Zugriff braucht
einen Grund.
Was darf hinein, was darf hinaus – und wer darf worauf zugreifen? DMZ, kontrollierter Internet-Egress und klare Identitäten machen aus einzelnen Schutzmaßnahmen eine durchdachte Architektur.
Was das für deine IT bedeutet
DMZ: veröffentlichen mit Abstand
Öffentliche Webzugriffe enden am Reverse Proxy mit Web Application Firewall (WAF) in der demilitarisierten Zone (DMZ). Firewalls (FW) kontrollieren die Übergänge zum Internet und zu den internen Anwendungen. Freigegeben werden nur benötigte Dienste; Datenbanken und Administration bleiben aus dem öffentlichen Zugriffsweg heraus.
Internet-Egress: auch den Ausgang steuern
Ausgehende Verbindungen brauchen definierte Ziele, Protokolle und Verantwortlichkeiten. Kontrollierte DNS-Auflösung und Security Proxies prüfen den vorgesehenen Weg; Firewall-Regeln unterbinden direkte Umgehungen. Erlaubte Verbindungen und abgewiesene Versuche liefern Signale für die zentrale Auswertung und Reaktion.
Segmentierung plus Zero Trust
Clients, Anwendungen und Daten erhalten getrennte Bereiche mit eigenen Regeln. Ein interner Standort allein schafft kein Vertrauen: Identität, Gerätezustand und Kontext entscheiden mit. Nutzerzugriffe werden mit Mehrfaktor-Authentifizierung abgesichert, Dienste erhalten eigene Identitäten und nur benötigte Rechte. Administrative Zugänge laufen über einen getrennten, besonders geschützten Weg.
Das Diagramm zeigt ein vereinfachtes Architekturprinzip. Die konkreten Zonen, Prüfungen und Ausnahmen richten sich nach Daten, Risiken und Betriebsanforderungen.
Grundlagen: BSI · Netzarchitektur und -design · NIST · Zero Trust Architecture




