
• Ablaufdatum oder Review-Datum
• Change- oder Ticketnummer

Gute Regel

Schlechte Regel

Solche Regeln heben Sicherheitszonen auf und sollten vermieden werden.

9. Gateway, Router und NAT erklärt

Gateway

Ein Gateway ist ein Übergang zwischen Netzwerken. Ein Client nutzt meistens ein Default Gateway, um andere Netze oder das Internet zu erreichen.

Router

Ein Router leitet Pakete zwischen Netzwerken weiter. Er entscheidet anhand von Routingtabellen, wohin Verkehr geschickt wird.

NAT

NAT übersetzt private IP-Adressen in öffentliche IP-Adressen.

Beispiel:

• intern: 10.10.50.25
• nach außen sichtbar: öffentliche IP der Firewall

Typischer Weg

Client → Default Gateway → Firewall/Router → NAT → Internet

10. Serverlandschaft erklärt

Basisdienste

Anwendungsserver

Anwendungsserver betreiben ERP, CRM, Portale oder Fachsoftware. Sie sollten getrennt von Datenbanken und Clients betrieben werden.

Datenbanken

Datenbanken enthalten oft die wertvollsten Daten. Sie sollten besonders geschützt werden:

• kein direkter Internetzugriff
• Zugriff nur von App-Servern
• eigenes DB VLAN
• starke Authentifizierung
• regelmäßige Backups
• Monitoring und Alarmierung

11. Remote Access und Zero Trust erklärt

Klassisches VPN

Beim klassischen VPN bekommt ein Benutzer häufig Zugang zum internen Netzwerk. Das ist praktisch, aber riskant, wenn der Zugriff zu breit ist.

Zero Trust

Zero Trust bedeutet:

Jeder Zugriff wird geprüft, auch wenn der Benutzer bekannt ist.

Geprüft werden:

• Benutzeridentität
• MFA
• Gerätestatus
• Standort
• Risiko
• Rolle
• Anwendung
• Zeit

Zielbild

Nicht ideal:

Remote User → gesamtes Firmennetz

Besser:

Remote User → genau erlaubte Anwendung

12. Backup und Disaster Recovery erklärt

Backup bedeutet Datenkopie. Disaster Recovery bedeutet Wiederanlauf nach einem schweren Ausfall.

Wichtige Begriffe

Beispiel

ERP-System:

• RTO: 4 Stunden
• RPO: 30 Minuten

Das bedeutet: Das ERP muss innerhalb von 4 Stunden wieder verfügbar sein, und maximal 30 Minuten Datenverlust sind akzeptabel.

Warum Restore-Tests wichtig sind

Ein Backup ist nur dann wertvoll, wenn eine Wiederherstellung funktioniert. Darum müssen Restore-Tests regelmäßig durchgeführt und dokumentiert werden.

13. Monitoring, Logging und SIEM erklärt

Monitoring

Monitoring prüft, ob Systeme funktionieren:

• Server erreichbar?
• Festplatte voll?
• Backup erfolgreich?
• Internetleitung aktiv?
• Firewall HA aktiv?
• Zertifikat läuft bald ab?

Logging

Logging speichert Ereignisse:

• erfolgreiche und fehlgeschlagene Anmeldung
• Firewall blockiert Verbindung
• Admin ändert Regel
• EDR erkennt Malware
• Backup-Job schlägt fehl

SIEM

Ein SIEM sammelt sicherheitsrelevante Logs und erkennt Muster.

Beispiel:

Ein Benutzer meldet sich in Deutschland an und wenige Minuten später aus einem weit entfernten Land. Das SIEM kann einen Alarm erzeugen.

14. Planungs-Input-Canvas erklärt

Das Canvas hilft bei der Ist-Aufnahme. Bevor man Technik auswählt, müssen Anforderungen klar sein.

Warum das Canvas wichtig ist

Ohne gute Inputs entstehen falsche Entscheidungen:

• zu kleine Firewall
• fehlende VLANs
• kein Backup für Cloud-Daten
• keine MFA für Dienstleister
• keine Dokumentation der Datenflüsse
• keine Restore-Ziele

Ergebnis nach dem Workshop

Nach dem Canvas sollten vorhanden sein:

1. Netzwerkplan
2. IP- und VLAN-Plan
3. Zonenmodell
4. Datenflussmatrix
5. Firewall-Regelmatrix
6. Backup- und Restore-Konzept
7. Admin- und Remote-Access-Konzept
8. Monitoring- und Logging-Konzept
9. Roadmap

15. Typischer Aufbau nach Unternehmensgröße

16. Schritt-für-Schritt von Ist-Zustand zu Zielarchitektur

1. Inventarisieren: Geräte, Server, Anwendungen, Cloud, Benutzer, IP-Netze, Backups.
2. Kritikalität bewerten: Welche Systeme sind geschäftskritisch?
3. Zonen definieren: Client, Server, App, DB, Admin, Backup, DMZ, Guest, IoT.
4. Datenflüsse dokumentieren: Quelle, Ziel, Port, Zweck, Owner.
5. Regeln umsetzen: minimal, nachvollziehbar, geloggt.
6. Testen: Zugriff, Blockierung, Backup, Restore, Monitoring.
7. Dokumentieren: Pläne, Regelmatrix, Notfallplan und Betriebsanweisungen.
8. Regelmäßig prüfen: Firewall-Regeln, Backups, Adminrechte, Logs und Schwachstellen.

17. Beispielszenarien

Szenario A: Kundenportal veröffentlichen

Guter Weg:

DNS → Edge Firewall → WAF/Reverse Proxy → App → Datenbank

Nicht gut:

Internet → interner Server → Datenbank

Szenario B: Dienstleister braucht Zugriff

Guter Weg:

• eigener Benutzer
• MFA
• zeitlich begrenzter Zugang
• nur Zielsystem
• Session Logging
• Ablaufdatum

Nicht gut:

• gemeinsames Konto
• dauerhafter VPN-Zugang
• Zugriff auf gesamtes Netz

Szenario C: Gäste-WLAN

Guter Weg:

• eigenes VLAN
• nur Internet
• keine internen Netze
• Client Isolation
• optional Bandbreitenlimit

Nicht gut:

• Gäste im gleichen Netz wie Mitarbeitende

Szenario D: Ransomware-Vorbereitung

Guter Weg:

• EDR
• MFA
• reduzierte Adminrechte
• immutable/offline Backups
• Restore-Test
• SIEM-Alarme
• Notfallplan

Nicht gut:

• Backup mit normalen Domain-Adminrechten erreichbar
• Restore nie getestet

18. Entscheidungstabellen

Brauche ich eine DMZ?

Brauche ich einen Reverse Proxy?

Brauche ich ein Admin VLAN?

Brauche ich SIEM?

19. Großes Glossar mit einfachen Erklärungen

Kurze Zusammenfassung

Eine gute technische Infrastruktur ist ein kontrolliertes System aus Zonen, Identitäten, Datenflüssen, Regeln, Monitoring und Wiederherstellung. Die wichtigsten Prinzipien sind Segmentierung, minimale Rechte, MFA, saubere Firewall-Regeln, getestete Backups und klare Dokumentation.