Kontakt
Telefon+49 2933 922822-0 E-Mailinfo@pronet-systems.deMo–Fr 08:00–17:00 Uhr
VPN vs. ZTNA – die Kurzantwort: Ein VPN holt ein Gerät ins Firmennetz und eignet sich, wenn viele interne Systeme erreichbar sein müssen oder Standorte dauerhaft verbunden werden. ZTNA gibt nur einzelne Anwendungen frei und prüft Person und Gerät vor dem Zugriff, was zu verteilten Teams, externen Dienstleistern und Cloud-Anwendungen passt. Beide Verfahren lassen sich auch kombinieren.
Überblick
Ein VPN baut einen verschlüsselten Tunnel zwischen dem Gerät einer Person und dem Firmennetz auf, zum Beispiel mit der Firewall als Gegenstelle. Nach der Anmeldung erhält das Notebook eine Adresse im Firmennetz. Welche Server und Dienste es von dort erreicht, legt das Regelwerk für VPN-Zugänge fest; ohne fein abgestufte Regeln reicht der Zugang weit in das Netz hinein.
Zero Trust Network Access, kurz ZTNA, setzt eine Ebene höher an. Statt eines Netzzugangs erhält die Person Zugriff auf genau die Anwendungen, für die sie freigeschaltet ist. Grundlage ist das Prinzip Zero Trust. Das US-Standardisierungsinstitut NIST beschreibt es in der Veröffentlichung SP 800-207. Ein Gerät gilt danach nicht schon deshalb als vertrauenswürdig, weil es sich im Firmennetz befindet; Person und Gerät werden geprüft, bevor eine Sitzung zu einer Anwendung entsteht.
Für Ihr Unternehmen heißt das vor allem: Die Anmeldung wird zum zentralen Kontrollpunkt. Sie läuft zum Beispiel über Microsoft Entra ID mit Multi-Faktor-Authentifizierung und berücksichtigt, wo die Lösung das unterstützt, auch Angaben zum Zustand des Geräts. Zwischen Person und Anwendung vermittelt ein Zugangsdienst, der je nach Produkt in der Cloud oder im eigenen Netz läuft.
Standorte koppeln weiterhin VPN oder SD-WAN. Einrichtung und Pflege von VPN-Zugängen gehören zu unserer Leistung Firewall für Unternehmen; dort setzen wir ZTNA je nach Lösung als Ergänzung ein. Alle Schutzmaßnahmen zeigt der Bereich IT-Sicherheit für Unternehmen, weitere Zugriffswege wie Terminalserver und Cloud-Dienste vergleicht der Ratgeber Homeoffice sicher anbinden. Ihre heutige Lösung prüfen wir auf Wunsch zusammen mit Ihnen bei einer kostenlosen Erstberatung.
Entscheidungshilfe
Beschrieben sind beide Lösungsarten allgemein; Funktionsumfang und Bedienung hängen vom eingesetzten Produkt ab.
| Kriterium | VPN | ZTNA |
|---|---|---|
| Reichweite nach der Anmeldung | Das Gerät wird Teil des Netzes; ohne eng gefasste Regeln sind große Teile davon erreichbar. | Freigegeben sind einzelne Anwendungen; andere Systeme sind aus Sicht der Person nicht vorhanden. |
| Prüfung von Person und Gerät | Beim Verbindungsaufbau, idealerweise mit zweitem Faktor und Gerätezertifikat; danach bleibt der Tunnel bestehen. | Vor dem Zugriff auf eine Anwendung, je nach Lösung mit Prüfung des Gerätezustands und erneuter Kontrolle während der Sitzung. |
| Angriffsfläche im Internet | Das VPN-Gateway ist öffentlich erreichbar; Sicherheitsupdates müssen zeitnah eingespielt werden. | Je nach Aufbau braucht die Anwendung keinen von außen erreichbaren Eingang; dafür hängen Sicherheit und Verfügbarkeit am Zugangsdienst. |
| Standortverbindungen | Etabliertes Verfahren für dauerhafte Tunnel zwischen Firewalls zweier Standorte. | Kein Einsatzzweck von ZTNA, das Personen mit Anwendungen verbindet, nicht Netze miteinander. |
| Ältere Anwendungen und Protokolle | Funktioniert mit nahezu allen Protokollen, auch mit Dateifreigaben, Datenbanken oder dem Fernzugriff auf Maschinen. | Browserbasierte Programme und Remotedesktop-Sitzungen passen gut; Software, die feste Ports nutzt oder vom Server aus Verbindungen zum Gerät aufbaut, sollte vorher getestet werden. |
| Cloud-Anwendungen | Läuft der gesamte Verkehr durch den Tunnel, geht er erst ins Büro und von dort ins Internet; das belastet die Leitung am Firmensitz. | Der Zugriff führt je nach Aufbau direkt zur Anwendung, ohne Umweg über die Zentrale. |
| Externe Dienstleister | Eigene Konten mit eng begrenzten Regeln; nicht mehr benötigte Zugänge müssen zeitnah gesperrt werden. | Freigabe auf die eine Anwendung, die der Dienstleister betreut; je nach Lösung auch befristet. |
| Einführung | Auf vielen Firewalls bereits vorhanden und ohne neue Plattform einzurichten. | Neues Konzept mit Anbindung an die Benutzerverwaltung, Regeln je Anwendung und in vielen Fällen einer Geräteverwaltung (MDM). |
| Bedienung für Mitarbeitende | VPN-Client starten und verbinden; nach einem Verbindungsabbruch neu anmelden. | Je nach Lösung arbeitet ein Agent im Hintergrund, ohne dass jemand eine Verbindung starten muss. |
| Kostenlogik | Läuft in der Regel auf der Firewall; Aufwand entsteht für Pflege, Updates und gegebenenfalls Client-Lizenzen. | Laufende Lizenzen, zum Beispiel je Person, dazu Einführung und die Pflege der Regeln je Anwendung. |
| Passt eher, wenn … | … Sie Standorte verbinden, viele interne Systeme oder Altanwendungen erreichen müssen und wenige Personen von außen zugreifen. | … Teams verteilt arbeiten, Dienstleister gezielt einzelne Systeme erreichen sollen und Anwendungen zunehmend in der Cloud laufen. |
Stärken
Das klassische VPN ist nicht veraltet, und ZTNA ist kein Selbstläufer.
Das ausgereifte Verfahren funktioniert mit vielen, auch älteren Anwendungen, läuft auf der vorhandenen Firewall und verbindet ganze Standorte.
ZTNA begrenzt Zugänge auf das, was eine Person für ihre Aufgabe braucht. Ein gestohlenes Konto oder ein befallenes Gerät öffnet damit nicht das ganze Netz.
Orientierung
VPN mit MFA
Wenige Personen greifen von zu Hause auf Dateiablage oder Terminalserver zu. Ein gut gepflegtes VPN mit zweitem Faktor deckt das ab.
Schrittweise ZTNA
Das Serviceteam nutzt ein webbasiertes Auftragsportal, ein Wartungspartner betreut eine einzelne Anlage. Für diese Zugriffe bietet sich ZTNA an, das VPN bleibt für den Rest.
Kombination
Filialen sind dauerhaft gekoppelt, viele Mitarbeitende arbeiten mobil, ein Teil der Software läuft in der Cloud.
Kostenlogik
Die VPN-Funktion bringt die Firewall in der Regel mit. Kosten entstehen für etwaige Client-Lizenzen, den zweiten Anmeldefaktor und vor allem die laufende Pflege: Sicherheitsupdates des Gateways, Benutzerverwaltung und Regeln, die regelmäßig aufgeräumt werden müssen.
ZTNA wird in der Regel als laufende Lizenz bezogen, etwa je Person oder Gerät. Hinzu kommt der Einführungsaufwand: Anwendungen erfassen, Regeln je Rolle festlegen, die Anmeldung anbinden und Geräte in die zentrale Verwaltung aufnehmen, falls der Gerätezustand geprüft werden soll. Während der Umstellung laufen beide Systeme parallel, was die Kosten für eine Weile erhöht.
Dem steht gegenüber, was ein zu weit gefasster Zugang im Ernstfall kosten kann. Mit welchem Aufwand Sie rechnen müssen, steht nach einem kostenlosen Beratungstermin in Ihrem individuellen Angebot.
Typische Fehler
Nach der Einwahl ist das ganze Netz offen. Das BSI empfiehlt im Baustein NET.3.3, die über das VPN erreichbaren Teilnetze festzulegen; in Verbindung mit Netzwerksegmentierung bleibt der Zugang schmal.
Zugänge ehemaliger Mitarbeitender oder abgeschlossener Dienstleistereinsätze bleiben aktiv. NET.3.3 verlangt, nicht mehr benötigte Zugänge zeitnah zu deaktivieren und den Zugriff auf die benötigten Nutzungszeiten zu beschränken.
Updates für das öffentlich erreichbare VPN-Gateway warten auf den nächsten Wartungstermin, auch wenn der Hersteller bereits vor Angriffen auf die Lücke warnt. Ein geregeltes Patch-Management legt dafür Fristen fest.
Die bisherigen Gruppen wandern unverändert ins neue Regelwerk. Wer früher das halbe Netz sah, bekommt nun zwanzig Anwendungen freigegeben, und der Sicherheitsgewinn bleibt aus.
Die Regeln verlangen ein aktuelles, verschlüsseltes Gerät, doch ein Teil der Notebooks ist in keiner zentralen Verwaltung erfasst. Dann scheitern Anmeldungen, oder die Prüfung wird stillschweigend abgeschaltet. Für Bring Your Own Device braucht es von vornherein eigene Regeln.
Das Regelwerk ist fein abgestuft, aber einzelne Konten melden sich weiterhin nur mit Passwort an. Wer dieses Passwort erbeutet, nutzt sämtliche Freigaben der Person.
Alle Zugänge wechseln auf einmal, Altanwendungen streiken, und der Außendienst steht ohne Zugriff da.
Wechsel
Protokolle und Gespräche zeigen, wer über das VPN welche Anwendungen nutzt und welche davon in Frage kommen.
Zweiter Faktor für alle Konten, verwaltete Geräte und klare Rollen bilden das Fundament.
Eine überschaubare Gruppe, etwa ein externer Wartungspartner oder der Außendienst, nutzt zuerst ZTNA.
Mit jeder umgezogenen Anwendung wird der VPN-Zugang enger, bis nur noch die Fälle übrig sind, die ihn wirklich brauchen.
Standortverbindungen und Altanwendungen bleiben im VPN und werden mit Zweck und Verantwortlichen festgehalten.
Unsere Empfehlung: Sichern Sie vorhandene VPN-Zugänge zuerst mit zweitem Faktor, begrenzten Freigaben und zeitnahen Updates ab. ZTNA ist der nächste Schritt dort, wo Dienstleister, Cloud-Anwendungen oder viele mobile Geräte dazukommen.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2933 922822-0 oder schreiben Sie an info@pronet-systems.de.
Nein, nicht automatisch, denn der Gewinn hängt von der Umsetzung ab. ZTNA begrenzt den Zugriff auf einzelne Anwendungen und verringert so, wie weit ein Angreifer mit einem erbeuteten Konto kommt. Ein VPN mit zweitem Faktor, eng gefassten Regeln und zügigen Updates kann für ein kleines Team dennoch angemessen sein.
Ja, die Firewall bleibt nötig. Sie schützt den Internetanschluss, trennt die Netzbereiche im Inneren und koppelt bei Bedarf die Standorte. ZTNA regelt zusätzlich, welche Person auf welche Anwendung zugreifen darf.
Ja, je nach Lösung lässt sich der Zugang zum Terminalserver als eigene Anwendung freigeben. Mitarbeitende erreichen dann ihre gewohnte Arbeitsumgebung, aber keine anderen Systeme. Ob Zusatzgeräte wie Kartenleser durchgereicht werden, prüfen wir vorab im Einzelfall.
Ja, wenn es einen Betriebsrat gibt, sollten Sie ihn früh einbinden, denn ZTNA-Lösungen protokollieren je nach Einstellung, wer wann auf welche Anwendung zugreift. Das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG betrifft die Einführung und Anwendung technischer Einrichtungen, die zur Überwachung des Verhaltens oder der Leistung von Beschäftigten bestimmt sind. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt dafür, dass eine Einrichtung objektiv geeignet ist, solche Informationen zu erheben und aufzuzeichnen (Beschluss vom 13.12.2016, 1 ABR 7/15). Klären Sie den Einzelfall mit Ihrer Rechtsberatung; dieser Hinweis ist keine Rechtsberatung.
Das hängt davon ab, wie viele Anwendungen umziehen und wie gut sie sich über ZTNA abbilden lassen. Einige Zugriffe, etwa Standortverbindungen oder sehr alte Software, können dauerhaft im VPN bleiben. Die Etappen planen wir so, dass niemand zwischendurch ohne Zugang dasteht.
Beschreiben Sie, wer heute von außen zugreift und auf welche Systeme. Wir zeigen, wo ein VPN reicht und wo eine Freigabe je Anwendung Vorteile bringt, und machen Ihnen darauf aufbauend ein individuelles Angebot.
