Demilitarisierte Zone (DMZ): Beispiele & Architektur
Ein Demilitarisierte Zone (DMZ) Netzwerk ist ein Teilnetz, das die öffentlich zugänglichen Dienste einer Organisation enthält. Es dient als exponierter Punkt zu einem nicht vertrauenswürdigen Netzwerk, häufig dem Internet.
DMZs werden in verschiedenen Umgebungen eingesetzt, von Heimroutern bis zu Unternehmensnetzwerken, um öffentlich zugängliche Dienste zu isolieren und interne Systeme zu schützen. DMZs (demilitarisierte Zonen) hosten öffentlich zugängliche Dienste und isolieren sie gleichzeitig vom internen LAN einer Organisation.1 Organisationen kombinieren DMZ-Perimeter mit Zero Trust Microsegmentierung und strengen Zugriffskontrollen.2
Entdecken Sie reale DMZ-Beispiele und verschiedene DMZ-Architekturen (Single vs. Dual Firewall):
Warum ist eine DMZ in der Netzwerksicherheit wichtig?
DMZs fügen eine Ebene der Netzwerksegmentierung hinzu, um das interne private Netzwerk zu verteidigen. Sie schaffen eine Pufferzone zwischen dem öffentlichen Internet und den privaten Netzwerken einer Organisation.
Diese Teilnetze begrenzen den externen Zugriff auf interne Server und Ressourcen und erschweren es Angreifern, in das interne Netzwerk einzudringen.
In typischen Konfigurationen (siehe Abbildung oben) wird das DMZ-Teilnetz zwischen zwei Firewalls oder auf einem dedizierten Segment einer einzelnen Firewall mit mehreren Schnittstellen platziert. Dies stellt sicher, dass:
- Unbefugter Zugriff auf das interne Netzwerk blockiert wird, selbst wenn ein in der DMZ gehosteter Dienst kompromittiert wird.
- Der gesamte eingehende Datenverkehr aus dem Internet zuerst gefiltert und überprüft wird, bevor er die DMZ-Server erreicht.
- Der interne Netzwerkverkehr zur und von der DMZ streng kontrolliert und überwacht wird.
DMZ-Beispiele
DMZ-Beispiel 1: DMZ-Implementierung mit einer Firewall
Wie in Abbildung 1 zu sehen, befindet sich das DMZ-Netzwerk weder innerhalb noch außerhalb der Firewall. Es ist sowohl über interne als auch externe Netzwerke zugänglich.
Einer der Hauptvorteile dieses Netzwerkdiagramms ist die Isolation. Wenn beispielsweise der E-Mail-Server gehackt wird, kann der Angreifer nicht auf das interne Netzwerk zugreifen. In diesem Szenario kann der Angreifer auf verschiedene Server in der DMZ zugreifen, da sie dasselbe physische Netzwerk teilen.
Abbildung 1. Einfaches DMZ-Diagramm
Quelle: International Journal of Wireless and Microwave Technologies3
In dieser Konfiguration erzwingt die DMZ die folgenden Zugriffskontrollen:
- Außennetz: Das Außennetz kann keine Verbindungen zum Innennetz aufbauen, jedoch kann das Außennetz Verbindungen zur DMZ initiieren.
- Innennetz: Das interne Netzwerk kann Verbindungen zu externen Netzwerken aufbauen, aber das Netzwerk kann keine Verbindungen zum internen Netzwerk initiieren.
DMZ-Beispiel 2: Eine DMZ, die mit einem Drittanbietergerät verbunden ist
Ein weiterer typischer DMZ-Ansatz ist die Verbindung mit einem Drittanbietergerät, wie z. B. einem Anbieter. Abbildung 2 zeigt ein Netzwerk mit einem Anbieter, der über eine T1-Leitung mit einem Router in der DMZ verbunden ist.
Dieses DMZ-Beispiel kann verwendet werden, wenn Unternehmen ihre Systeme an eine externe Partei auslagern und dieser über dieses Setup direkten Zugriff auf den Server des Anbieters gewähren.
Abbildung 2. DMZ, die mit einem Anbieter verbunden ist
Quelle: Network Varrior4
DMZ-Beispiel 3: Mehrere DMZs, die mit einem Drittanbietergerät verbunden sind
Manchmal reicht eine einzelne DMZ für Organisationen, die komplexe Netzwerke betreiben, nicht aus. Abbildung 3 zeigt ein Netzwerk mit mehreren DMZs. Das Design kombiniert die ersten beiden Beispiele: Das Internet ist draußen und die Benutzer sind innerhalb des Netzwerks.
Abbildung 3. Mehrere DMZs
Quelle: Network Varrior5
- DMZ-1 ist ein Zugangspunkt zu einem Anbieter.
- DMZ-2 ist der Ort, an dem sich die Internetserver befinden.
Die Sicherheitsanforderungen stimmen mit dem vorherigen Beispiel (Beispiel 2) überein, aber es ist eine zusätzliche Überlegung erforderlich: ob DMZ-1 Verbindungen zu DMZ-2 initiieren darf und umgekehrt.
Die Bewertung dieses bidirektionalen Zugriffs hilft, granulare Sicherheitskontrollen in komplexen Netzwerkumgebungen durchzusetzen.
DMZ-Architekturen
Eine DMZ kann auf verschiedene Weise konfiguriert werden, von einer einzelnen Firewall bis hin zu dualen oder mehreren Firewalls. Die Mehrheit der aktuellen DMZ-Architekturen umfasst zwei Firewalls, die zur Unterstützung komplexer Netzwerke skaliert werden können.
1. Einzelne Firewall
Eine einzelne Firewall mit mindestens drei Netzwerkschnittstellen ist erforderlich, um eine Netzwerkarchitektur aufzubauen, die eine DMZ umfasst.
Abbildung 4. Darstellung einer Single-Firewall-Architektur
Quelle: SAP6
Warum eine einzelne Firewall verwenden: Eine einzelne Firewall vereinfacht die Netzwerkarchitektur, indem sie Verkehrskontrolle, Richtliniendurchsetzung und Protokollierung in einem Gerät konsolidiert. Dies reduziert die administrative Komplexität und senkt sowohl die Kapital- als auch die Betriebskosten. Es eignet sich am besten für kleinere Umgebungen, in denen keine mehrschichtigen Perimeterverteidigungen erforderlich sind.
2. Duale Firewall
Diese Implementierung erstellt eine DMZ mit zwei Firewalls.
Abbildung 5. Darstellung einer Dual-Firewall-Architektur
Quelle: SAP7
Warum duale Firewalls verwenden: Duale Firewalls bieten ein sichereres System. In einigen Unternehmen werden die beiden Firewalls von verschiedenen Anbietern bereitgestellt. Wenn ein externer Angriff die erste Firewall durchbrechen kann, kann es länger dauern, die zweite Firewall zu durchbrechen, wenn sie von einem anderen Hersteller stammt, wodurch es weniger wahrscheinlich ist, denselben Sicherheitslücken zum Opfer zu fallen.
Kürzliche Hardware-Veröffentlichungen haben neue Optionen für DMZ-Firewall-Bereitstellungen eingeführt, darunter WatchGuard's Firebox M695 (veröffentlicht im Dezember 2025), die einen Intel Core i7-14701E Prozessor aufweist und einen hohen Durchsatz (45 Gbps raw) für große Umgebungen liefert.8
Für Bereitstellungen in kleinen und mittleren Unternehmen bietet die WatchGuard Firebox T185 (veröffentlicht im Januar 2026) Multi-Gigabit-Leistung mit etwa 5,7 Gbps Raw-Firewall-Durchsatz und Sicherheitsfunktionen der Enterprise-Klasse für Zweigstellennetzwerke.9
Vorteile einer Demilitarisierten Zone (DMZ)
Der Hauptwert einer DMZ liegt in ihrer Fähigkeit, öffentlichen Internetnutzern Zugang zu bestimmten externen Diensten zu bieten, während sie als Schutzbarriere dient, die das interne Netzwerk der Organisation abschirmt.
Diese zusätzliche Sicherheitsebene bietet mehrere wichtige Sicherheitsvorteile:
1. Bietet Zugriffskontrollen
Ein DMZ-Netzwerk kontrolliert den Zugriff auf Dienste, die über das Internet zugänglich sind und sich nicht innerhalb des Perimeternetzwerks eines Unternehmens befinden. Es fügt auch eine Ebene der Netzwerksegmentierung hinzu und erhöht die Anzahl der Barrieren, die ein Benutzer überwinden muss, bevor er Zugang zum privaten Netzwerk eines Unternehmens erhält.
2. Verhindert Netzwerkaufklärung
Eine DMZ schränkt die Fähigkeit eines Angreifers ein, potenzielle Ziele im Netzwerk zu bewerten. Selbst wenn ein Rechner in der DMZ gehackt wird, schützt die interne Firewall das private Netzwerk, indem sie es von der DMZ isoliert. Diese Konfiguration macht externe Netzwerkangriffe schwieriger.
3. Begrenzt Internet Protocol (IP)-Spoofing
IP-Spoofing beinhaltet das Fälschen der Quell-IP-Adresse von Paketen, um sich unbefugten Zugriff zu verschaffen. Eine DMZ hilft, gefälschten Datenverkehr zu erkennen und zu blockieren, insbesondere in Kombination mit zusätzlichen Sicherheitsmaßnahmen, die IP-Authentizität validieren und das interne Netzwerk weiter vor Identitätsdiebstahlangriffen schützen.
Top 5 Schwachstellen von DMZs in der Netzwerksicherheit
Eine DMZ ist nützlich, hat aber Schwächen. Diese Schwächen können es Angreifern erleichtern, Probleme zu finden.
1. Öffentliche Teile sind vom Internet aus leicht zu sehen
Server in einer DMZ müssen offen sein, damit die Leute sie nutzen können. Hacker können diese öffentlich zugänglichen Systeme finden und scannen, um nach Schwachstellen zu suchen.
2. Fehlkonfiguration schafft Risiko
DMZ-Konfiguration und -Verwaltung können komplex sein. Wenn Firewall-Regeln oder Zugriffskontrollen falsch sind, könnten Angreifer eindringen.
3. Komplexität erhöht Fehler
Eine DMZ fügt mehr Geräte, Regeln und Einstellungen hinzu, die verwaltet werden müssen. Mehr Komplexität bedeutet mehr Chancen für menschliche Fehler.
4. Ein falsches Sicherheitsgefühl
Manche Leute denken, eine DMZ mache ein Netzwerk völlig sicher. Das tut sie nicht. Eine DMZ senkt das Risiko, kann aber nicht alle Angriffe von selbst stoppen.
5. DMZs könnten mit neueren Technologien Schwierigkeiten haben
Traditionelle DMZ-Designs passen möglicherweise nicht gut zu Cloud-Diensten oder modernen Netzwerkmodellen, was ihre Nützlichkeit einschränkt.
Im Februar 2026 gab die U.S. Cybersecurity and Infrastructure Security Agency (CISA) nach einem Cyberangriff auf das polnische Stromnetz neue Leitlinien für Betreiber kritischer Infrastrukturen heraus.10 Die Empfehlung betont strenge Netzwerksegmentierung und andere Kontrollen, um Bedrohungen in Operational Technology (OT)-Netzwerken einzudämmen.
Als bevorzugte Quelle hinzufügenAnwendungen von DMZs
1. Cloud-Dienste
Einige Cloud-Dienste verwenden eine hybride Sicherheitsstrategie, bei der eine DMZ zwischen dem lokalen Netzwerk des Unternehmens und seinem logischen Netzwerk eingerichtet wird. Diese Strategie wird häufig angewendet, wenn die Dienste des Unternehmens teilweise vor Ort und teilweise über ein logisches Netzwerk ausgeführt werden.
AWS und Google Cloud enthalten integrierte Firewall-as-a-Service-Lösungen. Beispielsweise bietet AWS die AWS Network Firewall (einen managed, stateful Firewall-Service für VPCs).11 Google Cloud’s Cloud Next-Generation Firewall enthält einen URL-Filterdienst für domänenbasierte Verkehrskontrolle und unterstützt hierarchische Firewall-Richtlinien für granulare Netzwerksegmentierung 12 .13
2. Heimnetzwerke
Eine DMZ kann auch für Heimnetzwerke nützlich sein, die LAN-Einstellungen und Breitbandrouter verwenden. Mehrere Haushaltsrouter enthalten DMZ-Optionen oder DMZ-Host-Einstellungen. Diese Optionen ermöglichen es Benutzern, ein Gerät mit dem Internet zu verbinden.
3. Industrielle Kontrollsysteme (ICS)
DMZs können eine Lösung für die Sicherheitsprobleme im Zusammenhang mit ICS bieten.
Der Großteil der Operational Technology (OT)-Geräte, die eine Verbindung zum Internet herstellen, ist nicht so gut für die Abwehr von Angriffen konzipiert wie IT-Geräte. Eine DMZ kann die OT-Netzwerksegmentierung verbessern und es Malware, Viren oder anderen Netzwerkbedrohungen erschweren, einzudringen.
Organisationen ersetzen flache Netzwerkperimeter durch Zero-Trust-Modelle, die Microsegmentierung und granulare Zugriffskontrollen verwenden.14 Kürzliche globale Leitlinien für OT-Netzwerke (angeführt vom britischen NCSC in Zusammenarbeit mit der CISA) betonen die Reduzierung exponierter Verbindungen und die Durchsetzung strenger Netzwerksegmentierung an operativen Grenzen 15 .
4. Web- und E-Mail-Hosting
Öffentlich zugängliche Dienste wie Webserver werden in der Regel innerhalb einer DMZ bereitgestellt, um externen Benutzern Zugang zu wesentlichen Ressourcen zu gewähren und gleichzeitig die Sicherheit des internen Netzwerks zu gewährleisten.
5. Intrusion Detection und Prevention Systeme (IDS/IPS)
Einige Sicherheitsarchitekturen platzieren IDS/IPS-Sensoren in der DMZ, um ein- und ausgehenden Datenverkehr auf böswilliges Verhalten zu überprüfen, bevor er das interne Netzwerk erreicht.
6. Partner- und Lieferantenzugang
Organisationen, die Drittanbieterpartnern oder -lieferanten Netzwerkzugang gewähren, nutzen häufig eine DMZ, um gemeinsam genutzte Dienste zu hosten (z. B. APIs, SFTP-Portale). Dies begrenzt die Gefährdung des internen Netzwerks, falls der Zugang der externen Partei kompromittiert wird.
7. Remote-Access-Gateways
VPN-Konzentratoren, Remote-Desktop-Gateways oder Virtual Desktop Infrastructure (VDI)-Broker werden oft in einer DMZ bereitgestellt, um sicheren Fernzugriff auf interne Systeme zu ermöglichen, ohne diese direkt dem Internet auszusetzen.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Demilitarisierte Zone (DMZ): Beispiele & Architektur}},
year = {2026},
month = mar,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Abgerufen am 6. März 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.