Was ist ein VPN und wozu braucht man es?

Die Frage „Was ist ein VPN und wozu braucht man es?“ lässt sich in einem Satz beantworten: Ein VPN ist eine verschlüsselte Verbindung über das öffentliche Internet, die ein entferntes Gerät so in ein Netzwerk einbindet, als stünde es direkt im Büro. Dahinter steckt mehr, als die Werbung vieler Anbieter vermuten lässt – und für Unternehmen hängt der Nutzen stark davon ab, wie die eigene IT aufgebaut ist.

Wie ein VPN technisch funktioniert

VPN steht für Virtual Private Network. Zwischen zwei Endpunkten – etwa dem Laptop eines Mitarbeiters und der Firewall in der Firmenzentrale – wird ein sogenannter Tunnel aufgebaut. Alle Daten, die durch diesen Tunnel laufen, werden verschlüsselt. Wer im selben Hotel-WLAN unterwegs ist oder den Datenverkehr auf dem Weg durchs Internet abfängt, sieht nur einen unlesbaren Datenstrom.

Gleichzeitig erhält das entfernte Gerät eine Adresse aus dem Firmennetz. Für Server und Anwendungen sieht es so aus, als säße der Mitarbeiter an seinem Schreibtisch. Er kann auf Dateifreigaben, interne Programme oder Verwaltungsoberflächen zugreifen, die aus dem Internet sonst nicht erreichbar sind – und das ist auch gut so.

Wichtig ist, was ein VPN nicht leistet: Es schützt nicht vor Phishing-Mails, Schadsoftware oder schwachen Passwörtern. Es ersetzt weder Firewall noch Virenschutz, und es macht Mitarbeiter nicht automatisch sicherer, wenn sie auf infizierte Links klicken. Ein VPN ist ein Baustein, kein Sicherheitskonzept.

Zwei Bauformen: Remote Access und Site-to-Site

Im Unternehmensalltag kommen zwei Varianten vor. Beim Remote-Access-VPN verbindet sich ein einzelnes Gerät mit der Firmenzentrale – der klassische Fall für Homeoffice und Außendienst. Der Mitarbeiter startet eine Client-Software, meldet sich an und arbeitet danach wie im Büro.

Beim Site-to-Site-VPN verbinden zwei Standorte ihre Netze dauerhaft miteinander, meist über die Firewalls an beiden Enden. Die Mitarbeiter merken davon nichts: Die Filiale greift auf den Server in der Zentrale zu, als hinge alles an einem Netz. Für die Technik kommen je nach Gerät und Anbieter unterschiedliche Protokolle zum Einsatz, etwa IPsec, SSL/TLS-basierte Verfahren oder WireGuard. Welches davon passt, hängt von der vorhandenen Infrastruktur ab – eine pauschale Empfehlung gibt es nicht.

Wann sich ein VPN lohnt

Ein VPN ist dann sinnvoll, wenn Ihr Unternehmen Ressourcen betreibt, die bewusst nicht im Internet stehen. Typische Beispiele:

• Ein eigener Dateiserver oder eine Branchensoftware, die nur im lokalen Netz läuft
• Mitarbeiter im Homeoffice oder Außendienst, die regelmäßig auf diese Systeme zugreifen
• Mehrere Standorte, die gemeinsam auf zentrale Systeme zugreifen
• Administratoren, die Server und Netzwerkgeräte aus der Ferne warten
• Mitarbeiter, die häufig in fremden Netzen unterwegs sind – Hotels, Messen, Cafés – und deren Datenverkehr dort geschützt werden soll

In diesen Fällen ist ein VPN oft die sauberste Lösung, weil es bestehende Strukturen nutzt, statt Daten zusätzlich in die Cloud zu kopieren.

Wann sich ein VPN nicht lohnt

Ehrlicherweise gehört zur Frage nach dem Nutzen auch die Gegenfrage: wozu nicht. Wenn Ihr Unternehmen E-Mail, Dateien und Fachanwendungen vollständig aus der Cloud bezieht, gibt es im Firmennetz kaum noch etwas, das ein Tunnel erreichen müsste. Dann sind Identitätsschutz, Mehrfaktor-Authentifizierung und sauber verwaltete Endgeräte die wirksameren Hebel – ein VPN wäre überflüssige Komplexität.

Auch als Ersatz für Grundlagen taugt ein VPN nicht. Wer ungepatchte Server, geteilte Benutzerkonten und fehlende Backups hat, gewinnt durch einen Tunnel nichts. Und die beworbenen Privat-VPNs, mit denen sich Streaming-Angebote aus dem Ausland freischalten lassen, sind ein anderes Thema: Sie verändern vor allem die sichtbare Absenderadresse und lösen kein einziges Firmenproblem.

Was Sie zuerst prüfen sollten

Bevor über Technik gesprochen wird, lohnt eine Bestandsaufnahme. Listen Sie, wer von wo aus auf welche Systeme zugreifen muss. Häufig zeigt sich dabei, dass nur ein Teil der Belegschaft überhaupt Fernzugriff braucht – und dass manche Anwendung, für die ein VPN geplant war, längst als Cloud-Version existiert.

Prüfen Sie danach Ihre vorhandene Firewall. Viele Geräte aus dem Business-Bereich bringen VPN-Funktionen bereits mit; dann geht es um Konfiguration statt um Neuanschaffung. Legen Sie außerdem vor dem Rollout fest, wer nach dem Verbindungsaufbau was erreichen darf. Dass ein Mitarbeiter im Tunnel automatisch das ganze Netz sieht, ist bequem, aber kein Naturgesetz – eine saubere Segmentierung begrenzt den Schaden, falls ein Zugang missbraucht wird.

Klären Sie früh, welche Verbindungsdaten protokolliert werden. Verbindungsprotokolle können Rückschlüsse auf das Verhalten von Mitarbeitern zulassen und fallen unter den Datenschutz; gibt es einen Betriebsrat, gehört er an den Tisch.

Fragen, die Sie dem Anbieter stellen sollten

Ob Sie mit einem Dienstleister oder der internen IT planen – diese Fragen sollten beantwortet sein:

• Welches Protokoll wird eingesetzt und warum gerade dieses?
• Wo endet der Tunnel – auf eigener Hardware im Haus oder bei einem externen Dienst?
• Lässt sich die Anmeldung mit Mehrfaktor-Authentifizierung absichern?
• Wie werden Zugänge angelegt und – wichtiger – wieder entzogen, wenn jemand das Unternehmen verlässt?
• Ist Split-Tunneling möglich, also die Auswahl, welcher Datenverkehr durch den Tunnel läuft und welcher direkt ins Internet geht?
• Wie viele gleichzeitige Verbindungen verkraftet die Hardware, und was passiert bei einem Ausfall?
• Wer kümmert sich um Updates von Gateway und Client-Software, und in welchem Rhythmus?
• Was wird protokolliert, wo liegen die Protokolle und wer kann sie einsehen?

Woran Sie erkennen, dass etwas schiefläuft

Ein eingerichtetes VPN ist kein Selbstläufer. Warnsignale, die Sie ernst nehmen sollten:

• Mehrere Mitarbeiter teilen sich ein Zugangskonto, oder Zugänge ehemaliger Kollegen sind noch aktiv.
• Die Anmeldung funktioniert nur mit Benutzername und Passwort, ohne zweiten Faktor.
• Nach dem Verbindungsaufbau erreicht jeder alles – vom Praktikanten bis zur Geschäftsführung.
• Verbindungen brechen häufig ab oder sind spürbar langsam; oft steckt eine unterdimensionierte Firewall oder Leitung dahinter.
• Die Client-Software auf den Laptops ist seit Langem nicht aktualisiert worden.
• Niemand fühlt sich zuständig, wenn Fragen zum VPN auftauchen.

Wer im Unternehmen zuständig sein sollte

Die technische Betreuung – Einrichtung, Updates, Zugangsverwaltung – liegt bei der IT, ob intern oder bei einem externen Dienstleister. Die Geschäftsführung entscheidet, wer Fernzugriff erhält, und trägt letztlich das Risiko, wenn Zugänge missbraucht werden. Für Fragen der Protokollierung und des Datenschutzes sind die entsprechenden Verantwortlichen einzubinden. Und die Mitarbeiter selbst haben eine Pflicht: Zugangsdaten nicht weitergeben, den Verlust des Geräts sofort melden und Auffälligkeiten ansprechen.

Fazit

Ein VPN beantwortet eine konkrete Frage: Wie kommen Mitarbeiter von außen sicher an das, was bewusst nur im Firmennetz liegt? Wer eigene Server und lokale Anwendungen betreibt, bekommt dafür ein bewährtes Werkzeug. Wer vollständig in der Cloud arbeitet, braucht es dagegen kaum – und sollte seine Aufmerksamkeit auf Identitäten und Endgeräte richten. Die Entscheidung fällt nicht nach Trend, sondern nach Bestandsaufnahme.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.