Kaum eine Technik hat den Fernzugriff so lange bestimmt wie das Virtual Private Network. Unternehmen koppeln damit seit Jahrzehnten Standorte über das Internet und binden Beschäftigte ans Firmennetz an, in großem Maßstab spätestens seit dem Wechsel vieler Teams ins Homeoffice. Ebenso alltäglich ist die Anbindung von Cloud-Umgebungen und Partnern per VPN.
Gleichzeitig sind die Grenzen des Modells deutlich sichtbar: Nach der Einwahl steht häufig das gesamte Netz offen, zentrale Gateways bremsen den Verkehr, und die Einwahlpunkte selbst gehören zu den beliebtesten Angriffszielen. Ein nüchterner Blick auf Funktionsweise und Einsatzgrenzen lohnt daher.
Was ist ein VPN?
Ein VPN (Virtual Private Network) errichtet einen verschlüsselten Tunnel durch ein öffentliches Netz, in aller Regel das Internet. Datenpakete reisen darin geschützt vor Mitlesen und Manipulation, als wären beide Seiten direkt miteinander verkabelt. Im Unternehmenseinsatz dominieren zwei Grundformen: Das Site-to-Site-VPN koppelt ganze Netzwerke, etwa die Zentrale mit einer Niederlassung oder einer Cloud-Umgebung. Das Remote-Access-VPN verbindet einzelne Endgeräte mit dem Firmennetz, üblicherweise über einen Client auf dem Notebook. Gängige Protokolle sind IPsec, TLS-basierte Verfahren und WireGuard.
Je nach Protokoll arbeitet der Tunnel auf Netzwerkebene oder darüber und transportiert beliebige Anwendungen, vom Dateidienst bis zur Datenbankverbindung. Genau das macht die Technik vielseitig und zugleich grobkörnig: Ein VPN verbindet Netze, nicht einzelne Anwendungen.
Ablauf einer VPN-Verbindung
Unabhängig vom eingesetzten Protokoll folgt der Aufbau demselben Grundmuster:
- Authentisierung: Client und Gateway weisen ihre Identität nach, per Zertifikat, Zugangsdaten oder beidem. Erst danach kommt der Tunnel zustande.
- Schlüsselaustausch: Beide Seiten handeln Sitzungsschlüssel aus; bei IPsec übernimmt das Protokoll IKE diese Aufgabe.
- Kapselung und Verschlüsselung: Die Originalpakete werden verschlüsselt, in neue Pakete verpackt und über das öffentliche Netz befördert. Am Tunnelende wird entpackt und entschlüsselt.
- Adressvergabe: Beim Remote Access erhält das Endgerät eine interne Adresse und verhält sich fortan, als stünde es im Firmennetz.
- Routing: Entweder fließt sämtlicher Verkehr durch den Tunnel oder nur der zu internen Zielen. Letzteres heißt Split Tunneling: Es entlastet das Gateway, verlagert die Kontrolle des Internetverkehrs aber auf das Endgerät.
- Betrieb: Unternehmensseitig terminieren Firewalls oder dedizierte Konzentratoren die Tunnel. Weil sie aus dem Internet erreichbar sind, verlangen sie laufende Updates, Kapazitätsplanung und Überwachung.
Bedeutung für Unternehmen
- Verschlüsselung sichert Daten auf dem Weg durch öffentliche Netze gegen Mitlesen und Veränderung.
- Standorte lassen sich ohne dedizierte Standleitungen wirtschaftlich verbinden.
- Beschäftigte erreichen interne Systeme aus dem Homeoffice und von unterwegs.
- Cloud-Umgebungen werden über Site-to-Site-Tunnel kontrolliert ans Firmennetz angebunden.
- Etablierte Protokolle wie IPsec und WireGuard sind breit unterstützt und gut dokumentiert.
- Viele Prüfungen und Verträge setzen verschlüsselte Übertragung voraus, eine Anforderung, die ein VPN zuverlässig abdeckt.
Typische Einsatzszenarien
- Ein Produktionsunternehmen koppelt Werk und Zentrale per Site-to-Site-Tunnel, damit ERP-Zugriffe und Maschinendaten geschützt fließen.
- Ein Dienstleister erhält befristeten Fernzugriff auf ein Wartungssystem; nach Projektende wird der Zugang deaktiviert.
- Beschäftigte im Homeoffice erreichen Fileserver und interne Anwendungen über den VPN-Client.
- Eine Cloud-Umgebung hängt per IPsec am Rechenzentrum, bis eine modernere Anbindung bereitsteht.
- Für Administratoren bleibt ein separater, streng gesicherter VPN-Zugang als Notfallweg bestehen, während der Regelzugriff bereits über ZTNA läuft.
Abgrenzung: VPN und ZTNA
Ein Remote-Access-VPN stellt das Endgerät faktisch ins Firmennetz. Nach der Einwahl ist oft weit mehr erreichbar, als die Aufgabe erfordert, und ein kompromittiertes Gerät kann sich seitlich durch das Netz bewegen. Hinzu kommen zwei strukturelle Schwächen: Der gesamte Verkehr läuft durch zentrale Gateways, die zum Engpass werden, und eben diese Gateways stehen offen im Internet, weshalb Schwachstellen in VPN-Produkten regelmäßig aktiv ausgenutzt werden. ZTNA kehrt das Prinzip um: Zugriff gibt es pro Anwendung, erst nach Prüfung von Identität und Gerätezustand, und die Anwendungen bleiben von außen unsichtbar. In modernen SASE/SSE-Plattformen ist ZTNA der Baustein, der das Einwahl-VPN ablöst. Der Umstieg gelingt schrittweise: Standardanwendungen und externe Zugriffe wechseln zuerst, das VPN bleibt übergangsweise für Sonderfälle wie ältere Protokolle bestehen.
VPN in der Praxis
Für die Standortkopplung wandert die Tunneltechnik zunehmend in zentral gesteuerte, anwendungsbewusste Architekturen: In der Praxis betreiben spezialisierte Managed-Service-Provider solche Verbindungen als SD-WAN, während der Fernzugriff von Personen sukzessive auf ZTNA umzieht. Bewährt hat sich ein geordneter Übergang, bei dem bestehende Tunnel weiterlaufen, bis jede Anwendung einen gleichwertigen oder besseren Zugriffsweg hat.
Häufige Fragen
Worin unterscheiden sich Site-to-Site- und Remote-Access-VPN?
Ein Site-to-Site-VPN koppelt ganze Netzwerke über Gateways, etwa Zentrale und Niederlassung; die Endgeräte bemerken davon nichts. Ein Remote-Access-VPN verbindet einzelne Geräte per Client mit dem Firmennetz. Site-to-Site-Tunnel laufen dauerhaft und werden zentral betrieben, Remote-Zugänge entstehen je Sitzung und hängen an der Anmeldung der jeweiligen Person.
Warum sind VPN-Gateways ein bevorzugtes Angriffsziel?
Damit sich Nutzer einwählen können, müssen die Gateways aus dem Internet erreichbar sein. Angreifer suchen deshalb gezielt nach bekannten Schwachstellen in diesen Systemen und nutzen sie teils binnen weniger Tage nach Bekanntwerden aus. Der Betrieb verlangt darum sehr kurze Patch-Zyklen, Multi-Faktor-Authentifizierung für alle Zugänge und eine Überwachung der Anmeldungen.
Bremst ein VPN die Verbindung spürbar?
Die Verschlüsselung selbst kostet auf aktueller Hardware wenig Leistung. Bemerkbar macht sich eher der Umweg: Fließt der gesamte Verkehr durch ein zentrales Gateway, verlängert sich der Pfad zu Cloud-Diensten deutlich, und in Spitzenzeiten wird das Gateway zum Engpass. Split Tunneling mildert das, öffnet dafür aber unkontrollierten Internetverkehr am Endgerät.
Ist die Technik noch zeitgemäß?
Für die Kopplung von Standorten und Cloud-Umgebungen bleibt sie solide und läuft dort zunehmend als Baustein innerhalb von SD-WAN. Beim Fernzugriff von Personen verschiebt sich der Standard zu ZTNA, weil anwendungsbezogener Zugriff weniger Angriffsfläche bietet. Die Antwort hängt also vom Einsatzzweck ab; ein sofortiger Komplettausstieg ist selten nötig.
Löst ZTNA das VPN vollständig ab?
Für den Zugriff auf Anwendungen ersetzt ZTNA das Einwahl-VPN in den meisten Fällen. Ausnahmen sind Szenarien mit echtem Netzwerkzugriff, etwa ältere Protokolle, Administrationswege oder die Kopplung ganzer Standorte. In der Praxis laufen beide Verfahren deshalb eine Zeit lang parallel, bis verbleibende Sonderfälle sauber abgelöst oder bewusst beibehalten werden.