Infra & Netzwerk

Switch-Management

Overview

Switch-Management umfasst alle Aufgaben, mit denen Admins verwaltete (managed) Switches einrichten und betreiben: VLAN- und Trunk-Konfiguration, Port-Security, Spanning Tree, Link-Aggregation, PoE-Budget, Monitoring, Logging, Firmware-Updates und die Sicherung der Konfiguration.

Verwaltet wird je nach Hersteller per CLI über SSH, über eine Weboberfläche, per SNMP oder über eine Cloud-Konsole (z. B. Cisco Meraki, HPE Aruba Networking Central, Ubiquiti UniFi). Größere Umgebungen nutzen zusätzlich Automatisierung über APIs oder Werkzeuge wie Ansible.

Abgrenzung: Unmanaged Switches bieten keine Konfiguration und gehören in Unternehmensnetzen höchstens an unkritische Randstellen. Das BSI fasst die Anforderungen in den Bausteinen NET.3.1 (Router und Switches) und NET.1.2 (Netzmanagement) zusammen.

How it works

Ein sauberes Switch-Management folgt einem festen Ablauf:

  1. Grundkonfiguration: Hostname, Zeitserver (NTP), zentrales Syslog, Admin-Zugang nur per SSH bzw. HTTPS, Telnet und HTTP aus.
  2. Management-Zugriff auf ein eigenes Management-VLAN beschränken und Admin-Konten zentral über RADIUS oder TACACS+ anbinden.
  3. Ports konfigurieren: Access-Ports mit VLAN-Zuordnung, Trunks mit erlaubter VLAN-Liste, ungenutzte Ports deaktivieren.
  4. Schutzfunktionen aktivieren: Spanning Tree mit BPDU Guard an Endgeräte-Ports, Port-Security oder 802.1X, DHCP Snooping und Dynamic ARP Inspection, sofern der Switch das unterstützt.
  5. Überwachen per SNMPv3 oder Streaming-Telemetrie, Konfigurationen automatisch sichern und Änderungen versionieren.
  6. Firmware nach Herstellerhinweisen und Wartungsfenster aktualisieren.

Benefits

  • Verhindert, dass ein unbekanntes Gerät an einer Netzwerkdose sofort volles Netzzugriffsrecht erhält
  • Verkürzt die Fehlersuche, weil Portstatus, Fehlerzähler und Logs zentral vorliegen
  • Reduziert Ausfälle durch Schleifen dank Spanning Tree und BPDU Guard
  • Erlaubt eine schnelle Wiederherstellung, wenn Konfigurationen gesichert und versioniert sind

Practical example

Ein Krankenhaus-Zulieferer mit 60 Access-Switches an vier Standorten pflegte Konfigurationen bisher manuell per Weboberfläche. Die IT führt ein Management-VLAN, RADIUS-Anmeldung für Admins, nächtliche Konfigurationssicherung und SNMPv3-Monitoring ein und schaltet alle ungenutzten Ports ab. Bei einem Defekt wird ein Ersatz-Switch jetzt mit der gesicherten Konfiguration in wenigen Minuten eingespielt, und Änderungen sind nachvollziehbar.

Things to keep in mind

  • Standardpasswörter sofort ändern und unsichere Protokolle wie Telnet, HTTP und SNMPv1/v2c deaktivieren
  • Firmware-Stände inventarisieren, Sicherheitsmeldungen der Hersteller abonnieren und End-of-Life-Modelle rechtzeitig ersetzen
  • Änderungen über einen Change Request mit Rückfallplan durchführen, besonders an Core- und Trunk-Ports
  • Konfigurationen außerhalb der Switches sichern, z. B. per TFTP/SCP-Export oder über ein Werkzeug wie Oxidized
  • Bei Cloud-Management prüfen, wie lange Geräte ohne gültige Lizenz weiterlaufen und wo Konfigurationsdaten gehostet werden

Licensing & availability

Viele Managed Switches lassen sich ohne Zusatzlizenz lokal per CLI oder Weboberfläche verwalten. Cloud-gemanagte Plattformen (z. B. Cisco Meraki, HPE Aruba Networking Central) setzen dagegen eine laufende Lizenz pro Gerät voraus, ohne die Verwaltungsfunktionen eingeschränkt sein können. Erweiterte Funktionen wie Netzwerkautomatisierung oder Analyse sind bei manchen Herstellern zusätzliche Subscriptions. Stand: Oktober 2026.

Conclusion

Gutes Switch-Management ist unspektakulär, verhindert aber einen großen Teil der Netzwerkstörungen und schließt einfache Angriffswege über offene Netzwerkdosen. Standardisiere die Grundkonfiguration und sichere sie automatisch.

Further reading

Related articles