Demilitarisierte Zone (DMZ): Beispiele & Architektur
Ein Demilitarisierte-Zone-Netzwerk (DMZ) ist ein Subnetz, das die öffentlich zugänglichen Dienste einer Organisation enthält. Es dient als exponierter Punkt zu einem nicht vertrauenswürdigen Netzwerk, häufig dem Internet.
DMZs werden in verschiedenen Umgebungen eingesetzt, von Heimroutern bis hin zu Unternehmensnetzwerken, um öffentlich zugängliche Dienste zu isolieren und interne Systeme zu schützen. DMZs (demilitarisierte Zonen) hosten öffentlich zugängliche Dienste und isolieren sie vom internen LAN einer Organisation. Organisationen kombinieren DMZ-Perimeter mit Zero-Trust-Mikrosegmentierung und strengen Zugriffskontrollen.1
Entdecken Sie reale DMZ-Beispiele und verschiedene DMZ-Architekturen (Einzel- vs. Dual-Firewall):
Warum ist eine DMZ für die Netzwerksicherheit wichtig?
DMZs fügen eine Schicht Netzwerksegmentierung hinzu, um das interne private Netzwerk zu verteidigen. Sie schaffen eine Pufferzone zwischen dem öffentlichen Internet und den privaten Netzwerken der Organisation.
Diese Subnetze begrenzen den externen Zugriff auf interne Server und Ressourcen, was es Angreifern erschwert, in das interne Netzwerk einzudringen.
In typischen Konfigurationen (siehe Abbildung oben) wird das DMZ-Subnetz zwischen zwei Firewalls oder auf einem dedizierten Segment einer einzelnen Firewall mit mehreren Schnittstellen platziert. Dies stellt sicher, dass:
- Unbefugter Zugriff auf das interne Netzwerk blockiert wird, selbst wenn ein in der DMZ gehosteter Dienst kompromittiert ist.
- Gesamter eingehender Datenverkehr aus dem Internet zuerst gefiltert und überprüft wird, bevor er die DMZ-Server erreicht.
- Interner Netzwerkverkehr von und zur DMZ streng kontrolliert und überwacht wird.
DMZ-Beispiele
DMZ-Beispiel 1: DMZ-Implementierung mit einer Firewall
Wie in Abbildung 1 zu sehen, befindet sich das DMZ-Netzwerk weder innerhalb noch außerhalb der Firewall. Es ist sowohl über interne als auch externe Netzwerke erreichbar.
Einer der Hauptvorteile dieses Netzwerkdiagramms ist die Isolation. Wenn beispielsweise der E-Mail-Server gehackt wird, kann der Angreifer nicht auf das interne Netzwerk zugreifen. In diesem Szenario kann der Angreifer möglicherweise auf verschiedene Server in der DMZ zugreifen, da diese sich dasselbe physische Netzwerk teilen.
Abbildung 1. Einfaches DMZ-Diagramm
Quelle: International Journal of Wireless and Microwave Technologies2
In dieser Konfiguration erzwingt die DMZ die folgenden Zugriffskontrollen:
- Externes Netzwerk: Das externe Netzwerk kann keine Verbindungen mit dem inneren Netzwerk aufbauen, jedoch kann das externe Netzwerk Verbindungen zur DMZ initiieren.
- Internes Netzwerk: Das interne Netzwerk kann Verbindungen zu externen Netzwerken herstellen. Externe Netzwerke können keine Verbindungen zum internen Netzwerk aufbauen.
DMZ-Beispiel 2: Eine DMZ, die mit einem Drittanbietergerät verbunden ist
Ein weiterer typischer DMZ-Ansatz ist die Verbindung mit einem Drittanbietergerät, z. B. einem Lieferanten. Abbildung 2 veranschaulicht ein Netzwerk mit einem Lieferanten, der über eine T1-Verbindung mit einem Router in der DMZ verbunden ist.
Dieses DMZ-Beispiel kann verwendet werden, wenn Unternehmen ihre Systeme an externe Parteien auslagern und über dieses Setup direkten Zugriff auf den Server des Anbieters ermöglichen.
Abbildung 2. DMZ-Verbindung zu einem Anbieter
Quelle: Network Warrior3
DMZ-Beispiel 3: Mehrere DMZs, verbunden mit einem Drittanbietergerät
Manchmal reicht eine einzelne DMZ für Organisationen mit komplexen Netzwerken nicht aus. Abbildung 3 zeigt ein Netzwerk mit mehreren DMZs. Das Design kombiniert die ersten beiden Beispiele: Das Internet befindet sich außerhalb, und die Benutzer sind innerhalb des Netzwerks.
Abbildung 3. Mehrere DMZs
Quelle: Network Warrior3
- DMZ-1 ist ein Zugangspunkt zu einem Anbieter.
- DMZ-2 ist der Ort, an dem sich die Internetserver befinden.
Die Sicherheitsanforderungen entsprechen dem vorherigen Beispiel (Beispiel 2), jedoch ist eine zusätzliche Überlegung erforderlich: ob DMZ-1 Verbindungen zu DMZ-2 initiieren darf und umgekehrt.
Die Bewertung dieses bidirektionalen Zugriffs hilft, granulare Sicherheitskontrollen in komplexen Netzwerkumgebungen durchzusetzen.
DMZ-Architekturen
Eine DMZ kann auf verschiedene Weise konfiguriert werden, von einer einzelnen Firewall bis hin zu dualen oder mehreren Firewalls. Die meisten aktuellen DMZ-Architekturen verwenden zwei Firewalls, die sich skalieren lassen, um komplexe Netzwerke zu unterstützen.
1. Einzel-Firewall
Eine einzelne Firewall mit mindestens drei Netzwerkschnittstellen wird benötigt, um eine Netzwerkarchitektur aufzubauen, die eine DMZ umfasst.
Abbildung 4. Illustration einer Einzel-Firewall-Architektur
Quelle: SAP4
Warum eine Einzel-Firewall verwenden: Eine einzelne Firewall vereinfacht die Netzwerkarchitektur, indem sie Datenverkehrskontrolle, Richtliniendurchsetzung und Protokollierung in einem Gerät konsolidiert. Dies reduziert die administrative Komplexität und senkt sowohl die Kapital- als auch die Betriebskosten. Sie eignet sich am besten für kleinere Umgebungen, in denen kein mehrschichtiger Perimeterschutz erforderlich ist.
2. Dual-Firewall
Diese Implementierung erstellt eine DMZ mit zwei Firewalls.
Abbildung 5. Illustration einer Dual-Firewall-Architektur
Quelle: SAP4
Warum Dual-Firewalls verwenden: Dual-Firewalls bieten ein sichereres System. In einigen Unternehmen werden die beiden Firewalls von verschiedenen Anbietern bereitgestellt. Wenn ein externer Angriff die erste Firewall durchbrechen kann, kann es länger dauern, die zweite Firewall zu durchbrechen, wenn sie von einem anderen Hersteller stammt, was es weniger wahrscheinlich macht, denselben Sicherheitslücken zum Opfer zu fallen.
Neuere Hardware-Veröffentlichungen haben neue Optionen für DMZ-Firewall-Bereitstellungen eingeführt, darunter WatchGuards Firebox M695 (veröffentlicht im Dezember 2025), die über einen Intel Core i7-14701E-Prozessor verfügt und hohen Durchsatz (45 Gbps roh) für große Umgebungen liefert.5
Für Bereitstellungen in kleinen und mittleren Unternehmen bietet die WatchGuard Firebox T185 (veröffentlicht im Januar 2026) Multi-Gigabit-Leistung mit etwa 5.7 Gbps rohem Firewall-Durchsatz und Sicherheitsfunktionen der Enterprise-Klasse für Zweigstellennetzwerke.6
Vorteile einer Demilitarisierten Zone (DMZ)
Der Hauptwert einer DMZ liegt in ihrer Fähigkeit, öffentlichen Internetnutzern Zugang zu bestimmten extern zugänglichen Diensten zu bieten und gleichzeitig als Schutzbarriere für das interne Netzwerk der Organisation zu dienen.
Die zusätzliche Schicht bietet mehrere Vorteile:
1. Bietet Zugriffskontrollen
Ein DMZ-Netzwerk kontrolliert den Zugang zu über das Internet verfügbaren Diensten, die sich nicht im Perimeternetzwerk eines Unternehmens befinden. Es fügt auch eine Schicht Netzwerksegmentierung hinzu und erhöht die Anzahl der Barrieren, die ein Benutzer überwinden muss, bevor er Zugang zum privaten Netzwerk eines Unternehmens erhält.
2. Verhindert Netzwerkerkundung
Eine DMZ schränkt die Fähigkeit eines Angreifers ein, potenzielle Ziele im Netzwerk zu erkunden. Selbst wenn ein Rechner in der DMZ gehackt wird, schützt die interne Firewall das private Netzwerk, indem sie es von der DMZ isoliert. Diese Konfiguration erschwert Angriffe auf externe Netzwerke.
3. Begrenzt Internet Protocol (IP)-Spoofing
IP-Spoofing beinhaltet die Fälschung der Quell-IP-Adresse von Paketen, um unbefugten Zugriff zu erlangen. Eine DMZ hilft, gefälschten Datenverkehr zu erkennen und zu blockieren, insbesondere in Kombination mit zusätzlichen Sicherheitsmaßnahmen, die IP-Authentizität validieren und so das interne Netzwerk weiter vor Identitätsdiebstahlangriffen schützen.
Top 5 Schwachstellen von DMZs in der Netzwerksicherheit
Eine DMZ ist nützlich, hat aber Schwachstellen. Diese Schwachstellen können es Angreifern erleichtern, Probleme zu finden.
1. Öffentliche Teile sind vom Internet aus leicht zu sehen
Server in einer DMZ müssen offen sein, damit Menschen sie nutzen können. Hacker können diese öffentlich zugänglichen Systeme finden und scannen, um Schwachstellen zu suchen.
2. Fehlkonfiguration schafft Risiko
Die Konfiguration und Verwaltung von DMZs kann komplex sein. Wenn Firewall-Regeln oder Zugriffskontrollen falsch sind, könnten Angreifer eindringen.
3. Komplexität erhöht Fehler
Eine DMZ fügt mehr Geräte, Regeln und Einstellungen hinzu, die verwaltet werden müssen. Mehr Komplexität bedeutet mehr Chancen für menschliche Fehler.
4. Ein falsches Sicherheitsgefühl
Manche Leute denken, eine DMZ mache ein Netzwerk völlig sicher. Das tut sie nicht. Eine DMZ senkt das Risiko, kann aber nicht alle Angriffe von selbst stoppen.
5. DMZs können mit neueren Technologien Probleme haben
Eine DMZ setzt eine Grenze voraus: außen ist nicht vertrauenswürdig, innen ist vertrauenswürdig. Drei Veränderungen haben diese Annahme geschwächt.
- Anwendungen sind auf Cloud-Plattformen umgezogen, sodass weniger Webserver in einer unternehmenseigenen DMZ stehen.
- Mitarbeiter arbeiten von außerhalb des Büros, sodass die Grenze nicht mehr dem Aufenthaltsort der Personen entspricht.
- Vernetzte Geräte haben sich vervielfacht, was den Bereich erweitert, den ein Perimeter abdecken muss.
Zero Trust beantwortet dies, indem es die Annahme fallen lässt. Es überprüft jede Anfrage anhand von Identität und Gerätezustand, unabhängig davon, woher die Anfrage kommt. Eine DMZ filtert hauptsächlich nach IP-Adressen und Ports; Zero Trust Network Access (ZTNA) verifiziert den Benutzer und das Gerät und gewährt dann Zugriff auf eine Ressource und nichts anderes.
Die beiden arbeiten in der Praxis zusammen. Eine DMZ isoliert öffentlich zugängliche Dienste, und Zero Trust überprüft jede Anfrage im Inneren.
Lesen Sie mehr über Zero-Trust: ZTNA-Lösungen, ZTNA Open-Source-Komponenten.
Im Februar 2026 gab die U.S. Cybersecurity and Infrastructure Security Agency (CISA) neue Leitlinien für Betreiber kritischer Infrastrukturen heraus, nach einem Cyberangriff auf das polnische Stromnetz.7 Die Empfehlung betont strenge Netzwerksegmentierung und andere Kontrollen, um Bedrohungen in Operational Technology (OT)-Netzwerken einzudämmen.
Als bevorzugte Quelle hinzufügenAnwendungen von DMZs
1. Cloud-Dienste
Cloud-Plattformen nutzen die DMZ-Idee auf zwei Arten.
Zwischen On-Premises und Cloud. Einige Unternehmen betreiben Dienste teils vor Ort und teils in einem Cloud-Netzwerk. Eine zwischen beiden platzierte DMZ kontrolliert, was die Grenze überschreitet.
Innerhalb der Cloud. Eine virtuelle private Cloud teilt sich in öffentliche und private Subnetze auf. Öffentliche Subnetze enthalten Load Balancer und Gateways, die aus dem Internet erreichbar sind. Private Subnetze enthalten Anwendungsserver und Datenbanken ohne direkten eingehenden Pfad. Sicherheitsgruppen und Netzwerkzugriffskontrolllisten ersetzen Firewall-Regeln zwischen beiden.
Das Ziel bleibt in beiden Fällen dasselbe: Ein Angreifer, der eine öffentlich zugängliche Komponente erreicht, findet keinen direkten Weg zu den dahinter liegenden Daten.
Cloud-Anbieter bieten auch verwaltete Firewalls für diese Grenzen an. AWS Network Firewall ist ein verwalteter, zustandsbehafteter Firewall-Dienst für VPCs. Die Next-Generation Firewall von Google Cloud fügt URL-Filterung für domänenbasierte Verkehrskontrolle und hierarchische Richtlinien für granulare Segmentierung hinzu.
2. Heimnetzwerke
Eine DMZ kann auch für Heimnetzwerke nützlich sein, die LAN-Einstellungen und Breitbandrouter verwenden. Mehrere Haushaltsrouter enthalten DMZ-Optionen oder DMZ-Host-Einstellungen. Diese Optionen ermöglichen es Benutzern, ein Gerät mit dem Internet zu verbinden.
3. Die industrielle DMZ (IDMZ)
Industrielle Netzwerke weisen der DMZ eine feste Adresse zu. Das Purdue-Modell unterteilt industrielle Systeme in Ebenen:8
- Ebenen 0–3: Operational Technology, wie Sensoren, Controller und SCADA
- Ebenen 4–5: Unternehmens-IT
- Ebene 3.5: die industrielle DMZ oder IDMZ
Der Datenverkehr zwischen OT und IT passiert Ebene 3.5. NIST SP 800-82, IEC 62443 und NERC CIP haben diese Schicht jeweils kodifiziert.9
Was sich darin befindet
Eine IDMZ verwendet das Dual-Firewall-Design: Eine Firewall ist der IT zugewandt, eine zweite der OT. Die Zone zwischen ihnen enthält gemeinsam genutzte Dienste wie Jump-Server, Patch-Server und Replikat-Historians.
Der Historian zeigt das Muster. Ein Anlagen-Historian schiebt Daten nach außen zu einem Replikat in der IDMZ. IT-Systeme fragen das Replikat ab. Nichts gelangt in das Steuerungsnetzwerk.
Wie IEC 62443 es strukturiert
Der Standard verwendet zwei Begriffe:
- Zone: eine Gruppe von Assets mit denselben Sicherheitsanforderungen
- Conduit: der kontrollierte Pfad zwischen Zonen, der durch die Firewalls erzwungen wird
Jede Zone trägt ein Ziel-Sicherheitslevel von SL 1 bis SL 4, das festlegt, wie stark ihre Kontrollen sein müssen.
Einige Standorte fügen eine Datendiode hinzu. Die Hardware erlaubt Datenverkehr nur in eine Richtung und blockiert den Rückweg physisch. NERC CIP-005 und IEC 62443-3-3 akzeptieren Dioden als Kontrollmaßnahme auf den höchsten Sicherheitsstufen.
Warum die Grenze wichtig ist
Angriffe überqueren sie. Berichten zufolge beginnen etwa 75 % der OT-Vorfälle auf der IT-Seite.10 Die Fertigungsindustrie zog 27.7 % aller Cyberangriffe im Jahr 2025 auf sich, der höchste Anteil aller Branchen im fünften Jahr in Folge, laut dem IBM X-Force 2026 Index.11
4. Web- und E-Mail-Hosting
Öffentlich zugängliche Dienste wie Webserver werden in der Regel in einer DMZ bereitgestellt, um externen Benutzern Zugang zu wesentlichen Ressourcen zu bieten und gleichzeitig die Sicherheit des internen Netzwerks zu gewährleisten.
5. Intrusion-Detection- und Prevention-Systeme (IDS/IPS)
Einige Sicherheitsarchitekturen platzieren IDS/IPS-Sensoren in der DMZ, um eingehenden und ausgehenden Datenverkehr auf bösartiges Verhalten zu überprüfen, bevor er das interne Netzwerk erreicht.
6. Partner- und Lieferantenzugang
Organisationen, die Drittpartnern oder Lieferanten Netzwerkzugang gewähren, nutzen häufig eine DMZ, um gemeinsam genutzte Dienste zu hosten (z. B. APIs, SFTP-Portale). Dies begrenzt die Gefährdung des internen Netzwerks für den Fall, dass der Zugang der externen Partei kompromittiert wird.
7. Remote-Access-Gateways
VPN-Konzentratoren, Remote-Desktop-Gateways oder Virtual-Desktop-Infrastructure (VDI)-Broker werden häufig in einer DMZ bereitgestellt, um sicheren Remote-Zugriff auf interne Systeme zu ermöglichen, ohne diese direkt dem Internet auszusetzen.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Demilitarisierte Zone (DMZ): Beispiele & Architektur}},
year = {2026},
month = aug,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Abgerufen am 6. August 2026}
}Referenzlinks
Cems Arbeit wurde von führenden globalen Publikationen zitiert, darunter Business Insider, Forbes, Washington Post, globalen Unternehmen wie Deloitte, HPE und NGOs wie dem World Economic Forum sowie supranationalen Organisationen wie der European Commission.
Während seiner Karriere war Cem als Tech-Berater, Tech-Einkäufer und Tech-Unternehmer tätig. Er beriet Unternehmen über ein Jahrzehnt lang bei McKinsey & Company und Altman Solon in Technologieentscheidungen. Er veröffentlichte auch einen McKinsey-Bericht zur Digitalisierung.
Er leitete die Technologiestrategie und Beschaffung eines Telekommunikationsunternehmens und berichtete dabei direkt an den CEO. Zudem führte er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos an, das innerhalb von 2 Jahren von null auf einen siebenstelligen jährlich wiederkehrenden Umsatz und eine neunstellige Bewertung anwuchs. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider aufgegriffen.
Cem spricht regelmäßig auf internationalen Technologiekonferenzen. Er schloss sein Studium an der Bogazici University als Computer-Ingenieur ab und hat einen MBA von der Columbia Business School.
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.