Eine demilitarisierte Zone (DMZ) ist ein isoliertes Netzsegment, in dem aus dem Internet erreichbare Dienste laufen und das diese vom internen Netz einer Organisation trennt.
Wie eine DMZ funktioniert
Server, die aus dem Internet erreichbar sein müssen – Web- und Mailserver, öffentliches DNS, Reverse Proxys, VPN-Gateways –, stehen in einem eigenen Segment zwischen Internet und internem LAN. Firewalls setzen strenge Regeln durch:
- Aus dem Internet sind nur die in der DMZ freigegebenen Ports erreichbar;
- DMZ-Hosts dürfen nur eng definierte Verbindungen zu internen Systemen aufbauen, etwa ein Webserver zu seiner Datenbank;
- interne Nutzer erreichen die DMZ nur über kontrollierte Wege.
Verbreitet sind zwei Bauformen: zwei hintereinandergeschaltete Firewalls (oft von verschiedenen Herstellern) oder eine Firewall mit drei Schnittstellen – extern, DMZ und intern. Das NIST beschreibt das Konzept als „Screened Subnet“. Bei Heimroutern bedeutet „DMZ-Host“ etwas anderes: ein einzelnes Gerät, an das sämtlicher eingehender Verkehr weitergeleitet wird – was den Schutz faktisch aufhebt.
Warum eine DMZ wichtig ist
Öffentlich erreichbare Server sind der am stärksten exponierte Teil der Angriffsfläche und werden regelmäßig über ungepatchte Schwachstellen kompromittiert. Eine DMZ begrenzt den Schaden: Wer einen Webserver übernimmt, ist weiterhin von Domänencontrollern, Fileservern und Arbeitsplätzen getrennt. Das erschwert die laterale Bewegung und verschafft Verteidigern Zeit, den Einbruch zu erkennen. Industrienetze nutzen dieselbe Idee zwischen IT- und OT-Systemen.
Best Practices
- Standardmäßig alles verbieten und jede erlaubte Verbindung dokumentieren.
- Auf DMZ-Hosts niemals sensible Daten oder Admin-Zugangsdaten der Domäne speichern.
- DMZ-Verkehr genau überwachen, besonders Verbindungen in Richtung internes Netz.
- DMZ-Systeme härten und als Erste patchen.
