Arbeitsplatzrechner, IP-Telefone, Drucker, Kameras und Maschinensteuerungen teilen sich in nahezu jedem Unternehmensnetz dieselbe physische Infrastruktur, bei höchst unterschiedlichem Schutzbedarf. Virtuelle LANs (VLANs) bringen Struktur in dieses Nebeneinander: Sie zerlegen ein physisches Netz in logisch getrennte Segmente, ohne dass separate Switches oder zusätzliche Verkabelung nötig wären.
Damit zählen VLANs zum Grundwerkzeug des Netzwerkdesigns und laufen in praktisch jeder Umgebung. In Sicherheitsfragen werden sie allerdings häufig überschätzt. Dieser Eintrag beschreibt beides: was die Technik leistet und wo modernere Konzepte ansetzen müssen.
Was ist ein VLAN?
Ein VLAN (Virtual Local Area Network) ist ein logisches Teilnetz auf Layer 2, der Sicherungsschicht des Netzwerkmodells. Geräte im selben VLAN verhalten sich, als hingen sie an einem eigenen, exklusiven Switch. Zwischen unterschiedlichen VLANs führt der Weg dagegen zwingend über eine Routing-Instanz, typischerweise einen Layer-3-Switch oder eine Firewall. Jedes VLAN bildet eine eigene Broadcast-Domäne und erhält in der Regel ein eigenes IP-Subnetz.
Maßgeblicher Standard ist IEEE 802.1Q. Er legt fest, wie Ethernet-Frames eine VLAN-Kennung erhalten, damit mehrere logische Netze dieselbe physische Leitung nutzen können. Die Kennung umfasst zwölf Bit, womit sich 4094 nutzbare VLANs unterscheiden lassen. Entstanden ist das Verfahren, um wachsende Netze beherrschbar zu halten; heute gehört es zur Grundausstattung jeder Switch-Infrastruktur.
Funktionsweise
- 802.1Q-Tagging: Der Switch versieht Ethernet-Frames mit einem Tag, das die VLAN-ID trägt. Anhand dieser Kennung halten alle beteiligten Switches die logischen Netze auseinander.
- Access-Ports: Ein Access-Port ist genau einem VLAN zugeordnet. Das angeschlossene Endgerät merkt vom Tagging nichts; die Zuordnung erledigt der Switch.
- Trunk-Ports: Über einen Trunk laufen mehrere VLANs parallel, jeder Frame trägt dort sein Tag. So spannt sich ein VLAN über beliebig viele Switches, Etagen und Gebäude.
- Getrennte Broadcast-Domänen: Broadcasts bleiben im eigenen VLAN. Das entlastet das Gesamtnetz und verhindert, dass Störungen eines Segments auf andere übergreifen.
- Inter-VLAN-Routing: Übergänge zwischen Segmenten laufen über Layer 3. Dort greifen Firewall-Regeln, die den Verkehr zwischen den Zonen kontrollieren.
Wozu VLANs dienen
- Sie schaffen nachvollziehbare Struktur: Geräteklassen und Abteilungen lassen sich sauber getrennten Segmenten zuordnen.
- Sie begrenzen Broadcast-Verkehr und stabilisieren damit größere Netze.
- Sie bilden die Basis für Priorisierung, etwa für bevorzugt behandelten Sprachverkehr im Telefonie-VLAN.
- Sie trennen unkritische von sensiblen Bereichen, beispielsweise Gastzugänge vom internen Firmennetz.
- Sie stecken in praktisch jedem Switch und verursachen keine zusätzlichen Lizenzkosten.
- Sie vereinfachen Änderungen im Betrieb, weil die Portzuordnung per Konfiguration statt per Umverkabelung erfolgt.
Typische Einsatzfälle
- Das Gäste-WLAN liegt in einem eigenen VLAN und erreicht ausschließlich das Internet, nie interne Systeme.
- IP-Telefone bekommen ein priorisiertes Sprach-VLAN, damit Gespräche auch unter hoher Netzlast stabil bleiben.
- Produktionsanlagen und Gebäudetechnik sind vom Office-Netz getrennt; Wartungszugriffe laufen kontrolliert über definierte Übergänge.
- Kameras und andere IoT-Geräte, die selten Sicherheitsupdates erhalten, landen in einem abgeschotteten Segment mit engen Regeln.
- In Gebäuden mit mehreren Mietparteien teilen sich die Nutzer die Infrastruktur, bleiben aber logisch voneinander getrennt.
- Neue Abteilungen oder Umbauten erhalten zusätzliche Segmente per Konfiguration, ohne dass neue Hardware beschafft werden muss.
VLAN und Mikrosegmentierung im Vergleich
Ein VLAN strukturiert das Netz, schützt aber keine einzelnen Workloads. Innerhalb eines VLANs kommunizieren alle Geräte ungehindert; kompromittiert ein Angreifer ein System, steht ihm das gesamte Segment offen, ohne dass die VLAN-Grenze davon etwas registriert. Auch zwischen VLANs bleiben die Regeln grob, weil Firewalls dort ganze Subnetze statt einzelner Anwendungen betrachten. Mikrosegmentierung setzt eine Ebene tiefer an: Richtlinien gelten pro Workload oder Anwendung und wandern mit dem System mit, egal in welchem Segment es steht. Laterale Bewegung, das zentrale Muster moderner Angriffe, wird so auch innerhalb eines Segments unterbunden. VLANs behalten dennoch ihren Platz: als Grundstruktur, auf der feinere Kontrollen aufsetzen.
VLANs in der Praxis
In größeren Umgebungen wird die Segmentstruktur zunehmend softwaregesteuert verwaltet: Segmente und Portzuordnungen werden zentral definiert und automatisch auf alle Switches ausgerollt. Das reduziert Handarbeit an Einzelgeräten und hält Konfigurationen über alle Standorte konsistent, vom Campus bis zur kleinen Niederlassung. Spezialisierte Managed-Service-Provider bieten solche Modelle als SD-LAN an und kombinieren die Segmentstruktur bei erhöhtem Schutzbedarf mit Mikrosegmentierung auf Workload-Ebene.
Häufige Fragen
Wie viele VLANs lassen sich einrichten?
IEEE 802.1Q reserviert zwölf Bit für die VLAN-ID im Ethernet-Frame. Daraus ergeben sich 4094 nutzbare Kennungen; zwei Werte sind reserviert. Für die meisten Unternehmensnetze reicht das deutlich aus. Sehr große Umgebungen wie Rechenzentren greifen zusätzlich zu Verfahren wie VXLAN, die den Adressraum erheblich erweitern.
Stellt ein VLAN eine Sicherheitsgrenze dar?
Nur bedingt. VLANs trennen Verkehr auf Netzebene und verhindern direkte Kommunikation zwischen Segmenten, solange kein Routing dazwischen freigegeben ist. Innerhalb eines VLANs findet jedoch keine Kontrolle statt, und Fehlkonfigurationen können die Trennung aushebeln. Belastbare Sicherheit erfordert zusätzliche Kontrollen wie Firewalls zwischen den Zonen und Mikrosegmentierung auf Workload-Ebene.
Worin unterscheiden sich Access- und Trunk-Ports?
Ein Access-Port gehört zu genau einem VLAN und verbindet Endgeräte wie Rechner oder Drucker, die vom Tagging nichts mitbekommen. Ein Trunk-Port transportiert mehrere VLANs gleichzeitig; jeder Frame trägt dazu sein 802.1Q-Tag. Trunks koppeln Switches untereinander oder mit Routern und Firewalls, damit sich VLANs über die gesamte Infrastruktur erstrecken.
Was unterscheidet VLAN und Subnetz?
Ein VLAN trennt Netze auf Layer 2, ein Subnetz gliedert den IP-Adressraum auf Layer 3. In der Praxis treten beide gemeinsam auf: Jedes VLAN erhält üblicherweise ein eigenes Subnetz, sodass der Übergang zwischen Segmenten über eine Routing-Instanz läuft und dort kontrollierbar ist. Das VLAN ist die Leitungsebene, das Subnetz die Adressebene derselben Zone.
Wann stoßen VLANs an ihre Grenzen?
Sobald einzelne Anwendungen und Server geschützt werden sollen. VLANs bilden grobe Zonen, in denen sich Angreifer nach einer Kompromittierung frei bewegen können. Mikrosegmentierung setzt Richtlinien pro Workload durch und stoppt laterale Bewegung auch im selben Segment. Sinnvoll ist die Kombination: VLANs als Grundstruktur, Mikrosegmentierung für kritische Systeme.