Kurz erklärt
Ein VLAN (Virtual Local Area Network) ist ein logisch abgetrenntes Teilnetz innerhalb eines physischen Firmennetzwerks. Geräte in verschiedenen VLANs können nicht direkt miteinander kommunizieren, obwohl sie an denselben Switches hängen. So lassen sich etwa Büro-PCs, Gäste-WLAN, Telefone und Maschinen voneinander trennen. Fachleute nennen das Netzsegmentierung.
Was ist VLAN?
Ein Switch kennzeichnet jeden Netzwerkanschluss oder jedes Datenpaket mit einer VLAN-Nummer. Der zugehörige Standard heißt IEEE 802.1Q. Pakete mit einer bestimmten Nummer werden nur an Anschlüsse desselben VLANs weitergeleitet. Soll ein Gerät in einem VLAN mit einem Gerät in einem anderen sprechen, muss der Verkehr über einen Router oder eine Firewall laufen. Dort legen Regeln fest, welche Verbindungen erlaubt sind und welche nicht.
Ein VLAN allein ist noch keine Sicherheitsmaßnahme. Den eigentlichen Schutz bringen die Regeln an der Firewall zwischen den Segmenten. Verwandt ist das Subnetz, also ein eigener Adressbereich, der meist einem VLAN zugeordnet wird. Netzsegmentierung ist ein Baustein, der auch in Anforderungen wie NIS2 eine Rolle spielt, weil sie die Ausbreitung von Schadsoftware erschweren kann. Ein VPN verbindet dagegen entfernte Geräte mit dem Netz.
Für Mittelständler ist ein flaches Netz, in dem jedes Gerät jedes andere erreicht, ein häufiges Risiko. Ein infizierter Laptop kann dann direkt Server, Kameras oder Maschinensteuerungen erreichen. Mit VLANs trennen Sie Bereiche nach Schutzbedarf. Ein guter erster Schritt ist eine Liste aller Gerätegruppen im Netz, etwa Arbeitsplätze, Server, Drucker, Telefone, Gäste und Produktion. Daraus ergibt sich ein Plan für die Aufteilung.
Typisches Szenario
Ein Lebensmittelhersteller mit 70 Mitarbeitenden hat Büro-PCs, Produktionsanlagen und Gäste-WLAN im selben Netz. Er teilt das Netz in getrennte VLANs auf und erlaubt an der Firewall nur die Verbindungen, die für den Betrieb wirklich nötig sind.
Beispielhafte Situation zur Veranschaulichung, kein Kundenprojekt.
Häufige Fragen zu VLAN
Brauche ich VLANs in einem kleinen Firmennetz?
Häufig ja. Schon die Trennung von Gäste-WLAN, Arbeitsplätzen und Geräten wie Kameras oder Telefonen verringert das Risiko. Voraussetzung sind Switches und eine Firewall, die VLANs unterstützen. Bei vielen aktuellen Geräten für Unternehmen ist das der Fall, ältere Geräte für Privatkunden können es oft nicht.
Was ist der Unterschied zwischen VLAN und Subnetz?
Ein VLAN trennt Geräte auf der Ebene der Switches, also auf Ebene 2 des Netzwerkmodells. Ein Subnetz ist ein eigener IP-Adressbereich auf Ebene 3. In der Praxis wird jedem VLAN meist ein eigenes Subnetz zugeordnet. Die Regeln zwischen beiden legt ein Router oder eine Firewall fest.
Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung.