Business-VPN: Sicherer Zugriff auf Ressourcen von überall

Ein VPN (Virtual Private Network) in einem Unternehmen ermöglicht Mitarbeitern den sicheren Zugriff auf interne Ressourcen (gemeinsame Ordner, ERP, Anwendungen) unabhängig vom Standort. Neben dem Zugriff für Einzelpersonen benötigen Unternehmen zunehmend Site-to-Site-VPN zwischen Niederlassungen oder zwischen Standort und Cloud.

TL;DR — Kernpunkte

• Für Remote-Benutzer empfehlen wir WireGuard — schnell, einfach, moderne Kryptografie
• IPsec bleibt der Standard für Site-to-Site zwischen Firewalls
• OpenVPN bietet die höchste Kompatibilität, ist aber langsamer
• MFA ist obligatorisch — ein VPN ohne MFA ist eine Sicherheitslücke

Vergleich der Protokolle

Site-to-Site zwischen Standorten

Klassisches Szenario: Der Hauptsitz hat eine pfSense Firewall, die Niederlassung ebenfalls. Dazwischen richten wir einen IPsec-Tunnel mit einem starken Algorithmus ein (AES-256-GCM, SHA-256, DH-Gruppe 14 oder höher) und leiten den Verkehr mit NAT-Ausnahmen. Für HA empfehlen wir redundante WAN-Verbindungen und Verfügbarkeits-Monitoring.

Befindet sich eine Seite in Azure, verwenden wir Azure VPN Gateway oder Azure Virtual WAN. Letzteres vereinfacht bei mehreren Standorten die Verwaltung erheblich und bietet transitives Routing.

Remote-Benutzer: WireGuard in der Praxis

1. Installieren Sie das Paket WireGuard in pfSense.
2. Erstellen Sie den Tunnel und weisen Sie ein Subnetz zu (z. B. `10.100.0.0/24`).
3. Generieren Sie für jeden Benutzer ein Schlüsselpaar und eine Konfigurationsdatei mit QR-Code (für mobile Apps).
4. Beschränken Sie in der Firewall den Zugriff aus dem VPN-Subnetz nur auf die benötigten internen Ressourcen.
5. Nutzen Sie für MFA eine Kombination: WireGuard für den Tunnel + Conditional Access für Anwendungen oder eine zusätzliche Login-Seite.

Zero Trust statt klassischem VPN

Der moderne Ansatz rückt vom Modell "einmal im VPN angemeldet und ich bin im gesamten Netzwerk" ab. Stattdessen wird jeder Zugriff auf jede Anwendung einzeln geprüft — Zero Trust Network Access (ZTNA). In der Microsoft-Umgebung setzen wir dies mit Entra Private Access um, was dem Benutzer den Zugriff auf interne Anwendungen ohne VPN-Client ermöglicht, während jeder Zugriff durch Conditional Access geprüft wird.

VPN-Sicherheitshygiene

• MFA obligatorisch für alle VPN-Anmeldungen (TOTP, Passkey oder FIDO2-Key)
• Exponieren Sie VPN-Ports nicht unnötig — verwenden Sie wenn möglich Port Knocking oder VPN über WireGuard mit Schlüsselrotation
• Protokollieren Sie alle VPN-Anmeldungen und analysieren Sie Anomalien
• Segmentieren Sie den Zugriff — ein VPN-Benutzer sollte nicht das gesamte LAN sehen, sondern nur die benötigten Ressourcen
• Entfernen Sie regelmäßig inaktive Konten (Ex-Mitarbeiter, Testkonten)

Leistung und Bandbreite

WireGuard erreicht in der Praxis zwischen 80 und 95 % der Netto-Verbindungsgeschwindigkeit, IPsec mit Hardwarebeschleunigung (AES-NI, QAT) ist vergleichbar. Wenn Sie in Azure arbeiten und große Dateien übertragen, ziehen Sie ExpressRoute in Betracht — eine dedizierte Verbindung, die das öffentliche Internet umgeht.

Backup-Zugriff und Monitoring

Was passiert, wenn die Haupt-WAN-Verbindung ausfällt? Bereiten Sie einen Backup-Pfad vor — LTE-Modem, Sekundärverbindung eines anderen Anbieters oder VPN über das Mobiltelefon für Notfälle. Verwenden Sie für das VPN-Monitoring Pings und aktive Tests (z. B. HTTP-Abfrage auf ein internes Portal), nicht nur den Tunnelstatus.

Benötigen wir ein VPN, wenn wir alles in der Cloud haben?

Wenn alles über den Browser zugänglich und mit MFA + Conditional Access geschützt ist, vielleicht nicht. Ein VPN bleibt nützlich für den Zugriff auf dedizierte Ressourcen (SQL, RDP, Drucker, Lizenzserver).

Wie groß ist der Geschwindigkeitsunterschied zwischen WireGuard und OpenVPN?

In unseren Tests auf einer 1-Gbit/s-Verbindung erreicht WireGuard 900+ Mbit/s, während OpenVPN üblicherweise 250–400 Mbit/s schafft. Der Unterschied resultiert aus dem einfacheren Kryptografie-Stack von WireGuard und der Tatsache, dass es im Kernel läuft.

Benötigen wir einen eigenen VPN-Server oder einen Dienst?

Für den Zugriff auf interne Ressourcen benötigen Sie ein eigenes VPN (pfSense, Azure VPN Gateway usw.). Öffentliche VPN-Dienste (NordVPN, ExpressVPN) lösen den Zugriff auf Ihre Infrastruktur nicht.

Was ist mit Split-Tunneling?

Wir empfehlen Split-Tunneling für Verkehr, der kein VPN benötigt (Teams, Web), um das VPN-Gateway zu entlasten. Für den Verkehr zu internen Anwendungen und in regulierte Systeme verwenden Sie Full-Tunnel.