Aktuell

Der erste Rechner fällt – und dann? Segmentierung mit Bordmitteln

Ein KI-Agent kam im Test nicht über den ersten Rechner hinaus – wegen Segmentierung. Was Kommunen und KMU mit vorhandenen Mitteln umsetzen können.

27. Oktober 2026

Security
Netzwerk
Identität & Zugang

Kernaussage

Einbrüche lassen sich nicht vollständig verhindern, ihre Reichweite schon. Entscheidend ist, was ein Angreifer vom ersten kompromittierten Rechner aus erreicht. Dafür braucht es kein Großprojekt: Firewall-Zonen, Windows-Firewall per Gruppenrichtlinie, getrennte Admin-Konten und eindeutige lokale Kennwörter bringen den größten Teil der Wirkung.

Ein Anbieter für Netzwerksegmentierung hat in seinem Testlabor einen KI-Agenten als autonomen Angreifer eingesetzt. Gestartet ist er auf einem gewöhnlichen Arbeitsplatz mit einem normalen Domänenkonto, später zusätzlich mit zwischengespeicherten Admin-Anmeldedaten, Internetzugang und freier Werkzeugwahl. Er versuchte die bekannten Techniken: Kerberoasting, Pass-the-Ticket, Manipulation von Gruppenrichtlinien, dazu Werkzeuge wie Mimikatz. Weiter als bis zum einzigen absichtlich ungeschützten Rechner kam er nicht.

Der Test stammt vom Hersteller selbst und ist entsprechend einzuordnen. Die Aussage dahinter ist aber nicht neu und herstellerunabhängig richtig: Ein Angreifer erreicht nur, was das Netz ihn erreichen lässt. Das gilt für Menschen wie für KI-Agenten, die lediglich schneller und ausdauernder alle Wege durchprobieren.

Das typische Bild in gewachsenen Netzen

Jeder Arbeitsplatz erreicht jeden: Dateifreigabe (SMB), Remotedesktop, Fernverwaltung – alles offen, obwohl kein Arbeitsplatz das von einem anderen Arbeitsplatz braucht.
Gleiches lokales Administratorkennwort auf allen Rechnern: Wer einen Rechner hat, hat alle.
Domänen-Admins melden sich an Arbeitsplätzen an: Ihre Anmeldedaten bleiben dort im Speicher oder Zwischenspeicher liegen – genau das, was Angreifer suchen.
Server, Arbeitsplätze, Drucker und Telefone in einem Netz: Eine Zone auf dem Papier, keine in der Praxis.

Was mit vorhandenen Mitteln geht

Maßnahme	Wirkung	Aufwand
Windows-Firewall per GPO: SMB, RDP, WinRM und RPC auf Arbeitsplätzen nur aus dem Admin- bzw. Servernetz erlauben	Arbeitsplätze können sich nicht mehr gegenseitig angreifen	gering
Windows LAPS: eindeutiges, wechselndes lokales Admin-Kennwort je Rechner	Ein erbeutetes Kennwort öffnet nur einen Rechner	gering
Getrennte Admin-Konten nach Ebenen (Tiering), Anmeldung von Domänen-Admins an Arbeitsplätzen per GPO verbieten	Keine wertvollen Anmeldedaten dort, wo Angreifer zuerst landen	mittel
Firewall-Zonen: Server, Arbeitsplätze, Drucker/IoT, Verwaltung getrennt, nur benötigte Ports dazwischen	Ein Einbruch bleibt in seiner Zone	mittel
Gruppe „Protected Users“ für Admin-Konten	Keine zwischengespeicherten Anmeldedaten, kein NTLM für diese Konten	gering, vorher testen

Für Webserver haben wir das bereits beschrieben: Wissen Sie eigentlich, welche Rechte Ihr Webserver hat? Für Arbeitsplätze gilt dasselbe Prinzip.

Was zu tun ist

Bestand aufnehmen: Welche Arbeitsplätze erreichen sich gegenseitig, wo liegt welches lokale Admin-Kennwort, wo melden sich Admins an?
LAPS einführen: Ist in aktuellen Windows-Versionen enthalten und schnell ausgerollt.
Firewall-Regeln per GPO: Verwaltungsprotokolle auf Arbeitsplätzen nur aus dem Admin- bzw. Servernetz zulassen. Erst mit einer Pilotgruppe, dann für alle.
Admin-Konten trennen: Domänen-Admins nicht für die tägliche Arbeit und nie an Arbeitsplätzen. Für Arbeitsplatz-Support eigene Konten mit genau diesen Rechten.
Zonen auf der Firewall: Server, Arbeitsplätze, Drucker/IoT und Verwaltung trennen, Regeln dazwischen auf das Nötige beschränken.
Ergebnis dokumentieren: Das ist zugleich Nachweis für Versicherung und Datenschutz.

Wie wir unterstützen

Wir nehmen auf, welche Wege in Ihrem Netz offen sind, setzen LAPS, Firewall-Regeln und getrennte Admin-Konten ohne Betriebsunterbrechung um und dokumentieren das Ergebnis – als Gesamtpaket oder in einzelnen Schritten. Im Rahmen unseres Monitorings ITPuls behalten wir im Blick, ob neue Rechner oder Regeln die Segmentierung wieder aufweichen.

Wie weit käme ein Angreifer in Ihrem Netz?

Wir prüfen, welche Wege offen sind, und schließen sie mit den Mitteln, die Sie bereits haben.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherchestand: 27. Oktober 2026.

Häufige Fragen

Brauchen wir dafür neue Software?+

Nein. Windows-Firewall, Gruppenrichtlinien und LAPS sind Bestandteil von Windows, Zonen lassen sich auf den meisten Firewalls ohne Zusatzlizenz einrichten.

Funktioniert danach die Fernwartung noch?+

Ja. Die Regeln erlauben Verwaltungszugriffe gezielt aus dem Admin- bzw. Servernetz. Fernwartungswerkzeuge, die vom Arbeitsplatz aus eine Verbindung nach außen aufbauen, sind nicht betroffen.

Was ist mit Freigaben auf Arbeitsplätzen?+

Die sollte es nicht geben. Daten gehören auf Server oder in zentrale Ablagen. Taucht bei der Bestandsaufnahme eine solche Freigabe auf, ist das ein eigener Befund.

Hilft das auch gegen KI-gestützte Angriffe?+

Ja, und genau darum geht es im genannten Test: KI probiert schneller und ausdauernder, findet aber keine Wege, die es nicht gibt.