Ein Air Gap (deutsch Luftspalt, air-gapped Network) ist eine Sicherheitsmaßnahme, bei der ein System oder Netzwerk physisch von anderen Netzen getrennt ist — es gibt keine Netzwerkverbindung nach außen. Der Begriff stammt von der Luft, die zwischen den Systemen liegt: Ohne Kabel und ohne Funkverbindung ist ein direkter digitaler Angriff aus der Ferne nicht möglich.
Einsatz
Air Gaps schützen besonders kritische Systeme: Steuerungen von Kraftwerken oder Industrieanlagen, militärische Netze, Wahlsysteme oder sensible Forschungsumgebungen. Auch im Backup-Bereich ist die Trennung beliebt: Ein Air-Gap-Backup liegt nach der Sicherung nicht mehr am Netz, sodass es auch Ransomware nicht erreichen kann. Bekannt wurde das Konzept etwa durch den Fall Stuxnet, der zeigte, dass selbst vermeintlich getrennte Systeme über Wechselmedien angreifbar sein können.
Datenübertragung
In einem echten Air Gap werden Daten nur kontrolliert und unter menschlicher Aufsicht übertragen — etwa per USB-Stick oder Wechseldatenträger, die vorher geprüft werden. Eine reine IP-Verbindung existiert nicht. Schwachstelle bleibt genau dieser manuelle Austausch: Schadsoftware kann über infizierte Datenträger oder versehentlich angeschlossene Geräte eingeschleppt werden. Auch akustische oder elektromagnetische Seitenkanäle (Covert Channels) sind in Extremfällen dokumentiert, spielen aber für die reale Bedrohungslage kaum eine Rolle.
Abgrenzung
Ein Air Gap ist die strengste Form der Netzwerksegmentierung: keine Verbindung statt kontrollierter Verbindung. Eine DMZ oder ein Bastion Host erlauben weiterhin definierte Wege in geschützte Bereiche — das Air Gap schließt genau diese Wege.
Verwandte Grundlagen: DMZ, Bastion Host, Firewall.