März 5, 2026

Anhang A 8.20 Netzwerksicherheit

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Netzwerke bilden das Rückgrat der Informationsverarbeitung und ermöglichen den Austausch von Informationen zwischen Systemen, Anwendungen und Standorten. Unzureichend gesicherte Netzwerke können Ziel von Angriffen, Abhören oder Manipulation werden und stellen ein erhebliches Risiko für die Informationssicherheit dar. Dieses Control stellt sicher, dass Netzwerke angemessen geschützt, segmentiert und überwacht werden.

Zweck des Controls

A 8.20 soll gewährleisten, dass Netzwerke so gestaltet und betrieben werden, dass Informationen vor unbefugtem Zugriff, Manipulation und Störungen geschützt sind. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen während der Übertragung und Verarbeitung im Netzwerk sicherzustellen.

Anforderungen und Maßnahmen

1. Netzwerksicherheitskonzept

Organisationen müssen ein Netzwerksicherheitskonzept definieren, insbesondere:

  • Sicherheitsziele für Netzwerke
  • Struktur und Segmentierung
  • Schutzmechanismen und Kontrollen
  • Verantwortlichkeiten

Das Konzept muss dokumentiert und aktuell sein.

2. Segmentierung und Trennung von Netzwerken

Netzwerke müssen angemessen segmentiert werden:

  • Trennung von internen, externen und sensiblen Netzen
  • Segmentierung nach Schutzbedarf
  • Einsatz von Firewalls oder vergleichbaren Mechanismen
  • Vermeidung unnötiger Verbindungen

So wird die Ausbreitung von Angriffen begrenzt.

3. Schutz von Netzwerkverbindungen

Netzwerkverbindungen müssen geschützt werden:

  • Einsatz sicherer Protokolle
  • Verschlüsselung von Datenübertragungen
  • Absicherung von Fernzugriffen
  • Schutz vor Abhören und Manipulation

Dies schützt Informationen während der Übertragung.

4. Kontrolle des Netzwerkzugangs

Der Zugang zu Netzwerken muss kontrolliert werden:

  • Authentifizierung von Geräten und Benutzern
  • Einschränkung unbefugter Verbindungen
  • Nutzung von Netzwerkzugangskontrollen
  • Überwachung von Zugriffsversuchen

So wird unbefugter Zugriff verhindert.

5. Überwachung und Erkennung von Netzwerksicherheitsereignissen

Netzwerke müssen überwacht werden:

  • Monitoring des Netzwerkverkehrs
  • Erkennung ungewöhnlicher Muster
  • Alarmierung bei Sicherheitsereignissen
  • Integration in Überwachungs- und Incident-Prozesse

Dies ermöglicht frühzeitige Reaktion.

6. Schutz von Netzwerkinfrastrukturen

Netzwerkinfrastrukturen müssen geschützt werden:

  • sichere Konfiguration von Netzwerkkomponenten
  • regelmäßige Aktualisierung von Firmware
  • physischer Schutz von Netzwerkeinrichtungen
  • Einschränkung administrativer Zugriffe

So bleibt die Integrität des Netzwerks erhalten.

7. Umgang mit Änderungen und Wartung

Änderungen an Netzwerken müssen kontrolliert erfolgen:

  • formale Änderungsprozesse
  • Bewertung von Sicherheitsauswirkungen
  • Dokumentation von Änderungen
  • Tests nach Änderungen

Dies verhindert unbeabsichtigte Risiken.

8. Dokumentation und kontinuierliche Verbesserung

Netzwerksicherheitsmaßnahmen müssen dokumentiert und überprüft werden:

  • Netzwerktopologien und Sicherheitskonzepte
  • Verantwortlichkeiten
  • Vorfälle und Verbesserungsmaßnahmen
  • regelmäßige Überprüfung und Anpassung

Die Dokumentation unterstützt Audits und Nachvollziehbarkeit.

Zusammenfassung

A 8.20 fordert, dass Organisationen Netzwerke systematisch absichern. Durch ein klar definiertes Netzwerksicherheitskonzept, angemessene Segmentierung, Schutz von Netzwerkverbindungen, Kontrolle des Netzwerkzugangs sowie kontinuierliche Überwachung wird sichergestellt, dass Netzwerke nicht zur Schwachstelle der Informationssicherheit werden. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.20 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.20 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wie ist Ihr Netzwerk aufgebaut, und wo sind die Übergänge geschützt?“
Ein aktueller Netzplan ist der Einstieg. Ohne ihn lässt sich keine Aussage über Schutz treffen.
„Welche Verbindungen bestehen nach außen?“
Internet, Standortkopplungen, Fernwartung, Partneranbindungen: Die Liste ist meist länger als der Netzplan zeigt.
„Wie sind die Firewall-Regeln entstanden?“
Gewachsene Regelwerke enthalten Freischaltungen, die niemand mehr begründen kann. Danach wird gezielt gefragt.
„Wann wurden die Regeln zuletzt überprüft?“
Eine dokumentierte Regelwerksprüfung ist der belastbare Nachweis für dieses Control.
Das Dokument dazu

A 8.20-1 Netzwerk Sicherheitsrichtlinie

Netzplan mit Übergängen und Schutzmaßnahmen · Verzeichnis externer Verbindungen · Regelwerk mit Begründung und Überprüfungsturnus. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick