Prüfprogramm Netzwerksicherheit und Segmentierung.
Wie Sie prüfen, ob Netze sicher gestaltet, in Zonen getrennt, über Firewalls kontrolliert und in Betrieb und Änderung beherrscht werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation ihre Netze nach Schutzbedarf gestaltet und abgrenzt, den Datenverkehr zwischen den Zonen kontrolliert, Netzdienste und Fernzugänge sicher betreibt und Änderungen sowie Auffälligkeiten im Netz beherrscht. Sie beurteilt außerdem, ob die Dokumentation die tatsächliche Struktur abbildet.
Geltungsbereich
- Interne Netze, Rechenzentrumsnetze, Standort- und Fernanbindungen, Funknetze und die Übergänge zum Internet
- Firewalls, Router, Switches, VPN-Gateways und Netzdienste wie DNS und DHCP
- Netzmanagement, Änderungen an Regeln und Überwachung des Datenverkehrs
- Nicht Gegenstand: Anwendungssicherheit und Endgerätehärtung, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Netzwerksicherheitsrichtlinie besteht, ist freigegeben und regelt Gestaltung, Betrieb und Zugriff auf Netze. | ISO/IEC 27001:2022 Anhang A 8.20; BSI NET.1.1 | Richtlinie lesen, Freigabe und Aktualität feststellen und mit der Netzdokumentation abgleichen. | Richtlinie mit Freigabevermerk, Netzdokumentation |
| 2 | Netzpläne und Zonenmodell sind aktuell und bilden die tatsächliche Struktur ab, einschließlich der Übergänge zu Dienstleistern und Cloud-Anbindungen. | BSI NET.1.1; ISO/IEC 27001:2022 Anhang A 8.20 | Netzplan mit der Konfiguration von Routern und Firewalls an drei Standorten oder Zonen abgleichen. | Netzpläne, Zonenmodell, Konfigurationsauszüge |
| 3 | Netze sind nach Schutzbedarf in Zonen getrennt, wesentliche Systeme und Verwaltungsnetze liegen in eigenen Segmenten. | ISO/IEC 27001:2022 Anhang A 8.22; BSI NET.1.1 | Zonenkonzept mit der Umsetzung vergleichen und von einem Benutzernetz aus testen, ob Verwaltungsschnittstellen erreichbar sind. | Segmentierungskonzept, Testergebnisse der Erreichbarkeit, Konfigurationsauszüge |
| 4 | Der Datenverkehr zwischen den Zonen wird durch Firewalls kontrolliert, die Standardregel verbietet, was nicht ausdrücklich erlaubt ist. | BSI NET.3.2; ISO/IEC 27001:2022 Anhang A 8.20 | Regelwerke der Firewalls zwischen Internet, Benutzernetz und Rechenzentrum ansehen und die Standardregel prüfen. | Regelwerksauszüge, Konfiguration der Standardregel |
| 5 | Regeln sind begründet, mit Verantwortlichen versehen und werden regelmäßig auf Notwendigkeit überprüft; zu weit gefasste und ungenutzte Regeln werden entfernt. | BSI NET.3.2 | Zehn Regeln auswählen, Begründung und Verantwortliche prüfen und mit Trefferzahlen der letzten Monate abgleichen. | Regelwerk mit Kommentaren, Bericht der letzten Regelüberprüfung, Trefferstatistik |
| 6 | Änderungen an Netzkomponenten und Regeln laufen über ein genehmigtes Änderungsverfahren und werden dokumentiert. | ISO/IEC 27001:2022 Anhang A 8.32; BSI NET.1.2 | Änderungen an Firewall-Regeln der letzten sechs Monate mit den Änderungsanträgen abgleichen. | Änderungsprotokolle der Firewall, Änderungsanträge |
| 7 | Netzdienste, auch von Dienstleistern bereitgestellte, sind mit Sicherheitsmerkmalen, Leistungsstufen und Verwaltungsanforderungen festgelegt und werden überwacht. | ISO/IEC 27001:2022 Anhang A 8.21 | Vereinbarungen zu Netzdiensten lesen und für zwei Dienste die Einhaltung der Sicherheitsmerkmale nachvollziehen. | Vereinbarungen zu Netzdiensten, Berichte zur Leistung |
| 8 | Fernzugänge sind auf das Nötige beschränkt, verschlüsselt und durch Mehrfaktor-Authentifizierung gesichert. | ISO/IEC 27001:2022 Anhang A 8.20; § 30 Abs. 2 Nr. 10 BSIG | Konfiguration der VPN-Gateways und der Fernwartungszugänge prüfen und Ausnahmen durchgehen. | Konfigurationsauszüge, Ausnahmeliste mit Genehmigung |
| 9 | Verwaltungszugänge zu Netzkomponenten sind abgesichert: eigene Verwaltungsnetze, individuelle Konten, keine Standardkennwörter, nicht benötigte Dienste deaktiviert. | BSI NET.1.2; ISO/IEC 27001:2022 Anhang A 8.2 | Zehn Netzkomponenten auswählen und Konten, aktivierte Dienste und Zugriffswege prüfen. | Konfigurationsauszüge, Kontenliste der Netzkomponenten |
| 10 | Funknetze sind gegen unbefugten Zugang gesichert und von internen Netzen getrennt, Gastzugänge haben keinen Zugriff auf interne Systeme. | ISO/IEC 27001:2022 Anhang A 8.22 | Konfiguration von Funknetzen und Gastzugang prüfen und die Trennung durch einen Test belegen. | Konfigurationsauszüge, Testergebnis |
| 11 | Datenverkehr und Netzereignisse werden überwacht, auffällige Verbindungen erzeugen Alarme, die verfolgt werden. | ISO/IEC 27001:2022 Anhang A 8.16; BSI NET.1.1 | Überwachung der Übergänge zum Internet und zwischen Zonen prüfen und drei Alarme nachverfolgen. | Konfiguration der Überwachung, Alarmliste, Tickets |
| 12 | Die Wirksamkeit der Trennung wird regelmäßig durch Sicherheitstests der Netze überprüft, Befunde werden behoben. | NIS2-Richtlinie Art. 21 Abs. 2 lit. f | Berichte der letzten Netzwerktests ansehen und prüfen, ob die Befunde behoben wurden. | Testberichte, Maßnahmenliste |
Unterlagen zur Anforderung
- Netzwerksicherheitsrichtlinie
- Netzpläne und Zonenmodell
- Segmentierungskonzept
- Regelwerksauszüge der Firewalls mit Begründungen
- Bericht der letzten Regelüberprüfung
- Änderungsprotokolle der Firewall und Änderungsanträge
- Konfigurationsauszüge von VPN-Gateways und Netzkomponenten
- Berichte der Netzwerktests
Typische Feststellungen
- Der Netzplan weicht von der Wirklichkeit ab, Übergänge zu Dienstleistern sind nicht dokumentiert.
- Benutzernetze erreichen Verwaltungsschnittstellen von Servern und Netzkomponenten.
- Firewall-Regeln sind seit Jahren nicht überprüft, es bestehen sehr weit gefasste Regeln ohne Begründung.
- Änderungen an Firewall-Regeln erfolgen ohne Änderungsantrag.
- Standardkonten oder Standardkennwörter sind auf Netzkomponenten aktiv.
- Gastzugänge sind nicht wirksam von internen Netzen getrennt.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen