NAC im Unternehmen:
Wann lohnt es sich?

Was NAC macht

Network Access Control prüft jedes Gerät, das sich mit dem Netz verbindet, egal ob per Kabel oder WLAN. Firmengeräte melden sich mit Zertifikat über 802.1X an, Drucker und Maschinen werden an ihren Merkmalen erkannt, unbekannte Geräte landen in einem abgeschotteten Bereich. Jedes Gerät bekommt automatisch das passende VLAN oder eine Rolle mit festgelegten Rechten.

Woran Sie erkennen, dass sich NAC lohnt

• Öffentlich zugängliche Netzwerkdosen: in Besprechungsräumen, Empfangsbereichen, Werkstätten oder Schulungsräumen
• Viele Geräte ohne Anmeldung: Drucker, Kameras, Zutrittssysteme, Maschinen, Telefone
• Externe im Haus: Dienstleister, Wartungstechniker, Leiharbeitskräfte, Gäste
• Produktion: Maschinen sollen nur in ihrem Netz arbeiten und nicht ins Büronetz
• Prüfungen und NIS2: Kontrolle der Zugänge und Nachweis, welche Geräte im Netz sind
• Unklare Lage: Niemand weiß genau, welche Geräte im Netz hängen

Treffen zwei oder mehr dieser Punkte zu, ist NAC meist eine lohnende Investition. In einem kleinen Büro mit wenigen, gut bekannten Geräten und ohne öffentliche Bereiche reicht oft eine saubere Segmentierung mit Port-Sicherheit am Switch.

Was NAC bringt

Der größte Nutzen liegt zunächst in der Transparenz: Nach wenigen Wochen weiß man, welche Geräte wirklich im Netz sind. In vielen Projekten finden wir dabei vergessene Geräte, private Router oder Testsysteme. Danach setzt NAC die Netzwerksegmentierung automatisch durch, ohne dass jemand Ports von Hand umstellen muss. Und es dokumentiert, welche Geräte wann wo im Netz waren.

So gelingt die Einführung ohne Störung

1. Beobachten: NAC läuft einige Wochen nur mit und erfasst alle Geräte, ohne etwas zu sperren.
2. Zuordnen: Gerätegruppen werden definiert, etwa Firmenlaptops, Drucker, Telefone, Maschinen, Kameras.
3. Zertifikate verteilen: Firmengeräte bekommen über die Geräteverwaltung ein Zertifikat für 802.1X.
4. Regeln aktivieren: Bereich für Bereich werden Geräte automatisch in ihre Netze gesetzt.
5. Sperren: Erst zum Schluss werden unbekannte Geräte abgewiesen oder in Quarantäne gesetzt.

Wichtig ist ein klarer Weg für Ausnahmen, etwa wenn ein Techniker kurzfristig ein Messgerät anschließen muss.

Welche Lösungen in Frage kommen

Alle drei arbeiten mit Switches und Access Points verschiedener Hersteller zusammen, am einfachsten ist die Einführung aber in der eigenen Umgebung des Herstellers.

Was NAC kostet

Die Kosten bestehen aus Lizenzen, meist nach Zahl der Geräte oder Nutzer, und aus dem Aufwand für die Einführung. Der zweite Teil ist oft der größere: Geräte erfassen, Gruppen bilden, Zertifikate verteilen und Regeln testen. Bei Cloud-Lösungen entfällt der eigene Server, dafür laufen Abonnements.

Den Aufwand bestimmen vor allem die Zahl unterschiedlicher Gerätetypen, die Qualität der vorhandenen Dokumentation und ob bereits eine Geräteverwaltung für Zertifikate existiert. Wer seine Geräte schon inventarisiert hat, etwa mit Etikett und Inventarliste, spart hier viel Zeit.

Typische Stolpersteine

• Geräte, die sich nicht sauber identifizieren lassen, etwa ältere Maschinen
• Abgelaufene Zertifikate, die auf einen Schlag viele Geräte aussperren
• Telefone mit angeschlossenem PC an einer Dose, die besondere Einstellungen brauchen
• Zu frühes Sperren, bevor alle Geräte erfasst sind