Eine DMZ (Demilitarisierte Zone, englisch Demilitarized Zone, auch Perimeter- oder Umkreisnetzwerk) ist ein abgeschottetes Netzwerksegment, in dem Server stehen, die von außen erreichbar sein müssen — typisch Webserver, Mailserver oder VPN-Endpunkte. Sie bildet eine Pufferzone zwischen dem öffentlichen Internet und dem vertrauenswürdigen internen Netz.
Warum eine DMZ?
Dienste mit Publikumsverkehr sind ein bevorzugtes Angriffsziel. Würde ein Webserver direkt im internen Netz stehen, wäre ein erfolgreicher Angriff auf ihn der erste Schritt ins Firmennetz (laterale Bewegung). In der DMZ isoliert, kann ein Angreifer im schlimmsten Fall nur den exponierten Dienst kompromittieren — das interne Netz bleibt durch die Firewall davon getrennt.
Aufbau
Klassisch trennt eine Firewall drei Bereiche: Internet, DMZ und internes Netz. Der Datenverkehr folgt festen Regeln: Erlaubt ist meist nur, was ein Dienst wirklich braucht. Ein Webserver in der DMZ darf beispielsweise Antworten ins Internet liefern und bei Bedarf mit einem Datenbankserver im internen Netz sprechen — direkte Verbindungen aus dem Internet ins interne Netz sind dagegen blockiert. Bei einem Zwei-Firewall-Modell schirmt eine Firewall die DMZ vom Internet und eine zweite die DMZ vom internen Netz ab; die DMZ liegt dann als eigenes Netz zwischen beiden.
Abgrenzung
Die DMZ ist ein Konzept der Netzsegmentierung: Sie ergänzt eine Firewall um eine klar getrennte Zone für exponierte Dienste. Während ein Bastion Host einzelne administrative Zugänge (etwa per SSH) kontrolliert, stellt die DMZ einen ganzen Netzbereich für öffentlich erreichbare Dienste bereit. Einen einzelnen Rechner, der wie ein DMZ-Server direkt exponiert ist, nennt man auch „exposed host“.
Verwandte Grundlagen: Firewall, Bastion Host, Air Gap.