Unternehmens-VPN-Gateways: sicherer Fernzugriff und Zero Trust

Ein Unternehmens-VPN-Gateway stellt Beschäftigten oder Niederlassungen eine verschlüsselte Verbindung zum Netzwerk einer Organisation bereit. Für Systeme, die eine Verbindung auf Netzwerkebene benötigen, ist es weiterhin sinnvoll. Verschlüsselung ist jedoch nur ein Teil des sicheren Zugriffs. Identitätsprüfungen, Gerätemanagement, das Einspielen von Patches und Beschränkungen dafür, worauf die jeweilige Verbindung zugreifen kann, sind ebenso wichtig.

Die entscheidende Frage beim Kauf ist praktischer Natur: Wer benötigt von welchen Geräten aus Zugriff auf welche Ressourcen, und wie kann die Organisation ein kompromittiertes Konto eindämmen? Klären Sie diese Fragen, bevor Sie Geräte, Cloud-Dienste oder prominent beworbene Durchsatzwerte vergleichen.

VPNs für Fernzugriff und Standortverbindungen

Ein VPN für den Fernzugriff verbindet ein einzelnes Gerät mit der Umgebung der Organisation. Ein Standort-VPN verbindet Netzwerke miteinander, etwa das einer Niederlassung und das eines Rechenzentrums. Diese Lösungen erfüllen unterschiedliche Zwecke und sollten daher unterschiedlichen Zugriffsrichtlinien unterliegen. Eine Verbindung zur Niederlassung sollte nicht automatisch jedem Gerät uneingeschränkten Zugriff auf alle Anwendungen gewähren.

IPsec- und TLS-basierte Lösungen sind gängige Ansätze. Der Name des Protokolls allein sagt jedoch nichts darüber aus, wie sicher eine Implementierung ist. Die Konfiguration, unterstützte Softwareversionen, die Zertifikatsverwaltung und der Umgang des Anbieters mit Sicherheitslücken beeinflussen das Ergebnis.

Identitäts- und Geräteprüfungen von Anfang an einplanen

Verlangen Sie für den Fernzugriff eine Mehr-Faktor-Authentifizierung und bevorzugen Sie, sofern unterstützt, phishingresistente Verfahren. Trennen Sie Administratorzugänge von der alltäglichen Nutzung durch Beschäftigte, entziehen Sie ausscheidenden Mitarbeitenden zeitnah den Zugriff und beschränken Sie Nutzerinnen und Nutzer auf die Ressourcen, die sie für ihre Aufgaben benötigen. Verwaltete Geräte geben der Organisation außerdem mehr Kontrolle über Updates, den Endgeräteschutz und lokal gespeicherte Daten.

Diese Kontrollen sollten auch nach dem Verbindungsaufbau weiterwirken. Auch ein authentifizierter Nutzer kann ein kompromittiertes Gerät oder übermäßig weitreichende Berechtigungen haben. Netzwerksegmentierung und Autorisierung auf Anwendungsebene tragen dazu bei, dass eine einzelne kompromittierte Sitzung nicht zu uneingeschränkter Bewegung innerhalb der Umgebung führt.

VPNs und Zero-Trust-Zugriff

Zero Trust ist ein Architekturansatz und kein einzelnes Produkt, das ein Netzwerk sicher macht. NIST SP 800-207 beschreibt einen Ansatz, bei dem Ressourcen und Zugriffsentscheidungen im Mittelpunkt stehen, statt implizit aufgrund des Netzwerkstandorts zu vertrauen. Ein VPN-Tunnel kann Teil einer solchen Umgebung sein. Die bloße Verbindung über ein Gateway sollte jedoch nicht als ausreichende Autorisierung gelten.

Ein auf Anwendungen ausgerichteter Zugriff kann den Bedarf verringern, entfernten Nutzern ein weitreichendes internes Netzwerk zugänglich zu machen. Für manche Webanwendungen eignet er sich möglicherweise besser, während ältere Systeme oder Verbindungen zwischen Niederlassungen weiterhin einen Netzwerktunnel erfordern. Die ZTNA-Leitlinien des UK NCSC bieten einen hilfreichen Rahmen, um diesen Übergang zu bewerten. Organisationen können einen gemischten Ansatz verfolgen, während sie ältere Abhängigkeiten ablösen.

Leistung unter realistischen Bedingungen bewerten

Vergleichen Sie den verschlüsselten Durchsatz, die Anzahl gleichzeitiger Sitzungen, die Verbindungsaufbaurate und das Failover-Verhalten mit den Sicherheitseinstellungen, die Sie tatsächlich verwenden möchten. Die reine Schnittstellengeschwindigkeit entspricht nicht dem nutzbaren verschlüsselten Durchsatz. Keine Netzwerkschicht kann Verzögerungen vollständig ausschließen: Verschlüsselung, Routing, Überlastung und die physische Entfernung tragen alle zur Latenz bei.

Testen Sie die für das Unternehmen wichtigen Anwendungen, darunter Anrufe, Dateiübertragungen und interaktive Systeme. Ein Design, das eine große Datei problemlos überträgt, kann bei einem stark ausgelasteten Videoanruf dennoch eine unangenehme Nutzungserfahrung bieten. Führen Sie außerdem einen Failover-Test durch, damit das Team weiß, was mit aktiven Sitzungen geschieht, wenn ein Gateway oder eine Verbindung ausfällt.

Das Gateway als kritisches System behandeln

Gateways mit Internetzugang benötigen eine klar verantwortliche Person oder Stelle, eine unterstützte Softwareversion und einen schnellen Prozess für das Einspielen von Patches. Beschränken Sie den Zugriff auf Verwaltungsschnittstellen, überwachen Sie Zugriffsereignisse und halten Sie einen getesteten Wiederherstellungsweg bereit. Die gemeinsamen Leitlinien der CISA zur Sicherheit des modernen Netzwerkzugangs erläutern, warum Organisationen ihre herkömmlichen Fernzugriffskonzepte neben neueren Ansätzen neu bewerten sollten.

Planen Sie die Erneuerung von Zertifikaten, Konfigurationssicherungen und Notfallzugänge, bevor es zu einem Ausfall kommt. Redundante Geräte sind nur dann nützlich, wenn auch die zugehörigen Abhängigkeiten berücksichtigt werden, darunter Identitätsdienste, Stromversorgung und Internetverbindungen. Verwaltete Dienste können den Betriebsaufwand verringern, doch die Zuständigkeiten müssen weiterhin klar geregelt sein, und die Organisation muss Einblick in Änderungen und Vorfälle haben.

Einen tragfähigen Ansatz wählen

Behalten Sie ein Unternehmens-VPN dort bei, wo eine Netzwerkverbindung erforderlich ist, und nutzen Sie einen stärker auf Anwendungen beschränkten Zugriff, wenn dieser besser zur jeweiligen Aufgabe passt. Das beste Konzept verbindet die passende Verbindungsmethode mit soliden Identitätskontrollen, Netzwerksegmentierung und kontinuierlicher Wartung. Ein VPN-Abonnement für Privatkunden erfüllt einen anderen Zweck und sollte nicht als Ersatz für den verwalteten Zugriff auf Unternehmenssysteme dargestellt werden.