Demilitarisierte Zone (DMZ).

Eine DMZ ist ein Perimeter-Subnetz zwischen zwei Firewalls (oder einer mehrarmigen Firewall), in dem Systeme platziert werden, die aus dem Internet erreichbar sein müssen – Webserver, Mail-Relays, Reverse Proxies oder VPN-Konzentratoren. Die äußere Firewall lässt definierten eingehenden Verkehr in die DMZ, während die innere Firewall strikt einschränkt, was die DMZ in Richtung internes Netz initiieren darf – idealerweise nur spezifische Anwendungsprotokolle zu bestimmten Hosts. Die Architektur begrenzt die Schadensreichweite einer Kompromittierung: Selbst wenn ein Angreifer einen DMZ-Host übernimmt, bleibt eine harte Policy-Grenze, bevor er interne Daten erreicht. Moderne Designs ergänzen Zero-Trust-Kontrollen, WAFs und Microsegmentation, um diese Grenze weiter zu härten.

Warum die innere Firewall entscheidend ist

Der gesamte Nutzen einer DMZ bricht zusammen, wenn ein Perimeter-Host interne Systeme frei erreichen kann. Der Equifax-Einbruch von 2017 verdeutlicht das Versagensmuster: Angreifer nutzten eine ungepatchte Apache-Struts-Schwachstelle (CVE-2017-5638) im internetzugänglichen Streitfall-Portal (dispute portal) aus, bewegten sich anschließend zu internen Datenbanken und exfiltrierten zwischen Mai und Juli 2017 Daten von rund 147 Millionen Menschen. Eine streng egress-gefilterte DMZ – in der die kompromittierte Web-App keine beliebigen Verbindungen nach innen öffnen konnte – hätte diese laterale Bewegung abgeschwächt.

Daraus folgen zwei Design-Regeln. Erstens: Behandle die DMZ als teilweise vertrauenswürdig, niemals vertrauenswürdig: Eingehende Regeln aus dem Internet sollten eng gefasst sein, und ausgehende Regeln von der DMZ Richtung LAN sollten noch enger sein und nur genau das Protokoll, den Port und den Zielhost erlauben, die jeder Dienst benötigt (eine Web-Ebene, die einen einzigen API-Endpunkt erreicht, ein Mail-Relay, das einen einzigen SMTP-Host erreicht). Zweitens: Vermeide Dual-Homed-Hosts, die in beiden Zonen zugleich hängen, da eine einzige kompromittierte NIC die Firewalls vollständig umgeht.

Cloud-Äquivalente ersetzen physische Firewalls durch Subnetze, Security Groups und NACLs – ein öffentliches Subnetz hinter einem Load Balancer, ein privates Subnetz für die Anwendungs- und Datenebene – aber das Prinzip ist identisch: einschränken, mit wem die exponierte Ebene kommunizieren darf.

flowchart LR
  I[Internet] -->|eingehend 443| OF[Äußere Firewall]
  OF --> DMZ[DMZ-Subnetz<br/>Web / Mail / Reverse Proxy]
  DMZ -->|nur definiertes App-Protokoll| IF[Innere Firewall]
  IF --> LAN[Internes LAN<br/>Datenbanken / AD / Benutzer]
  DMZ -.->|blockiert: beliebiger<br/>Eingang ins LAN| LAN