Applikationskontrolle mit Zenarmor: Schatten-IT sichtbar machen und über 5.000 Apps im Firmennetz steuern

Eine Applikationskontrolle erkennt, welche Anwendung hinter einer Netzwerkverbindung steckt, und lässt Sie diese App unabhängig von Port oder IP-Adresse erlauben oder sperren. Zenarmor arbeitet dafür auf Layer 7 mit einer Anwendungsdatenbank von mehr als 5.000 Apps und dynamisch aktualisierten Signaturen. Zuerst sehen Sie, welche Apps tatsächlich genutzt werden (Schatten-IT); danach legen Sie Richtlinien je Benutzer, Gruppe, VLAN, Gerät und Zeitplan fest.

In diesem Beitrag erfahren Sie, warum klassische Port- und IP-Regeln nicht mehr ausreichen, wie Sie eine Anwendungskontrolle schrittweise einführen, ohne den Betrieb zu stören, wie Sie generative KI und Filesharing-Dienste steuern und wie Sie die Einstellungen auf ISO 27001:2022, NIS2 und den VDA ISA (TISAX) abbilden. Wir schreiben aus zwei Perspektiven: als unabhängiger ISO 27001 Lead Auditor und als offizieller Zenarmor-Partner in den Niederlanden.

Warum Port- und IP-Regeln nicht mehr genügen

Eine klassische Firewall entscheidet anhand von Quelle, Ziel, Port und Protokoll. Das funktionierte, solange Anwendungen eigene Ports nutzten. Heute läuft nahezu alles über HTTPS auf Port 443: Microsoft 365, WhatsApp Web, Dropbox, ChatGPT, Online-Spiele und Fernwartungstools. Eine Regel wie „Port 443 erlauben“ sagt also nichts mehr darüber aus, was über diese Verbindung läuft.

• Cloud-Apps teilen sich Infrastruktur. Viele Dienste laufen auf denselben CDNs und Cloud-Plattformen. IP-Listen sind deshalb grob, veralten schnell und sperren mitunter legitime Dienste gleich mit.
• Apps wechseln Port und Protokoll. Peer-to-Peer-, VPN- und Fernzugriffssoftware sucht sich automatisch einen anderen Weg, wenn ein Port geschlossen ist.
• Benutzer installieren selbst Tools. Ein kostenloser Übersetzungsdienst, ein KI-Assistent oder ein privater Filesharing-Account ist in Sekunden im Einsatz – ohne dass die IT davon weiß.

Eine Layer-7-Firewall betrachtet deshalb die Anwendung selbst. Zenarmor klassifiziert jede Verbindung mit der Zenarmor Application Database, die über dynamische Signaturen aktuell gehalten wird. Laut Zenarmor erkennt die Engine über 5.000 Anwendungen beim Namen, nicht nur an Port und Protokoll. Die Applikationskontrolle ergänzt Ihre bestehenden L3/L4-Regeln auf OPNsense, pfSense CE oder Linux um eine zusätzliche Ebene; sie ersetzt sie nicht.

Erst Transparenz, dann Richtlinie: Schatten-IT aufdecken

Der häufigste Fehler bei der Anwendungskontrolle: sofort sperren. Sie wissen dann noch nicht, welche Geschäftsprozesse Sie treffen, und der Servicedesk zahlt die Rechnung. Beginnen Sie deshalb mit Transparenz. Die Berichte und Live Sessions von Zenarmor zeigen, welche Anwendungen und Kategorien je Benutzer, Gerät und Segment genutzt werden.

Zwei risikoarme Einstiegswege:

• Routed Mode mit großzügiger Richtlinie. Zenarmor läuft inline, Sie erlauben aber zunächst alle App-Kategorien und sammeln nur Berichtsdaten. Später aktivieren Sie Sperren ohne Neuinstallation.
• Passive Mode. Zenarmor analysiert eine Kopie des Verkehrs, etwa über einen SPAN-Port. Laut der Dokumentation zu den Deployment-Modi ist in diesem Modus kein Blockieren möglich, wohl aber ein vollständiges Reporting. Ideal, wenn Sie zunächst eine Bestandsaufnahme ohne Eingriff in den Netzwerkpfad wünschen.

Nach zwei bis vier Wochen haben Sie ein realistisches Bild. Typische Befunde einer ersten Messung: privater Cloud-Speicher neben dem Firmen-Tenant, mehrere KI-Chatdienste, nicht freigegebene Fernwartungstools, Torrent-Verkehr im Gästenetz und Streaming, das zu Stoßzeiten Bandbreite frisst. Das ist Ihr Schatten-IT-Inventar – und direkter Input für Ihre Risikoanalyse.

Sperren und Erlauben nach App und Kategorie

In Zenconsole und in der lokalen Zenarmor-Oberfläche sind Anwendungen in Kategorien und Unterkategorien gegliedert. Jede Kategorie zeigt den Status Allowed, Blocked oder Custom (ein Teil der Apps gesperrt). Sie können:

• eine ganze Kategorie sperren, etwa Spiele oder Peer-to-Peer;
• innerhalb einer gesperrten Kategorie eine einzelne App erlauben, die Sie freigegeben haben;
• Apps nach Namen suchen und einzeln sperren oder erlauben.

Nach dem Speichern synchronisiert Zenconsole die Richtlinie auf die Gateways. Über Live Sessions und die Berichte prüfen Sie, welche Richtlinie, App oder Kategorie eine Verbindung gesperrt hat. Das hilft dem Servicedesk und liefert sofort einen Nachweis für das Audit.

Richtlinien je Benutzer, Gruppe, VLAN, Gerät und Zeitplan

Eine Zenarmor-Richtlinie lässt sich nach Interface, VLAN, IP-Adresse oder Subnetz, MAC-Adresse, erkannten Geräten und Gerätekategorien, Benutzern und Gruppen sowie einem Zeitplan (Tage und Uhrzeiten) eingrenzen. Laut der Richtlinien-Dokumentation werden alle Kriterien mit einem logischen UND verknüpft. So formulieren Sie etwa: „Gruppe Produktion, VLAN 30, Montag bis Freitag 07:00–17:00 Uhr“.

Für Benutzer und Gruppen binden Sie eine Identitätsquelle an, etwa Microsoft Entra ID, Google Workspace, Okta oder einen SAML-2.0-Anbieter. Seit Zenarmor 2.7 können organisationsweite Richtlinien auch auf Active-Directory- und LDAP-Benutzer und -Gruppen abgestimmt werden. Auf OPNsense ist zusätzlich eine benutzerbasierte Filterung über das Captive Portal möglich, etwa für Gäste oder gemeinsam genutzte Arbeitsplätze.

Für IoT und OT nutzen Sie die Geräteerkennung (Device Identification): Zenarmor erkennt Gerätetypen, und Sie können Gerätekategorien in eine Richtlinie aufnehmen. Eine Kamera oder SPS meldet sich nicht mit einem Benutzer an, hat aber ein klar erwartbares Verkehrsmuster.

Generative KI und Filesharing: was geht und was nicht

Die derzeit häufigste Frage: „Können wir ChatGPT und andere KI-Tools steuern?“ Die ehrliche Antwort hat zwei Ebenen.

Ebene 1: App- und Kategorieebene (Applikationskontrolle)

Die App DB enthält eine Kategorie A.I. Tools; die Dokumentation nennt Google Gemini als Beispiel. Sie können die gesamte Kategorie sperren und anschließend den freigegebenen Dienst – etwa Ihre Unternehmensumgebung von Copilot oder ChatGPT – wieder erlauben. Dasselbe gilt für Filesharing und privaten Cloud-Speicher: als App oder Kategorie erlauben oder sperren, je Gruppe und je Segment. Prüfen Sie in Ihrer eigenen Zenconsole, wie ein Dienst klassifiziert ist, denn die Datenbank entwickelt sich mit dem Markt weiter.

Ebene 2: Aktionsebene (CASB, ab SSE)

Wollen Sie einen Dienst erlauben, aber bestimmte Aktionen wie Hochladen, Teilen oder Löschen unterbinden, benötigen Sie Cloud Access Rules (CASB). Diese stehen ab den SSE-Editionen zur Verfügung und setzen eine vollständige TLS-Inspektion voraus. Die Dokumentation nennt außerdem eine kategoriebasierte TLS-Inspektion, zum Beispiel für die Kategorie Generative AI, und dass QUIC-Verbindungen nicht erlaubt bleiben dürfen. Welche Aktionen steuerbar sind, unterscheidet sich je Dienst. Ein ausgearbeitetes Beispiel zu Uploads an WeTransfer finden Sie in unserem Beitrag SSE, CASB und DLP: vertrauliche Uploads zu WeTransfer stoppen.

Seien Sie auch klar darüber, was nicht geht: Zenarmor bewertet nicht den Inhalt dessen, was ein Mitarbeiter in einen KI-Prompt eingibt. Für inhaltsbasierte DLP sind zusätzliche Maßnahmen nötig, etwa Datenklassifizierung, Sensibilisierung und Regeln in Ihrer KI-Richtlinie.

Praktische Richtlinienbeispiele

Die folgende Tabelle zeigt Ausgangspunkte, die wir in Projekten verwenden. Es sind Beispiele: Die richtige Auswahl ergibt sich aus Ihrer Risikoanalyse und Ihrer Richtlinie zur zulässigen Nutzung.

Umgebung	Erlauben	Sperren oder einschränken	Eingrenzung
Büro (Mitarbeitende)	Microsoft 365 oder Google Workspace, freigegebener KI-Dienst, Videokonferenzen, Fachanwendungen	Peer-to-Peer, nicht freigegebene Fernwartungstools, übrige A.I. Tools, privater Cloud-Speicher	Gruppe „Mitarbeitende“ über Entra ID oder LDAP, Büro-VLAN
Gäste-WLAN	Web, E-Mail, gängiges Streaming	Peer-to-Peer und Torrents, Fernwartungstools, Anonymisierungs- und Proxy-Dienste (soweit erkannt)	Gäste-VLAN, Captive Portal, optional Zeitplan
Produktion / OT	Nur die benötigten Industrie- und Wartungsanwendungen	Alle übrigen Kategorien; Fernwartungstool nur im Wartungsfenster	OT-VLAN, Gerätekategorien, Zeitplan
Schule (Schülerinnen und Schüler)	Lernplattformen, Office-Apps, Prüfungsumgebung	Spiele, soziale Medien und Streaming während des Unterrichts; A.I. Tools während Prüfungen	Schüler-VLAN oder -Gruppe, Zeitplan nach Stundenplan

Kombinieren Sie die Applikationskontrolle stets mit Netzwerksegmentierung. Die Segmentierung bestimmt, welche Zonen einander erreichen dürfen; die Anwendungskontrolle bestimmt, welche Apps innerhalb und aus diesen Zonen heraus erlaubt sind. Für den Webverkehr selbst – Phishing, Malware und Kategorien wie Glücksspiel – nutzen Sie den Zenarmor-Webfilter.

Compliance: Bezug zu ISO 27001, TISAX und NIS2

Applikationskontrolle ist kein Selbstzweck. Auditoren wollen sehen, dass Sie eine Richtlinie haben und die Technik diese nachweisbar umsetzt. Zenarmor unterstützt das; es macht Sie nicht automatisch compliant. So ordnen Sie die Einstellungen den Normen zu:

Rahmenwerk / Control	Beitrag der Applikationskontrolle	Nachweis für den Auditor
ISO 27001:2022 A.5.10 – Zulässiger Gebrauch	Technische Durchsetzung der Nutzungsrichtlinie	Richtlinie plus Export der gesperrten Kategorien
ISO 27001:2022 A.8.20 – Netzwerksicherheit	Gesteuerter Netzwerkverkehr auf Anwendungsebene	Konfiguration, Änderungshistorie, Berichte
ISO 27001:2022 A.8.22 – Trennung von Netzwerken	Unterschiedliche App-Richtlinien je VLAN oder Segment	Richtlinienübersicht je Segment
ISO 27001:2022 A.5.23 – Nutzung von Cloud-Diensten	Transparenz über tatsächlich genutzte Cloud-Dienste	Top-Apps-Bericht im Abgleich mit der Freigabeliste
VDA ISA 1.3.3 / 1.3.4 – freigegebene externe IT-Dienste und Software	Nicht freigegebene Dienste erkennen und sperren	Regelmäßiger Abgleich des App-Berichts mit der Freigabeliste
NIS2 Art. 21 Abs. 2 Buchst. a, g, i	Sicherheitskonzepte, Cyberhygiene, Zugriffskontrolle und Asset-Management	Richtlinie, Berichte, Review-Protokolle

Für ISO 27001 verweisen Sie in Ihrer Erklärung zur Anwendbarkeit (SoA) auf diese Maßnahmen (siehe die Norm ISO/IEC 27001:2022). Für die Automobil-Lieferkette gilt: TISAX® liefert Labels, keine Zertifikate. Die VDA-ISA-Controls 1.3.3 und 1.3.4 verlangen, dass nur bewertete und freigegebene externe IT-Dienste und Software genutzt werden (siehe etwa diese Erläuterung zu ISA 1.3.3). Die Nummerierung kann sich mit ISA2027 verschieben. Mehr dazu in unserem Beitrag zur TISAX-Vorbereitung und Netzwerksicherheit. Für NIS2 finden Sie die Risikomanagementpflichten in Artikel 21 der Richtlinie (EU) 2022/2555; siehe auch ISO 27001 und NIS2. Wie Sie die Berichte als Nachweis einsetzen, lesen Sie in Zenarmor-Reporting für NIS2 und ISO 27001.

Einführung in fünf Schritten

So führen wir die Applikationskontrolle ein – von der Bestandsaufnahme bis zum regelmäßigen Review:

Sie betreuen mehrere Standorte oder Kunden? Dann rollen Sie dieselbe Richtlinie zentral über Zenconsole aus – mit Audit-Trail und Sicherung der Richtlinien. In Deutschland denken Sie zudem an die Mitbestimmung des Betriebsrats bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG).

Grenzen: verschlüsselter Verkehr und ehrliche Erwartungen

Applikationskontrolle ist wirkungsvoll, aber keine Zauberei. Beachten Sie Folgendes:

• TLS ohne Entschlüsselung. Mit der leichtgewichtigen, zertifikatsbasierten TLS-Inspektion liest Zenarmor Hostname, Webkategorie und Anwendungstyp aus dem Handshake. Für viele App-Entscheidungen reicht das. Nutzen Browser Encrypted Client Hello (ECH), ist der Hostname laut TLS-Dokumentation nicht mehr sichtbar.
• Tiefere Kontrolle erfordert vollständige TLS-Inspektion. Aktionskontrolle (CASB) und Regeln auf URL-Ebene benötigen Entschlüsselung mit eigenem CA-Zertifikat auf den Endgeräten. Das hat datenschutz- und arbeitsrechtliche Folgen; lesen Sie zuerst unseren Beitrag zur TLS-Inspektion mit Zenarmor.
• QUIC. Zenarmor empfiehlt, das QUIC-Protokoll zu sperren; Browser weichen dann auf TCP aus, wo die Inspektion zuverlässiger ist.
• Geräte außerhalb des Netzes. Ein Laptop im Homeoffice oder ein Smartphone im 5G-Netz passiert Ihr Gateway nicht. Dafür gibt es die Endpoint-Agents (Windows, macOS, Linux, Android, iOS).
• Klassifizierung ist nie 100 %. Täglich erscheinen neue Apps. Planen Sie deshalb das monatliche Review und den Ausnahmeprozess von Anfang an ein.