Kurzdefinition: Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über ein unsicheres Netz — etwa das Internet — auf und ermöglicht Mitarbeitenden sicheren Fernzugriff auf Unternehmensressourcen. Zugleich ist das VPN ein aus dem Internet erreichbarer Zugangspunkt und damit ein bevorzugtes Angriffsziel.
Was ist ein VPN?
Ein verschlüsselter Tunnel zwischen einem Gerät und dem Unternehmensnetz. Er schützt die übertragenen Daten vor Mitlesen und ermöglicht Fernzugriff, als wäre man im internen Netz.
Warum ist das VPN ein Sicherheitsthema?
Weil es aus dem Internet erreichbar ist. Ungepatchte VPN-Zugänge und schwache Anmeldung sind ein häufiges Einfallstor für Angreifer — gerade seit dem Anstieg der Fernarbeit.
Wie sichert man ein VPN ab?
Durch zeitnahes Patchen, Multi-Faktor-Authentifizierung, starke Konfiguration und Überwachung. Ein VPN-Zugang ohne MFA ist ein erhebliches Risiko.
Was ist die Schwäche des klassischen VPN-Modells?
Es gewährt oft breiten Netzzugang. Wer einmal drin ist, erreicht viel — anders als beim Zero-Trust-Ansatz, der jeden Zugriff einzeln prüft.
Wie verhält sich VPN zu Zero Trust?
Zero Trust geht weiter. Statt breitem Netzzugang nach dem VPN-Login wird jeder einzelne Zugriff kontinuierlich geprüft. Viele Unternehmen ergänzen oder ersetzen VPNs durch Zero-Trust-Ansätze.
Häufige Fehlannahmen
- „Ein VPN ist automatisch sicher.“ Nein. Es ist ein exponierter Zugangspunkt.
- „Ein VPN braucht keine MFA.“ Doch. Ohne MFA ist es ein hohes Risiko.
- „VPN-Software muss man selten patchen.“ Falsch. Gerade sie wird gezielt angegriffen.
- „Wer im VPN ist, darf alles.“ Problematisch. Breiter Zugang erhöht den Schaden.
- „VPN und Zero Trust schließen sich aus.“ Nein. Zero Trust kann VPNs ergänzen oder ablösen.
Was die Geschäftsleitung tun sollte
- Patchen. VPN-Systeme zeitnah aktuell halten.
- MFA erzwingen. Fernzugriff nur mit zweitem Faktor.
- Zugriff begrenzen. Nicht pauschal breiten Netzzugang gewähren.
- Überwachen. VPN-Zugänge auf Auffälligkeiten prüfen.
Für die Geschäftsleitung
Ein VPN sichert den Fernzugriff — ist aber selbst ein exponiertes Angriffsziel. Wer VPN-Systeme patcht, mit MFA absichert und den Zugriff begrenzt, schließt eine der häufigsten Einbruchstüren; Zero Trust geht den nächsten Schritt.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
