VPN einfach erklärt
Ein Beispiel: Eine Mitarbeiterin arbeitet regelmäßig zu Hause und braucht dort die Dateiablage aus dem Büro. Ohne Schutz würden ihre Dateien unverschlüsselt über fremde Leitungen laufen. Das VPN verpackt jedes Datenpaket verschlüsselt, schickt es zur Gegenstelle im Unternehmen und packt es dort wieder aus. Die Mitarbeiterin öffnet ihre Ordner danach wie gewohnt, obwohl ihr Notebook am heimischen Router hängt.
Zu einem VPN gehören immer zwei Enden. Im Unternehmen ist das in vielen Fällen die Firewall, auf der anderen Seite ein Client auf dem Endgerät oder eine zweite Firewall an einem anderen Ort. Bevor Daten fließen, weisen sich beide Seiten gegenseitig aus und vereinbaren gemeinsame Schlüssel. In Unternehmen sind zwei Protokollfamilien üblich: IPsec, das direkt auf der Netzwerkebene ansetzt, und SSL- bzw. TLS-VPNs, die mit derselben Verschlüsselungstechnik arbeiten wie das Online-Banking im Browser.
Zwei Grundformen von VPN-Verbindungen
Fernzugriff: Einzelne Personen wählen sich von unterwegs oder aus dem Homeoffice ein. Sie starten den VPN-Client, melden sich an und erreichen danach die freigegebenen Systeme im Firmennetz.
Standortverbindung: Zwei Firewalls an verschiedenen Orten halten dauerhaft einen Tunnel offen. Für die Beschäftigten in der Filiale ist der Server am Hauptsitz dann einfach im Netz erreichbar, ohne dass sie sich um die Verbindung kümmern müssen. Wie mehrere Standorte auf diese Weise zusammenwachsen, zeigt unsere Seite zur Standortvernetzung für Unternehmen. Bei vielen Standorten kann SD-WAN ins Spiel kommen, das mehrere Leitungen zentral steuert.
Nicht jeder Fernzugriff braucht ein klassisches VPN. Liegen Anwendungen und Daten zentral auf einem Terminalserver oder in der Cloud, kann ein abgesicherter Zugang zu genau diesem System genügen. Wie ein solcher Cloud-Arbeitsplatz aufgebaut ist, lesen Sie im gleichnamigen Leistungsbereich.
Was ein Firmen-VPN nicht ist
Mit den Angeboten für Privatkunden, die mit anonymem Surfen oder dem Umgehen von Ländersperren werben, hat ein Firmen-VPN wenig gemeinsam. Es soll nicht die eigene Identität im Internet verbergen. Es verbindet berechtigte Personen und Standorte mit dem eigenen Netz – und nur diese.
Ein VPN schützt außerdem den Transport, nicht das Gerät. Ein Notebook mit Schadsoftware bringt diese über den Tunnel direkt ins Firmennetz mit. Deshalb gehören Endgeräteschutz und aktuelle Updates dazu.
So betreiben Sie ein VPN sicher
Weil VPN-Zugänge offen im Internet stehen, ziehen sie Angreifer an. Diese Punkte gehören zum sicheren Betrieb:
- Zweiter Faktor: Ein Passwort allein reicht nicht. Mit Multi-Faktor-Authentifizierung nützt ein erbeutetes Passwort Angreifern wenig.
- Updates mit Vorrang: Für VPN-Gateways erscheinen regelmäßig Sicherheitsupdates, teils für Lücken, die bereits ausgenutzt werden. Solche Updates gehören nicht in den nächsten Wartungsmonat.
- Rechte begrenzen: Nicht jede Person braucht nach der Einwahl Zugriff auf das ganze Netz. Freigaben auf die nötigen Systeme beschränken.
- Firmengeräte bevorzugen: Mit Gerätezertifikaten lässt sich die Einwahl auf verwaltete Geräte beschränken.
- Konten pflegen: Zugänge ausgeschiedener Mitarbeitender und externer Dienstleister umgehend sperren.
Bewusst entscheiden sollten Sie auch, welcher Verkehr durch den Tunnel läuft. Leitet das VPN den gesamten Datenverkehr ins Büro, greifen die Filter der Firmen-Firewall auch im Homeoffice. Dafür steigt die Last auf der Internetleitung am Firmensitz. Geht nur der Firmenverkehr durch den Tunnel und der Rest direkt über den Heimanschluss, heißt das „Split Tunneling“.
Eine Weiterentwicklung ist ZTNA. Dabei wird nicht das ganze Netz geöffnet, sondern jede Anwendung einzeln und nach Prüfung von Person und Gerät freigegeben. Die Unterschiede stellt unser Vergleich VPN vs. ZTNA gegenüber.
Homeoffice-Tage im Steuerbüro
Angenommen, ein Steuerbüro mit zwölf Arbeitsplätzen erlaubt zwei Homeoffice-Tage pro Woche. Anfangs war der Server dafür über einen offen erreichbaren Fernzugang angebunden, geschützt allein durch ein Kennwort. Solche Zugänge werden im Internet automatisiert gesucht und durchprobiert.
Nach der Umstellung melden sich die Mitarbeitenden per VPN mit zweitem Faktor an, und zwar nur von Firmen-Notebooks. Nach der Einwahl erreichen sie ausschließlich den Terminalserver, auf dem die Kanzleisoftware läuft. Die Mandantendaten bleiben im Büro. Welche Zugriffswege es außerdem gibt und wann welcher passt, beschreibt unser Ratgeber Homeoffice sicher anbinden.
Wie ProNet unterstützt
Wir richten VPN-Zugänge für mobile Mitarbeitende und für Außenstellen ein, sichern sie mit einem zweiten Faktor ab und halten die Gegenstellen aktuell. Auf Wunsch prüfen wir bestehende Zugänge und räumen überholte Freigaben auf. Das Vorgehen beschreibt unsere Seite zu Firewall und VPN für Unternehmen.