Was ist ein VPN?

VPN einfach erklärt

Das Internet ist ein öffentliches Netz. Daten, die darüber laufen, könnten an vielen Stellen mitgelesen werden. Ein VPN löst dieses Problem: Es baut einen verschlüsselten Tunnel zwischen zwei Endpunkten auf, etwa zwischen dem Laptop im Homeoffice und dem Firmennetz.

Stellen Sie sich einen gepanzerten Kurierwagen vor, der über öffentliche Straßen fährt. Jeder sieht, dass ein Wagen unterwegs ist, aber niemand kann hineinschauen oder unterwegs etwas austauschen. Am Ziel öffnet sich das Tor zum Firmengelände – und genau dieses Tor müssen Sie gut bewachen.

Gemeint ist hier das Unternehmens-VPN. VPN-Dienste für Privatleute, die vor allem den eigenen Standort verschleiern sollen, funktionieren technisch ähnlich, verfolgen aber einen anderen Zweck.

So funktioniert ein VPN

Ein Unternehmens-VPN besteht im Kern aus drei Bausteinen:

1. VPN-Gateway: ein Gerät oder Dienst am Rand des Firmennetzes, der aus dem Internet erreichbar ist und Verbindungen annimmt – sozusagen die Pforte.
2. VPN-Client: eine Software auf Laptop oder Smartphone, die die Verbindung aufbaut.
3. Anmeldung und Verschlüsselung: Person und Gerät weisen sich aus, danach wird der Datenverkehr verschlüsselt. Verbreitet sind die Standards IPsec und TLS; TLS schützt auch die Verbindung zu Webseiten, erkennbar an „https“ in der Adresszeile.

Man unterscheidet zwei Einsatzarten: Beim Remote-Access-VPN verbinden sich einzelne Personen mit dem Firmennetz. Beim Site-to-Site-VPN werden ganze Standorte dauerhaft verbunden, etwa die Zentrale mit einer Niederlassung.

Nach der Anmeldung verhält sich das Gerät oft so, als stünde es im Büro. Das ist bequem – und zugleich das Kernproblem: Wer den VPN-Zugang knackt, steht ebenfalls mitten im Netz.

Ein Beispiel aus der Praxis

Ein Logistikunternehmen lässt sein Netzwerk prüfen. Am VPN-Zugang fallen drei Dinge auf: Die Gateway-Software ist veraltet, und für diese Version ist eine kritische Schwachstelle öffentlich bekannt. Für die Anmeldung genügen Benutzername und Passwort. Und wer verbunden ist, erreicht nicht nur die Projektlaufwerke, sondern auch die Server der Buchhaltung und die Lagerverwaltung.

Jeder Punkt für sich wirkt beherrschbar. Zusammen ergeben sie einen direkten Weg von außen bis ins Herz des Netzes. Das Unternehmen spielt das Update ein, führt für alle VPN-Zugänge die Multi-Faktor-Authentifizierung (MFA) ein, die neben dem Passwort einen zweiten Nachweis verlangt, und beschränkt die Zugriffe auf die Systeme, die die jeweiligen Rollen wirklich brauchen.

Warum ist das für Unternehmen wichtig?

VPN-Gateways sind rund um die Uhr aus dem Internet erreichbar. Angreifer suchen automatisiert nach verwundbaren Geräten, und nach Bekanntwerden einer neuen Schwachstelle beginnen die Angriffe oft sehr schnell. Lücken in VPN-Produkten wurden in den letzten Jahren immer wieder massenhaft ausgenutzt; ungepatchte VPN-Zugänge gehören zu den typischen Einfallstoren für Ransomware.

Hinzu kommt der einfache Weg über gestohlene oder erratene Passwörter, etwa durch Passwort-Spraying: Dabei probieren Angreifer wenige gängige Passwörter bei sehr vielen Konten aus. Ohne MFA reicht dann ein einziges schwaches Passwort. Weil viele VPNs den Zugriff aufs gesamte Netz erlauben, kann sich ein Angreifer danach ungehindert ausbreiten.

So schützen Sie sich

• Zeitnah patchen: Spielen Sie Sicherheitsupdates für VPN-Gateways mit höchster Priorität ein und verfolgen Sie die Sicherheitshinweise des Herstellers.
• MFA erzwingen: Jeder VPN-Zugang braucht einen zweiten Faktor – auch für Dienstleister und Administratoren.
• Zugriffe begrenzen: Geben Sie VPN-Nutzenden nur die Systeme frei, die sie wirklich benötigen, und teilen Sie Ihr Netz in Zonen auf (Segmentierung).
• Altlasten abschalten: Veraltete Protokolle wie PPTP und schwache Verschlüsselung haben im Einsatz nichts mehr verloren.
• Anmeldungen überwachen: Werten Sie fehlgeschlagene und ungewöhnliche Anmeldungen aus, etwa zu untypischen Zeiten oder aus unerwarteten Ländern.
• Geräte prüfen: Lassen Sie nur vom Unternehmen verwaltete Geräte mit aktuellem Softwarestand zu. Langfristig kann ein Ansatz nach dem Prinzip Zero Trust das klassische VPN ergänzen oder ablösen.

Wie Rootsektor unterstützt

Im Penetrationstest für Netzwerk & Infrastruktur prüfen wir Ihre VPN-Zugänge aus Sicht eines Angreifers im Internet: Softwarestand, Anmeldeverfahren und Konfiguration – und was ein Angreifer nach erfolgreicher Anmeldung im internen Netz erreichen würde. Kritische Schwachstellen melden wir schon während des Tests sofort an Ihre vereinbarte Ansprechperson. Ein Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.