Netzwerk & WAN
VPN
Ein VPN (Virtual Private Network) verbindet Standorte oder Nutzer über ein öffentliches Netz hinweg zu einem privaten, meist verschlüsselten Netz.
- Vertraulichkeit über unsichere Netze
- Tunneling + Verschlüsselung
- Remote-Access & Site-to-Site
- IPsec, WireGuard, TLS
- Übergang zu Zero Trust
Ein VPN (Virtual Private Network) bildet ein privates, vertrauliches Netz über ein fremdes, unsicheres Transportnetz nach, in der Regel das Internet. Der Verkehr wird gekapselt (Tunneling), verschlüsselt und authentifiziert, sodass Dritte ihn weder mitlesen noch unbemerkt verändern können.
Dieser Artikel ordnet den Oberbegriff ein: die zwei Grundtypen Remote-Access und Site-to-Site, die gängigen Technologien im Überblick, Authentifizierung und Schlüsselmanagement, Split- gegen Full-Tunnel und die Entwicklung vom netzweiten Perimeter-VPN hin zu Zero Trust. Die einzelnen Protokolle und Architekturen sind eigene Themen und rechts verlinkt.
1. Was ein VPN leistet, und was nicht
Ein VPN sichert die Übertragung: Vertraulichkeit (Verschlüsselung), Integrität (kein unbemerktes Verändern) und Authentizität (der Partner ist, wer er vorgibt zu sein). Das ist sein Kern und seine Grenze zugleich.
Was ein VPN nicht leistet: Es schützt nicht den Endpunkt. Ein kompromittierter Client, Schadsoftware oder zu weit gefasste Zugriffsrechte bleiben ein Risiko, auch über einen perfekt verschlüsselten Tunnel. Diese Lücke des reinen Transportschutzes ist der Ausgangspunkt für Zero Trust weiter unten.
2. Zwei Grundtypen: Remote-Access und Site-to-Site
Remote-Access-VPN verbindet ein einzelnes Gerät (Notebook, Smartphone) mit dem Unternehmensnetz, typisch für mobiles Arbeiten. Site-to-Site-VPN koppelt ganze Netze bzw. Standorte dauerhaft, transparent für die Endgeräte, ohne Client je Gerät. Die Standortkopplung ist als eigenes Thema ausführlich beschrieben.
3. Gängige Technologien im Überblick
VPN ist kein einzelnes Protokoll. Die heute relevanten Verfahren, charakterisierend eingeordnet:
| Technologie | Charakteristik |
|---|---|
| IPsec / IKEv2 | Standardisierter Allrounder (Layer 3), herstellerübergreifend, flexible Krypto-Suiten; Basis vieler Site-to-Site- und Remote-Access-Setups |
| WireGuard | schlank (kleine Codebasis), seit Linux-Kernel 5.6 im Mainline; eigener Handshake (Noise-Framework) mit fest gewählter moderner Krypto, kein verhandelbares Ciphersuite-Protokoll wie IKE |
| OpenVPN | TLS-basiert, sehr verbreitet, plattformübergreifend; flexibel, aber im Vergleich schwergewichtiger |
| TLS-/SSL-VPN | Remote-Access über TCP/443, firewallfreundlich; eigener Artikel, inklusive Sicherheitslage |
4. Authentifizierung und Schlüssel
Wie sich die Partner ausweisen, entscheidet maßgeblich über die Sicherheit. Zertifikate (pro Gerät/Nutzer, mit Sperrmöglichkeit) sind einem geteilten Pre-Shared Key vorzuziehen, der bei Kompromittierung alle Verbindungen gefährdet. Für Remote-Access ist Multi-Faktor-Authentifizierung Pflicht (so auch die Empfehlung von BSI und NSA/CISA).
Veraltete Protokolle meiden
PPTP gilt seit der Veröffentlichung praktikabler Angriffe auf MS-CHAPv2 (2012) als gebrochen und wird von mehreren Betriebssystemherstellern nicht mehr angeboten oder ist standardmäßig deaktiviert. Für neue Zugänge gehören IKEv2, WireGuard oder TLS 1.3 zum Einsatz, nicht PPTP oder reines L2TP ohne IPsec.
5. Split-Tunnel und Full-Tunnel
Beim Full-Tunnel läuft der gesamte Geräteverkehr durch das Unternehmens-Gateway und damit durch dessen Sicherheitskontrollen. Beim Split-Tunnel geht nur Unternehmensverkehr durch den Tunnel, der Rest direkt ins Internet. Split spart Bandbreite, birgt aber Risiken: Fehlkonfiguration kann Datenabflüsse oder DNS-Leaks verursachen (die DNS-Auflösung läuft dann außerhalb des Tunnels). Welche Variante passt, hängt an Sicherheitsanforderung und Last.
6. Vom Perimeter-VPN zu Zero Trust
Klassische VPNs vergeben nach erfolgreicher Anmeldung oft breiten Netzzugriff, ein Widerspruch zum Prinzip der minimalen Rechte. Zero Trust Network Access (ZTNA, konzeptionell in NIST SP 800-207) kehrt das um: kein implizites Vertrauen aufgrund des Netzstandorts, sondern app-spezifischer Zugriff, der pro Sitzung neu bewertet wird. Im Rahmen von SASE werden VPN/SD-WAN und cloud-gelieferte Sicherheitsdienste zusammengeführt.
Zero Trust ersetzt das VPN nicht pauschal, ändert aber sein Modell: weg vom netzweiten Zugang nach einmaliger Anmeldung, hin zu kontinuierlich geprüftem Zugriff auf einzelne Anwendungen. Der breite VPN-Vollzugriff ist das eigentliche Risiko, nicht der Tunnel an sich.
7. Best Practices und typische Fehler
- Gateways patchen öffentlich erreichbare VPN-Gateways sind ein bevorzugtes Angriffsziel; kritische Updates zeitnah einspielen.
- MFA erzwingen auf allen Remote-Zugängen, nicht nur Passwort.
- Least Privilege Zugriff auf das Nötige begrenzen statt pauschalem Vollzugriff; Segmentierung oder ZTNA.
- Moderne Verfahren IKEv2/WireGuard/TLS 1.3 mit Zertifikaten; veraltete Protokolle und schwache Algorithmen abschalten.
8. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Verschlüsselter, integritätsgesicherter Transport über fremde Netze | Schützt den Transport, nicht den (möglicherweise kompromittierten) Endpunkt |
| Transparent für alle Anwendungen, keine App-Anpassung nötig | Klassisch breiter Netzzugriff nach Anmeldung, gegen Least Privilege |
| Herstellerübergreifende Standards (IPsec/TLS) | Gateways sind exponierte, hochprivilegierte Angriffsziele |
| Skaliert von Einzelnutzer bis Standortkopplung | Verschlüsselung kostet Overhead und etwas Latenz |
| Ausbaubar Richtung Zero Trust / SASE | Fehlkonfiguration (Split-Tunnel, DNS-Leak, schwache Auth) als Risiko |
Häufige Fragen zu VPN
Nein. Ein VPN sichert die Übertragung, nicht den Endpunkt oder das Zielnetz. Firewall, Endpoint-Schutz, Segmentierung und Zugriffskontrolle bleiben nötig.
Im Unternehmenskontext geht es um Vertraulichkeit und Authentizität, nicht um Anonymität. Der Betreiber des VPN-Gateways sieht den Verkehr nach der Entschlüsselung.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
VPN im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.