Unbekannte Geräte im Firmennetz mit Network Access Control erkennen

Unbekannte Geräte im Firmennetz mit Network Access Control erkennen ist ein eng umrissenes, aber in der Praxis wichtiges Sicherheitsthema. Nicht inventarisierte Geräte erhalten Netzwerkzugang und umgehen Patch-, Schutz- oder Protokollierungsvorgaben. Für eine BSI-orientierte Umsetzung genügt deshalb weder ein einzelnes Produkt noch ein einmaliger Screenshot. Entscheidend ist ein wiederholbarer Prozess, der Schutzbedarf, technische Kontrolle, Zuständigkeit und Nachweis miteinander verbindet.

Das Wichtigste in Kürze

• Der Geltungsbereich muss vor der technischen Umsetzung eindeutig feststehen.
• Die Kontrolle braucht einen fachlichen Owner und einen technisch verantwortlichen Betrieb.
• Ein ungefährlicher Testfall zeigt, ob Erkennung, Entscheidung und Nachbereitung zusammenarbeiten.
• Abweichungen benötigen Frist, Verantwortliche und einen dokumentierten Nachtest.
• Ein Werkzeug unterstützt die Umsetzung, garantiert aber keine BSI-Konformität.

Warum dieses BSI-Nischenthema relevant ist

Nicht inventarisierte Geräte erhalten Netzwerkzugang und umgehen Patch-, Schutz- oder Protokollierungsvorgaben. Solche Lücken fallen häufig nicht in klassischen Jahresprüfungen auf, weil dort Richtlinien und Systeme eher stichprobenartig betrachtet werden. Im Betriebsalltag entstehen Risiken jedoch an Übergaben: zwischen Fachbereich und IT, Inventar und realer Umgebung, Freigabe und technischer Durchsetzung oder Meldung und Reaktion.

Der BSI-Grundschutz bietet einen methodischen Rahmen, aus dem Organisationen passende Anforderungen für ihren Informationsverbund ableiten. Welche Maßnahme angemessen ist, hängt von Schutzbedarf, Architektur und Bedrohungslage ab. Der folgende Ansatz ist daher eine praktische Operationalisierung und keine pauschale Zertifizierungszusage.

Ein klares Soll definieren

Als Zielbild eignet sich: Geräteidentität, Netzwerksegment, erlaubte Protokolle und Quarantäneentscheidung werden technisch und organisatorisch miteinander verknüpft. Das Soll sollte in wenigen prüfbaren Sätzen beschreiben, für welche Systeme und Rollen es gilt, welche Ausnahmen zulässig sind und welches Ergebnis bei einem Test erwartet wird.

Wichtig ist außerdem eine Negativabgrenzung. MAC-Adressen allein sind keine belastbare Geräteidentität und lassen sich manipulieren. Diese Grenze verhindert, dass eine technisch bequeme Kennzahl fälschlich als vollständiger Sicherheitsnachweis betrachtet wird.

Umsetzung in sechs Schritten

1. Bestand festlegen: Systeme, Konten, Datenflüsse oder Komponenten des Geltungsbereichs werden aus einer nachvollziehbaren Quelle übernommen.
2. Schutzbedarf und Risiko bewerten: Fachliche Auswirkungen, mögliche Angriffswege und betroffene Informationen werden gemeinsam betrachtet.
3. Kontrolle gestalten: Geräteidentität, Netzwerksegment, erlaubte Protokolle und Quarantäneentscheidung werden technisch und organisatorisch miteinander verknüpft.
4. Rollen verbinden: Fachlicher Owner, technischer Betrieb, Informationssicherheit und gegebenenfalls Datenschutz oder BCM erhalten klare Aufgaben.
5. Testfall durchführen: Ein genehmigtes Testgerät ohne Inventareintrag anschließen und kontrollieren, ob Erkennung, Quarantäne und Alarmierung funktionieren.
6. Verbessern: Abweichungen werden priorisiert, terminiert und nach der Korrektur mit demselben Soll erneut geprüft.

Direkt umsetzbarer Praxistest

Ein genehmigtes Testgerät ohne Inventareintrag anschließen und kontrollieren, ob Erkennung, Quarantäne und Alarmierung funktionieren. Der Test sollte mit eindeutig gekennzeichneten Objekten in einem genehmigten Umfang stattfinden. Produktive Daten und Rechte werden nur einbezogen, wenn dies fachlich notwendig, freigegeben und durch ein Abbruchverfahren abgesichert ist.

Vor Beginn werden Erfolg, Warnung und Abbruch festgelegt. Nach Abschluss vergleicht das Team Soll und tatsächliches Ergebnis. Nicht nur das technische Signal zählt: Auch die Zeit bis zur Bearbeitung, die richtige Zuständigkeit und die dokumentierte Entscheidung gehören zum Test.

Welche Nachweise wirklich helfen

Ein belastbares Nachweispaket umfasst: Inventarabgleich, NAC-Ereignis, Quarantäneprotokoll, Freigabeprozess und erfolgreicher Nachtest.

Jeder Nachweis sollte eindeutig System oder Objekt, Zeitraum, Prüfkriterium, Versionsstand und verantwortlicher Person zugeordnet sein. Veränderbare Screenshots ohne Quelle und Zeitbezug besitzen nur geringe Aussagekraft.

Technische Rohdaten gehören geschützt aufbewahrt. Für Revision oder Management reicht oft eine freigegebene Zusammenfassung mit Fundstellen. So bleiben sensible Betriebsinformationen geschützt, während die Entscheidung nachvollziehbar bleibt.

Typische Fehler bei der Einführung

• Der Pilot betrachtet nur ein gut gepflegtes System und wird zu früh als repräsentativ bewertet.
• Die technische Regel hat keinen fachlichen Owner oder keinen geregelten Änderungsprozess.
• Ausnahmen werden genehmigt, aber nicht mit Ablaufdatum und Kompensation versehen.
• Ein Alarm entsteht, erreicht jedoch nicht die zuständige Stelle oder wird nicht abgeschlossen.
• Nach einer Korrektur fehlt der Nachtest und damit der Wirksamkeitsnachweis.

Vom Pilot in den Regelbetrieb

Nach einem erfolgreichen Pilot werden Auslöser für Wiederholungen definiert: relevante Änderungen, neue Systeme, Sicherheitsvorfälle, Ablauf einer Ausnahme und ein fester Prüftermin. Der Prozess sollte in bestehende Betriebs- oder Governanceabläufe integriert werden, damit er nicht von einer einzelnen engagierten Person abhängt.

Geeignete Kennzahlen sind beispielsweise Abdeckung des Inventars, Anteil fristgerecht bearbeiteter Abweichungen, Zeit bis zur Reaktion und Quote erfolgreicher Nachtests. Die Zahlen helfen bei der Steuerung, ersetzen aber nicht die qualitative Bewertung besonders kritischer Einzelfälle.

Fazit

unbekannte Geräte im Firmennetz wird handhabbar, wenn das Unternehmen ein konkretes Soll, eine begrenzte technische Kontrolle und einen wiederholbaren Test zusammenführt. Die Lösung ist nicht möglichst viel Dokumentation, sondern eine kurze belastbare Kette vom Risiko über die Freigabe bis zum Ergebnis und zur Verbesserung.

AI Governance Freelancer

Unterstützung bei AI Governance, KI-Code-Prüfung und sicherer Automatisierung

Ich unterstütze Unternehmen bei der sicheren Einführung von ChatGPT, Copilot, KI-Agenten und moderner Enterprise-Automatisierung. Mein Fokus liegt auf AI Governance, Compliance, sicherer KI-Nutzung und der strukturierten Kontrolle von KI-generiertem Code.

Zusätzlich verfüge ich über eigene Softwarelösungen zur automatisierten Analyse von Code, Skripten und KI-generierten Automatisierungen, um Risiken, unsichere Muster und Governance-Themen frühzeitig sichtbar zu machen.

Gerne tausche ich mich mit Ihnen in einem unverbindlichen virtuellen Kaffee über AI Governance, sichere KI-Einführung und Governance-Strategien im Enterprise-Umfeld aus.

Virtuellen Kaffee vereinbaren

Offizielle BSI-Quellen

• IT-Grundschutz-Kompendium Edition 2023

Bildquelle: OpenAI