Trends im IP-Adressmanagement 2025: Automatisierung, IPv6 und hybride Netzwerke

Seit sich Unternehmensnetzwerke auf die Cloud, Niederlassungen und Geräte des Internets der Dinge erstrecken, muss das IP-Adressmanagement (IPAM) mehr leisten als die Pflege von Adresslisten. Es muss mit dem Tempo Schritt halten, in dem Ressourcen erstellt, geändert und freigegeben werden, und Betriebs- sowie Sicherheitsteams überprüfbare Aufzeichnungen bereitstellen. Solche Anforderungen könnten das Wachstum des IPAM-Marktes fördern. Das vorliegende Material reicht jedoch weder aus, um eine konkrete Marktgröße zu verifizieren, noch lässt sich daraus das tatsächliche Wachstum von 2024 bis 2025 ableiten.

Bei den Themen der Netzwerkplanung für 2025 verdient die Erweiterung der Werkzeugfunktionen mehr Aufmerksamkeit als eine einzelne Zahl zur Marktgröße: die gemeinsame Verwaltung von IPv4 und IPv6, Automatisierung, die Anbindung an Cloud-Plattformen und der Informationsaustausch mit Sicherheitssystemen. IPAM wird damit zunehmend Teil der zentralen Abläufe beim Aufbau von Netzwerken. Wie viel es leisten kann, hängt weiterhin davon ab, ob die Aufzeichnungen vollständig und die Integrationen zuverlässig sind und wie die Teams diese Informationen nutzen.

Künstliche Intelligenz und Automatisierung treiben IPAM voran

Gartner prognostizierte im September 2024, dass bis 2026 30 % der Unternehmen mehr als die Hälfte ihrer Netzwerkaktivitäten automatisieren werden. Mitte 2023 lag dieser Anteil noch unter 10 %. Dabei handelt es sich um eine Prognose zur Netzwerkautomatisierung, nicht um das Ergebnis einer Erhebung, wonach „2025 bereits 30 % der Großunternehmen AIOps einsetzen“. Auch lässt sich daraus nicht unmittelbar die Verbreitung von IPAM-Produkten ableiten.

Für das Adressmanagement liegt der praktische Nutzen der Automatisierung unter anderem darin, Adresskonflikte zu erkennen, ungenutzte Adressbereiche zu finden, die Auslastung zu verfolgen und auf mögliche Kapazitätsengpässe hinzuweisen. Einige Produkte setzen künstliche Intelligenz ein, um Auffälligkeiten zu analysieren oder Empfehlungen zu geben. Grundlegende Funktionen wie das Erkennen doppelt vergebener Adressen benötigen jedoch nicht zwangsläufig KI. Teams sollten zwischen überprüfbaren Erkennungsergebnissen, Empfehlungen eines Modells und bereits ausgeführten Änderungen unterscheiden.

Die Werkzeuge können außerdem über APIs an Cloud-Plattformen, Sicherheitssysteme und SD-WAN-Verwaltungsabläufe angebunden werden, um Adressen nach festgelegten Verfahren zu vergeben, zu aktualisieren und wieder freizugeben. Das kann doppelte Dateneingaben und typische Fehler reduzieren, macht die Behandlung von Ausnahmefällen aber nicht überflüssig. Die Adresspools, Berechtigungen und Änderungsprotokolle, auf denen die Automatisierung beruht, müssen weiterhin von Menschen gepflegt werden. Auch Fehlkonfigurationen können sich durch Automatisierung verbreiten.

Die Einführung von IPv6 bleibt entscheidend

Im Februar 2011 war der zentrale Pool noch nicht zugeteilter IPv4-Adressen der IANA erschöpft. Das bedeutet weder, dass am selben Tag in allen Regionen keine Adressen mehr verfügbar waren, noch, dass vorhandene IPv4-Adressen ihre Funktion verloren. IPv4 ist weiterhin im Einsatz, und die Einführung von IPv6 ist je nach Region und Netzwerk unterschiedlich weit fortgeschritten. Begrenzte IPv4-Ressourcen und der weiter wachsende Bedarf an Verbindungen machen die IPv6-Planung zu einem wichtigen Bestandteil des Adressmanagements.

Der 128-Bit-Adressraum von IPv6 ist wesentlich größer als der von IPv4. Mehr Adressen bedeuten aber weder, dass die Verwaltung von selbst einfacher wird, noch, dass das Netzwerk automatisch sicherer ist. In Dual-Stack-Netzwerken müssen Adressierung, Routing und Zugriffskontrollen für beide Protokolle geplant werden. Dabei sollte man vermeiden, gewohnte IPv4-Konfigurationen unverändert auf IPv6 zu übertragen.

Auch Datenschutzmechanismen gehören zur Planung. Die in RFC 8981 definierten temporären IPv6-Adressen können das Risiko verringern, dass Aktivitäten anhand dauerhaft gleichbleibender Schnittstellenkennungen miteinander verknüpft werden. Wechselnde Adressen wirken sich jedoch auch auf die Nachverfolgung und Protokollierung aus. IPAM und die zugehörigen Protokolle müssen ausreichende Zeitangaben enthalten. Eine Adresse darf nicht dauerhaft mit einem bestimmten Gerät oder einer bestimmten Person gleichgesetzt werden.

Mobilgeräte, IoT-Geräte und Cloud-Dienste machen gemischte Umgebungen immer häufiger. So können Netzbetreiber vorrangig IPv6 und nur bei Bedarf IPv4 bereitstellen, um ihre IPv4-Adresspools zu entlasten. In Unternehmen können zugleich Altsysteme weiterlaufen, die ausschließlich IPv4 unterstützen. IPAM sollte Teams dabei helfen, die Nutzung beider Adresstypen zu prüfen, überlappende Adressbereiche zu erkennen und Aufzeichnungen mit der tatsächlichen Konfiguration abzugleichen. Eine Migration muss mit Tests an den jeweiligen Geräten und Geschäftsabläufen verbunden werden, damit Lücken in der Adressplanung oder in ergänzenden Konfigurationen keine Unterbrechungen verursachen.

IoT und die Komplexität von Netzwerken

Je mehr Sensoren, Kameras und andere vernetzte Geräte vorhanden sind, desto schwieriger wird es, ein genaues Geräteverzeichnis zu pflegen. IPAM kann Informationen aus DHCP, DNS, der Netzwerkerkennung und Systemen zur Verwaltung von IT-Ressourcen zusammenführen, die von Geräten genutzten Adressen erfassen und nach Verwendungszweck oder Standort ordnen. Diese Informationen lassen sich an Sicherheitssysteme weitergeben, damit Teams unbekannte Geräte oder ungewöhnliche Verbindungen untersuchen können. Welche Geräte erkannt werden, hängt von der Abdeckung des Werkzeugs, seinen Berechtigungen und seinen Datenquellen ab. Ein automatisch vollständiges Verzeichnis darf nicht vorausgesetzt werden.

Manche IoT-Geräte weisen Probleme wie Standardpasswörter, verspätete Updates oder zu lange Wartungsintervalle auf. Angreifer können solche Schwachstellen nutzen, um in Netzwerke einzudringen, Informationen zu stehlen oder Schadsoftware zu verbreiten. IPAM-Aufzeichnungen können helfen, betroffene Adressen und Geräte zu lokalisieren. IPAM selbst ist jedoch weder ein Schwachstellenscanner noch ein System zur Angriffserkennung. Um festzustellen, ob ein Gerät kompromittiert wurde, sind zusätzlich Konfigurationsdaten, Netzwerkverkehr, Warnmeldungen und weitere Belege erforderlich.

In Unternehmen mit Tausenden von Geräten werden neue Geräte in manuell gepflegten Tabellen leicht übersehen. Ebenso bleiben nach der Außerbetriebnahme von Geräten häufig veraltete Einträge zurück. Automatische Erkennung und regelmäßige Abgleiche können diesen Aufwand verringern; Warnmeldungen aus angebundenen Systemen können zudem auf unerwartete Zugänge zum Netzwerk hinweisen. Ihr Nutzen liegt darin, dass Teams Abweichungen früher erkennen und bearbeiten können. Sie garantieren nicht, dass jeder Angriff verhindert wird. Ein verlässliches Verzeichnis erleichtert außerdem die Abschätzung, wie viele Adressen und wie viel Wartungsaufwand die nächste Erweiterung erfordern wird.

IP-Adressmanagement in einer Zero-Trust-Strategie

Zero Trust darf nicht so verstanden werden, dass allein die bestätigte Zugehörigkeit eines Geräts ausreicht, um Zugriff zu gewähren. Die Beschreibung der Zero-Trust-Architektur des NIST betont, dass Geräten oder Benutzern nicht allein aufgrund ihres Netzwerkstandorts oder der Eigentumsverhältnisse an einem Gerät standardmäßig vertraut werden darf. Beim Zugriff auf konkrete Ressourcen müssen weiterhin Authentifizierung, Autorisierung sowie der relevante Zustand des Geräts und der Sitzung berücksichtigt werden.

IPAM kann Kontext liefern, etwa welchem Gerät eine Adresse während eines bestimmten Zeitraums zugewiesen war und welches Team dieses Gerät verwaltet. Damit kann es Sicherheitssysteme bei der Prüfung von Zugriffsanfragen unterstützen. Gemeinsam genutzte Adressen, dynamische Vergabe und temporäre Adressen begrenzen allerdings die Aussagekraft solcher Zuordnungen. Adressaufzeichnungen können deshalb keine Identitätsnachweise ersetzen. Die zuständigen Identitäts- und Sicherheitskontrollen führen bei Bedarf zusätzliche Prüfungen durch oder verweigern den Zugriff. Ein einzelner IPAM-Eintrag entscheidet darüber nicht selbstständig.

Auch die kontinuierliche Überwachung setzt die Zusammenarbeit mehrerer Systeme voraus. Änderungen der Adressnutzung können mit Netzwerkverkehr und Sicherheitsereignissen in Zusammenhang gebracht werden. Das hilft Teams, Auffälligkeiten bei Geräten oder Zugriffsversuche auf beschränkte Ressourcen zu untersuchen. IPAM liefert dabei Anhaltspunkte für die Untersuchung. Ob eine Warnmeldung tatsächlich auf einen Angriff hinweist, muss weiterhin im jeweiligen Kontext beurteilt werden.

Das Prinzip der geringsten Rechte verlangt, dass Geräte oder Benutzer nur die Zugriffsrechte erhalten, die sie für ihre Aufgaben benötigen. Ein Sensor, der lediglich einen bestimmten Dienst erreichen muss, sollte dadurch beispielsweise keinen Zugriff auf das gesamte interne Netzwerk bekommen. Adressgruppen und Angaben zum Verwendungszweck aus IPAM können von Firewalls, der Netzwerksegmentierung oder anderen Zugriffskontrollen genutzt werden. Die tatsächlichen Beschränkungen setzen diese Systeme um. Konfigurationen und Änderungen müssen aufeinander abgestimmt werden, damit nicht zugleich berechtigte Geschäftsabläufe blockiert werden.

Cloud-Dienste, Benutzer mit Fernzugriff und ein sich ständig verändernder Gerätebestand erschweren es, diese Zusammenhänge nachzuvollziehen. Die Verbindung von IPAM mit einer Zero-Trust-Architektur sollte die Beziehungen zwischen Adressen, Geräten, Identitäten und Zugriffsregeln transparenter machen und dabei die Zuständigkeitsgrenzen der einzelnen Systeme wahren.

Cloud, SD-WAN und hybride Umgebungen

Der Adressraum eines Unternehmens kann über Rechenzentren, mehrere Cloud-Plattformen und Edge-Knoten verteilt sein. Durch die Anbindung an Cloud-Plattformen über APIs kann IPAM Änderungen an virtuellen Netzwerken und Adressbereichen synchronisieren. So führt beispielsweise die Dokumentation zur Netzwerkerkennung in Infoblox NIOS 8.5 Unterstützung für die Erkennung entsprechender Ressourcen in VMware-, OpenStack-, Azure- und AWS-Umgebungen auf. Was sich konkret erkennen und verwalten lässt, hängt weiterhin von der eingesetzten Version, den Berechtigungen und der Konfiguration ab.

SD-WAN bietet neue Möglichkeiten, Verbindungen zwischen Niederlassungen und Cloud-Diensten zu verwalten. Zugleich steigt der Bedarf an einer systemübergreifenden Synchronisierung. IPAM kann die Zuteilung von Adresspools und die Dokumentation von Änderungen unterstützen und dadurch Probleme wie überlappende Adressbereiche oder doppelte Vergaben reduzieren. Es übernimmt jedoch nicht selbstständig die gesamte SD-WAN-Konfiguration. Bei standortübergreifenden Bereitstellungen müssen Adressplanung, Routing und die Erreichbarkeit der benötigten Dienste geprüft werden. Auch bei einem Ausfall der Integration muss die letzte erfolgreich ausgeführte Änderung nachvollziehbar bleiben.

Compliance und Audits

Aufzeichnungen zu Adresszuweisungen und Änderungen helfen zu klären, welchem Gerät oder welcher Ressource eine Adresse zu einem bestimmten Zeitpunkt zugeteilt war, wer eine Änderung vorgenommen hat und was sich später verändert hat. Um den tatsächlichen Nutzer festzustellen, müssen zusätzlich Identitätsdaten und weitere Netzwerkprotokolle herangezogen werden. IPAM kann Angaben zur ausführenden Person, zum Zeitpunkt, zum Adressbereich und zu zugehörigen Tickets speichern und damit eine Grundlage für Audits und interne Prüfungen schaffen. Welche Aufzeichnungen wie lange aufbewahrt werden müssen, sollte anhand der geltenden Anforderungen und des betrieblichen Bedarfs festgelegt werden. Es darf nicht vorausgesetzt werden, dass für alle Unternehmen dieselbe Protokollierungspflicht gilt.

Bei einem Sicherheitsvorfall können diese Aufzeichnungen gemeinsam mit DHCP-, Identitäts-, Netzwerk- und Geräteprotokollen zur Rekonstruktion des Ablaufs dienen. Ob die Zeitangaben übereinstimmen, die Aufzeichnungen vollständig und die Zugriffsrechte angemessen sind, beeinflusst ihren Nutzen. Ein einzelner Adresseintrag beweist weder, dass eine bestimmte Person einen Angriff ausgeführt hat, noch, dass ein Vorfall angemessen bearbeitet wurde.

Die Werkzeugauswahl im Jahr 2025

Ausgangspunkt der Auswahl können die konkreten Aufgaben sein: Müssen IPv4 und IPv6 gemeinsam verwaltet werden? Lassen sich die Auslastung einsehen und Konflikte erkennen? Gibt es zuverlässige Cloud-Schnittstellen? Werden die benötigten Berechtigungen und die Protokollierung von Vorgängen unterstützt? Solche grundlegenden Funktionen sind leichter zu überprüfen als ein pauschales Etikett wie „intelligent“. Auch bei KI-gestützten Funktionen sollte man anhand eigener Anwendungsszenarien prüfen, wie gut die Empfehlungen sind und welche Kosten Fehler verursachen können.

Infoblox, BlueCat, Cisco und Microsoft kommen als Anbieter einschlägiger Netzwerkmanagementprodukte oder Integrationsökosysteme für eine nähere Prüfung infrage. Ihre Angebote bilden jedoch keine Gruppe funktionsgleicher Produkte. Auch darf nicht allein aus dem Markennamen geschlossen werden, dass sie alle dieselben Bereitstellungsformen in der Cloud und vor Ort unterstützen. Die IPAM-Dokumentation von Microsoft beschreibt beispielsweise die Verwaltung der Adressinfrastruktur sowie Funktionen rund um DNS und DHCP. Bei der Bewertung sollten das konkrete Produkt, die Version, die Schnittstellen, die Lizenzierung und die betrieblichen Anforderungen untersucht werden. Anschließend lässt sich klären, ob es in die vorhandene Umgebung eingebunden werden kann.

Die Funktionen der Werkzeuge werden laufend erweitert. Das bietet Netzwerkteams mehr Auswahl, erhöht aber auch den Vergleichsaufwand. Eine geeignete Lösung sollte die alltägliche Adressvergabe, die Untersuchung von Auffälligkeiten und spätere Erweiterungen leichter handhabbar machen. Ob Automatisierung oder die Integration mit Sicherheitssystemen den erhofften Nutzen bringen, muss sich an den tatsächlichen Betriebsergebnissen zeigen.

Häufige Fragen

Welche Entwicklungen bei IPAM verdienen 2025 besondere Aufmerksamkeit?
Im Mittelpunkt stehen Automatisierung, eine gemeinsame Sicht auf IPv4 und IPv6 sowie die Integration mit Cloud-Plattformen und Sicherheitssystemen. KI-gestützte Analysen sind ein weiterer Entwicklungsbereich. Allerdings bietet nicht jedes Produkt diese Funktionen, und sie sind auch nicht alle erst 2025 entstanden.

Warum ist IPv6 wichtig?
Der IPv4-Adressraum ist begrenzt. IPv6 stellt einen größeren Adressraum bereit und unterstützt damit die langfristige Erweiterung von Netzwerken. Die Erschöpfung des zentralen Pools freier Adressen bedeutet nicht, dass vorhandene IPv4-Adressen unbrauchbar sind. Während der Migration müssen weiterhin Dual-Stack-Umgebungen verwaltet werden. Auch löst IPv6 Sicherheitsprobleme nicht automatisch.

Wie verändert künstliche Intelligenz das IP-Adressmanagement?
Sie kann dabei helfen, Auffälligkeiten zu erkennen, die Auslastung zu analysieren und den künftigen Kapazitätsbedarf abzuschätzen. Aufgaben wie die Erkennung von Adresskonflikten oder die Suche nach ungenutzten Adressen lassen sich auch durch herkömmliche Automatisierung erledigen. Empfehlungen eines Modells sollten mit den tatsächlichen Daten abgeglichen werden, bevor über Konfigurationsänderungen entschieden wird.

Was hat Zero Trust mit IPAM zu tun?
Adressaufzeichnungen können Kontext zu Geräten und Zugriffsanfragen liefern. Vertrauen darf jedoch nicht allein auf einer Adresse oder der Zugehörigkeit eines Geräts beruhen. Authentifizierung, Autorisierung und Zugriffsbeschränkungen bleiben Aufgabe der jeweiligen Sicherheitssysteme.

Muss ich mein IPAM-Werkzeug ersetzen?
Prüfen Sie zunächst, ob das vorhandene Werkzeug Ihre konkreten Anforderungen an IPv6, Adressaufzeichnungen, Cloud-Integration, Berechtigungen und Audits erfüllt. Eine fehlende KI-Funktion bedeutet nicht automatisch, dass ein Austausch nötig ist. Wenn entscheidende Funktionen fehlen, sollten Sie die Kosten einer Aktualisierung, einer Integration und eines Austauschs vergleichen, bevor Sie den nächsten Schritt festlegen.