Securam Consulting Logo
Kontakt

Das große IT-Security-Glossar

Definition:

DMZ

Was ist eine DMZ?

Eine DMZ (Demilitarized Zone) ist ein isoliertes Netzwerksegment, das zwischen einem internen Netzwerk und dem öffentlichen Internet platziert wird. Sie dient als Pufferzone zur Absicherung exponierter Dienste wie Webserver, Mailserver oder DNS-Server, um Angreifer von sensiblen Unternehmenssystemen fernzuhalten. In einer typischen Architektur ist die DMZ durch Firewalls vom internen Netzwerk getrennt, wodurch direkte Zugriffe auf kritische Ressourcen verhindert werden. Dienste in der DMZ sind so konfiguriert, dass bei einem erfolgreichen Angriff auf diese Server keine Ausbreitung ins interne Netzwerk möglich ist.

DMZs sind ein essenzieller Bestandteil moderner Netzwerkarchitekturen im Unternehmensumfeld und gelten als Best Practice zur Segmentierung von Netzwerken und zur Minimierung von Sicherheitsrisiken bei der Veröffentlichung von Diensten.

Technischer Aufbau & Varianten

DMZ-Architekturen unterscheiden sich je nach Sicherheitsanforderung und Infrastruktur:

  • Einzel-Firewall-DMZ: Ein Router oder eine Firewall mit drei Schnittstellen (LAN, WAN, DMZ), die Datenverkehr kontrolliert.

  • Zwei-Firewall-DMZ: Eine externe Firewall schützt den Zugang von außen, eine interne Firewall kontrolliert den Zugriff von der DMZ ins interne Netz.

  • Virtuelle DMZ: Einsatz innerhalb virtualisierter oder Cloud-basierter Infrastrukturen, z. B. mit VLANs oder Security Groups.

Absicherungsmaßnahmen in der DMZ umfassen:

  • Minimierung laufender Dienste und Ports

  • IDS/IPS zur Erkennung von Angriffen in der Zone

  • Logging und zentralisierte Protokollierung

  • Regelmäßiges Patch-Management und Hardening

Relevanz in der Praxis

DMZs sind von zentraler Bedeutung für Unternehmen, die Dienste wie Webportale, APIs oder E-Mail-Server öffentlich verfügbar machen müssen:

  • Schutz der internen Infrastruktur: Selbst bei einem Kompromiss der DMZ bleiben interne Systeme abgeschirmt.

  • Compliance & Best Practices: Vorschriften wie ISO 27001 oder der BSI IT-Grundschutz fordern Netzwerksegmentierung.

  • Kontrollierte Zugriffspunkte: Externe Partner und Kunden erhalten ausschließlich Zugang zu definierten Services.

  • Angriffsfrüherkennung: IDS-Systeme in der DMZ erkennen verdächtige Muster frühzeitig.

Standards & regulatorische Anforderungen

  • ISO 27001 – A.13.1: Netzwerksegmentierung und Perimeterschutz

  • BSI IT-Grundschutz – NET.2 & SYS.1.2: Trennung von Netzen und Schutz exponierter Systeme

  • NIS-2: Absicherung kritischer Dienste durch technische Isolation

  • PCI DSS – Req. 1.3: Firewalls zur Segmentierung von Systemkomponenten

Verwandte Begriffe

Beispiel aus der Praxis

Ein Online-Händler betreibt mehrere Webserver in einer DMZ. Durch eine Schwachstelle in einem CMS gelang es Angreifern, einen der Server zu kompromittieren.

Die interne Infrastruktur blieb jedoch intakt, da der Zugang durch eine zweite Firewall unterbunden war. Der Angriff konnte durch die Alarmierung des IDS erkannt und analysiert werden, bevor Schaden im Backend-System entstand.

zum Glossar