Managed oder Unmanaged Switch? Unterschied und wann du welchen brauchst

Ein Unmanaged Switch verbindet Geräte sofort und ohne Einrichtung: Kabel rein, fertig. Ein Managed Switch lässt sich dagegen konfigurieren – er trennt Netzbereiche per VLAN, priorisiert Datenverkehr per QoS und lässt sich überwachen. Faustregel: Für ein kleines Heim- oder Büronetz ohne Trennungswunsch reicht Unmanaged. Sobald du Bereiche trennen, den Traffic steuern oder das Netz überwachen willst, brauchst du Managed.

Woran du die beiden auseinanderhältst

Ein Switch (die Verteilerstelle, an der alle Netzwerkkabel im LAN zusammenlaufen) leitet Datenpakete anhand der MAC-Adressen zwischen den angeschlossenen Geräten weiter. So weit machen es beide Typen gleich. Der Unterschied liegt nur darin, wie viel du selbst steuern kannst:

• Unmanaged Switch: keine Konfigurationsoberfläche, kein Webinterface, kein Passwort. Du steckst die Kabel ein, und der Switch verteilt den Verkehr selbstständig. Cisco beschreibt diese Klasse in seiner Geräteübersicht schlicht als „keine Konfiguration erforderlich“ – es gibt nichts einzustellen und nichts kaputtzukonfigurieren.
• Managed Switch: hat eine Verwaltungsoberfläche – je nach Modell ein Webinterface oder eine Kommandozeile (CLI, textbasierte Eingabe von Befehlen). Darüber legst du Regeln fest, siehst die Auslastung jedes Ports und greifst gezielt ein.

Von außen sehen beide oft identisch aus, und in Shops steht bei beiden „Gigabit Ethernet Switch“ auf der Verpackung. Das eindeutige Erkennungsmerkmal steht im Datenblatt. Drei Prüfpunkte reichen:

1. Taucht 802.1Q, VLAN, QoS, SNMP oder „web-managed“ in der Feature-Liste auf? Dann ist es mindestens ein Smart Switch.
2. Gibt es eine Management-IP oder ein Standard-Passwort in der Kurzanleitung? Unmanaged Geräte haben beides nicht.
3. Nennt der Hersteller eine Firmware-Version und Firmware-Updates für das Modell? Auch das ist ein sicheres Managed-Indiz.

Was ein Managed Switch zusätzlich kann

Die Mehrkosten eines Managed Switch zahlst du für Kontrollfunktionen. Die wichtigsten in der Praxis:

• VLANs (Virtual LAN, logische Trennung eines physischen Netzes in mehrere getrennte Netze nach IEEE 802.1Q): So läuft der Gäste-WLAN-Verkehr getrennt vom Büronetz, obwohl beide am selben Switch hängen. Der nutzbare Nummernbereich reicht laut Ciscos VLAN-Konfigurationsleitfaden von VLAN-ID 1 bis 4094, wobei 1002 bis 1005 historisch reserviert sind.
• QoS (Quality of Service, Priorisierung bestimmter Daten): Telefonie und Videokonferenzen bekommen Vorrang, damit sie nicht ruckeln, wenn nebenbei ein großes Backup läuft.
• STP/RSTP (Spanning Tree Protocol, Schutz vor Netzwerkschleifen): verhindert, dass ein versehentlich doppelt gestecktes Kabel das ganze Netz lahmlegt.
• LACP (Link Aggregation, Bündelung mehrerer Ports): fasst zwei oder mehr Leitungen zu einer schnelleren und ausfallsichereren Verbindung zusammen.
• PoE-Steuerung (Power over Ethernet, Stromversorgung übers Netzwerkkabel): Access Points oder IP-Kameras lassen sich gezielt ein- und ausschalten oder per Zeitplan neu starten. Wie viel Leistung ein Port liefert, hängt am Standard: 15,4 W pro Port bei IEEE 802.3af, 30 W bei 802.3at und bis zu 90 W bei 802.3bt Type 4, so die PoE-Dokumentation von Cisco für die Catalyst-9300-Serie.
• Port-Security: ein Port akzeptiert nur bekannte Geräte – wer sein eigenes Notebook an die Buchse im Besprechungsraum steckt, kommt nicht automatisch ins Netz.
• SNMP/Monitoring (Simple Network Management Protocol, standardisierte Überwachung): Auslastung, Fehler und Ausfälle landen in einem Monitoring-Tool, statt dass du im Dunkeln tappst.
• Port Mirroring: spiegelt den Verkehr eines Ports auf einen anderen – unverzichtbar, wenn du mit einem Analyse-Tool einer Störung auf den Grund gehen willst.

Ein Unmanaged Switch bietet nichts davon. Er verteilt Pakete zuverlässig – aber blind und ohne dass du eingreifen kannst.

Die dritte Kategorie: Smart- bzw. Web-Managed Switches

Zwischen „gar nichts einstellbar“ und „volle Enterprise-Kontrolle“ gibt es einen Mittelweg, der in vielen Angeboten auftaucht: den Smart Switch (auch Web-Managed genannt). Er bringt die wichtigsten Funktionen – meist VLANs, einfaches QoS und Port-Statistiken – über ein schlankes Webinterface mit, verzichtet aber auf die Kommandozeile und auf die tieferen Enterprise-Features eines voll gemanagten Geräts. NETGEAR zieht die Grenze in seiner Switch-Auswahlhilfe unter anderem an SNMP: Ports, Trunks und VLANs kann ein Smart Switch einrichten, an der vollwertigen SNMP-Überwachung nimmt er dagegen nicht teil.

Für kleine und mittlere Netze ist das oft der Sweet Spot: Du kannst dein Gäste-VLAN einrichten und PoE-Geräte versorgen, ohne dich in eine CLI einzuarbeiten oder den Aufpreis eines Full-Managed-Switch zu zahlen. Wer für die Fachinformatiker-Prüfung lernt, sollte die drei Stufen – unmanaged, smart bzw. web-managed, fully managed – sauber auseinanderhalten können; genau diese Dreiteilung verwendet auch Cisco in seiner Produktübersicht für Business-Switches.

Wann ein Unmanaged Switch völlig reicht

Greif zum günstigeren Unmanaged Switch, wenn folgende Punkte auf dich zutreffen:

• Heimnetz oder kleines Büro mit einer Handvoll Geräten – ein paar PCs, ein NAS, ein Drucker.
• Alle Geräte dürfen sich gegenseitig sehen; du willst keine Bereiche voneinander trennen.
• Du brauchst einfach nur mehr LAN-Ports, etwa hinter dem Router oder an einem Schreibtisch.
• Es gibt niemanden, der das Netz aktiv verwalten soll oder will.

In diesen Fällen wäre ein Managed Switch rausgeworfenes Geld – die Funktionen lägen brach, und die Einrichtung kostet dich nur Zeit. Ein Argument, das oft angeführt wird, stimmt übrigens nicht: Ein Managed Switch ist bei gleicher Portklasse nicht langsamer, weil er „mehr rechnet“. Die Weiterleitung erledigt in beiden Fällen dieselbe Switching-Hardware.

Wann du zu einem Managed Switch greifen solltest

Ein Managed (oder mindestens Smart) Switch lohnt sich, sobald einer dieser Punkte gilt:

• Du willst Bereiche trennen – Büro, Gäste-WLAN und IoT-Geräte in eigene VLANs.
• Telefonie oder Videokonferenzen müssen zuverlässig laufen und brauchen QoS-Priorität.
• Du versorgst Access Points oder Kameras per PoE und willst sie zentral steuern.
• Das Netz wächst, und du musst Auslastung und Fehler überwachen können.
• Sicherheit zählt: Du willst per Port-Security kontrollieren, welches Gerät wo ins Netz darf.

Im geschäftlichen Umfeld ist die Trennung nicht nur Komfort. Der BSI-Baustein NET.1.1 „Netzarchitektur und -design“ aus dem IT-Grundschutz-Kompendium 2023 verlangt für Gastzugänge und für Bereiche, deren Endgeräte man nicht kontrolliert, eigene Netzsegmente – und dass sich diese Segmentierung nicht umgehen lässt. Genau das setzt du technisch mit VLANs auf einem Managed Switch um. Viele Firmen mischen dabei beide Welten: Managed Switches im Kern des Netzes, günstige Unmanaged Switches als reine Port-Erweiterung an einzelnen Arbeitsplätzen.

Schnell-Entscheidung: Welcher Switch passt?

Kriterium	Unmanaged	Smart / Web-Managed	Fully Managed
Einrichtung	Plug and Play	Webinterface	Webinterface + CLI
VLANs	nein	ja (begrenzt)	ja (umfangreich)
QoS	nein	einfach	fein einstellbar
Überwachung (SNMP)	nein	teilweise	ja
Firmware-Updates	in der Regel nein	ja	ja
Preis	niedrig	mittel	hoch
Passt für	Heim, Klein-Büro	kleine/mittlere Netze	größere Netze, Firmen

Vom Unmanaged Switch zum ersten VLAN: die Schritte

Der häufigste Grund für den Wechsel ist ein getrenntes Gäste- oder IoT-Netz. Der Ablauf ist bei Smart- und Managed-Modellen im Kern immer gleich, auch wenn die Menüs je nach Hersteller anders heißen. Sichere vorher die bestehende Konfiguration – jedes Managed-Modell kann sie als Datei exportieren, und nach einer misslungenen VLAN-Änderung ist das der schnellste Weg zurück.

1. Management-Zugang herstellen: Switch anschließen, Management-IP aus der Kurzanleitung aufrufen, Standardpasswort sofort ändern und die aktuelle Firmware einspielen.
2. VLAN anlegen: eine freie VLAN-ID im Bereich 2 bis 4094 vergeben und benennen, zum Beispiel 20 für „Gast“. VLAN 1 bleibt das Standard-VLAN und wird üblicherweise nicht für Nutzdaten verwendet.
3. Ports zuordnen: die Buchsen, an denen die Gastgeräte hängen, dem neuen VLAN „untagged“ bzw. als Access-Port zuweisen.
4. Uplink taggen: den Port zum Router oder zum nächsten Switch als Trunk konfigurieren und beide VLANs „tagged“ durchlassen – sonst endet das neue Netz am Switch.
5. Router/Firewall vorbereiten: dort ein Interface für das neue VLAN mit eigenem IP-Bereich und DHCP anlegen und den Übergang zwischen den Netzen sperren, außer du willst ihn ausdrücklich.
6. Gegenprobe: mit einem Testgerät im Gast-VLAN prüfen, dass es ins Internet kommt, aber NAS, Drucker und Büro-PCs nicht mehr erreicht.

Wenn nach dem Umstieg etwas nicht läuft

Diese fünf Fehlerbilder erklären die große Mehrheit der Probleme, die direkt nach dem ersten Managed-Switch auftauchen:

• Keine IP-Adresse im neuen VLAN: Das Gerät bekommt nichts vom DHCP. Fast immer fehlt das VLAN auf dem Uplink-Port oder der Router hat für dieses VLAN kein Interface. Prüfe zuerst den Trunk, dann den DHCP-Bereich.
• Switch nach der Änderung nicht mehr erreichbar: Klassiker beim Verschieben des Management-VLANs. Hilft nur noch der Direktanschluss an einen Port im richtigen VLAN oder der Reset auf Werkseinstellungen – deshalb der Konfigurations-Export vorab.
• Netz bricht sporadisch zusammen: Deutet auf eine Schleife hin, etwa durch ein doppelt gestecktes Kabel. Auf einem Managed Switch schaltest du dagegen RSTP ein; ein Unmanaged Switch ohne Loop-Schutz bemerkt das Problem gar nicht.
• PoE-Gerät startet nicht oder rebootet ständig: Meist ist das Leistungsbudget des Switch erschöpft oder das Gerät braucht mehr, als der Port-Standard hergibt – eine 802.3bt-Kamera läuft an einem reinen 802.3af-Port mit 15,4 W nicht stabil. Das Budget steht in der PoE-Übersicht des Webinterface.
• IPTV oder Multicast ruckelt plötzlich: Ohne IGMP-Snooping flutet der Switch Multicast-Pakete an alle Ports. Die Einstellung heißt bei praktisch jedem Hersteller so und lässt sich pro VLAN aktivieren.

Hintergrund: Layer 2, Layer 3 und was „managed“ damit zu tun hat

Die meisten Managed Switches arbeiten auf Layer 2 des OSI-Modells – sie verteilen Pakete anhand der MAC-Adressen und können VLANs bilden, aber nicht zwischen verschiedenen IP-Subnetzen (getrennten Adressbereichen) routen. Genau diesen Schritt macht ein Layer-3-Switch: Er kombiniert Switch und Router und leitet Verkehr auch zwischen VLANs bzw. Subnetzen weiter, ohne dass ein separater Router dazwischenhängt.

Für die Prüfungsvorbereitung wichtig: „managed“ beschreibt, ob du den Switch konfigurieren kannst; „Layer 2 oder Layer 3“ beschreibt, auf welcher Ebene er Entscheidungen trifft. Beides ist unabhängig voneinander. Ein einfacher Layer-2-Managed-Switch reicht für die meisten kleinen und mittleren Netze völlig aus – Layer 3 wird erst interessant, wenn du mehrere Subnetze intern miteinander verbinden musst und der Umweg über den Router zum Engpass wird.

Quellen

• Cisco: Unmanaged, Smart, and Managed Switches – Abgrenzung der drei Geräteklassen
• Cisco: Configuring Power over Ethernet (Catalyst 9300) – Leistungswerte 802.3af/at/bt
• Cisco: VLAN Configuration Guide – VLAN-ID-Bereiche und reservierte IDs
• NETGEAR Support: Which NETGEAR switch is right for me? – Funktionsgrenzen von Smart Switches
• BSI IT-Grundschutz NET.1.1: Netzarchitektur und -design (Edition 2023, PDF) – Anforderungen an Netzsegmentierung
• IEEE SA: 802.1Q-2022 – Bridges and Bridged Networks – VLAN-Standard

Häufige Fragen

Kann ich einen Managed Switch wie einen Unmanaged betreiben?

Ja. Die meisten Managed Switches laufen direkt nach dem Einstecken mit einer Standardkonfiguration. Die Verwaltung ist optional – VLANs, QoS und Co. richtest du nur ein, wenn du sie brauchst.

Ist ein Managed Switch schneller als ein Unmanaged Switch?

Nein. Bei gleicher Portklasse, etwa Gigabit Ethernet, ist der Durchsatz identisch. Der Unterschied liegt in Kontrolle und Funktionsumfang, nicht in der Geschwindigkeit.

Brauche ich für VLANs zwingend einen Managed Switch?

Ja, mindestens einen Smart- bzw. Web-Managed-Switch. Ein Unmanaged Switch kann keine VLANs nach IEEE 802.1Q bilden und leitet allen Verkehr ungetrennt weiter.

Was ist der Unterschied zwischen Layer-2- und Layer-3-Managed-Switch?

Ein Layer-2-Switch trennt Netze per VLAN, routet aber nicht zwischen Subnetzen. Ein Layer-3-Switch routet zusätzlich zwischen IP-Subnetzen und VLANs – er vereint Switch und Router.

Lohnt sich ein Smart Switch für zu Hause?

Oft ja. Wer ein Gäste- oder IoT-VLAN trennen oder PoE-Geräte steuern will, bekommt die nötigen Funktionen über ein Webinterface – günstiger und einfacher als ein Full-Managed-Modell.