IoT-Geräte per VLAN isolieren

Wieder ein Paket angekommen — ein Smart Plug, eine Kamera, ein Sprachassistent — und noch bevor das Pairing fertig war, kam derselbe Gedanke wie beim letzten Gerät: Dieses Ding teilt sich jetzt ein Netzwerk mit dem Laptop, auf dem die Steuerunterlagen liegen. Dieser Gedanke ist richtig, und die Lösung ist kein Slogan.

TL;DR

Ein Gastnetzwerk-Schalter ist keine VLAN — auf den meisten Consumer-Routern erlaubt er weiterhin einen gewissen Ost-West-Verkehr zwischen "isolierten" Geräten.
Echte Isolation braucht 802.1Q-VLAN-Tagging auf einem managed Switch plus explizite Inter-VLAN-Firewall-Regeln, nicht nur eine Checkbox.
Das Regelwerk, auf das es ankommt: IoT → Trusted blockieren, Trusted → IoT für Steuerungs-Apps erlauben, IoT → Internet erlauben.
Isolation, die man nicht getestet hat, ist eine Vermutung. Verifizieren Sie sie mit einem Portscan aus dem IoT-VLAN heraus.
Das stoppt laterale Bewegung — es patcht nicht das Gerät und schützt nicht dessen Cloud-Account.

KEY-STAT: 29 — durchschnittliche Cyberangriffe pro Smart Home und Tag 2025, laut dem Bitdefender/NETGEAR 2025 IoT Security Landscape Report — fast dreimal so viele wie im Vorjahr.

Warum IoT-Geräte ein eigenes Netzwerk brauchen

Smart Plugs, Kameras und Sprachassistenten haben eine schlechtere Patch-Bilanz als fast alles andere im Heimnetzwerk. Wie schnell Hersteller Firmware-Updates liefern, ist sehr unterschiedlich — das behandelt unsere Anleitung zur Router-Firmware im Detail —, aber IoT-Geräte sind durchweg die schlechtesten: Sie werden oft mit Standard-Zugangsdaten ausgeliefert und erhalten selten oder nie Sicherheitspatches.

Das Risiko ist nicht, dass ein einzelner Smart Plug kompromittiert wird — es ist, was danach passiert. Sitzt dieser Plug im selben flachen Netzwerk wie Ihr Laptop oder Ihr Homelab, kann ein kompromittiertes Gerät scannen, sondieren und sich zu allem anderen vorarbeiten. Segmentierung verhindert nicht, dass der Plug angegriffen wird. Sie verhindert, dass er zur Startrampe wird.

Gastnetzwerk vs. VLAN: Was Traffic wirklich isoliert

Die meiste "IoT ins eigene Netzwerk"-Beratung endet beim Umlegen des in Consumer-Routern eingebauten Gastnetzwerk-Schalters. Das ist besser als nichts, aber es ist nicht dieselbe Garantie wie eine echte VLAN:

Ansatz	Voraussetzung	Blockiert IoT → Trusted	Blockiert IoT → IoT	Übersteht ein kompromittiertes IoT-Gerät
Gastnetzwerk-Schalter	Jeder Consumer-Router	Meist	Selten — die meisten Gastnetzwerke sind ein flaches Segment	Teilweise
802.1Q-VLAN + Firewall-Regeln	VLAN-fähiger Router/Firewall + managed Switch	Ja, explizit	Ja, pro Regel	Ja

Die CISA empfiehlt in ihrer Anleitung zur Absicherung von Heim-WLANs ausdrücklich, IoT-Geräte auf ein separates Netzwerk zu legen — genau diese Trennung soll laterale Bewegung nach einer Kompromittierung stoppen. Die entscheidende Lücke: In einem Gastnetzwerk sitzen Smart-Kamera und Smart Plug meist immer noch im selben Segment wie einander, ohne Regel, die eines vom Sondieren des anderen abhält. Eine VLAN mit expliziten Regeln schließt genau diese Lücke.

Mein Setup: ein echter Router hinter der FRITZ!Box, plus ein managed Switch

Meine FRITZ!Box übernimmt die WAN-Verbindung und das WLAN, macht aber kein echtes 802.1Q-VLAN-Tagging — das können die meisten Consumer-ISP-Router nicht. Das eigentliche Routing und Firewalling passiert deshalb einen Hop weiter innen: eine pfSense-VM in meinem Proxmox-Homelab, verbunden mit einem 8-Port managed Switch (ein TP-Link TL-SG108E, der günstigste gängige Switch mit echtem VLAN-Tagging), der den Rest des Hauses versorgt.

Diese Trennung — dummer Router für WAN, echte Firewall für alles Interne — ist auch das, was den Rest dieser Anleitung möglich macht. Drei VLANs, am Switch getaggt:

VLAN 10 (Trusted):  Laptop, Handy, Proxmox-Management-Interface, NAS
VLAN 20 (IoT):       Smart Plugs, Kameras, Sprachassistenten, Smart-TV
VLAN 30 (Guest):     Besucher-WLAN, kein LAN-Zugriff

VLAN-Tagging-Konfiguration

Am managed Switch ist der Uplink-Port zur pfSense-VM ein Trunk, der alle drei VLAN-Tags trägt; jeder Access Point oder kabelgebundene IoT-Port läuft im untagged Access-Modus auf VLAN 20:

TP-Link TL-SG108E -- Port-Konfiguration
Port 1 (Uplink zu pfSense):  Trunk, tagged VLAN 10/20/30
Port 2 (IoT Access Point):    Access, untagged VLAN 20
Port 3 (Trusted, kabelgebunden): Access, untagged VLAN 10
Port 4 (Guest Access Point):  Access, untagged VLAN 30

pfSense -- Interfaces > VLANs
VLAN 10  Parent: igb1  Beschreibung: Trusted
VLAN 20  Parent: igb1  Beschreibung: IoT
VLAN 30  Parent: igb1  Beschreibung: Guest

Jede VLAN bekommt anschließend ein eigenes Interface in pfSense mit eigenem Subnetz und eigenem Firewall-Regelwerk — genau der Teil, den ein Gastnetzwerk-Schalter nicht liefern kann.

Inter-VLAN-Firewall-Regeln, die zählen

Die VLANs allein isolieren nichts — Router leiten Traffic zwischen ihnen klaglos weiter, solange man es ihnen nicht verbietet. Die Regeln, die die eigentliche Arbeit machen:

Regel	Richtung	Aktion
IoT → Trusted blockieren	VLAN 20 → VLAN 10	Deny
Trusted → IoT erlauben	VLAN 10 → VLAN 20	Allow (damit Handy-Apps Geräte weiter steuern können)
IoT → IoT Broadcast/Multicast über mDNS-Bedarf hinaus blockieren	VLAN 20 → VLAN 20	Deny, außer nötige Discovery-Ports
IoT → Guest blockieren	VLAN 20 → VLAN 30	Deny
IoT → Internet erlauben	VLAN 20 → WAN	Allow
Guest → Trusted/IoT blockieren	VLAN 30 → VLAN 10/20	Deny

Tip

In pfSense zählt die Reihenfolge — die spezifischen "Block"-Regeln müssen über jeder breiteren "Allow"-Regel auf demselben Interface stehen, sonst greift zuerst die breite Regel und der Block feuert nie.

Genau diese eine Regel "Trusted → IoT erlauben" ist der Grund, warum das Handy die Kamera-App weiter öffnen oder einen Smart Plug von VLAN 10 aus schalten kann — die Isolation ist einseitig, und das ist der Punkt.

Isolation wirklich verifizieren

Eine ungetestete Firewall-Regel ist eine Hoffnung, keine Tatsache. Nach dem Aufbau habe ich von einem vorübergehend ans IoT-VLAN angeschlossenen Laptop aus einen Scan gegen mein NAS im Trusted-VLAN gefahren:

$ nmap -p 22,80,443,445 192.168.10.20
Starting Nmap ...
Nmap scan report for 192.168.10.20
Host seems down. If it is really up, but blocked by
an inline firewall, add -Pn

"Host seems down" aus dem IoT-VLAN heraus, während derselbe Scan aus dem Trusted-VLAN normal offene Ports zeigt, ist die Bestätigung, auf die es ankommt — die Regel blockiert den Traffic wirklich, statt ungenutzt in einer Regelliste zu liegen. Ich wiederhole diesen Check bei jeder neuen Inter-VLAN-Regel, denn ein Tippfehler in einer Subnetzmaske ist ein stiller Fehlerfall: Die Regel sieht korrekt aus und tut nichts.

Warning

Der häufigste Fehler hier ist nicht eine fehlende Regel — es ist eine Regel mit der falschen Richtung oder eine vom Testen übrig gebliebene "any/any"-Allow-Regel, die alles darunter still aushebelt. Prüfen Sie die Regelreihenfolge nach jeder Änderung.

Was das nicht behebt

VLANs stoppen laterale Bewegung im Netzwerk. Sie patchen nicht die Firmware des Geräts und schützen nicht den Cloud-Account des Herstellers hinter der App, die Ihre Kamera steuert — ist dieser Account kompromittiert, braucht der Angreifer Ihr Netzwerk gar nicht erst. Segmentierung ist eine Schicht neben WPA3 auf dem WLAN und dem tatsächlichen Einspielen von Firmware-Updates, sobald sie erscheinen — kein Ersatz für beides.

Häufig gestellte Fragen

Brauche ich einen managed Switch für IoT-VLANs, oder reicht ein Gastnetzwerk?

Ein Gastnetzwerk-Schalter ist eine echte Verbesserung gegenüber nichts und der richtige Einstieg, wenn keine VLAN-fähige Hardware vorhanden ist. Aber die meisten Consumer-Gastnetzwerke sind ein einzelnes flaches Segment — Geräte darauf erreichen meist nicht das Trusted-Netzwerk, aber oft einander. Ein managed Switch mit 802.1Q-Tagging, kombiniert mit einem Router oder einer Firewall mit VLAN-Interfaces, liefert Regeln pro Gerät und Richtung statt eines groben Schalters.

Können Smart-Home-Hubs IoT-Geräte auf einem separaten VLAN noch steuern?

Ja, mit einer expliziten Allow-Regel: Traffic vom Trusted-VLAN Richtung IoT-VLAN. Hub, Handy oder Tablet bleiben im Trusted-VLAN und dürfen Geräte im IoT-VLAN erreichen — die Isolation blockiert nur die Rückrichtung, und genau die zählt, um ein kompromittiertes Gerät einzudämmen.

Verlangsamt eine VLAN die IoT-Geräte?

Nein — VLAN-Tagging fügt jedem Frame ein paar Bytes hinzu und wird in Switch-/Router-Hardware mit Line-Rate verarbeitet. In über einem Jahr mit diesem Setup gab es keinen messbaren Latenzunterschied beim Smart-Home-Traffic gegenüber dem vorherigen flachen Netzwerk.

Was ist der praktische Unterschied zwischen einem Gastnetzwerk und einer VLAN für IoT-Isolation?

Ein Gastnetzwerk ist meist eine vorgefertigte, vereinfachte VLAN mit einem festen, vom Hersteller gewählten Regelwerk. Eine selbst konfigurierte VLAN erlaubt Regeln pro Richtung — einschließlich der Aufteilung "Trusted erreicht IoT, IoT erreicht nicht Trusted", die die meisten Gastnetzwerk-Implementierungen nicht bieten.

Alle Angaben ohne Gewähr. Dieser Beitrag dient allgemeinen Informationszwecken.