Welche Systeme laufen tatsächlich in der eigenen Umgebung, und mit wem tauschen sie Daten aus? Nur wenige Organisationen können diese Frage belastbar beantworten: Netzpläne veralten schnell, die CMDB kennt bloß einen Ausschnitt der Wirklichkeit, und den Verkehr zwischen Servern bekommen klassische Perimeter-Werkzeuge gar nicht erst zu sehen.
Visibility, zu Deutsch Sichtbarkeit, schließt genau diese Lücke: ein fortlaufend aktualisiertes Bild dessen, was in der Infrastruktur existiert und kommuniziert. Dieses Bild ist die Grundlage jeder wirksamen Schutzmaßnahme, denn was unsichtbar bleibt, lässt sich weder absichern noch prüfen.
Was bedeutet Visibility?
In der IT-Sicherheit steht Visibility für die laufend aktuelle Sicht auf drei Ebenen: die vorhandenen Assets vom Server bis zur Cloud-Instanz, die Kommunikationsbeziehungen zwischen diesen Assets und die Datenflüsse über diese Verbindungen. Der Unterschied zur Inventarliste liegt im Zeitverhalten: Visibility ist keine Momentaufnahme, die nach Projektende veraltet, sondern ein permanent nachgeführtes Abbild der Realität.
Konkret entsteht eine Echtzeit-Karte der Umgebung, häufig Application Dependency Map genannt. Sie zeigt, welche Anwendung mit welcher Datenbank spricht und welcher Dienst unerwartet ins Internet telefoniert. Eine klassische CMDB leistet das nicht: Sie dokumentiert geplante Soll-Zustände und hinkt der gelebten Praxis strukturell hinterher.
Besonders kritisch ist der Ost-West-Verkehr, also die Kommunikation zwischen Servern und Workloads innerhalb des Rechenzentrums oder der Cloud. Perimeter-Firewalls sehen nur den Nord-Süd-Verkehr Richtung Internet. Der interne Verkehr, über den sich Angreifer nach einem Einbruch seitlich fortbewegen, bleibt ohne eigene Messpunkte im Dunkeln.
So entsteht Sichtbarkeit
- Assets erfassen: Agenten auf den Workloads und Abfragen der Cloud-APIs inventarisieren den tatsächlichen Bestand. Dabei tauchen regelmäßig Systeme auf, die auf keiner Liste standen.
- Kommunikation aufzeichnen: Flow-Telemetrie von den Workloads und aus dem Netzwerk dokumentiert, wer mit wem über welche Ports spricht, ausdrücklich einschließlich des internen Ost-West-Verkehrs.
- Kontext ergänzen: Rohdaten erhalten Labels, etwa nach Anwendung und Umgebung. Aus IP-Adressen und Portnummern werden verständliche Beziehungen zwischen Anwendungen.
- Karte aufbauen: Die Abhängigkeitskarte stellt Anwendungen und ihre Verbindungen in Echtzeit dar und löst statische Netzpläne ab.
- Fortlaufend aktualisieren: Neue Workloads und geänderte Verbindungen fließen automatisch ein, ohne dass jemand die Karte manuell pflegen muss.
Warum Sichtbarkeit so wichtig ist
- Sicherheitsentscheidungen beruhen auf beobachteten Fakten statt auf Annahmen und veralteter Dokumentation.
- Regeln für die Mikrosegmentierung lassen sich aus realen Kommunikationsbeziehungen ableiten, ohne produktive Verbindungen zu riskieren.
- Laterale Bewegungen von Angreifern fallen auf, weil Abweichungen vom gewohnten Ost-West-Verkehr sichtbar werden.
- Audits, etwa nach ISO 27001 oder für NIS2, stützen sich auf belegbare Ist-Daten statt auf gepflegte Soll-Dokumente.
- Schatten-IT und vergessene Altsysteme kommen ans Licht, bevor sie zum Einfallstor werden.
- Im Vorfall lässt sich der Wirkungsradius eines kompromittierten Systems rasch eingrenzen.
Typische Szenarien
- Vor einem Segmentierungsprojekt beobachtet eine Organisation über mehrere Wochen den realen Verkehr und leitet daraus Regeln ab, die den Betrieb nicht stören.
- Ein Auditor will wissen, welche Systeme auf die Finanzdatenbank zugreifen; die Abhängigkeitskarte liefert die Antwort in Minuten statt nach tagelanger Recherche.
- Nach einer Übernahme wird die Infrastruktur des zugekauften Unternehmens kartiert, bevor beide Netze gekoppelt werden.
- Vor einer Cloud-Migration zeigt die Karte sämtliche Abhängigkeiten einer Anwendung, damit beim Umzug keine kritische Verbindung abreißt.
- Nach einem Sicherheitsvorfall rekonstruiert das Team anhand der Flow-Daten, welche Systeme der Angreifer erreicht hat.
Abgrenzung: Visibility, Monitoring, Observability
Die drei Begriffe überlappen sich, beantworten aber verschiedene Fragen. Monitoring überwacht bekannte Systeme anhand vorab definierter Messwerte und meldet, ob ein Dienst verfügbar und performant ist. Observability reicht tiefer: Sie erschließt den inneren Zustand von Systemen aus Telemetriedaten und hilft, unbekannte Fehlerbilder zu verstehen. Visibility verfolgt dagegen einen Sicherheitsfokus: Sie legt offen, welche Assets existieren und wer mit wem kommuniziert, auch dort, wo gerade niemand hinschaut. Monitoring setzt voraus, dass das Überwachungsziel bekannt ist; Visibility deckt auf, was bislang niemand kannte. Die Disziplinen ersetzen einander nicht, sie ergänzen sich.
Sichtbarkeit in der Praxis
Segmentierungsvorhaben beginnen üblicherweise mit einer Visibility-Phase: Erst wenn die Karte der Workloads und ihrer Kommunikationsbeziehungen steht und von den Fachbereichen validiert ist, werden daraus Richtlinien abgeleitet und schrittweise durchgesetzt. In der Praxis übernehmen spezialisierte Managed-Service-Provider Aufbau und dauerhafte Pflege dieses Bildes, häufig als Vorstufe einer Zero-Trust-Mikrosegmentierung; so bleibt die Karte aktuell, und Abweichungen werden bewertet, bevor daraus Risiken entstehen.
Häufige Fragen
Was unterscheidet Visibility von Monitoring?
Monitoring beobachtet bekannte Systeme entlang vorab definierter Messwerte wie Verfügbarkeit oder Antwortzeit. Visibility stellt eine andere Frage: Welche Assets existieren überhaupt, und wer kommuniziert mit wem? Monitoring braucht ein benanntes Ziel; Visibility bringt auch das ans Licht, was bislang auf keinem Radar war. In einer Sicherheitsarchitektur ergänzen sich beide.
Warum genügt eine CMDB nicht als Sichtbarkeitsquelle?
Eine CMDB wird manuell gepflegt und beschreibt den geplanten Soll-Zustand. Sie veraltet, sobald Systeme umziehen oder Projekte an der Dokumentation vorbeilaufen. Visibility misst dagegen den Ist-Zustand direkt im Netzwerk und aktualisiert sich laufend. Als Bestandsverzeichnis bleibt die CMDB nützlich; als Sicherheitsgrundlage taugt nur das beobachtete Bild.
Was ist Ost-West-Verkehr, und warum ist er schwer zu erfassen?
Gemeint ist die Kommunikation zwischen Servern und Workloads innerhalb eines Rechenzentrums oder einer Cloud-Umgebung. Klassische Perimeter-Firewalls sehen nur den Nord-Süd-Verkehr Richtung Internet. Genau im internen Verkehr bewegen sich Angreifer nach einem Einbruch seitlich fort; ohne eigene Messpunkte bleibt dieser Bereich unsichtbar und damit ungeschützt.
Wie schnell liefert eine Visibility-Lösung brauchbare Ergebnisse?
Erste Karten entstehen kurz nach dem Ausrollen der Sensoren oder Agenten, weil laufender Verkehr sofort sichtbar wird. Belastbar wird das Bild erst über mehrere Wochen, denn auch seltene Verbindungen wie Monatsabschlüsse oder Backup-Fenster müssen erfasst sein. Für Policy-Entscheidungen empfiehlt sich deshalb eine Beobachtung über mindestens einen vollen Geschäftszyklus.
Setzt Mikrosegmentierung Visibility voraus?
Ja. Segmentierungsregeln ohne beobachtete Kommunikationsbeziehungen unterbrechen früher oder später produktive Verbindungen oder bleiben aus Vorsicht zu weit gefasst. Die Visibility-Phase zeigt vorab, welche Verbindungen eine Anwendung wirklich braucht. Daraus entstehen Regeln, die sich gefahrlos testen und schrittweise scharfschalten lassen; Segmentierungsprojekte starten daher üblicherweise mit dieser Phase.