Was ist eine DMZ?
Eine DMZ (demilitarisierte Zone) ist ein eigener Netzwerkbereich zwischen Internet und internem Firmennetz. Dort stehen Systeme, die von außen erreichbar sein müssen, ohne dass Angreifer darüber direkt ins Büronetz gelangen.
Der militärische Name beschreibt das Prinzip gut: eine Pufferzone, die beide Seiten nur kontrolliert betreten dürfen. Für viele kleine Firmen ist sie heute seltener nötig als früher – aber dort, wo eigene Server von außen erreichbar sind, bleibt sie wichtig.
Aufbau und Logik
Die Firewall bildet drei Zonen: Internet, DMZ und internes LAN. Aus dem Internet ist nur die DMZ erreichbar, und auch dort nur bestimmte Dienste. Aus der DMZ ins interne Netz gibt es keine oder nur sehr eng begrenzte Verbindungen. Wird ein Server in der DMZ kompromittiert, steht der Angreifer immer noch vor einer weiteren Barriere.
Wann ein Betrieb eine DMZ einrichtet
Ein Zulieferer betreibt einen eigenen Dateiaustausch-Server für Kunden, die Zeichnungen hochladen. Dieser Server muss aus dem Internet erreichbar sein. Steht er im internen Netz, öffnet jede Sicherheitslücke darin die Tür zu Buchhaltung und Konstruktion. In der DMZ dagegen ist er isoliert. Ähnliches gilt für einen selbst betriebenen Mailserver oder ein Kundenportal.
Worauf es ankommt
Regeln zwischen den Zonen sollten so knapp wie möglich sein und dokumentiert werden. Systeme in der DMZ brauchen besonders konsequentes Patchen und Überwachung. Wer keine eigenen öffentlich erreichbaren Server mehr betreibt, weil Mail und Dateien in der Cloud liegen, braucht oft keine DMZ – dafür gewinnen Konzepte wie Zero Trust an Gewicht. Grundlagen zur Auswahl beschreibt der Ratgeber Firewall für kleine Unternehmen.
Nicht dasselbe wie ein Gastnetz
Ein separates WLAN für Besucher trennt ebenfalls Bereiche, dient aber dem Schutz vor fremden Geräten im Haus, nicht der Veröffentlichung von Diensten nach außen.
Passt oft dazu
Server von außen erreichbar?
Zonen, Regeln und Wartung der Firewall gehören zu unserer Leistung Firewall.