Im Café käme niemand auf die Idee, dem WLAN zu vertrauen; die Frage stellt sich gar nicht erst. Also läuft dort jeder Zugriff auf Firmenanwendungen wie selbstverständlich verschlüsselt und authentifiziert. Coffee-Shop-Networking, ein Konzept, das Anbieter wie Cloudflare beschreiben, überträgt genau diese Haltung auf das Firmengebäude: Das Büronetz wird behandelt, als wäre es öffentliches Café-WLAN. Vertrauen entsteht nicht mehr durch den Standort, sondern ausschließlich durch die Identität.
Burg und Burggraben tragen nicht mehr
Klassische Unternehmensnetze folgen dem Burg-und-Burggraben-Modell: Innen gilt als vertrauenswürdig, verteidigt wird am Perimeter. Dieses Modell scheitert heute gleich doppelt. Die Anwendungen sind in die Cloud abgewandert, und die Belegschaft arbeitet von überall. Übrig bleiben VPN-Konstruktionen, die sämtlichen Verkehr erst durch das Rechenzentrum schleusen, bevor er das Internet erreicht. Das ist für die Nutzer langsam, im Betrieb teuer und obendrein riskant: Ein einziger kompromittierter Zugang reicht tief ins interne Netz hinein.
Das Prinzip: kein privilegierter Innenraum mehr
Coffee-Shop-Networking dreht die Logik um. Einen bevorzugten Innenraum gibt es nicht mehr. Ob am Schreibtisch in der Firma, im Homeoffice oder tatsächlich im Café: Jeder Zugriff auf jede Anwendung durchläuft dieselben identitätsbasierten Kontrollen. Anmeldung, Gerätezustand und Kontext werden bei jedem Zugriff neu geprüft (Zero Trust Network Access), und die Verbindung führt direkt und verschlüsselt zur Anwendung statt ins Firmennetz. Vom Büronetz selbst bleibt nur das Nötigste übrig: ein schneller, unkomplizierter Internet-Zugang.
Was der Umbau bringt
Der Gewinn zeigt sich auf drei Ebenen:
- Sicherheit: Die Angriffsfläche schrumpft, weil kein flaches internes Netz mehr existiert, in dem sich Angreifer seitwärts bewegen könnten. Richtlinien gelten an jedem Ort identisch.
- Nutzererlebnis: Der VPN-Umweg entfällt, und mit ihm die zwei Welten aus „drinnen“ und „draußen“. Die Performance ist an jedem Arbeitsort dieselbe.
- Betrieb: Standortnetze werden deutlich einfacher, neue Büros sind schneller angebunden, und Zugänge für Gäste oder Partner verlieren ihren Sonderstatus.
Der Umstieg gelingt schrittweise
Zuerst werden die Anwendungen inventarisiert und der Identitätsanbieter angebunden, dann wandern die ersten Anwendungen hinter den Zero-Trust-Zugriff, anschließend wird das VPN Gruppe für Gruppe abgelöst. Entscheidend ist die Reihenfolge: erst der sichere Zugriffsweg, dann der Rückbau der alten Vertrauenszonen.
Wer Aufbau und Betrieb dieser Zugriffsarchitektur nicht selbst übernehmen will, findet Managed Services für SASE/SSE und Zero Trust Network Access, die von der Analyse über die Pilotgruppe bis zum Regelbetrieb reichen. Und bleibt vom Büronetz am Ende vor allem ein verlässlicher Internet-Zugang übrig, lässt sich auch dieser Teil als Managed LAN planen, betreiben und überwachen.
Passende Managed Services
- SASE/SSE – Zero-Trust-Zugriff (ZTNA), Secure Web Gateway, CASB und DLP als Managed Service.
- Managed LAN – Planung, Betrieb und Überwachung des verschlankten Büronetzes im 24/7-Modell.