Dieser Leitfaden richtet sich an Netzwerkadministratoren, IT-Leiter und Sicherheitsteams, die 2026 die Unterschiede zwischen getaggten und ungetaggten VLANs bewerten. Er erläutert, wie die beiden VLAN-Typen funktionieren, welche Kompromisse sie bei Sicherheit und Leistung mit sich bringen und wann welche Konfiguration auf Grundlage der Netzwerkanforderungen Ihres Unternehmens eingesetzt werden sollte.
Wichtige Punkte zum Thema getaggtes vs. ungetaggtes VLAN 2026
- Getaggte VLANs ermöglichen eine granulare Verkehrssegmentierung, stärkere Sicherheitskontrollen sowie Inter-VLAN-Routing und Quality of Service (QoS).
- Ungetaggte VLANs sind einfacher bereitzustellen und zu verwalten und daher ideal für kleine Netzwerke, Gastnetzwerke und ältere Geräte.
- Getaggte VLANs eignen sich am besten für Unternehmensumgebungen mit komplexem Datenverkehr, Compliance-Anforderungen oder hybriden Belegschaften.
- Ungetaggte VLANs bieten eine breite Gerätekompatibilität, aber weniger Kontrolle über Broadcast-Datenverkehr und Netzwerksegmentierung.
- Viele Unternehmen profitieren davon, getaggte und ungetaggte VLANs gemeinsam einzusetzen, um Benutzerfreundlichkeit, Leistung und Sicherheit auszubalancieren.
Virtuelle lokale Netzwerke (VLANs) gehören zu den wichtigsten Netzwerkinnovationen der vergangenen 30 Jahre. Sie ermöglichen Unternehmen jeder Größe, ihre Abläufe mithilfe virtuell segmentierter Netzwerkgruppen und -prozesse zu erweitern oder zu spezialisieren.
VLANs haben es großen Unternehmen ermöglicht, sicherere Netzwerkkonfigurationen und IT-Infrastrukturen zu schaffen. Eine VLAN-Konfiguration allein unterstützt jedoch nicht die komplexeren Routing-Konfigurationen, die für anspruchsvollere Netzwerkszenarien und verteilte Unternehmensteams erforderlich sind. Hier kommt das getaggte VLAN ins Spiel – und damit die größte Debatte rund um VLANs: Ist es besser, mit einer getaggten oder einer ungetaggten VLAN-Konfiguration zu arbeiten?
Lesen Sie auch: Was ist ein VLAN? Der ultimative Leitfaden zur Funktionsweise von VLANs
Unterschiede zwischen getaggten und ungetaggten VLANs
In den folgenden Abschnitten gehen wir näher auf beide VLAN-Typen ein. Bevor wir jedoch zu weit gehen, sollten Sie die Grundlagen kennen: Was ist der jeweilige VLAN-Typ, und warum könnten Sie den einen oder den anderen einsetzen wollen?
- Getaggte VLANs: Wird in einem VLAN Tagging eingesetzt, wird die Broadcast-Domäne weiter segmentiert, und Geräte können nur mit anderen Geräten kommunizieren, die übereinstimmende Tags haben. Getaggte VLANs eignen sich am besten für größere Unternehmen, die bei komplexerem, umfangreicherem und vielfältigerem Netzwerkverkehr strengere Kontrollen für Datenverkehr und Sicherheit benötigen.
- Ungetaggte VLANs: Ungetaggte VLANs sind herkömmliche VLANs, in denen alle Geräte eine Broadcast-Domäne gemeinsam nutzen. Das bedeutet, dass jedes Asset im VLAN jede übertragene Nachricht und jedes übertragene Datenelement empfängt. Ungetaggte VLANs eignen sich ideal für kleinere Unternehmen und weniger komplexe Netzwerkumgebungen, in denen keine speziellen Sicherheitsmaßnahmen oder Klassifizierungen zur Trennung und Isolierung des VLAN-Datenverkehrs erforderlich sind.
Sowohl getaggte als auch ungetaggte VLANs verleihen einem Netzwerk mehr Struktur und Logik als ein herkömmliches LAN. Hinsichtlich ihrer Konzeption, ihres Zwecks und ihrer häufigsten Einsatzbereiche funktionieren sie jedoch sehr unterschiedlich. Im Folgenden sehen Sie, wie sich getaggte und ungetaggte VLANs bei verschiedenen Netzwerk- und Netzwerksicherheitskennzahlen unterscheiden.
| Getaggte VLANs | Ungetaggte VLANs | |
|---|---|---|
| Allgemeine Einrichtung | Trunk-Ports werden gekennzeichnet und so eingerichtet, dass sie Datenverkehr klassifizieren und zu verschiedenen VLANs und VLAN-Segmenten im Netzwerk weiterleiten. Trunk-Ports verbinden häufig Netzwerk-Switches, um Inter-VLAN-Routing zu ermöglichen. | Ein Netzwerkzugangsport wird so eingerichtet, dass er nur den Zugriff auf ein VLAN ermöglicht. Diese Ports verbinden häufig Endgeräte wie Laptops und Drucker. |
| Ansatz zur Netzwerksegmentierung | VLAN-Tags unterteilen das gesamte VLAN in kleinere logische Netzwerke und Prozesse. Getaggte Geräte und Frames können nur innerhalb desselben getaggten VLANs miteinander kommunizieren, außer wenn Inter-VLAN-Routing verfügbar und autorisiert ist. | Es gibt keine offizielle Segmentierung; die Zuordnung physischer Switch-Ports ist die einzige Isolationsquelle. Alle Geräte können innerhalb eines ungetaggten VLANs kommunizieren, da keine zusätzlichen Regeln zur Begrenzung von Broadcasts vorhanden sind. |
| Sicherheit der Konfiguration | Die Sicherheit getaggter VLANs wird durch die Isolierung des Datenverkehrs und eindeutig gekennzeichnete VLAN-Tags verbessert. Netzwerkfachleute müssen jedoch Schutzmaßnahmen gegen VLAN-Hopping einrichten. Zudem sind getaggte VLANs schwieriger zu konfigurieren, und Konfigurationsfehler können neue Sicherheitslücken verursachen. | Sicherheitsbedenken entstehen durch gemeinsam genutzte Broadcast-Domänen zwischen VLANs sowie durch die gemeinsame Nutzung durch alle VLAN-Geräte und -Benutzer. Ungetaggte VLANs sind jedoch weniger anfällig für VLAN-Hopping und Fehlkonfigurationen. |
| Kompatibilität mit Netzwerkgeräten | Getaggte VLANs sind nicht immer mit älteren Netzwerkgeräten kompatibel, die VLANs nicht erkennen können. Außerdem funktionieren getaggte VLANs mit den meisten Endgeräten nicht. | Ungetaggte VLANs sind mit den meisten Netzwerkgeräten kompatibel. |
| Kontrolle von Broadcasts und Overhead | Getaggte VLANs geben Netzwerkadministratoren zwar mehr Kontrolle über die Größe einer Broadcast-Domäne und die darin enthaltenen Assets, doch die zusätzlichen Daten, die VLAN-Tags zu Netzwerken hinzufügen, erhöhen den Overhead und die Verarbeitungsanforderungen geringfügig. | Ungetaggte VLANs erschweren Netzwerkadministratoren die Kontrolle darüber, welche Geräte wohin Broadcasts senden. Dafür fallen weniger Verarbeitungsanforderungen durch Overhead an, da keine VLAN-Tags verarbeitet werden müssen, damit der Netzwerkverkehr weitergeleitet werden kann. |
| Quality of Service (QoS) | VLAN-Tags liefern die detaillierten Informationen, die erforderlich sind, um Netzwerkressourcen effizient für kritische Anwendungen oder Anwendungen mit hoher Bandbreite zu priorisieren. Dies geschieht mithilfe von Quality-of-Service-(QoS-)Richtlinien. | Ungetaggte VLANs liefern in der Regel nicht die erforderlichen Details, um QoS-Richtlinien für die Verwaltung von Datenverkehr und Ressourcen umzusetzen. |
| Skalierbarkeit | Getaggte VLANs sind ideal für die Netzwerkskalierbarkeit, da VLAN-Tags eine granulare Netzwerksegmentierung und -verwaltung, eine transparente Datenverkehrsverwaltung und -klassifizierung, Inter-VLAN-Routing sowie Netzwerkszenarien für die Remote-Arbeit unterstützen. | Da die meisten ungetaggten VLANs auf einfachen Verbindungen von A nach B basieren, eignen sie sich ideal für kleinere Unternehmen und Netzwerke. Ohne VLAN-Tags ist es deutlich schwieriger, Geräte, Datenverkehrstypen und andere Komplexitäten zu erweitern. |
| Benutzerfreundlichkeit und Flexibilität | Getaggte VLANs lassen sich aufgrund ihrer Komplexität und der größeren Anzahl an Komponenten in der Regel nicht so einfach implementieren und langfristig warten. Sie sind jedoch flexibler und können dank ihrer präzisen Segmentierung ausgebaut werden. | Ungetaggte VLANs sind einfacher einzurichten und zu warten, da keine zusätzlichen Tags, Klassifizierungen oder Gruppierungen verwaltet werden müssen. Allerdings sind ungetaggte VLANs aufgrund der eingeschränkten Netzwerksegmentierung weniger flexibel; zudem sind Geräte größtenteils an physische Switch-Ports und Standorte gebunden. |
Erfahren Sie, wie ein Managed-Service-Provider VLANs nutzt, um Backups vor Ransomware zu schützen: Eine ransomware-resistente Architektur aufbauen
Getaggte VLANs
Ein getaggtes VLAN ist ein virtuelles lokales Netzwerk – oder eine Gruppe mehrerer VLANs –, das unterschiedliche ID-Tags verwendet, um Netzwerkverkehr in spezifischere Broadcast-Domänen zu unterteilen. Selbst wenn mehrere Geräte technisch im selben VLAN liegen, können sie nur mit anderen Geräten kommunizieren und bestimmte Informationen austauschen, wenn dies durch den für bestimmte Tags konfigurierten Trunk-Port-Switch autorisiert ist.
Getaggte VLANs sind in Unternehmensnetzwerken zunehmend beliebt, da sie Netzwerkadministratoren und Cybersicherheitsteams eine bessere Kontrolle über den Netzwerkverkehr und mehr Transparenz bieten. VLAN-Tags erleichtern außerdem die schnelle Identifizierung und Klassifizierung verschiedener Netzwerkverkehrstypen. Das sorgt für mehr Transparenz im Netzwerk und erleichtert Sicherheitsteams die Risikoerkennung und Bedrohungsabwehr.
Wann sollten Sie getaggte VLANs verwenden?
Im Folgenden finden Sie einige der häufigsten Szenarien, in denen sich Unternehmen für getaggte VLAN-Konfigurationen entscheiden:
- Inter-VLAN-Routing und komplexe Datenverkehrsverwaltung: Wenn mehrere VLANs Informationen austauschen müssen, ermöglichen getaggte VLANs komplexere Konfigurationen und Datenübertragungen über Trunk-Port-Switches und Routing.
- QoS-Anforderungen: Wenn Sie eine Quality-of-Service-(QoS-)Richtlinie für die Verwaltung kritischer Anwendungen und des Datenverkehrs einrichten möchten, liefern VLAN-Tags die erforderlichen Informationen, um besonders wichtigen oder komplexeren Datenverkehr zu identifizieren und spezielle Regeln dafür zu erstellen. QoS ermöglicht strengere Kontrollen von Broadcasts und Ressourcen und verhindert dadurch bestimmte Leistungsprobleme.
- Sicherheits- und Compliance-Management: Wenn bestimmte Abteilungen, Gruppen, Anwendungen oder andere Kategorien des Netzwerkbetriebs spezielle Regeln oder Schutzmaßnahmen benötigen, die entsprechend klassifiziert und isoliert werden müssen, unterstützen getaggte VLANs eine stärkere Netzwerksegmentierung. Das ist besonders wichtig für Unternehmen oder Abteilungen, die strenge Vorschriften und Datenschutzgesetze einhalten müssen.
- Mandantenfähige Umgebungen: Neben typischen Unternehmen, die ein Netzwerk für den eigenen Betrieb nutzen, können Rechenzentren, Cloud-Anbieter und andere externe Netzwerkdienstleister getaggte VLANs einsetzen, um den Datenverkehr entsprechend den jeweiligen Anforderungen der einzelnen Mandanten besser zu isolieren und zu verwalten.
- VoIP-Betrieb: Für Benutzer der Voice-over-IP-(VoIP-)Technologie sind getaggte VLANs besonders effektiv, um Sprachverkehr zu identifizieren und gegenüber anderen Datenverkehrstypen zu priorisieren. Diese Priorisierung verringert die Wahrscheinlichkeit von Leistungseinbußen während Sprachanrufen.
- Wachsende oder sich verändernde Organisationsstrukturen: Wenn Sie in einer hybriden oder Remote-Umgebung arbeiten, erleichtern VLAN-Tags die Verwaltung des Verhaltens von Netzwerkverkehr – unabhängig davon, woher er physisch stammt. Wenn Ihr Unternehmen außerdem häufig neue Mitarbeiter einstellt oder anderweitig regelmäßig Änderungen an aktiven Geräten im Netzwerk vornimmt, lassen sich getaggte VLANs einfacher identifizieren und bei Bedarf anpassen.
Lesen Sie auch: So implementieren Sie Mikrosegmentierung
Ungetaggte VLANs
Ein ungetaggtes VLAN ist ein eher herkömmliches VLAN, bei dem ein ungetaggter Zugangsport mit einem Hostgerät verbunden ist. Da Tags kein integraler Bestandteil dieser Konfiguration sind, spielt es keine Rolle, ob das Hostgerät VLANs erkennen kann. Der Host kann Frames an den Zugangsport des Switches übertragen und muss keine Art von Kennzeichnung oder ID hinzufügen, damit der Datenverkehr akzeptiert wird. Nachdem der Datenverkehr vom Zugangsport empfangen wurde, kann ihm ein temporäres Tag zugewiesen werden. Unabhängig davon ist der Switch so eingerichtet, dass er ungetaggten Datenverkehr an eine ungetaggte VLAN-Quelle weiterleitet, bei der es sich normalerweise um einen weiteren Host handelt, der VLANs nicht erkennen kann.
Ungetaggte VLANs sind besonders nützlich, wenn Unternehmen einfache Netzwerkverbindungen benötigen, die leicht zu warten sind, oder wenn der Datenverkehr gering und unspezialisiert ist. In Gast- und Heimnetzwerken mit begrenzter Geräteanzahl oder überwiegend VLAN-unfähigen Benutzergeräten bieten ungetaggte VLANs Netzwerkadministratoren die benötigte Einfachheit und Endbenutzern die gewünschte Benutzerfreundlichkeit.
Wann sollten Sie ungetaggte VLANs verwenden?
Ungetaggte VLANs sind in größeren Unternehmen weniger verbreitet. Besonders für kleine und mittlere Unternehmen sowie kleinere oder hybride Netzwerkumgebungen können sie jedoch aus folgenden Gründen sinnvoll sein:
- Begrenzte Anzahl von VLANs: Wenn Ihr Unternehmen kleiner ist und nur über ein oder wenige VLANs verfügt, die über Inter-VLAN-Routing nur selten miteinander kommunizieren müssen, bietet ein ungetaggtes VLAN für die meisten Anwendungsfälle ausreichend Konnektivität.
- Geringe Anzahl von Geräten oder Datenverkehrsanforderungen: Wenn für die Geräte in Ihrem VLAN keine besonderen Sicherheits- oder Leistungsanforderungen bestehen, sind VLAN-Tags möglicherweise nicht erforderlich, um die Broadcast-Domäne des VLANs weiter zu segmentieren.
- Ältere Geräte und Netzwerktechnik: Nicht jede ältere Hardware und jedes ältere Gerät kann VLANs erkennen. Solche Geräte können VLAN-Tags nicht ohne Weiteres akzeptieren und funktionieren besser in einer einfachen ungetaggten VLAN-Konfiguration.
- Konfigurationen für Verbraucher- und Heimnetzwerke: Wenn ein Netzwerk hauptsächlich aus Endgeräten wie Smartphones oder Laptops besteht oder in einem Privathaushalt beziehungsweise über einen WLAN-Zugangspunkt für Verbraucher betrieben wird, sind VLAN-Tags für Art und Umfang des Datenverkehrs überdimensioniert. Besonders für Gast-WLANs sind ungetaggte VLANs besser geeignet, da sie eine einfachere Anmeldung und höhere Benutzerfreundlichkeit ermöglichen.
- Fehlendes Netzwerk-Know-how oder begrenztes Budget: Ungetaggte VLANs sind einfacher einzurichten und schwieriger falsch zu konfigurieren. Damit eignen sie sich ideal für Teams mit wenig Erfahrung oder kleinen Netzwerksicherheitsteams. Außerdem führen ungetaggte VLANs seltener zu kostspieligen Sicherheits- oder Leistungsfehlern und erfordern in der Regel keine spezialisierten VLAN-fähigen Komponenten, die teuer werden können.
- Weniger wichtige Datenverkehrstypen: Es kann sinnvoll sein, bestimmte Frames, Geräte oder VLANs ungetaggt zu lassen, wenn sie hauptsächlich zur Übertragung weniger wichtiger Netzwerkdaten verwendet werden. Wenn Sie beispielsweise ein VLAN für VoIP betreiben, können Sie für nicht sprachbezogenen Datenverkehr ein ungetaggtes VLAN verwenden, damit der getaggte Sprachverkehr für die erforderliche Leistung priorisiert werden kann.
Lesen Sie auch: Netzwerkschutz: So sichern Sie ein Netzwerk
Häufig gestellte Fragen (FAQs)
Wie viele ungetaggte VLANs können in einem Trunk existieren?
Theoretisch können zwar mehrere ungetaggte VLANs in einem Trunk existieren, in der Praxis kann und sollte es pro Trunk-Port jedoch höchstens ein ungetaggtes VLAN geben. Der Grund: Ein ungetaggtes VLAN verfügt über keine Kennzeichnung, aus der hervorgeht, welche Geräte und Komponenten eine Verbindung zu ihm herstellen sollen. Sind mehrere ungetaggte VLANs an einem einzigen Trunk-Port vorhanden, ist für andere Geräte nicht eindeutig, wohin sie sich verbinden sollen oder ob sie eine Verbindung zu einem dieser ungetaggten VLANs herstellen sollen.
Woran erkennen Sie, ob ein VLAN getaggt oder ungetaggt ist?
Es gibt viele Möglichkeiten zu prüfen, ob ein VLAN getaggt oder ungetaggt ist. Netzwerkadministratoren können nach Kennzeichnungen an Ports suchen, aus denen hervorgeht, ob es sich um einen ungetaggten (Access-)Port oder einen getaggten (Trunk-)Port handelt. Außerdem können sie Switch- und Routerkonfigurationen und -einstellungen, Gerätedokumentationen oder VLAN-Mitgliedschaftslisten überprüfen.
Was ist der Unterschied zwischen einem getaggten und einem ungetaggten VLAN?
Ein getaggtes VLAN fügt Ethernet-Frames ein IEEE-802.1Q-Tag hinzu. Dadurch können sich mehrere VLANs dieselbe Trunk-Verbindung teilen, während der Datenverkehr logisch getrennt bleibt. Ein ungetaggtes VLAN überträgt Datenverkehr ohne VLAN-Kennungen und wird Endgeräten typischerweise einem einzelnen Zugangsport zugewiesen.
Wann sollten Sie ein getaggtes VLAN verwenden?
Getaggte VLANs eignen sich ideal für Unternehmensnetzwerke, die Inter-VLAN-Routing, Quality of Service (QoS), Datenverkehrspriorisierung, stärkere Netzwerksegmentierung, mandantenfähige Umgebungen oder Unterstützung für hybride und dezentrale Arbeit benötigen.
Wann sollten Sie ein ungetaggtes VLAN verwenden?
Ungetaggte VLANs eignen sich am besten für kleine Unternehmen, Gastnetzwerke, Heimnetzwerke, ältere Geräte und Umgebungen mit einfachen Netzwerkanforderungen, in denen eine erweiterte Segmentierung nicht erforderlich ist.
Sind getaggte VLANs sicherer als ungetaggte VLANs?
Getaggte VLANs bieten im Allgemeinen eine höhere Sicherheit, da sie eine feinere Isolierung und Segmentierung des Datenverkehrs ermöglichen. Sie erfordern jedoch eine korrekte Konfiguration, um Probleme wie VLAN-Hopping und andere Fehlkonfigurationen zu verhindern.
Können getaggte und ungetaggte VLANs gemeinsam verwendet werden?
Ja. Viele Unternehmensnetzwerke verwenden getaggte VLANs auf Trunk-Verbindungen zwischen Switches und Routern, während ungetaggte VLANs auf Access-Ports eingesetzt werden, die Benutzergeräte wie Laptops, Telefone und Drucker verbinden.
Unterstützen alle Netzwerkgeräte getaggte VLANs?
Nein. Ältere oder Legacy-Geräte sind möglicherweise nicht VLAN-fähig und unterstützen eventuell nur ungetaggte Verbindungen. Die meisten modernen Unternehmens-Switches, -Router und Netzwerkgeräte unterstützen getaggte VLANs nach dem IEEE-802.1Q-Standard vollständig.
Wie erkennen Sie, ob ein Switch-Port getaggt oder ungetaggt ist?
Sie können die Switch-Konfiguration oder die Managementoberfläche überprüfen. Access-Ports sind typischerweise als ungetaggt konfiguriert und einem einzelnen VLAN zugewiesen, während Trunk-Ports als getaggt konfiguriert sind, um Datenverkehr für mehrere VLANs zu übertragen.
Fazit: Die Vorteile getaggter und ungetaggter VLANs
VLANs sind nützliche virtualisierte Infrastrukturen, die einen logischeren Ansatz für die Gruppierung und Kommunikation in Netzwerken ermöglichen. Dadurch können Netzwerkadministratoren in größeren Netzwerken verschiedene Arten von Netzwerkdatenverkehr effektiver gruppieren und kontrollieren. Tags fügen der VLAN-Kennzeichnung ein zusätzliches Gruppierungs- und Kontrollelement hinzu, was besonders für Unternehmen nützlich ist, die größere Datenverkehrsmengen für unterschiedliche Szenarien in den Bereichen Cybersicherheit, Workloads und Performance verwalten müssen.
Aber bei der Frage getaggter und ungetaggter VLANs geht es nicht unbedingt darum, welches besser ist, sondern vielmehr darum, welches bzw. welche für die Geräte und spezifischen Anforderungen Ihres Unternehmens am sinnvollsten sind. Tatsächlich ist es häufig von Vorteil, eine Kombination aus getaggten und ungetaggten VLANs in Ihrem Unternehmensnetzwerk zu verwenden – unabhängig davon, ob Sie in einem VoIP-Netzwerk Sprachdaten gegenüber anderen Leistungsdaten priorisieren möchten oder einfache Verbindungen zu Endgeräten herstellen und gleichzeitig komplexere Verbindungen in Ihrem Netzwerk aufrechterhalten wollen. Durch die Kombination aus getaggten und ungetaggten VLANs erhalten Sie das Beste aus einfacher Handhabung und Netzwerkkontrolle.
Weiter: Top-Lösungen für die Netzwerkzugriffskontrolle
Dieser Artikel wurde ursprünglich im November 2023 veröffentlicht und zuletzt im Juni 2026 aktualisiert.