DMZ (Demilitarisierte Zone): Aufbau, Funktion und Beispiele

Was ist eine DMZ?

Der Begriff stammt aus dem Militär. Dort ist eine demilitarisierte Zone ein Pufferstreifen zwischen zwei Gebieten, etwa zwischen Nord- und Südkorea. In der IT ist die DMZ ein Pufferbereich zwischen dem unsicheren Internet und dem vertrauenswürdigen internen Netz.

Unternehmen stellen dort alle Systeme ab, die aus dem Internet erreichbar sein müssen. Diese Systeme sind besonders oft Ziel von Angriffen. Wird eines davon übernommen, sitzt der Angreifer zunächst nur in der DMZ fest. Den Weg ins interne Netz versperrt eine weitere Firewall.

Wie funktioniert eine DMZ?

Das Netz wird in drei Zonen geteilt: Internet, DMZ und internes Netz. Firewall-Regeln legen fest, welcher Verkehr zwischen den Zonen erlaubt ist. Grundsätzlich gilt: Alles ist verboten, was nicht ausdrücklich erlaubt ist.

• Internet → DMZ: nur die Dienste, die nötig sind, zum Beispiel Webseiten über HTTPS.
• DMZ → internes Netz: grundsätzlich gesperrt. Ausnahmen gibt es nur einzeln und eng begrenzt, etwa für die Weitergabe von E-Mails an den internen Mailserver.
• Internes Netz → DMZ: erlaubt für Verwaltung und Updates, aber nur von festgelegten Systemen aus.
• Internet → internes Netz: kein direkter Zugriff.

Ein Beispiel: Ein Unternehmen betreibt einen Webshop. Der Webserver steht in der DMZ. Die Datenbank mit den Kundendaten steht im internen Netz. Der Webserver darf die Datenbank nur über einen einzigen, eng geregelten Weg erreichen. Wird der Webserver gehackt, kann der Angreifer nicht einfach auf andere interne Systeme zugreifen.

Aufbau einer DMZ: eine oder zwei Firewalls

DMZ mit einer Firewall

Eine Firewall mit drei Anschlüssen trennt Internet, DMZ und internes Netz. Diese Variante ist günstig und einfach zu verwalten. Sie ist in kleinen und mittleren Unternehmen verbreitet. Der Nachteil: Fällt diese eine Firewall oder ist sie falsch eingestellt, sind alle Zonen betroffen.

DMZ mit zwei Firewalls

Eine äußere Firewall steht zwischen Internet und DMZ, eine innere zwischen DMZ und internem Netz. Ein Angreifer muss also zwei Hürden überwinden. Oft stammen die beiden Firewalls von unterschiedlichen Herstellern. Dann hilft eine Schwachstelle in einem Produkt allein nicht weiter. Diese Variante ist aufwendiger, aber sicherer. Sie passt zu höherem Schutzbedarf.

Welche Systeme gehören in die DMZ?

• Webserver für Website, Shop oder Kundenportal
• Mail-Relay oder Mail-Gateway, das E-Mails annimmt und prüft
• Reverse Proxy, der Anfragen an interne Anwendungen weiterleitet
• Öffentliche DNS-Server für die eigene Domain
• VPN-Gateways für den Fernzugriff. Mehr dazu unter VPN.
• Server für den Datenaustausch mit Kunden und Partnern

Nicht in die DMZ gehören Systeme mit sensiblen Daten oder zentraler Bedeutung. Dazu zählen Datenbanken mit Kundendaten, Dateiserver, das Active Directory und Backup-Systeme. Sie bleiben im internen Netz.

DMZ im Heimrouter: Vorsicht bei „Exposed Host“

Viele Router für Zuhause und kleine Büros haben eine Einstellung namens „DMZ“ oder „Exposed Host“. Sie leitet alle Anfragen aus dem Internet an ein einziges Gerät weiter, etwa eine Spielkonsole oder eine Kamera.

Mit einer echten DMZ hat das wenig zu tun. Das Gerät steht weiterhin im selben Netz wie alle anderen Geräte. Es ist aber komplett aus dem Internet erreichbar. Wird es übernommen, hat der Angreifer Zugriff auf das ganze Heim- oder Büronetz. Besser ist es, nur die wirklich nötigen Ports freizugeben.

Vorteile einer DMZ

• Kleinere Angriffsfläche: Nur wenige, gezielt freigegebene Systeme sind aus dem Internet erreichbar.
• Schaden begrenzt: Ein gehackter Server in der DMZ öffnet nicht automatisch das interne Netz.
• Klare Regeln: Der Verkehr zwischen den Zonen ist dokumentiert und nachvollziehbar.
• Bessere Überwachung: An den Übergängen lässt sich der Verkehr gezielt prüfen, etwa mit einem Intrusion Detection System.

Grenzen und Risiken

• Fehlkonfiguration: Eine zu großzügige Regel zwischen DMZ und internem Netz hebt den Schutz auf.
• Veraltete Systeme: Server in der DMZ sind direkt angreifbar. Fehlende Updates sind hier besonders gefährlich. Siehe Patch-Management.
• Angriffe von innen: Eine DMZ schützt vor Angriffen aus dem Internet. Gegen einen Angreifer, der schon im internen Netz ist, hilft sie nicht.
• Neue Arbeitsweisen: Cloud-Dienste und mobiles Arbeiten verwischen die Grenze zwischen innen und außen.

DMZ, Netzwerksegmentierung und Zero Trust

Die DMZ ist eine besondere Form der Netzwerksegmentierung. Moderne Netze gehen einen Schritt weiter. Sie teilen auch das interne Netz in Zonen, etwa für Verwaltung, Produktion und Gäste. So kann sich ein Angreifer nicht frei bewegen.

Zero Trust geht noch weiter: Kein Zugriff gilt automatisch als vertrauenswürdig, auch nicht aus dem eigenen Netz. Die DMZ bleibt dabei ein sinnvoller Baustein für alles, was aus dem Internet erreichbar sein muss.

Best Practices für eine sichere DMZ

1. Standardmäßig sperren: Nur ausdrücklich nötigen Verkehr an der Firewall erlauben.
2. Systeme härten: Auf den Servern nur die Dienste betreiben, die wirklich gebraucht werden.
3. Schnell patchen: Updates für Systeme in der DMZ haben Vorrang.
4. Protokollieren und überwachen: Zugriffe auf und aus der DMZ aufzeichnen und auswerten. Siehe Security Logging und Monitoring.
5. Getrennte Verwaltung: Administration nur von festgelegten Systemen und mit eigenen Konten.
6. Regeln prüfen: Firewall-Regeln regelmäßig durchsehen und alte Freigaben entfernen.
7. Testen lassen: Ein Penetrationstest zeigt, ob die Trennung wirklich hält.

Fazit

Eine DMZ trennt alles, was aus dem Internet erreichbar sein muss, vom internen Netz. Wird ein öffentlicher Server gehackt, bleibt der Schaden begrenzt. Damit das funktioniert, braucht es strenge Firewall-Regeln, aktuelle Systeme und regelmäßige Prüfungen. Zusammen mit Segmentierung und Zero Trust bleibt die DMZ ein fester Bestandteil sicherer Netze.