Was ist ein VPN?

Einfach erklärt

Ein VPN (Virtual Private Network) baut über das Internet einen verschlüsselten Tunnel in Ihr Firmennetz. Wer im Homeoffice oder unterwegs arbeitet, kommt durch diesen Tunnel an Dateiablage, Warenwirtschaft oder Drucker, als säße er im Büro. Ein VPN kann auch zwei Standorte miteinander verbinden, etwa Büro und Lager.

Warum das für Ihren Betrieb wichtig ist

Ohne VPN müssten Dienste wie der Fernzugriff auf Rechner direkt aus dem Internet erreichbar sein. Solche offenen Fernzugänge sind ein häufiger Einstieg für Angreifer. Das BSI empfiehlt deshalb, Fernzugänge in der Regel nur über ein VPN mit Zwei-Faktor-Anmeldung zu öffnen. Die Selbstauskunft im IT-Sicherheitscheck fragt danach.

Was Sie tun können

• Jede Person bekommt einen eigenen VPN-Zugang mit zweitem Faktor, keinen Sammelzugang.
• Zugänge von Ausgeschiedenen sofort sperren, Zugänge von Dienstleistern nach dem Einsatz.
• Das VPN-Gerät, meist Router oder Firewall, so aktuell halten wie die Rechner. Ihr IT-Dienstleister sollte die Sicherheitsmeldungen des Herstellers verfolgen.

Achtung: Das VPN-Gerät selbst steht offen im Internet. Lücken darin sind für Angreifer besonders wertvoll. Anfang 2024 wies die US-Cybersicherheitsbehörde CISA die zivilen Bundesbehörden an, VPN-Geräte eines verbreiteten Herstellers wegen aktiv ausgenutzter Lücken vom Netz zu trennen.

Was ein VPN nicht kann

Ein VPN schützt den Weg, nicht das Ziel. Wer mit gestohlenen Zugangsdaten durch den Tunnel kommt, steht mitten im Firmennetz. Für Cloud-Dienste wie Microsoft 365 ist das Firmen-VPN nicht der Schutz, dort sichert die Anmeldung selbst ab. VPN-Dienste für Privatleute, die vor allem den eigenen Standort verschleiern, sind etwas anderes als ein Zugang ins Firmennetz.

Bauformen und Protokolle

• Site-to-Site: verbindet Netze, meist per IPsec (RFC 4301) mit IKEv2 (RFC 7296) zwischen zwei Gateways.
• Remote Access: Client auf dem Endgerät, per IPsec/IKEv2, WireGuard oder als TLS-basiertes SSL-VPN.
• WireGuard: schlankes Protokoll mit fest gewählten Verfahren (Noise-Handshake, Curve25519, ChaCha20-Poly1305), kein RFC, beschrieben im Whitepaper von Jason A. Donenfeld. Peers werden allein über ihren öffentlichen Schlüssel identifiziert, optional ergänzt um einen Pre-Shared Key. Einen zweiten Faktor für Benutzer muss das Gateway-Produkt ergänzen.

Beispiel eines WireGuard-Clients mit Split Tunnel:

[Interface]
PrivateKey = <privater Schlüssel des Laptops>
Address    = 10.20.0.15/32
DNS        = 10.20.0.1

[Peer]
PublicKey  = <öffentlicher Schlüssel des Gateways>
Endpoint   = vpn.ihre-firma.de:51820
AllowedIPs = 10.20.0.0/16

AllowedIPs = 10.20.0.0/16 leitet nur das Firmennetz durch den Tunnel. 0.0.0.0/0, ::/0 schickt den gesamten Verkehr hindurch (Full Tunnel).

Vorgaben im IT-Grundschutz

Baustein NET.3.3 (Edition 2023): sichere Konfiguration festlegen und regelmäßig kontrollieren (A4), nicht mehr benötigte Zugänge zeitnah deaktivieren und den Zugriff auf benötigte Zeiten beschränken (A5), über das VPN erreichbare Teilnetze festlegen (A7), Konten zentral verwalten (A12).

Typische Fehler

• Gateway nicht gepatcht. Beispiel: Emergency Directive 24-01 der CISA vom Januar 2024 zu Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887). Sie ordnete Trennung vom Netz, Neuaufbau und die Annahme kompromittierter Domänenkonten an.
• Kein zweiter Faktor oder ein gemeinsamer Pre-Shared Key für alle Clients.
• Ganzes Netz für jeden. Nach dem Tunnel ist alles erreichbar statt nur der benötigten Teilnetze.
• Lokale Konten am Gateway statt Anbindung an das zentrale Verzeichnis. Austritte werden dort vergessen.
• Dienstleisterzugänge dauerhaft offen.

Prüfen

Von außen prüfen, welche Dienste die öffentliche Adresse anbietet:

nmap -Pn -p 443,3389 vpn.ihre-firma.de
sudo nmap -Pn -sU -p 500,4500 vpn.ihre-firma.de

UDP 500 und 4500 gehören zu IKE und IPsec-NAT-Traversal, TCP 443 oft zu einem SSL-VPN-Portal. RDP auf 3389 sollte nicht erreichbar sein. Die Firmware-Version des Gateways gehört regelmäßig mit den Sicherheitsmeldungen des Herstellers abgeglichen.