Firewalls, Virenschutz und Schulungen verringern die Wahrscheinlichkeit eines erfolgreichen Angriffs – auf null bringen sie sie nicht. Eine einzige überzeugende Phishing-Mail oder eine ungepatchte Schwachstelle genügt, und ein Angreifer steht im Netz. Dann zählt nur noch eine Frage: Wie weit kommt er von dort aus?
In flachen Netzen fällt die Antwort unangenehm aus, denn ein einzelner kompromittierter Rechner öffnet dort den Weg zu Servern, Datenbanken und Backups. Breach Containment setzt genau hier an: Der Ansatz akzeptiert, dass Kompromittierungen vorkommen, und verhindert, dass aus einem infizierten System ein flächendeckender Ausfall wird.
Was ist Breach Containment?
Breach Containment bezeichnet Architektur und Maßnahmen, die einen erfolgreichen Einbruch räumlich eingrenzen. Der Begriff folgt dem Assume-Breach-Prinzip: Sicherheitsverantwortliche planen so, als hätte ein Angreifer bereits Fuß gefasst. Aus dieser Perspektive wandert der Fokus von der reinen Prävention an der Außengrenze zur Kontrolle der Bewegungen im Inneren.
Das zentrale Werkzeug ist Segmentierung: Sie zerlegt das Netzwerk in kleine, voneinander isolierte Zonen, deren Kommunikation über Richtlinien geregelt ist. Beim Ringfencing wird diese Idee auf einzelne kritische Anwendungen zugespitzt – um ein ERP-System, eine Produktionssteuerung oder die Backup-Umgebung entsteht ein enger Schutzring, der ausschließlich die dokumentiert notwendigen Verbindungen zulässt. Alles andere wird blockiert, gleichgültig, woher die Anfrage kommt.
Funktionsweise
Wirksame Eindämmung entsteht aus mehreren Bausteinen, die aufeinander aufsetzen:
- Sichtbarkeit schaffen: Am Anfang steht eine Karte aller Kommunikationsbeziehungen zwischen den Systemen. Nur wer weiß, welche Verbindungen der Betrieb wirklich benötigt, kann den Rest gezielt unterbinden.
- Segmente festlegen: Anwendungen und Systeme werden nach Funktion und Kritikalität gruppiert. Zwischen den Segmenten gelten restriktive Regeln nach dem Least-Privilege-Prinzip: Erlaubt ist, was nachweislich gebraucht wird.
- Kritische Systeme ringfencen: Kronjuwelen wie Verzeichnisdienste, Backups und zentrale Datenbanken bekommen eigene, besonders enge Schutzringe. Gerade die Backups entscheiden nach einem Ransomware-Angriff über die Wiederherstellbarkeit.
- Notfallschalter vorbereiten: Für den Ernstfall liegen Sperrregeln bereit, die sich sofort scharfschalten lassen – etwa die Isolation eines Standorts oder einer ganzen Umgebung. Eindämmung schrumpft damit von stundenlanger Handarbeit auf eine einzelne Entscheidung.
- Laufend nachschärfen: Netzwerke verändern sich ständig. Neue Anwendungen, Cloud-Workloads und Schnittstellen fließen fortlaufend in die Regelwerke ein, damit die Eindämmung wirksam bleibt.
Warum es wichtig ist
- Prävention allein reicht nicht: Zugangsdaten werden gestohlen, Zero-Day-Lücken existieren vor jedem Patch. Eindämmung greift auch dann, wenn die vorgelagerte Abwehr versagt.
- Der Schaden hängt am Radius: Ob Ransomware eine Handvoll Systeme verschlüsselt oder ganze Standorte, bestimmt die Dauer des Wiederanlaufs. Containment begrenzt diesen Radius, bevor der Angriff geschieht.
- Laterale Bewegung ist das Kernproblem: Angreifer landen selten direkt am Ziel, sondern arbeiten sich von einem unauffälligen Einstiegspunkt zu den wertvollen Systemen vor. Segmentierung kappt genau diese Wege.
- Regulatorik fordert Begrenzung: NIS2 und DORA verlangen die Aufrechterhaltung des Betriebs auch während eines Vorfalls. Nachweisbare Eindämmungsfähigkeit ist dafür ein zentraler Baustein.
- Bessere Versicherbarkeit: Cyber-Versicherer bewerten die Ausbreitungsgefahr im Netz. Wer Containment belegen kann, verhandelt aus einer stärkeren Position.
Typische Szenarien
Das Standardszenario ist Ransomware: Ein Angreifer übernimmt per Phishing einen Arbeitsplatz und versucht anschließend, Server und Backups zu erreichen. In einem segmentierten Netz endet dieser Weg an der nächsten Zonengrenze – verschlüsselt wird schlimmstenfalls das Segment des Einstiegspunkts, der Rest des Unternehmens arbeitet weiter.
Ein zweites Szenario sind kompromittierte Dienstleisterzugänge. Fernwartungszugänge von Lieferanten sind ein beliebtes Einfallstor, weil sie oft breiter berechtigt sind als nötig. Ringfencing stellt sicher, dass ein externer Zugang ausschließlich die Systeme erreicht, für die er eingerichtet wurde.
Auch Altsysteme profitieren: Eine Produktionsmaschine mit veraltetem Betriebssystem lässt sich häufig weder patchen noch ersetzen. In einem engen Segment bleibt ihre Schwachstelle zwar bestehen, wird für Angreifer aber praktisch unerreichbar. In der Praxis setzen viele Organisationen solche Regelwerke mit spezialisierten Dienstleistern um, etwa als gemanagte Mikrosegmentierung – von der Verkehrsanalyse bis zur vorbereiteten Notfallisolation.
Abgrenzung zu Incident Response
Incident Response ist der Gesamtprozess für den Umgang mit einem Vorfall: von der Erkennung über Analyse und Eindämmung bis zu Wiederherstellung und Nachbereitung. Breach Containment ist darin ein Baustein mit einer Besonderheit – es wirkt, bevor Menschen reagieren. Während das Incident-Response-Team alarmiert wird und die Lage bewertet, hat eine segmentierte Architektur die Ausbreitung bereits gebremst.
Containment ist die bauliche Vorsorge, Incident Response das organisierte Handeln im Ereignisfall. Ihre volle Wirkung entfalten beide zusammen: Die Architektur verschafft dem Team Zeit, und das Team nutzt die vorhandenen Kontrollpunkte für die gezielte Isolation betroffener Bereiche.
Häufige Fragen
Was heißt Assume Breach in der Praxis?
Assume Breach ist eine Planungshaltung: Sicherheitsmaßnahmen werden so ausgelegt, als stünde ein Angreifer bereits im Netzwerk. Daraus folgen konkrete Konsequenzen – strenge interne Zugriffsregeln, Segmentierung zwischen Systemen und die Überwachung des internen Datenverkehrs. Der Ansatz ersetzt keine Prävention, sondern ergänzt sie um die Frage der Schadensbegrenzung.
Was ist Ringfencing?
Ringfencing legt einen engen Schutzring um eine einzelne kritische Anwendung oder Umgebung, etwa das ERP-System oder die Backup-Infrastruktur. Zugelassen sind ausschließlich die dokumentiert notwendigen Verbindungen zu definierten Gegenstellen. Selbst ein Angreifer, der sich bereits im Netz bewegt, findet so keinen offenen Pfad zu den wichtigsten Systemen der Organisation.
Macht Breach Containment klassische Prävention überflüssig?
Nein. Firewalls, Patch-Management und Awareness bleiben notwendig, weil sie die Zahl der Vorfälle senken. Containment übernimmt dort, wo Prävention endet: beim Angriff, der trotzdem durchkommt. Beide Ebenen zusammen ergeben eine gestaffelte Verteidigung, in der ein einzelner Fehler kein Gesamtversagen mehr auslöst.
Wie schnell wirkt Breach Containment im Ernstfall?
Sofort – das ist der zentrale Vorteil. Segmentierungsregeln gelten dauerhaft und bremsen einen Angreifer schon in den ersten Minuten, während die Alarmierung noch läuft. Vorbereitete Notfallregeln verschärfen die Isolation anschließend auf Knopfdruck, etwa durch das Abriegeln eines Standorts. Die Reaktionszeit sinkt von Stunden manueller Arbeit auf eine einzelne Entscheidung.
Wo beginnt man mit Breach Containment am besten?
Mit Sichtbarkeit: Eine Analyse der realen Kommunikationsbeziehungen zeigt, welche Systeme miteinander sprechen und welche Verbindungen niemand mehr erklären kann. Darauf folgt das Ringfencing der kritischsten Anwendungen, typischerweise Backups und zentrale Verzeichnisdienste. Dieser Einstieg bringt schnellen Schutzgewinn, ohne den laufenden Betrieb zu gefährden, und lässt sich schrittweise ausbauen.