VPN im Unternehmenseinsatz

Der Begriff VPN wird für zwei sehr verschiedene Dinge verwendet. Im Verbrauchermarkt bezeichnet er einen Dienst, der den eigenen Datenverkehr über einen fremden Server leitet, meist mit dem Versprechen von Anonymität oder dem Zugriff auf regional beschränkte Inhalte. Im Unternehmenskontext bezeichnet er eine Technik, um entfernte Geräte oder Standorte so zu verbinden, dass sie auf interne Ressourcen zugreifen können. Beides teilt die technische Grundlage, hat aber wenig miteinander zu tun. Dieser Beitrag befasst sich mit der zweiten Bedeutung und ordnet ein, wann sich der Aufwand lohnt, welche Varianten sich unterscheiden und welche Alternativen inzwischen zur Verfügung stehen.

Wofür ein VPN im Betrieb gebraucht wird

Der klassische Anwendungsfall entstand, als betriebliche Anwendungen im eigenen Serverraum liefen und von außen nicht erreichbar waren. Ein VPN schuf einen verschlüsselten Tunnel, durch den ein Notebook im Homeoffice so behandelt wurde, als stünde es im Büro.

Dieser Fall existiert weiterhin. Er betrifft vor allem:

• Fachanwendungen, die auf einem lokalen Server laufen und keine sichere Veröffentlichung ins Internet vorsehen, etwa ältere Warenwirtschafts- oder Branchensoftware.
• Dateifreigaben auf einem Netzwerkspeicher, die über das SMB-Protokoll angesprochen werden und keinesfalls direkt ins Internet gehören.
• Administrative Zugänge zu Servern, Netzwerkgeräten, Kassensystemen oder Maschinensteuerungen.
• Standortkopplung, wenn zwei Filialen dauerhaft dasselbe Netz nutzen sollen.

Nicht dazu gehört der Zugriff auf Anwendungen, die ohnehin als Webdienst betrieben werden. Wer Postfach, Buchhaltung und Dokumentenablage bei Cloud-Anbietern hat, gewinnt durch ein VPN dafür nichts. Der Datenverkehr ist bereits verschlüsselt, und der Umweg über das Firmennetz verlangsamt die Verbindung, ohne die Sicherheit zu erhöhen.

Die Sicherheitsfrage nüchtern betrachtet

Ein verbreitetes Missverständnis lautet, ein VPN mache die Verbindung sicher. Präziser ist: Ein VPN verlagert das Vertrauen. Der Datenverkehr wird nicht mehr über das lokale Netz und den dortigen Anbieter geleitet, sondern über den Tunnel zum eigenen Netz.

Für den Zugriff auf interne Systeme ist das genau der gewünschte Effekt. Für allgemeines Surfen im öffentlichen WLAN ist der Nutzen heute gering, weil praktisch der gesamte Webverkehr ohnehin transportverschlüsselt ist. Die Argumentation, ein VPN schütze im Hotel- oder Café-Netz, stammt aus einer Zeit mit deutlich weniger verbreiteter Verschlüsselung.

Gleichzeitig bringt ein VPN eine eigene Risikodimension mit. Es schafft einen von außen erreichbaren Einwahlpunkt, und wer diesen Punkt überwindet, steht im internen Netz. Der klassische Aufbau folgt einem Alles-oder-nichts-Modell: Ein verbundenes Gerät sieht in der Regel das gesamte Netz, unabhängig davon, was der Nutzende tatsächlich braucht. Aus dieser Eigenschaft ist ein guter Teil der Entwicklung der letzten Jahre entstanden.

Wer ein VPN betreibt, sollte deshalb drei Punkte ernst nehmen: Die Einwahlkomponente muss zeitnah aktualisiert werden, weil sie exponiert ist. Der Zugang gehört hinter eine Zwei-Faktor-Authentisierung. Und der Zugriff sollte nach Bedarf eingeschränkt sein, nicht pauschal das gesamte Netz umfassen.

Varianten im Überblick

Variante	Prinzip	Stärken	Grenzen
VPN auf dem Router	Einwahl direkt an der vorhandenen Firewall oder dem Router	Keine zusätzliche Hardware, oft im Gerät enthalten	Leistung und Funktionsumfang begrenzt, Rechteverwaltung grob
Dedizierte VPN-Gateway-Software	Eigener Server oder Appliance im Netz	Feinere Steuerung, Protokollierung, Skalierung	Einrichtungs- und Pflegeaufwand
Standort-zu-Standort-Tunnel	Dauerhafte Verbindung zwischen zwei Netzen	Für Nutzende unsichtbar, stabil	Verbindet ganze Netze, keine Nutzertrennung
Verwaltete Mesh-Netze	Zentrale Steuerung, Geräte verbinden sich direkt	Schnelle Einrichtung, gute Wegewahl	Abhängigkeit vom Anbieter der Steuerungsebene
Anwendungsbezogener Zugriff	Zugang je Anwendung statt je Netz	Kleinstmöglicher Zugriffsumfang	Nicht für jedes Protokoll geeignet

Für kleine Betriebe ist die Routerlösung der übliche Einstieg. Viele Business-Router und Firewalls bringen eine VPN-Funktion mit, häufig auf Basis moderner, schlanker Protokolle. Bei wenigen gleichzeitigen Verbindungen und moderaten Datenmengen reicht das aus. Die Grenze zeigt sich bei der Rechteverwaltung: Wer unterscheiden möchte, welche Person auf welches System zugreift, stößt hier schnell an Grenzen.

Verwaltete Mesh-Netze haben in den vergangenen Jahren an Verbreitung gewonnen. Sie nehmen die Konfigurationsarbeit ab, weil Geräte sich über eine zentrale Steuerungsebene finden und dann möglichst direkt verbinden. Der Preis ist eine Abhängigkeit von diesem Dienst und die Notwendigkeit, seine Vertrauenswürdigkeit zu bewerten.

Der Weg zu anwendungsbezogenem Zugriff

Unter Bezeichnungen wie Zero Trust Network Access hat sich ein Konzept etabliert, das den Netzzugang durch einen Anwendungszugang ersetzt. Statt ein Gerät ins Netz zu holen, wird für jede einzelne Anwendung geprüft, ob die anfragende Person darauf zugreifen darf, und nur diese eine Verbindung hergestellt.

Der praktische Unterschied ist erheblich. Ein kompromittiertes Notebook im klassischen VPN erreicht potenziell alles, was im Netz steht. Beim anwendungsbezogenen Zugriff erreicht es genau die Dienste, für die es berechtigt ist. Zusätzlich lassen sich Bedingungen prüfen, etwa ob das Gerät verwaltet ist oder Sicherheitsaktualisierungen eingespielt sind.

Für kleine Betriebe war dieser Ansatz lange nicht zugänglich, weil er aufwendige Infrastruktur voraussetzte. Inzwischen bieten mehrere Anbieter Varianten an, die sich mit überschaubarem Aufwand einrichten lassen, teilweise mit kostenfreien Einstiegsstufen für wenige Nutzende. Ob sich der Wechsel lohnt, hängt weniger von der Betriebsgröße ab als von der Zahl der Systeme und davon, wie fein der Zugriff getrennt werden soll. Bei drei Personen und einem einzigen internen Server ist der Zusatznutzen gering. Bei zwanzig Personen mit unterschiedlichen Rollen und mehreren Fachanwendungen ist er deutlich.

Auswahl- und Betriebskriterien

Bei der Bewertung einer Lösung sind einige Punkte wichtiger, als es zunächst wirkt:

• Protokoll und Wartungsstand. Moderne, schlanke Protokolle sind einfacher zu prüfen und in der Regel schneller. Entscheidend ist, dass die eingesetzte Komponente aktiv gepflegt und im Betrieb tatsächlich aktualisiert wird.
• Zwei-Faktor-Authentisierung. Ein VPN-Zugang, der nur mit Benutzername und Passwort geschützt ist, ist nicht mehr zeitgemäß. Zertifikate oder ein zweiter Faktor sollten Pflicht sein.
• Rechtemodell. Lässt sich einschränken, wer welche Ziele erreicht? Pauschaler Netzzugriff ist der Ausgangszustand, nicht das Ziel.
• Protokollierung. Wer hat wann worauf zugegriffen? Das ist sowohl für die Fehlersuche als auch für die Nachvollziehbarkeit relevant.
• Ausscheideprozess. Wenn jemand den Betrieb verlässt, muss der Zugang zuverlässig entzogen werden. Zertifikate, die auf privaten Geräten liegen, sind hier ein häufiger Schwachpunkt.
• Geräteklärung. Werden private Geräte zugelassen? Diese Entscheidung hat mehr Auswirkungen auf das Sicherheitsniveau als die Wahl des Protokolls.

Der laufende Aufwand ist bei allen Varianten geringer als der einmalige. Nach der Einrichtung fallen im Wesentlichen Nutzerverwaltung, Aktualisierungen und gelegentliche Fehlersuche an. Der häufigste Betriebsfehler ist nicht technischer Natur, sondern organisatorischer: Zugänge, die eingerichtet und nie wieder entzogen wurden.

Wann sich der Verzicht lohnt

Es gibt einen Weg, der oft übersehen wird: den VPN-Bedarf zu reduzieren, statt ihn zu bedienen. Wenn die verbleibenden internen Systeme sich ablösen oder sicher veröffentlichen lassen, entfällt der Einwahlpunkt vollständig.

Für einen Betrieb, dessen letzte lokale Anwendung eine Dateiablage ist, kann die Migration zu einem geeigneten Speicherdienst günstiger und einfacher sein als der dauerhafte Betrieb einer VPN-Infrastruktur. Diese Rechnung geht nicht immer auf, insbesondere nicht bei Branchensoftware ohne Cloud-Variante oder bei Anforderungen an die lokale Datenhaltung. Sie sollte aber aufgemacht werden, bevor Geld in eine Einwahllösung fließt.

Häufige Fragen

Kann ein Verbraucher-VPN-Dienst für den Betrieb genutzt werden?

Für den Zweck, um den es hier geht, nicht. Diese Dienste leiten Datenverkehr über eigene Server nach außen, sie stellen keine Verbindung zum Firmennetz her. Für den Zugriff auf interne Systeme sind sie ungeeignet. Manche Anbieter haben Geschäftskundenprodukte im Sortiment, die zusätzlich private Netze bereitstellen; das ist dann jedoch ein anderes Produkt als der Verbrauchertarif.

Verlangsamt ein VPN die Internetverbindung?

In der Regel ja, in unterschiedlichem Ausmaß. Der Datenverkehr nimmt einen Umweg und wird verschlüsselt, außerdem begrenzt der Anschluss am Firmenstandort die Geschwindigkeit für alle Verbundenen. Deutlich reduzieren lässt sich der Effekt durch geteiltes Routing, bei dem nur der Verkehr zu internen Zielen durch den Tunnel läuft und der übrige Verkehr direkt ins Internet geht. Das erhöht die Geschwindigkeit spürbar, verringert allerdings die zentrale Kontrolle über den Datenverkehr.

Braucht ein Betrieb mit reiner Cloud-Nutzung noch ein VPN?

Meist nicht für den Anwendungszugriff. Relevant bleibt es häufig für administrative Zugänge, etwa zu Netzwerkgeräten, Netzwerkspeichern oder Anlagensteuerungen am Standort. Für diesen begrenzten Zweck genügt oft eine einfache Lösung mit wenigen berechtigten Personen. Wichtiger als die Technik ist in diesem Fall, dass der Zugang nicht dauerhaft für alle offensteht.