VPN: Sicherer Fernzugriff auf das Firmennetz

Ein Virtual Private Network, kurz VPN, verbindet ein Gerät außerhalb des Firmengeländes so mit dem Unternehmensnetz, als stünde es im Büro. Der gesamte Datenverkehr läuft dabei durch einen verschlüsselten Tunnel. Damit lassen sich interne Anwendungen nutzen, ohne sie direkt im Internet zu veröffentlichen.

Was ein VPN technisch leistet

Ein VPN baut zwischen zwei Endpunkten eine authentifizierte und verschlüsselte Verbindung auf. Das kann ein Notebook im Homeoffice sein, das sich zur Firmenzentrale verbindet (Client-to-Site), oder zwei Firewalls an unterschiedlichen Standorten, die dauerhaft gekoppelt werden (Site-to-Site). Nach dem Verbindungsaufbau erhält das entfernte Gerät in der Regel eine interne IP-Adresse und kann auf Freigaben, ERP-Systeme, Druckserver oder Datenbanken zugreifen, die von außen nicht erreichbar sind.

Gebräuchlich sind heute im Wesentlichen drei Verfahren: IPsec, das vor allem für Standortkopplungen eingesetzt wird, SSL/TLS-basierte Lösungen, die häufig für Einzelarbeitsplätze genutzt werden, und WireGuard, ein vergleichsweise schlankes Protokoll mit geringerem Konfigurationsaufwand. Welche Variante passt, hängt von der vorhandenen Firewall, den Endgeräten und den Anforderungen an die Verwaltbarkeit ab.

Warum das Thema für ein KMU relevant ist

Sobald Mitarbeitende außerhalb des Büros arbeiten, entsteht die Frage, wie sie an interne Daten kommen. Die schlechteste Antwort darauf ist, einen Server oder eine Remotedesktop-Sitzung direkt ins Internet zu stellen. Genau solche offen erreichbaren Dienste gehören zu den häufigsten Einstiegspunkten für Angriffe, weil sie automatisiert gefunden und durchprobiert werden.

• Homeoffice und mobiles Arbeiten ohne Veröffentlichung interner Systeme
• Anbindung von Filialen, Lagern oder Produktionsstandorten
• Kontrollierter Zugriff für externe Dienstleister und Wartungspartner
• Schutz der Übertragung in fremden Netzen, etwa in Hotels oder bei Kunden
• Nachvollziehbare Protokollierung, wer wann verbunden war

Worauf es in der Praxis ankommt

Ein VPN ist kein Sicherheitsprodukt für sich, sondern ein Transportweg. Entscheidend ist, was am anderen Ende passiert. Die Zugangsdaten allein reichen nicht aus: Eine Mehr-Faktor-Authentifizierung sollte für jeden Fernzugriff verpflichtend sein, weil gestohlene Passwörter sonst direkt ins Firmennetz führen. Ebenso wichtig ist die Frage, worauf ein verbundener Client tatsächlich zugreifen darf.

Viele Installationen gewähren nach dem Einwählen vollen Zugriff auf das gesamte interne Netz. Sinnvoller ist eine Segmentierung, bei der eine Nutzergruppe nur die Systeme erreicht, die sie für ihre Arbeit braucht. Hinzu kommt der Zustand des Endgeräts: Ein privater, ungepatchter Rechner mit VPN-Zugang ist ein direkter Weg für Schadsoftware in das Firmennetz. Die VPN-Gateways selbst müssen konsequent aktuell gehalten werden, da Schwachstellen in solchen Komponenten regelmäßig aktiv ausgenutzt werden.

Typische Fehler

In der Beratungspraxis wiederholen sich einige Muster, die sich mit überschaubarem Aufwand vermeiden lassen.

• Sammelkonten, die sich mehrere Personen teilen, sodass Zugriffe nicht zuordenbar sind
• Zugänge ausgeschiedener Mitarbeitender oder beendeter Dienstleisterverträge, die nie deaktiviert wurden
• Verzicht auf Mehr-Faktor-Authentifizierung, weil sie als unbequem gilt
• Veraltete Firmware auf Firewall und VPN-Gateway, teils über Jahre
• Fehlende Aufteilung des Netzes, sodass jeder Zugang das gesamte Netz sieht
• Keine Regelung für private Geräte, die sich mit dem Firmennetz verbinden

Einordnung und Alternativen

Ein klassisches VPN geht davon aus, dass ein Gerät nach erfolgreicher Anmeldung grundsätzlich vertrauenswürdig ist. Dieses Modell gerät an Grenzen, wenn Anwendungen ohnehin in der Cloud liegen und Nutzer von wechselnden Geräten arbeiten. Ansätze wie Zero Trust prüfen deshalb bei jedem Zugriff erneut Identität, Gerätezustand und Berechtigung, statt einmalig einen Tunnel freizugeben.

Für die meisten mittelständischen Unternehmen bleibt das VPN dennoch auf absehbare Zeit relevant, weil weiterhin lokale Server, Maschinensteuerungen oder Fachanwendungen im eigenen Netz betrieben werden. Gehen Sie deshalb schrittweise vor: Sichern Sie das bestehende VPN ab, trennen Sie Berechtigungen sauber und stellen Sie dort, wo Anwendungen bereits webbasiert erreichbar sind, auf identitätsbasierte Zugriffskontrollen um.

• Ein VPN verschlüsselt die Verbindung, ersetzt aber keine Zugriffskontrolle innerhalb des Netzes.
• Mehr-Faktor-Authentifizierung sollte für jeden Fernzugriff verbindlich sein.
• Persönliche statt gemeinsam genutzter Zugänge machen Zugriffe nachvollziehbar.
• VPN-Gateways und Firewalls brauchen einen festen Patch-Rhythmus, da sie aktiv angegriffen werden.
• Der Sicherheitszustand des verbundenen Endgeräts entscheidet mit über die Sicherheit des Firmennetzes.