In diesem Artikel
Ein klassisches VPN verschlüsselt die Verbindung, holt den entfernten Computer aber in das gesamte Unternehmensnetz: Mit einem gestohlenen Passwort kommt der Angreifer mit derselben Reichweite hinein. Die Antwort besteht aus drei Maßnahmen in dieser Reihenfolge: Multi-Faktor-Authentifizierung am VPN, Begrenzung dessen, was es erreicht, und für den Großteil des Teams Zugriff nur auf die Anwendungen, die es braucht. Für viele kleine, disziplinierte KMU bleibt ein gut konfiguriertes VPN mit MFA ausreichend. Wir erklären, wie Sie erkennen, welcher Fall bei Ihnen vorliegt.
Warum das Modell von 2020 nicht mehr reicht
2020 richteten viele Unternehmen das Homeoffice in wenigen Tagen ein: VPN auf der Firewall, ein Passwort pro Person, und es funktionierte. Die Konfiguration blieb gleich; die Angriffe nicht.
Die VPN-Hardware selbst wurde zum Ziel. 2025 hob Verizon bereits die Angriffe auf Perimeter- und VPN-Geräte hervor. Im Bericht 2026 wurde die Ausnutzung von Softwarelücken zum häufigsten Einfallstor, bei 31% der analysierten Sicherheitsverletzungen.
Der Tunnel und die Hotelkarte
Das VPN ist ein Tunnel vom Laptop in das ganze Netz: Server, freigegebene Ordner, Drucker, Kameras. Wer durch den Tunnel geht, ist drinnen. Anwendungsbasierter Zugriff funktioniert wie die Karte für ein Hotelzimmer: Sie öffnet eine Tür, nicht das Gebäude. Wird die Karte gestohlen, öffnet sie ein Zimmer, und es wird protokolliert, um welche Uhrzeit.
Eines leistet das VPN weiterhin gut: Es verhindert, dass jemand den Datenverkehr im Café oder Hotel mitliest. Was es allein nicht leistet, ist zu bestätigen, wer auf der anderen Seite sitzt, zu prüfen, ob der Computer aktuell ist, oder zu begrenzen, was er erreicht.
Vier Wege, wie ein VPN zur offenen Tür wird
- Gestohlene Zugangsdaten Ein gut gemachtes Phishing erbeutet das Passwort; ohne zweiten Faktor akzeptiert das VPN es.
- Private Computer Der geteilte Heim-Laptop ohne Updates bringt ins Netz, was er in sich trägt.
- Laterale Bewegung Einmal drinnen, sucht der Angreifer den Dateiserver, das ERP und vor allem die Backups. In einem flachen Netz hält ihn nichts auf.
- Nicht aktualisierte VPN-Hardware Sie ist dem Internet ausgesetzt und wird automatisch gesucht, sobald eine Lücke bekannt wird.
Schnelltest: Reicht Ihr VPN mit MFA noch?
Wir verkaufen keine Komplexität an jemanden, der sie nicht braucht. Wenn Sie alle Fragen mit Ja beantworten, erfüllt das VPN seinen Zweck:
- Verlangen alle Zugänge einen zweiten Faktor in der App auf dem Telefon, ohne Ausnahmen?
- Verbinden sich nur Unternehmensgeräte, verwaltet und aktuell?
- Erreicht jede Gruppe nur, was sie braucht (die Buchhaltung etwa nur die Verwaltungssoftware)?
- Erhalten Firewall und VPN-Portal Korrekturen innerhalb von Tagen, nicht Monaten?
- Wird protokolliert, wer sich wann und von wo verbunden hat, und prüft das jemand?
- Hat kein Lieferant einen dauerhaften Zugang?
Zwei oder mehr Neins zeigen, dass nicht das VPN das Problem ist, sondern die Art, wie es aufgebaut wurde.
VPN oder anwendungsbasierter Zugriff, Fall für Fall
| Szenario | Reicht VPN mit MFA? | Was zu tun ist |
|---|---|---|
| Wenige Remote-Mitarbeitende, alle mit Firmenlaptop | Ja, wenn gut konfiguriert | MFA, Zugänge nach Gruppen, aktuelle Firewall |
| Arbeit an privaten Computern | Nein | E-Mail und Dateien über den Browser, ohne ins interne Netz zu gehen |
| ERP oder Verwaltungssoftware aus der Ferne genutzt | Kommt darauf an | Die Anwendung mit starker Authentifizierung veröffentlichen, ohne das Netz zu öffnen |
| Lieferanten mit regelmäßigem Zugang | Nein | Individuelle, begrenzte Konten, nur während des Einsatzes aktiv |
| Sensible Gesundheits-, Finanz- oder Kundendaten | Selten | Anwendungsbasierter Zugriff mit Protokollierung jedes Zugriffs |
Vier-Schritte-Plan für den Fernzugriff
Schritt 1 — Zweiter Faktor am VPN
Der Schritt mit dem besten Verhältnis von Kosten zu Nutzen. Die meisten Unternehmensfirewalls unterstützen MFA, oft integriert mit Microsoft 365. Die Optionen stehen im Leitfaden zur Multi-Faktor-Authentifizierung in Unternehmen.
Schritt 2 — Nur verwaltete Geräte im Netz
Private Computer bleiben bei E-Mail und Dateien im Browser, mit Regeln, die das Herunterladen von Daten verhindern. Mit Unternehmensdaten zu arbeiten, ist nicht dasselbe, wie in der Infrastruktur zu sein.
Schritt 3 — Anwendungen veröffentlichen, statt das Netz zu öffnen
E-Mail, Dateien, Verwaltungssoftware und manchmal ein Remote-Desktop: Nichts davon erfordert, im gesamten Netz zu sein. Jede mit starker Authentifizierung veröffentlichte Anwendung ist eine eigene Tür, mit Protokoll. Das VPN bleibt denen vorbehalten, die Systeme administrieren.
Schritt 4 — Die Reichweite des VPN verringern
Backups, Kameras und Netzwerkverwaltungsgeräte sollten nie in Reichweite eines Remote-Benutzers sein. Die Firewall teilt das Netz in Zonen und lässt nur das Nötige durch. Lieferanten kommen mit eigenem Konto, MFA und einem Zugang hinein, der am Ende abgeschaltet wird.
Beispielarchitektur für 40 Arbeitsplätze
Beispielszenario: 40 Arbeitsplätze, 10 Personen regelmäßig im Homeoffice. Die empfohlene Konfiguration wäre:
- E-Mail und Dateien In Microsoft 365, mit MFA und an den Gerätetyp gebundenem Zugriff.
- Verwaltungssoftware Veröffentlicht in einer Remote-Desktop-Umgebung mit starker Authentifizierung.
- VPN Zwei Administratoren vorbehalten, mit zweitem Faktor, in einer getrennten Verwaltungszone.
- Lieferanten Konten pro Einsatz angelegt und am Ende deaktiviert.
In den meisten Fällen geht das mit der Firewall und den Lizenzen, die das Unternehmen bereits bezahlt: Es ändert sich die Architektur, nicht die Rechnung. Dieselbe Logik steckt in Zero Trust für KMU in 4 Schritten, und Korrekturen an der VPN-Hardware sollten einer Update-Richtlinie mit kurzen Fristen folgen.
Praxisfall: FreshDesign
Bei FreshDesign installierte DataRoad eine Next-Generation-Firewall und ein verschlüsseltes VPN, über das das Team aus der Ferne auf Server und interne Anwendungen zugreift. Das Projekt umfasste zentrale Kontrolle von Zugängen und Berechtigungen, Filterung und Intrusion Prevention, permanente Fernüberwachung mit proaktiven Alarmen und zwei Internetleitungen mit Lastverteilung und automatischer Umschaltung, falls ein Anbieter ausfällt.
Der entscheidende Punkt: Das VPN wurde nicht installiert und vergessen. Der Vertrag umfasst Firewall-Updates, Optimierung der Regeln und Überwachung der VPN-Stabilität. Das unterscheidet eine Managed Firewall von einer offenen Tür.
Häufige Fragen
Sollte ich das VPN sofort abschalten?
Nein. Aktivieren Sie zuerst MFA und begrenzen Sie die Reichweite. Migrieren Sie dann die Personen auf anwendungsbasierten Zugriff. Am Ende bleibt das VPN nur für Administratoren.
Reicht ein VPN mit MFA für ein KMU?
Es kann reichen, wenn sich nur Unternehmensgeräte verbinden, jede Gruppe nur das Nötige erreicht, die Firewall aktuell ist und die Zugriffe protokolliert werden. Fehlt eine dieser Bedingungen, bleibt das Risiko hoch.
Dürfen Mitarbeitende ihren privaten Computer nutzen?
Für E-Mail und Dateien im Browser, mit Regeln gegen Downloads, ja. Für den Zugang ins interne Netz, nein.
Muss eine neue Lösung gekauft werden?
Bei den meisten KMU nicht. Es gilt, die vorhandene Firewall und Microsoft 365 besser zu konfigurieren und jemanden zu haben, der die Zugänge laufend verwaltet.
Nächster Schritt: Überprüfung des Fernzugriffs in 5 Werktagen
Wir analysieren das VPN, wer sich womit verbindet, die Lieferantenkonten und den Zustand der Firewall und liefern einen schriftlichen Plan mit den Korrekturen nach Priorität. Unverbindliche Anfrage. Die Verwaltung von Firewalls und Cybersicherheit sowie von Remote-Arbeit und Mobilität ist in den Plänen IT Unlimited Premium enthalten.
Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport. Kontakt: sales@dataroad.pt.
