Network Access Control (NAC): Funktionsweise, 802.1X und Einführung

Was ist Network Access Control?

Network Access Control, kurz NAC, heißt auf Deutsch Netzwerkzugangskontrolle. NAC prüft jedes Gerät, das sich mit dem Firmennetz verbinden will, egal ob per Netzwerkkabel oder WLAN. Erst nach der Prüfung entscheidet das System, ob und wohin das Gerät darf.

Ohne NAC reicht oft ein freier Netzwerkanschluss im Besprechungsraum. Wer dort einen Laptop einsteckt, ist im internen Netz. Mit NAC bleibt der Port gesperrt, bis sich das Gerät ausgewiesen hat.

NAC beantwortet drei Fragen:

• Wer oder was ist das? Benutzer und Gerät werden erkannt und authentifiziert.
• Ist das Gerät sicher? Das System prüft zum Beispiel Updates, Virenschutz und Verschlüsselung.
• Was darf es? Je nach Ergebnis gibt es vollen Zugang, einen eingeschränkten Bereich oder gar nichts.

So funktioniert NAC

1. Erkennung: Ein Gerät verbindet sich mit einem Switchport oder dem WLAN.
2. Authentifizierung: Das Gerät weist sich aus, am besten mit einem Zertifikat. Alternativ mit Benutzername und Passwort oder seiner MAC-Adresse.
3. Prüfung des Zustands: Das NAC-System prüft, ob das Gerät die Regeln erfüllt. Diese Prüfung heißt auch Posture Assessment.
4. Autorisierung: Das System weist das Gerät einem passenden Netzbereich zu, etwa per VLAN oder Zugriffsliste.
5. Laufende Kontrolle: Auch nach der Anmeldung wird das Gerät beobachtet. Ändert sich sein Zustand, ändert sich auch der Zugang.

Ein Beispiel: Ein Mitarbeiter steckt seinen Firmen-Laptop ein. Das Zertifikat passt, die Updates sind aktuell, er landet im Büronetz. Ein Besucher steckt sein privates Gerät ein. Es hat kein Zertifikat und landet im Gastnetz mit reinem Internetzugang. Ein Laptop ohne aktuellen Virenschutz kommt in eine Quarantäne, bis er nachgebessert ist.

802.1X und RADIUS

Das wichtigste Verfahren hinter NAC ist der Standard IEEE 802.1X. Er regelt die Anmeldung an Netzwerkports und im WLAN. Drei Rollen spielen zusammen:

• Supplicant: das Gerät, das ins Netz will, zum Beispiel ein Laptop.
• Authenticator: der Switch oder WLAN-Access-Point. Er hält den Port geschlossen, bis die Freigabe kommt.
• Authentication Server: meist ein RADIUS-Server. Er prüft die Anmeldedaten und meldet das Ergebnis zurück.

Die Anmeldung selbst läuft über das Extensible Authentication Protocol (EAP). Am sichersten ist EAP-TLS, bei dem sich Gerät und Server gegenseitig mit Zertifikaten ausweisen. Verfahren mit Passwort sind einfacher einzuführen, aber schwächer.

Viele Geräte können kein 802.1X, etwa ältere Drucker, Kameras oder Maschinen. Für sie gibt es MAC Authentication Bypass (MAB). Dabei wird das Gerät an seiner MAC-Adresse erkannt. Weil sich MAC-Adressen fälschen lassen, sollten solche Geräte nur in ein eng begrenztes Netzsegment.

Arten von NAC

• Vor der Zulassung (Pre-Admission): Das Gerät wird geprüft, bevor es ins Netz darf.
• Nach der Zulassung (Post-Admission): Das Gerät wird auch im Betrieb überwacht und bei Verstößen eingeschränkt.
• Mit Agent: Eine kleine Software auf dem Gerät meldet Details wie Updates und Virenschutz.
• Ohne Agent: Das System erkennt Geräte am Netzwerkverkehr. Das eignet sich für Drucker, Telefone und IoT-Geräte.

Adaptive NAC

Klassische NAC prüft einmal bei der Anmeldung. Adaptive NAC geht weiter: Sie bewertet Geräte laufend neu und passt den Zugang an die aktuelle Lage an.

Dafür tauscht das NAC-System Informationen mit anderen Sicherheitswerkzeugen aus. Meldet etwa ein EDR-System Schadsoftware auf einem Laptop, verschiebt NAC das Gerät automatisch in die Quarantäne. Ein SIEM kann ebenso Alarm geben. So wird aus der einmaligen Türkontrolle eine dauerhafte Aufsicht. Dieser Ansatz passt gut zu Zero Trust: Vertrauen wird nie dauerhaft vergeben.

NAC, Firewall und ZTNA

• NAC: regelt, welche Geräte sich mit dem lokalen Netz verbinden dürfen, also am Switchport und im WLAN.
• Firewall: kontrolliert den Datenverkehr zwischen Netzen und Zonen.
• ZTNA: regelt den Zugriff auf einzelne Anwendungen, unabhängig vom Standort. Siehe Zero Trust Network Access.

Die drei ergänzen sich. NAC sorgt dafür, dass im Büro nur bekannte Geräte ins Netz kommen. ZTNA schützt den Zugriff von unterwegs. Die Firewall trennt die Zonen.

Vorteile von NAC

• Überblick: Sie wissen jederzeit, welche Geräte in Ihrem Netz sind.
• Weniger Angriffsfläche: Fremde Geräte kommen nicht ins interne Netz.
• Schnelle Reaktion: Infizierte Geräte lassen sich sofort isolieren.
• Gäste und eigene Geräte: Besucher und private Geräte (BYOD) landen automatisch in einem eigenen Bereich.
• Nachweise: Protokolle zeigen, wer wann verbunden war. Das hilft bei Audits nach ISO 27001 oder NIS-2.

Herausforderungen

• Alte Geräte: Drucker, Maschinen und Medizingeräte unterstützen 802.1X oft nicht.
• Zertifikate: EAP-TLS braucht eine Public-Key-Infrastruktur (PKI), die gepflegt werden muss.
• Ausfallrisiko: Fällt der RADIUS-Server aus, kommt niemand mehr ins Netz. Er muss daher redundant sein.
• Aufwand: Inventar, Regeln und Ausnahmen kosten am Anfang viel Zeit.
• Akzeptanz: Zu strenge Regeln ohne klare Kommunikation führen zu Frust und Umgehungen.

NAC einführen in fünf Schritten

1. Bestand erfassen: Welche Geräte gibt es, und welche können 802.1X?
2. Zonen festlegen: Zum Beispiel Büro, Server, Produktion, Gäste und Quarantäne. Siehe Netzwerksegmentierung.
3. Im Beobachtungsmodus starten: Das System protokolliert zunächst nur und sperrt nichts. So fallen Lücken auf, ohne den Betrieb zu stören.
4. Schrittweise durchsetzen: Zuerst das WLAN oder ein Standort, dann der Rest.
5. Laufend pflegen: Neue Geräte, Ausnahmen und Regeln regelmäßig prüfen.

Fazit

Network Access Control sorgt dafür, dass nur bekannte und sichere Geräte ins Firmennetz kommen. Die Grundlage ist meist 802.1X mit einem RADIUS-Server. Adaptive NAC prüft zudem laufend und reagiert automatisch auf Gefahren. Wer schrittweise einführt und mit einem Beobachtungsmodus startet, vermeidet Ausfälle und gewinnt schnell Überblick.