Ein freier Netzwerkanschluss oder das WLAN-Kennwort genügt in vielen Unternehmensnetzen, um interne Systeme zu erreichen. Zugleich wächst die Zahl der Geräte, die niemand zentral verwaltet: Drucker, Kameras, Gebäudetechnik, private Smartphones.
Network Access Control beantwortet die Frage, die vor jeder weiteren Sicherheitsmaßnahme steht: Wer und was ist überhaupt mit dem Netz verbunden — und mit welcher Berechtigung? NAC ist deshalb weniger ein einzelnes Produkt als ein Ordnungsprinzip für den Netzzugang.
Was ist Network Access Control?
Network Access Control bezeichnet Verfahren, die den Zugang zum Netzwerk an Bedingungen knüpfen. Bevor ein Gerät kommunizieren darf, wird geprüft, wer es nutzt und ob es die Sicherheitsvorgaben des Unternehmens erfüllt. Auf Basis dieser Prüfung erhält das Gerät ein passendes Netzsegment mit definierten Rechten — oder die Verbindung wird verweigert. NAC greift damit an der frühesten möglichen Stelle, am kabelgebundenen Anschluss ebenso wie im WLAN.
Als Nebeneffekt entsteht ein fortlaufend aktualisiertes Verzeichnis aller verbundenen Geräte. Diese Sichtbarkeit macht NAC zur Grundlage für Inventarisierung und Segmentierung im lokalen Netz, denn nur bekannte Geräte lassen sich sinnvoll einordnen und wirksam beschränken. Die Durchsetzung übernimmt die vorhandene Infrastruktur: Switches und Access Points setzen um, was zentrale Richtlinien vorgeben.
Funktionsweise
- Authentifizierung über 802.1X: Das Endgerät weist sich mit einem Zertifikat oder mit Anmeldedaten aus. Switch oder Access Point leiten die Anfrage an einen zentralen RADIUS-Server weiter, der über den Zugang entscheidet.
- Geräteerkennung (Profiling): Systeme ohne 802.1X-Unterstützung, etwa Drucker oder Sensoren, werden anhand von Merkmalen wie MAC-Adresse und Kommunikationsverhalten erkannt und einer Geräteklasse zugeordnet.
- Zustandsprüfung: Vor der Freigabe bewertet NAC den Gerätezustand, darunter Patchstand und aktiven Endpoint-Schutz. Geräte, die die Vorgaben verfehlen, landen in einem Quarantänesegment mit Zugriff auf Update-Dienste.
- Dynamische Segmentzuweisung: Statt statischer Portkonfiguration erhält jedes Gerät nach der Prüfung automatisch das passende VLAN samt zugehöriger Zugriffsregeln.
- Gast- und BYOD-Portale: Besucher und private Geräte registrieren sich über ein Portal und bekommen zeitlich begrenzten Zugang in ein isoliertes Segment ohne Verbindung zu internen Systemen.
- Laufende Kontrolle: Ändert sich der Zustand eines Geräts, lässt sich die Freigabe im laufenden Betrieb entziehen oder anpassen.
Warum NAC wichtig ist
- Sichtbarkeit: NAC führt ein stets aktuelles Verzeichnis aller Geräte im Netz — einschließlich der Systeme, die nie ein Administrator eingerichtet hat.
- Kontrolle am Eintrittspunkt: Unbekannte oder manipulierte Geräte werden gestoppt, bevor sie interne Systeme erreichen. Das gilt auch für Angriffe aus dem Gebäude selbst, etwa über frei zugängliche Anschlüsse in Besprechungsräumen.
- Eindämmung von IoT-Risiken: Kameras, Sensoren, Displays und Gebäudetechnik erhalten eng begrenzte Segmente statt freier Sicht auf das gesamte Netz.
- Saubere Gästetrennung: Besucher und Dienstleister arbeiten in isolierten Bereichen, ohne dass jemand manuell Ports umkonfiguriert.
- Nachweisbarkeit: Wer wann mit welchem Gerät verbunden war, lässt sich belegen — ein wichtiger Baustein für Prüfungen nach ISO 27001 oder NIS-2.
Typische Einsatzszenarien
Seinen Nutzen entfaltet NAC überall dort, wo viele unterschiedliche Geräte auf gemeinsame Infrastruktur treffen:
- Campus und Bürostandorte: 802.1X sichert Kabelnetz und WLAN; verwaltete Geräte melden sich automatisch mit Zertifikaten an.
- Produktions- und OT-Bereiche: Maschinen und Steuerungen erhalten eigene Segmente; neue oder getauschte Komponenten fallen sofort auf.
- Empfangs- und Besucherbereiche: Gastzugänge mit Selbstregistrierung und Laufzeitbegrenzung ersetzen weitergereichte WLAN-Kennwörter.
- BYOD-Programme: Private Geräte greifen auf ausgewählte Dienste zu und bleiben vom internen Netz konsequent getrennt.
NAC und ZTNA im Vergleich
NAC und Zero Trust Network Access verfolgen ein ähnliches Ziel mit unterschiedlichem Ansatzpunkt. NAC kontrolliert den Zutritt zum Netzwerk selbst: Es wirkt am Anschluss des Standorts und bestimmt, in welchem Segment ein Gerät landet. ZTNA kontrolliert den Zugriff auf einzelne Anwendungen — unabhängig davon, aus welchem Netz die Anfrage kommt. Die Verbindung entsteht pro Sitzung anhand von Identität und Kontext, meist als Bestandteil einer SASE/SSE-Architektur. In der Praxis ergänzen sich beide Ansätze: NAC ordnet und schützt das lokale Netz mit seinen stationären Geräten, ZTNA regelt den Anwendungszugriff mobiler Nutzer von jedem Standort aus. Die Kombination kontrolliert Netzzugang vor Ort und Anwendungszugang von außen nach denselben Prinzipien.
NAC im modernen Netzdesign
In zeitgemäßen Campusnetzen ist Zugangskontrolle Bestandteil des Netzdesigns und kein nachträglicher Aufsatz: 802.1X-Authentifizierung und dynamische Segmentzuweisung gehören von Beginn an zusammen. Für die Feinsteuerung zwischen einzelnen Systemen ergänzt Mikrosegmentierung die Zugangskontrolle um Regeln auf Workload-Ebene. In der Praxis planen und betreiben spezialisierte Managed-Service-Provider solche Netze, etwa als gemanagtes Software-Defined LAN.
Häufige Fragen
Braucht ein Netz mit Firewalls zusätzlich NAC?
Ja, beide wirken an verschiedenen Stellen. Eine Firewall kontrolliert Übergänge zwischen Netzzonen, sieht aber nicht, welches Gerät sich an einem Büroanschluss anmeldet. NAC setzt genau dort an: Es entscheidet über die Aufnahme ins Netz und ordnet jedes Gerät einem Segment zu. Die Firewall setzt anschließend die Regeln zwischen diesen Segmenten durch.
Welche Voraussetzungen hat 802.1X?
Nötig sind ein RADIUS-Server als zentrale Entscheidungsinstanz, Switches und Access Points mit 802.1X-Unterstützung sowie passend konfigurierte Endgeräte. Für verwaltete Geräte empfiehlt sich die Anmeldung per Zertifikat, verteilt über eine eigene Zertifikatsinfrastruktur. Geräte ohne 802.1X-Fähigkeit werden über Profiling erkannt und mit eigenen Regeln angebunden.
Wie behandelt NAC Drucker und IoT-Geräte?
Solche Geräte beherrschen oft kein 802.1X und werden deshalb über Profiling identifiziert, etwa anhand von MAC-Adresse und Kommunikationsverhalten. Weil sich diese Merkmale fälschen lassen, gehören sie in eng begrenzte Segmente mit minimalen Rechten. Ein kompromittiertes IoT-Gerät bleibt so ein lokales Problem statt ein Sprungbrett ins gesamte Netz.
Macht ZTNA NAC überflüssig?
Nein. ZTNA regelt den Zugriff auf Anwendungen und spielt seine Stärken bei mobilen Nutzern und Cloud-Diensten aus. Am Standort bleibt die Frage, welche Geräte sich mit dem lokalen Netz verbinden dürfen — von Druckern über Maschinen bis zur Gebäudetechnik. Diese Aufgabe beantwortet weiterhin NAC; beide Ansätze ergänzen sich zu einer durchgängigen Zugangsstrategie.
Wie lässt sich NAC ohne Betriebsstörungen einführen?
Bewährt ist ein stufenweises Vorgehen: Zunächst läuft NAC im Beobachtungsmodus und erfasst alle Geräte, ohne Verbindungen zu blockieren. Auf dieser Basis werden Geräteklassen und Regeln definiert und mit den Fachbereichen abgestimmt. Erst danach folgt die Durchsetzung, Standort für Standort. Ein Quarantänesegment mit Selbsthilfe-Optionen fängt Sonderfälle ab.