# VLAN: ein Netzwerk logisch aufteilen

> Ein VLAN (Virtual LAN) teilt einen Switch logisch in mehrere getrennte Netze auf, ohne dass man zusätzliche Hardware braucht. Geräte in verschiedenen VLANs können nicht direkt miteinander kommunizieren, obwohl sie am selben Switch hängen – für die Verbindung braucht es einen Router. VLANs trennen zum Beispiel Gäste, Verwaltung und Produktion, erhöhen die Sicherheit und begrenzen Broadcast-Verkehr.

**Autor:** Mr. Benjamin · **Beruf:** IT-Grundlagen
**Veröffentlicht:** 2026-09-23 · **Aktualisiert:** 2026-09-23
**Quelle:** https://yellowbluetech.de/blog/vlan-grundlagen

---

Ein Switch, aber mehrere voneinander abgeschottete Netze – ganz ohne zusätzliche Kabel oder Geräte? Genau das leisten VLANs. Sie sind eines der wichtigsten Werkzeuge, um Netze sicher und übersichtlich zu strukturieren.

## Was ist ein VLAN?

Ein VLAN (*Virtual Local Area Network*) teilt einen [Switch](/blog/router-switch-hub-accesspoint) **logisch** in mehrere getrennte Netze auf. Die Ports werden VLANs zugeordnet; Geräte in unterschiedlichen VLANs sind voneinander isoliert, als hingen sie an verschiedenen Switches.

> **Merksatz**
>
> Ein VLAN trennt Geräte **logisch**, obwohl sie **physisch** am selben Switch hängen. Zwei VLANs sind getrennte [Broadcast-Domänen](/blog/router-switch-hub-accesspoint): Geräte im VLAN 10 erreichen die im VLAN 20 **nicht direkt** – dafür braucht es einen **Router** (bzw. Layer-3-Switch).

## Wofür man VLANs nutzt

- **Sicherheit/Isolation:** Gäste-WLAN vom internen Netz trennen; Verwaltung von Produktion.
- **Übersicht:** Abteilungen (Buchhaltung, Technik) sauber getrennt.
- **Weniger Broadcast:** kleinere Broadcast-Domänen entlasten das Netz.
- **Flexibilität:** Die Zuordnung ist Konfiguration, kein Umstecken von Kabeln.

## Tagging und Trunk

Wenn VLAN-Verkehr über **eine** Leitung zwischen zwei Switches laufen soll, muss erkennbar bleiben, zu welchem VLAN ein Paket gehört. Dafür wird ein **VLAN-Tag** in das Datenpaket eingefügt (Standard **802.1Q**).

| Begriff | Bedeutung |
| --- | --- |
| **Access-Port** | gehört zu **einem** VLAN (z. B. ein PC) |
| **Trunk-Port** | überträgt **mehrere** VLANs (getaggt) zwischen Switches |
| **Tag (802.1Q)** | Kennzeichnung des VLANs im Paket |

> **Prüfungstipp**
>
> Kernaussagen, die geprüft werden: VLANs trennen **logisch** trotz gemeinsamer Hardware, sie bilden **eigene Broadcast-Domänen**, und für die Kommunikation **zwischen** VLANs braucht es Routing (Inter-VLAN-Routing). Merke außerdem den Unterschied **Access-Port** (ein VLAN) vs. **Trunk-Port** (mehrere VLANs, getaggt nach **802.1Q**).

## Warum das die Sicherheit erhöht

> **Hinweis**
>
> Indem VLANs Bereiche voneinander abschotten, begrenzen sie den Schaden: Ein kompromittiertes Gerät im Gäste-VLAN kommt nicht ohne Weiteres an Server im internen VLAN. Das ist ein Baustein der Netzsegmentierung – dieselbe Idee wie beim getrennten [Gastnetz im WLAN](/blog/wlan-grundlagen-sicherheit), nur allgemeiner. Die Übergänge zwischen VLANs lassen sich am Router bzw. einer [Firewall](/blog/was-ist-eine-firewall) gezielt mit Regeln versehen, sodass nur erlaubter Verkehr fließt.

## Selbstkontrolle

**Frage:** Zwei Geräte hängen am selben Switch, aber in verschiedenen VLANs. Wie können sie miteinander kommunizieren?

- [ ] Direkt, sie hängen ja am selben Switch.
- [x] Nur über einen Router (Inter-VLAN-Routing).
- [ ] Gar nicht, VLANs sind rein physisch.
- [ ] Über einen Hub.

**Erklärung:** Verschiedene VLANs sind getrennte Broadcast-Domänen und damit logisch eigene Netze. Eine direkte Kommunikation ist nicht möglich – es braucht Routing zwischen den VLANs (einen Router oder Layer-3-Switch).

## Häufige Fragen

### Was ist der Unterschied zwischen Access-Port und Trunk-Port?

Ein Access-Port gehört zu genau einem VLAN und verbindet ein Endgerät wie einen PC. Ein Trunk-Port überträgt mehrere VLANs gleichzeitig über eine einzige Leitung, meist zwischen zwei Switches, und kennzeichnet die Pakete dafür mit VLAN-Tags nach 802.1Q. So bleibt beim Empfänger klar, zu welchem VLAN ein Paket gehört.

### Brauche ich für VLANs spezielle Hardware?

Du brauchst einen managebaren (managed) Switch, der VLANs unterstützt. Einfache, unmanaged Switches können das nicht. Für die Kommunikation zwischen VLANs kommt zusätzlich ein Router oder ein Layer-3-Switch ins Spiel. Die Endgeräte selbst müssen nichts können – die Trennung passiert im Switch.

### Erhöht ein VLAN wirklich die Sicherheit?

Es ist ein Baustein. Durch die Trennung erreicht ein Gerät standardmäßig nur sein eigenes VLAN, was die Angriffsfläche verkleinert. Vollständige Sicherheit entsteht erst mit passenden Regeln an den Übergängen und weiteren Maßnahmen. VLANs ersetzen keine Firewall, sie ergänzen sie.

### Was bedeutet 802.1Q?

Das ist der Standard, der das VLAN-Tagging festlegt. Er beschreibt, wie ein kleines Kennzeichen in ein Ethernet-Paket eingefügt wird, das die VLAN-Zugehörigkeit angibt. Dank dieses genormten Tags können Geräte verschiedener Hersteller VLANs gemeinsam nutzen.

**Weiterlesen:** [Subnetting berechnen: Teilnetze, Hosts und Broadcast](/blog/subnetting-berechnen) · [DHCP erklärt: automatische IP-Vergabe](/blog/dhcp-erklaert) · [MAC-Adresse und ARP: Adressierung im lokalen Netz](/blog/mac-adresse-und-arp)

## Das Wichtigste in Kürze

- Ein **VLAN** trennt einen Switch **logisch** in mehrere Netze – ohne extra Hardware.
- Verschiedene VLANs sind **eigene Broadcast-Domänen** und **isoliert**.
- Kommunikation **zwischen** VLANs nur über **Routing** (Inter-VLAN).
- **Access-Port** = ein VLAN, **Trunk-Port** = mehrere VLANs (Tag nach **802.1Q**).
- VLANs erhöhen **Sicherheit** und **Übersicht** und begrenzen Broadcasts.