Network Access Control: einfach erklärt für KMU

Ein typischer Verlauf: Im WLAN taucht ein Gerät auf, das niemand zuordnen kann. Ein Servicetechniker steckt sein Notebook an eine freie Netzwerkdose, um eine Maschine zu warten. Und irgendwo hängt ein Gerät am Netz, das vor Jahren eingerichtet wurde und seitdem niemand mehr betreut. In vielen gewachsenen Netzen kommt jedes Gerät, das ein Kabel oder das WLAN-Kennwort hat, in dasselbe Netz wie Buchhaltung und Server.

Network Access Control (NAC), auf Deutsch Netzzugangskontrolle, setzt genau dort an. Dieser Beitrag erklärt, wie NAC funktioniert, was der Standard IEEE 802.1X damit zu tun hat, wo die Grenzen liegen, welche Rolle NIS2 spielt und wie Sie die Einführung angehen.

Was ist Network Access Control?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt NAC im IT-Grundschutz-Baustein NET.3.4 Network Access Control so: Eine Netzzugangskontrolle sichert Netzzugänge im Endgerätebereich durch zwei Schritte ab.

• Authentisierung: Das Gerät weist nach, wer oder was es ist, zum Beispiel mit einem Zertifikat.
• Autorisierung: Nach festgelegten Regeln erhält das Gerät ein passendes Netzsegment und passende Berechtigungen, oder der Zugang wird verweigert.

NAC funktioniert im kabelgebundenen Netz und im WLAN. Das BSI nennt als Beispiel einen Drucker: Er weist sich mit einem gültigen Zertifikat aus und landet danach automatisch in dem Netzsegment, das für Drucker vorgesehen ist. Ein Netzsegment ist ein abgegrenzter Teil des Netzes mit eigenen Zugriffsregeln.

So funktioniert 802.1X

IEEE 802.1X ist ein Standard des Ingenieurverbands IEEE mit dem Titel „Port-Based Network Access Control“, aktuell in der Fassung von 2020. Er erlaubt es, den Zugang zu Netzwerkanschlüssen auf authentisierte und autorisierte Geräte zu beschränken. Nach der Beschreibung des BSI wirken dabei diese Bausteine zusammen:

• Supplicant: eine Software auf dem Endgerät, die sich anmeldet.
• Authenticator: der Switch, der WLAN Access Point oder der WLAN Controller, an dem das Gerät angeschlossen ist.
• RADIUS-Server: der zentrale Prüfdienst (Remote Authentication Dial-In User Service), auch Authentication Server genannt.
• Identitätsverwaltung: eine eigene Verwaltung oder ein bestehender Verzeichnisdienst, gegen den geprüft wird.

Die Anmeldung läuft über das Extensible Authentication Protocol (EAP) zwischen Endgerät und Authenticator. Der Authenticator fragt beim RADIUS-Server nach. Erst wenn die Prüfung erfolgreich ist, erhält das Gerät Zugang, und zwar zu dem Netzsegment, das die Regeln für dieses Gerät vorsehen.

Geräte ohne 802.1X: MAC-Adress-Authentisierung

Nicht jedes Gerät beherrscht 802.1X, etwa ältere Drucker oder Maschinensteuerungen. Dann wird oft die MAC-Adress-Authentisierung genutzt. Die MAC-Adresse ist die Hardware-Kennung der Netzwerkschnittstelle. Das BSI bewertet dieses Verfahren als unsicher: Spoofing-, Replay- und Man-in-the-Middle-Angriffe sind leichter möglich. Geräte, die nur über ihre MAC-Adresse erkannt werden, sollen nach BSI nicht als vertrauenswürdig gelten. Ihr Netzzugang soll auf das notwendige Minimum beschränkt werden.

Was NAC leistet und was nicht

NAC regelt, ob und wohin ein Gerät ins Netz darf. NAC ersetzt weder Firewall noch Virenschutz. Das BSI sieht vor, NAC mit solchen Sicherheitskomponenten zu verbinden und mit dem Segmentierungskonzept des Netzes abzustimmen. Diese Erweiterungen nennt der Baustein:

• Anbindung des Virenschutzes: Meldet der Virenschutz Schadsoftware, soll die NAC-Lösung reagieren.
• Endgerätekonformitätsprüfung: Vor dem Zugang wird geprüft, ob ein Gerät die Vorgaben des Unternehmens erfüllt. Geräte, die sie nicht erfüllen, erhalten nur stark eingeschränkten Zugang. Das BSI führt diese Prüfung als Anforderung bei erhöhtem Schutzbedarf.
• MACsec: Verschlüsselung und Integritätsschutz auf der Verbindung zwischen Gerät und Switch nach IEEE 802.1AE, ebenfalls bei erhöhtem Schutzbedarf.

Für die Endgeräte empfiehlt das BSI, die Supplicant-Software, ihre Konfiguration und Identitätsmerkmale wie Zertifikate zentral zu verwalten. Wie eine zentrale Geräteverwaltung mit Microsoft Intune funktioniert, erklärt unser Beitrag Was ist Microsoft Intune?

NAC und NIS2

NIS2 ist eine EU-Richtlinie zur Cybersicherheit. In Deutschland ist sie im BSI-Gesetz (BSIG) umgesetzt. Das Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen sich nach § 33 BSIG spätestens drei Monate, nachdem sie erstmals als wichtige oder besonders wichtige Einrichtung gelten, beim BSI registrieren. Das BSI-Portal dafür ist seit dem 6. Januar 2026 freigeschaltet.

Nach § 30 Abs. 2 BSIG gehören zu den Mindestmaßnahmen unter anderem:

• Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen (Nr. 9),
• die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung (Nr. 10).

Das Gesetz nennt NAC nicht ausdrücklich. NAC kann aber ein Baustein der Zugriffskontrolle sein, weil es festlegt und nachweist, welche Geräte in welche Netzbereiche dürfen. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG zu melden: frühe Erstmeldung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung. Protokolle der NAC-Lösung können helfen, einen Vorfall nachzuvollziehen. Ob Ihr Unternehmen betroffen ist, klären Sie am besten gesondert. Einen Einstieg bietet unsere Seite NIS2 und Risikomanagement.

NAC einführen: Schritt für Schritt

Wer zu früh sperrt, stört den Betrieb. Wer dauerhaft nur beobachtet, verbessert den Schutz kaum. Wir empfehlen diese Reihenfolge, angelehnt an die Anforderungen im BSI-Baustein NET.3.4:

1. Entscheidung und Umfang: Legen Sie fest, für welche Netzbereiche NAC gelten soll und wie mit eigenen und fremden Geräten umgegangen wird. Das BSI verlangt, diese Entscheidung mit Begründung zu dokumentieren.
2. Bestand erfassen: Alle Gerätegruppen und Zugangswege kennen, vom Notebook über Drucker und Telefone bis zu Maschinen und Gästen. Ohne vollständiges Inventar lässt sich NAC nach BSI nicht ausreichend planen.
3. Anforderungen und Konzept: Prüfen, ob Switches, Access Points und Endgeräte 802.1X unterstützen. Ein NAC-Konzept legt Netzbereiche, Anmeldeverfahren, Regeln je Gerätegruppe und die Anbindung an den Verzeichnisdienst fest und passt zur Segmentierung des Netzes.
4. Pilot ohne Sperren: Zuerst nur beobachten und protokollieren. So sehen Sie, welche Geräte unerwartet auftauchen, bevor jemand ausgesperrt wird.
5. Schrittweise durchsetzen: Zuerst die klaren Fälle, etwa verwaltete Notebooks mit Zertifikat, dann Sondergeräte mit eingeschränktem Zugang.
6. Notfall regeln: Festlegen, was passiert, wenn der RADIUS-Server ausfällt. Das BSI beschreibt dafür mehrere Varianten, von „neue Anmeldungen ablehnen“ bis „NAC an einzelnen Ports abschalten“, und verlangt eine Abwägung zwischen Betrieb und Sicherheit.
7. Betrieb: NAC-Komponenten überwachen, Ereignisse protokollieren, Ausnahmen mit Ablaufdatum versehen, die Dokumentation aktuell halten und nicht mehr genutzte Identitäten sperren.

Denken Sie an den Datenschutz: NAC-Protokolle können zeigen, wann sich welche Person mit welchem Gerät angemeldet hat. Das BSI weist darauf hin, Speicherzeiten und Zugriff auf diese Daten mit Betriebsrat und Datenschutzbeauftragten abzustimmen.

Kurz-Checkliste für den Einstieg

• Kennen Sie alle Gerätegruppen in Ihrem Netz und ihre Zugangswege?
• Unterstützen Ihre Switches und Access Points 802.1X?
• Gibt es getrennte Netzbereiche für Gäste, Dienstleister, Drucker und Maschinen?
• Ist festgelegt, wer Ausnahmen genehmigt und wann sie enden?
• Wissen Sie, was bei einem Ausfall des RADIUS-Servers passieren soll?

Netzzugang absichern: Wir unterstützen Sie

Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Wie wir die Sicherheit Ihrer IT prüfen und verbessern, lesen Sie auf unserer Seite zur IT-Sicherheit. Den laufenden Betrieb Ihrer IT übernehmen wir im Rahmen unserer Managed Services zum monatlichen Festpreis.

Sie möchten wissen, wo in Ihrem Netz der Einstieg in NAC sinnvoll ist? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.