VPN

Ein VPN schafft eine geschützte Verbindung über eine Infrastruktur, der man nicht vertrauen kann, in der Regel das Internet. Daten im Tunnel sind auf dem Übertragungsweg für Dritte nicht lesbar und nicht unbemerkt veränderbar. Im Unternehmen hat das VPN zwei Hauptaufgaben: Mitarbeitende von unterwegs mit dem Firmennetz zu verbinden und Standorte untereinander zu vernetzen. Davon zu unterscheiden sind VPN-Dienste für Privatpersonen, die vor allem den eigenen Standort verschleiern sollen.

Wie funktioniert ein VPN?

Zwei Endpunkte authentifizieren sich gegenseitig, etwa mit Zertifikaten, einem vorab vereinbarten Schlüssel oder einer Benutzeranmeldung. Danach handeln sie Schlüssel aus und verschlüsseln den Datenverkehr. Die ursprünglichen Datenpakete werden in neue Pakete verpackt und erst an der Gegenstelle wieder ausgepackt.

• Site-to-Site-VPN: Zwei Netzwerke, etwa Zentrale und Filiale oder Firmennetz und Cloud-Netzwerk, sind dauerhaft über ihre Gateways verbunden. Hier ist meist IPsec im Einsatz.
• Remote-Access-VPN: Ein Client auf dem Laptop baut die Verbindung zum VPN-Gateway auf, häufig zur Firewall des Unternehmens. Verbreitet sind IPsec, TLS-basierte Verfahren und WireGuard.
• Full Tunnel oder Split Tunneling: Entweder läuft der gesamte Verkehr durch das VPN oder nur jener, der für das Firmennetz bestimmt ist.

Typische Beispiele

• Mitarbeitende im Homeoffice greifen auf den Dateiserver und die Warenwirtschaft im Firmennetz zu.
• Eine Filiale ist dauerhaft mit der Zentrale verbunden.
• Das lokale Netz wird mit virtuellen Netzwerken in der Cloud gekoppelt.
• Ein Maschinenhersteller wartet seine Anlage über einen eigens eingerichteten Zugang.

Worauf Unternehmen achten sollten

• Gateways aktuell halten: VPN-Gateways sind direkt aus dem Internet erreichbar und ein häufiges Angriffsziel. Sicherheitsupdates sollten sofort eingespielt werden.
• Mehrere Faktoren verlangen: Ein Passwort allein reicht für einen Zugang ins Firmennetz nicht, siehe Multi-Faktor-Authentifizierung.
• Zugriff begrenzen: Nach der Anmeldung nur die nötigen Systeme freigeben. Dabei hilft Netzwerksegmentierung.
• Externe Zugänge kontrollieren: Zugänge von Dienstleistern zeitlich begrenzen, personalisieren und protokollieren.
• Anmeldungen überwachen: Ungewöhnliche Uhrzeiten, Herkunftsländer oder gehäufte Fehlversuche auswerten.

Abgrenzung

Ein klassisches VPN verbindet mit einem ganzen Netz. Ansätze nach dem Prinzip Zero Trust, oft als Zero Trust Network Access bezeichnet, geben dagegen nur Zugriff auf einzelne Anwendungen und prüfen Identität und Gerät bei jedem Zugriff.