Demilitarisierte Zone (DMZ).

Eine DMZ ist ein Perimeter-Subnetz zwischen zwei Firewalls (oder einer mehrarmigen Firewall), in dem Systeme platziert werden, die aus dem Internet erreichbar sein müssen – Webserver, Mail-Relays, Reverse Proxies oder VPN-Konzentratoren. Die äußere Firewall lässt definierten eingehenden Verkehr in die DMZ, während die innere Firewall strikt einschränkt, was die DMZ in Richtung internes Netz initiieren darf – idealerweise nur spezifische Anwendungsprotokolle zu bestimmten Hosts. Die Architektur begrenzt die Schadensreichweite einer Kompromittierung: Selbst wenn ein Angreifer einen DMZ-Host übernimmt, bleibt eine harte Policy-Grenze, bevor er interne Daten erreicht. Moderne Designs ergänzen Zero-Trust-Kontrollen, WAFs und Microsegmentation, um diese Grenze weiter zu härten.