VPN im Betrieb: Wann Sie einen brauchen und wann nicht
VPN gilt vielen als Standardantwort auf jede Frage zum Homeoffice. Tatsächlich lösen sie ein sehr konkretes Problem und wenn Sie dieses Problem nicht haben, schaffen sie eher neue.
Ein VPN brauchen Sie, wenn Mitarbeitende von außerhalb auf Ressourcen zugreifen müssen, die im Firmennetzwerk liegen: einen Server, Netzlaufwerke, eine Warenwirtschaft mit lokaler Datenbank, Maschinensteuerungen oder Netzwerkdrucker. Das VPN baut dafür einen verschlüsselten Tunnel auf, durch den das entfernte Gerät so arbeitet, als stünde es im Büro.
Wenn Ihr Betrieb ausschließlich mit Cloud-Diensten arbeitet (Microsoft 365, webbasierte Fachanwendungen, Cloud-Ablagen) brauchen Sie in der Regel kein VPN. Diese Dienste sind bereits verschlüsselt erreichbar und sichern den Zugang über Anmeldung und Multi-Faktor-Authentifizierung.
Was ein VPN leistet
Drei Dinge, sauber getrennt:
- Verschlüsselung der Verbindung zwischen Gerät und Firmennetz, sodass die Daten unterwegs nicht mitgelesen werden können.
- Zugang zu internen Ressourcen, die aus dem Internet bewusst nicht erreichbar sind.
- Eine Firmen-IP-Adresse für das entfernte Gerät, was für manche Fachanwendungen mit IP-Beschränkung relevant ist.
Was ein VPN ausdrücklich nicht leistet
Hier entstehen die meisten Missverständnisse:
Ein VPN macht ein infiziertes Gerät nicht sauber. Im Gegenteil, es verbindet ein möglicherweise kompromittiertes Notebook direkt mit dem Firmennetz. Ohne Endpoint-Schutz und Geräteverwaltung wird das VPN dann zur Einladung.
Ein VPN ersetzt keine Zugriffsrechte. Wer im Tunnel ist, ist im Netz. Ob er auf die Personalordner zugreifen darf, entscheidet die Rechtevergabe, nicht das VPN.
Ein VPN schützt keine Cloud-Dienste. Microsoft 365 wird nicht sicherer, weil der Zugriff durch einen Tunnel läuft. Dort schützen Multi-Faktor-Authentifizierung und bedingter Zugriff.
Die wichtigste Regel: Ein VPN ist nur so sicher wie das Gerät an seinem Ende. Ein privates Notebook ohne Verschlüsselung, ohne aktuelle Updates und mit installierter Software unbekannter Herkunft gehört nicht in einen Tunnel ins Firmennetz.
Die drei üblichen Varianten
| Variante | Wofür | Anmerkung |
|---|---|---|
| Client-to-Site | Einzelne Mitarbeitende von unterwegs oder aus dem Homeoffice | Der Standardfall; Software auf jedem Gerät |
| Site-to-Site | Dauerhafte Verbindung zwischen zwei Standorten | Läuft auf den Routern, nicht auf den Geräten |
| Zero Trust / ZTNA | Zugriff auf einzelne Anwendungen statt aufs ganze Netz | Der modernere Ansatz, siehe unten |
Die Alternative: Zugriff auf Anwendungen statt aufs Netzwerk
Der konzeptionelle Nachteil klassischer VPN: Wer drin ist, ist im ganzen Netz. Ein übernommenes Konto oder ein infiziertes Gerät hat damit denselben Bewegungsspielraum wie ein Rechner im Büro.
Neuere Ansätze (häufig als Zero Trust Network Access bezeichnet) drehen das um: Nicht das Netzwerk wird freigegeben, sondern einzelne Anwendungen. Geprüft wird bei jedem Zugriff, wer zugreift, mit welchem Gerät und in welchem Zustand dieses Gerät ist. Ein nicht verwaltetes Privatgerät bekommt dann eben keinen Zugang zur Buchhaltung, auch wenn Benutzername und Passwort stimmen.
Für Betriebe mit wenigen internen Anwendungen ist das oft die sinnvollere Lösung, weniger Angriffsfläche und für die Nutzer meist bequemer, weil kein Tunnel manuell aufgebaut werden muss.
Wenn Sie ein VPN einrichten: worauf es ankommt
- Multi-Faktor-Authentifizierung für den VPN-Zugang. Ein VPN, das mit Benutzername und Passwort allein aufgeht, ist ein offenes Tor mit Vorhang.
- Nur verwaltete Geräte zulassen. Firmengeräte mit Verschlüsselung, aktuellem Betriebssystem und Endpoint-Schutz: keine privaten Rechner.
- Split Tunneling bewusst entscheiden. Soll der gesamte Internetverkehr durch die Firma laufen oder nur der Zugriff auf interne Ressourcen? Ersteres bringt mehr Kontrolle, kostet aber Bandbreite und Geschwindigkeit.
- Zugänge regelmäßig aufräumen. Ausgeschiedene Mitarbeitende und alte Testzugänge gehören sofort deaktiviert. In der Praxis ist genau das die häufigste Lücke.
- Protokollierung aktivieren. Wer war wann verbunden? Im Ernstfall die entscheidende Frage.
Die Entscheidungshilfe in vier Fragen
Beantworten Sie diese vier Fragen, und die Antwort ergibt sich meist von selbst:
- Gibt es Anwendungen oder Daten, die ausschließlich auf einem Server im Haus liegen?
- Müssen Mitarbeitende von außerhalb darauf zugreifen?
- Sind die Geräte, mit denen zugegriffen wird, Firmengeräte unter Ihrer Verwaltung?
- Gibt es mehr als eine Handvoll interner Anwendungen?
Zweimal Ja bei den ersten beiden Fragen: Sie brauchen einen gesicherten Fernzugriff. Ein Nein bei Frage drei sollte zuerst gelöst werden: Geräteverwaltung vor Fernzugriff. Ein Nein bei Frage vier spricht dafür, statt eines klassischen VPN einen anwendungsbezogenen Zugriff zu prüfen.
Häufige Fragen
Braucht mein Unternehmen ein VPN?
Ein VPN ist nötig, wenn Mitarbeitende von außerhalb auf Server, Netzlaufwerke oder andere Ressourcen im Firmennetzwerk zugreifen müssen. Wer ausschließlich mit Cloud-Diensten wie Microsoft 365 arbeitet, braucht in der Regel kein VPN.
Macht ein VPN das Homeoffice sicher?
Nur teilweise. Ein VPN verschlüsselt die Verbindung, macht aber ein infiziertes oder ungepflegtes Gerät nicht sicher. Es verbindet dieses Gerät sogar direkt mit dem Firmennetz. Voraussetzung sind deshalb verwaltete Geräte mit Verschlüsselung, aktuellen Updates und Endpoint-Schutz.
Was ist der Unterschied zwischen VPN und Zero Trust?
Ein klassisches VPN gibt Zugriff auf das gesamte Netzwerk. Zero Trust Network Access gibt Zugriff nur auf einzelne Anwendungen und prüft bei jedem Zugriff Nutzer, Gerät und Gerätezustand. Das reduziert die Angriffsfläche erheblich.
Reicht Benutzername und Passwort für den VPN-Zugang?
Nein. Für VPN-Zugänge sollte grundsätzlich Multi-Faktor-Authentifizierung aktiviert sein. Ein VPN, das sich allein mit Benutzername und Passwort öffnen lässt, ist bei gestohlenen Zugangsdaten wirkungslos.
