Der Begriff VPN ist vielen bekannt und wurde in den letzten Monaten auch vermehrt diskutiert. Schließlich ermöglicht ein VPN einen sicheren Zugriff auf interne IT-Ressourcen – auch für Geräte, die sich außerhalb des Firmennetzwerks befinden. Und das ist vor allem beim Arbeiten im Homeoffice dringend erforderlich. Doch was ist eigentlich ein VPN und was verbirgt sich hinter all den Abkürzungen und Begriffen, die in diesem Zusammenhang häufig genannt werden – wie z.B. VPN-Gateway, Site-to-Site-VPN, Per-App-VPN, Split Tunneling, SDK oder ZTNA? Wir klären auf – und verraten, dass eine VPN-Lösung heute noch viel mehr leisten kann als man denkt.
VPN und seine Endpunkte
Die Abkürzung VPN steht für Virtual Private Network. Ein VPN ist eine geschützte Verbindung, die es Mitarbeitern auch außerhalb des Unternehmensnetzwerks ermöglicht, sicheren Zugriff auf sensible interne Daten zu erhalten – über einen sogenannten Tunnel. Die Enden des Tunnels werden als VPN-Endpunkte bezeichnet und tragen auf Unternehmens- und Nutzerseite unterschiedliche Bezeichnungen:
- VPN-Gateway: Das VPN-Gateway ist der Endpunkt auf Firmenseite. Er bildet die Barriere zum Firmennetz. Möchte ein Gerät auf das interne Netz zugreifen, so muss es sich zunächst am Gateway authentifizieren.
- VPN-Client: Der Endpunkt auf Nutzerseite ist ein VPN-Client, der auf dem Laptop, Tablet oder Smartphone installiert werden muss. Er ist für die Anmeldung am VPN-Gateway zuständig und baut nach erfolgreicher Authentifizierung den verschlüsselten Tunnel zum Gateway auf.
Bei den Nutzern kann es sich um einzelne Personen, aber auch gesamte Netzwerke handeln:
- Site-to-Site-VPN: Beim Site-to-Site-VPN werden komplette Netzwerke miteinander verbunden. Dies wird zum Beispiel der Fall, wenn Geräte verschiedener Unternehmensstandorte auf das Netzwerk des Hauptstandorts zugreifen sollen.
- Client-to-Site-VPN: Vom Client-to-Site-VPN spricht man, wenn sich einzelne Nutzer mit dem Unternehmensnetz verbinden, die sich außerhalb des Firmennetzes – zum Beispiel im Homeoffice, im Zug oder am Flughafen – befinden.
Wie viel VPN darf es sein?
Ein VPN kann in unterschiedlichem Ausmaß eingesetzt werden. Die Möglichkeiten sind unter anderem abhängig vom Betriebssystem und – sofern es sich um eine ins Unified Endpoint Management-System integrierte Lösung handelt – vom UEM-Anbieter.
Grundsätzlich kann man aber folgende Ansätze unterscheiden:
Per-Device-VPN
-
alle Verbindungen eines Endgerätes werden per VPN abgesichert
Per-User-VPN
-
alle Verbindungen in einem bestimmten User-Kontext werden per VPN abgesichert
Per-App-VPN
-
nur bestimmte Applikationen/Programme werden per VPN abgesichert
Per-Account-VPN
-
nur bestimmte Accounts werden per VPN abgesichert
(das bedeutet, dass ein VPN zum Beispiel nur dann eingesetzt wird, wenn sich der E-Mail-Client mit einem internen Server verbindet, für private Konten wird er aber nicht verwendet)
Der Anwendungsbereich kann aber noch weiter eingegrenzt werden: So lässt sich zum Beispiel festlegen, dass eine Verbindung nur für bestimmte Webseiten getunnelt wird. Ruft ein Mitarbeiter das Intranet über den Safari-Browser auf, so kommt ein VPN zum Einsatz. Besucht er die öffentliche Firmenwebseite, so kann er dies ohne VPN tun. Hier spricht man vom Split Tunneling.
Das war schon alles?
Der Begriff VPN war jahrelang immer gleich belegt und für Administratoren eindeutig: VPN stand für Sicherheit. Doch Sicherheit ist nicht gleich Sicherheit. Heute können VPN-Technologien den Sicherheitsaspekt auf ganz andere Weise lösen und gehen dabei deutlich über frühere Ansätze hinaus. Hierbei wurden zwei Begrifflichkeiten geprägt:
- Strenge Zugriffskontrolle mittels „Zero Trust Network Access“ (ZTNA): Einige VPN-Lösungen machen es möglich, Zugriffsanfragen auf Basis des „Zero Trust“-Ansatzes zu behandeln. Das bedeutet, dass keinem Nutzer vertraut wird, bis er nachweist, dass er tatsächlich Zugriff auf die Ressourcen erhalten darf. Hierbei erfolgt eine ganz präzise und identitätsbasierte Zugriffskontrolle.
- Kontextbezogene Zugriffsverwaltung mittels „Software Definied Perimeter“ (SDP): VPN- Lösungen können bei der Nutzerüberprüfung besonders intelligent vorgehen, indem sie nicht nur die Zugangsdaten kontrollieren, sondern in Echtzeit auch kontextbezogene Informationen wie den Zugriffszeitpunkt, den Standort des Gerätes oder das genutzte Netzwerk. Ergeben die Faktoren in Kombination kein Risiko, so wird die Anfrage genehmigt. Aber – gemäß des „Least Privilege“-Gedanken – auch nur für die Anwendung, für die der Nutzer einen Zugriff angefragt hat. Ändert sich an den einzelnen Faktoren etwas, so kann die Zugriffserlaubnis auch wieder entzogen werden.
Mehr als „nur“ Sicherheit
Wenn man sich die heutigen VPN-Lösungen anschaut, stellt man fest, dass sich viele Anbieter in den letzten Jahren auch in anderer Hinsicht weiterentwickelt haben. Sie haben ihre Lösungen um Funktionen ergänzt, die noch weitere Aspekte des mobilen Arbeitens verbessern:
- Stabile Verbindungen: VPN-Lösungen können dafür sorgen, dass auch die Netzwerkqualität verbessert wird und Verbindungen selbst beim Netzwerkwechsel aufrechterhalten werden. So können vor allem Videokonferenzen, die heute so wichtig sind, einwandfrei durchgeführt werden.
- Bessere Kostenkontrolle: VPN-Lösungen können Aufschluss über die Nutzung von Anwendungen und Daten geben und Restriktionen festlegen. Mit deren Hilfe kann definiert werden, wann beispielweise eine private App wie Netflix verwendet werden darf – z.B. nicht während der Arbeitszeit, wo die Produktivität beeinflusst wird, und nicht außerhalb von WiFi-Netzen, wo der Firmentarif belastet wird.
- Nutzerfreundliche Authentifizierung: Einige VPN-Lösungen ermöglichen die Authentifizierung am VPN-Gateway über ein Zertifikat, das sich auf dem Endgerät befindet. Dies ist deutlich sicherer als eine Anmeldung per Benutzername und Passwort – und vor allem auch komfortabler. Gleiches gilt für Cloud-Dienste: Hier kann ein VPN zur Authentifizierung genutzt werden und so einen sicheren und vor allem einfachen Zugriff auf Cloud-Dienste ermöglichen.
VPN-Lösungen sorgen heute also nicht nur dafür, dass Daten auch unterwegs genauso gut geschützt werden wie im Unternehmensnetzwerk. Sie tragen zu zuverlässigeren Verbindungen, einer besseren Kostenkontrolle, einer nutzerfreundlicheren und sichereren Anmeldung bei. So wird nicht nur die Sicherheit des mobilen Arbeitens gesteigert, sondern auch die Produktivität und Zufriedenheit der Mitarbeiter.
