Wie funktioniert ein VPN?
Auf dem Notebook läuft ein VPN-Programm, der sogenannte Client. Er meldet sich am VPN-Gateway im Büro an, meist der Firewall. Beide Seiten handeln Schlüssel aus, häufig über das Protokoll IKE, und verschlüsseln danach jeden Datenverkehr zwischen sich.[1] Der Tunnel schützt so die Kommunikation über ein öffentliches Netz, etwa das heimische WLAN oder ein Hotelnetz.[1]
Ist die Verbindung aufgebaut, bekommt das Notebook eine Adresse im Firmennetz. Dateiserver, Branchensoftware oder die Telefonanlage sind dann erreichbar wie am Arbeitsplatz. Welche Dienste genau, legt die Firewall fest.
Arten von VPNs
| Art | Verbindet | Typischer Einsatz |
|---|---|---|
| Client-VPN (Remote Access) | ein Gerät mit dem Firmennetz | Homeoffice, Außendienst, Fernwartung |
| Site-to-Site-VPN | zwei Netze dauerhaft miteinander | Filiale, Lager oder zweiter Standort |
| Anbieter-VPN aus dem App-Store | ein Gerät mit dem Server eines Anbieters | Privatnutzung; ersetzt keinen Firmenzugang |
Bei den Protokollen ist IPsec mit IKE der verbreitete Standard für Firmen-VPNs; daneben gibt es SSL/TLS-VPNs und WireGuard. Die US-Behörden NSA und CISA raten, standardbasierte statt proprietärer Lösungen zu wählen. Wird ein SSL/TLS-VPN eingesetzt, sollte mindestens TLS 1.2 erzwungen werden.[2]
Ein VPN sicher betreiben
Das VPN-Gateway ist direkt aus dem Internet erreichbar und deshalb ein bevorzugtes Ziel. Bekannte Schwachstellen in VPN-Geräten werden teils innerhalb von 24 Stunden nach Bekanntwerden ausgenutzt.[2] Die wichtigsten Maßnahmen laut NSA und CISA:[2]
- Sicherheitsupdates des Herstellers sofort einspielen und nach einem Vorfall Zugangsdaten und Schlüssel erneuern.
- Anmeldung mit Zertifikat oder einem zweiten Faktor, nicht nur mit Passwort.
- Alle Funktionen abschalten, die nicht zum VPN gehören, etwa eine Web-Verwaltung von außen.
- Über das VPN nur die Dienste freigeben, die wirklich gebraucht werden.
Für Unternehmen unter NIS2 sind Multi-Faktor-Authentifizierung und gesicherte Kommunikation ausdrücklich Teil der Pflichtmaßnahmen.[3]
Beispiel aus der Praxis
Eine Unternehmensberatung mit 15 Mitarbeitenden arbeitet an zwei Tagen pro Woche im Homeoffice. Die Firewall im Büro ist das VPN-Gateway, die Notebooks nutzen einen IPsec-Client. Angemeldet wird mit einem Gerätezertifikat plus Bestätigung in einer Authenticator-App. Über das VPN erreichbar sind nur der Dateiserver und die Telefonanlage für das Softphone; Drucker und Verwaltungsoberflächen bleiben gesperrt. Engpass ist am Anfang der Upload des Büroanschlusses: Er bestimmt, wie schnell Dateien im Homeoffice ankommen. Nach dem Wechsel auf Glasfaser ist das Problem behoben.
VPN vs. Zero Trust
| VPN | Zero Trust | |
|---|---|---|
| Grundidee | wer angemeldet ist, ist im Netz | jeder Zugriff wird einzeln geprüft |
| Zugriff | auf freigegebene Netzbereiche | nur auf die einzelne Anwendung |
| Typisch für | Zugriff auf Server im Büro | Cloud-Anwendungen und große Umgebungen |
Im Mittelstand ergänzen sich beide: Ein gut eingeschränktes VPN mit Multi-Faktor-Anmeldung setzt bereits zentrale Zero-Trust-Gedanken um.
Kurz gesagt
Ein VPN verbindet Geräte oder Standorte verschlüsselt über das Internet mit dem Firmennetz. Es schützt die Übertragung, nicht das Gerät. Sicher ist es nur mit aktuellen Updates, Multi-Faktor-Anmeldung und Freigaben, die auf das Nötige beschränkt sind.
Weiterlesen: VPN fürs Homeoffice einrichten, Netzwerk im Büro absichern, MFA oder Passwortmanager?