Arbeiten im Homeoffice ist in Unternehmen zur Normalität geworden, und mit ihm das VPN. Die Buchhalterin verbindet sich von zu Hause mit dem Buchhaltungsserver, der Projektleiter aus dem Büro eines Kunden mit dem Dateiserver, ein Lieferant mit dem Lagersystem, um eine Anwendung zu aktualisieren. Alle gehen durch dasselbe VPN, oft mit demselben Passwort, das jemand vor vier Jahren vergeben hat.
Gleichzeitig hört man, VPN sei „veraltet“ und alle wechselten zu Zero Trust. Die Wirklichkeit ist einfacher: Ein VPN ist für viele Unternehmen weiterhin eine völlig brauchbare Lösung, wenn es richtig eingerichtet ist, hat aber Grenzen, die man kennen sollte, wenn das Unternehmen wächst.
In diesem Artikel erklären wir, wie ein Firmen-VPN tatsächlich funktioniert, warum es ohne zweiten Authentifizierungsfaktor gefährlicher ist als gar keines, wo seine Möglichkeiten enden, was Zero Trust ohne Fachjargon bedeutet und wie Sie entscheiden, welches Modell jetzt zu Ihnen passt.
Wie ein Firmen-VPN funktioniert und was es tatsächlich leistet
Ein VPN (virtuelles privates Netzwerk) baut einen verschlüsselten Tunnel zwischen dem Computer eines Mitarbeitenden und dem Firmennetz auf. Nach der Verbindung sitzt der Mitarbeitende praktisch im Büro: Er sieht Server, Drucker, Freigabeordner und interne Anwendungen. Das löst zwei Probleme. Erstens werden die Daten unterwegs verschlüsselt, sodass öffentliches Hotel-WLAN keine Gefahr mehr darstellt. Zweitens müssen interne Systeme nicht im Internet erreichbar sein, da sie nur durch den Tunnel zugänglich sind.
Wichtig ist aber zu verstehen, was ein VPN nicht leistet. Es prüft nur im Moment der Anmeldung, wer sich verbindet. Es prüft nicht, ob der verwendete Computer sicher ist. Und ein verbundener Mitarbeitender erhält meist Zugriff auf das gesamte Netz, nicht nur auf die Systeme, die er braucht. Eine Buchhalterin, die den Buchhaltungsserver braucht, sieht auch den Dateiserver, das Lagersystem und jeden anderen Computer im Büro.
Warum ein VPN ohne 2FA eine offene Tür ist
Das ist das häufigste Problem, das wir finden, wenn wir die VPN-Betreuung übernehmen. Das VPN ist nur durch Benutzername und Passwort geschützt. Das Passwort ist oft dasselbe wie das E-Mail-Passwort. Das E-Mail-Passwort ist vor einem Jahr über irgendein externes Portal abgeflossen, bei dem sich der Mitarbeitende mit der Firmenadresse registriert hat.
Das Ergebnis: Ein Angreifer mit dem abgeflossenen Passwort verbindet sich von irgendwo auf der Welt mit dem VPN und befindet sich mit denselben Rechten wie der Mitarbeitende in Ihrem Netz. Genau so beginnen die meisten Ransomware-Angriffe, nicht mit einem raffinierten Einbruch, sondern mit einem VPN mit bekanntem Passwort.
Ein zweiter Authentifizierungsfaktor (2FA) beseitigt diese Voraussetzung: Ohne Bestätigung auf dem Telefon oder einem Hardware-Schlüssel ist das Passwort wertlos. Das ist keine zusätzliche Empfehlung, sondern die Mindestanforderung, ohne die ein VPN nicht eingeschaltet werden sollte. Bei den von uns betreuten VPN-Lösungen ist 2FA vom ersten Tag an Pflicht, und für Kunden mit ERP-Hosting ist ein VPN mit 2FA im Service enthalten.
Zwei weitere Dinge müssen zu 2FA hinzukommen: getrennte Konten für jede Person (kein „gemeinsames Buchhaltungs-VPN-Konto“) und der Entzug des Zugriffs noch am Tag, an dem ein Mitarbeitender oder Lieferant ausscheidet.
Wo die Grenzen eines VPN liegen
Auch ein richtig konfiguriertes VPN hat Grenzen, die sichtbar werden, wenn das Unternehmen wächst.
Ein flaches Netz. Ein verbundener Mitarbeitender sieht alles. Ist sein Computer infiziert, sieht die Schadsoftware durch den Tunnel dasselbe. Netzwerksegmentierung verringert das, erfordert aber laufende Pflege.
Ein ungeprüftes Gerät. Ein VPN lässt den privaten Computer eines Mitarbeitenden mit veraltetem System und ohne Virenschutz genauso herein wie einen vom Unternehmen verwalteten Laptop.
Cloud-Systeme. Immer mehr Unternehmensanwendungen laufen nicht auf einem Server im Büro, sondern in der Cloud: Microsoft 365, CRM, Buchhaltung. Sie brauchen das VPN nicht, bleiben aber allein mit einem Passwort erreichbar, wenn niemand eine Zugriffsrichtlinie eingerichtet hat.
Lieferanten und Partner. Jeder externe Lieferant erhält ein VPN-Konto, das wegen eines einzigen Systems Zugriff auf das gesamte Netz gibt. Ein Jahr später gibt es zehn solcher Konten, und niemand weiß, welche noch gebraucht werden.
Erkennen Sie sich in mindestens zwei dieser Situationen wieder, ist das VPN nicht mehr die wichtigste Sicherheitslösung, sondern nur noch ein Teil davon.
Zero Trust in einfachen Worten
Zero Trust ist kein Produkt, das man kaufen kann. Es ist ein Prinzip: Niemandem wird vertraut, nur weil er sich im Netz befindet. Jeder Zugriff auf jedes System wird einzeln anhand von drei Fragen geprüft:
- Wer verbindet sich? Der Benutzer wird mit Passwort und 2FA geprüft, und sein Konto ist aktiv.
- Von welchem Gerät? Das Gerät ist bekannt, aktuell, hat einen funktionierenden Schutz und eine verschlüsselte Festplatte.
- Wohin? Der Mitarbeitende erhält Zugriff nur auf das System, das er braucht, nicht auf das ganze Netz.
In der Praxis bedeutet das: Die Buchhalterin verbindet sich direkt mit dem Buchhaltungssystem, nicht mit dem Netz. Das System prüft ihre Identität und den Zustand ihres Computers und lässt sie nur in die Buchhaltung. Erfüllt der Computer die Anforderungen nicht, wird der Zugriff verweigert – unabhängig davon, ob sie im Büro oder zu Hause sitzt.
In einer Microsoft-Umgebung ist ein großer Teil dieses Prinzips bereits vorhanden: Der bedingte Zugriff in Entra ID prüft bei jeder Anmeldung an Microsoft 365 und anderen angebundenen Anwendungen den Benutzer und das Gerät. Für ältere interne Systeme, die nur auf einem Server im Büro laufen, werden Anwendungs-Gateways eingesetzt, die eine einzelne Anwendung statt des ganzen Netzes bereitstellen.
Zero Trust ist nicht das Gegenteil eines VPN. In vielen Unternehmen arbeiten beide zusammen: Zero-Trust-Zugriff auf die Cloud und die Kernanwendungen und ein VPN für die übrigen internen Systeme, aber bereits mit 2FA, Geräteprüfung und segmentiertem Netz.
Wann ein VPN reicht und wann der Wechsel ansteht
Ein VPN mit 2FA reicht, wenn das Unternehmen bis zu einigen Dutzend Mitarbeitende hat, einen oder wenige interne Server, alle Mitarbeitenden vom Unternehmen verwaltete Computer nutzen und externer Lieferantenzugriff selten und kontrolliert ist. Dann kommt es nicht darauf an, die Technik zu wechseln, sondern die vorhandene zu pflegen: VPN-Geräte aktualisieren, Konten überprüfen, Anmeldungen überwachen.
Über einen Wechsel zu einem Zero-Trust-Modell sollten Sie nachdenken, wenn:
- die Zahl der Mitarbeitenden und Geräte wächst und ein Teil der Geräte privat ist.
- Ihre Kernsysteme bereits in der Cloud laufen und das VPN nur noch für einige ältere Server genutzt wird.
- Sie viele externe Lieferanten haben, die Zugriff auf ein bestimmtes System brauchen.
- NIS2 oder DORA für Sie gilt und diese Regelwerke unmittelbar Zugriffssteuerung, das Prinzip minimaler Berechtigungen und Geräteverwaltung ansprechen.
- ein Vorfall eingetreten ist oder beinahe eingetreten wäre, bei dem sich jemand mit fremden Zugangsdaten mit dem VPN verbunden hat.
Der Wechsel ist kein einzelnes Projekt. Er erfolgt meist in Stufen: zuerst 2FA und saubere Kontenführung, dann bedingter Zugriff auf Microsoft 365, dann Geräteverwaltung und schließlich Anwendungs-Gateways anstelle eines breiten VPN. Jede Stufe bringt für sich Nutzen.
Wie MDP CLOUD ein VPN betreut
Ein VPN ist keine einmalige Installation, sondern ein System, das altert. Unsere VPN-Netzwerk-Betreuung umfasst das, was am häufigsten liegen bleibt: Updates von VPN-Geräten und -Software, denn Schwachstellen in VPN-Gateways gehören zu den am häufigsten ausgenutzten; eine monatliche Überprüfung der Konten und die Entfernung ausgeschiedener Mitarbeitender und Lieferanten; 2FA für alle ohne Ausnahme; Überwachung der Anmeldungen, die Anmeldungen zu ungewöhnlichen Zeiten oder von ungewöhnlichen Orten meldet; und Netzwerksegmentierung, damit ein VPN-Benutzer nur sieht, was er braucht. Ist das Unternehmen bereit, ergänzen wir schrittweise bedingten Zugriff und Geräteverwaltung zum selben VPN, ohne den Betrieb anzuhalten und ohne bei null anzufangen.
Wo Sie anfangen sollten
- Prüfen Sie, ob Ihr VPN 2FA hat. Wenn nicht, ist das der erste und wichtigste Schritt, und er lässt sich innerhalb weniger Tage umsetzen.
- Ziehen Sie die Liste der VPN-Konten und trennen Sie alle, deren Inhaber Sie nicht mehr benennen können. Ersetzen Sie gemeinsame Konten durch persönliche.
- Prüfen Sie die Firmware-Version Ihrer VPN-Geräte und ob der Hersteller sie noch unterstützt. Nicht mehr unterstützte VPN-Geräte sind auch mit 2FA eine offene Tür.
- Listen Sie die Systeme auf, mit denen sich Mitarbeitende tatsächlich über das VPN verbinden. Oft zeigt sich, dass die Hälfte davon bereits in der Cloud liegt und das VPN nicht braucht.
- Kann das niemand laufend betreuen, übernehmen die VPN-Netzwerk-Betreuung oder der umfassendere IT-Support für Unternehmen diese Aufgaben als tägliche Routine.
Ein VPN ist nicht veraltet. Veraltet ist ein VPN ohne 2FA, ohne Pflege und mit Konten, die niemand überprüft. Das ist ein guter Ausgangspunkt.
