--- title: "Sicherer Fernzugriff: wenn das VPN nicht mehr reicht" description: "Sicherer Fernzugriff für KMU: wann ein VPN mit MFA reicht, wann man auf Zugriff pro Anwendung umstellt, und der 4-Schritte-Plan. Unverbindlich." language: de url: https://www.dataroad-it.com/de/fernzugriff-vpn-mfa-anwendungszugriff/ source: https://www.dataroad-it.com/de/fernzugriff-vpn-mfa-anwendungszugriff/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Sicherer Fernzugriff für KMU: wann ein VPN mit MFA reicht, wann man auf Zugriff pro Anwendung umstellt, und der 4-Schritte-Plan. Unverbindlich. # Sicherer Fernzugriff: wenn das VPN nicht mehr reicht Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Ein VPN ohne MFA gibt einem gestohlenen Passwort Zugriff auf das ganze Netz. - 02 2026 war das Ausnutzen von Softwarelücken der häufigste Einstieg (31 % der Datenpannen). - 03 Plan: MFA, nur verwaltete Geräte, veröffentlichte Anwendungen und VPN mit minimaler Reichweite. - 04 Bei den meisten KMU gelingt das mit vorhandener Firewall und vorhandenen Lizenzen. ### In diesem Artikel **Ein gestohlenes Passwort eines Mitarbeiters im Homeoffice kann genügen, damit jemand Server, ERP und Sicherungskopien des Unternehmens erreicht. Das ist der Preis eines schlecht geplanten Fernzugriffs.** Das klassische VPN verschlüsselt den Weg, lässt dem entfernten Laptop aber Reichweite auf das gesamte Netz. Sicherer Fernzugriff entsteht in Schichten: zweiter Faktor im VPN, reduzierte Reichweite und für die meisten Personen Zugang nur zu den Anwendungen, die sie brauchen. In einem kleinen, gut organisierten KMU kann ein sauber aufgesetztes VPN mit MFA weiterhin genügen, der Test unten sagt Ihnen, ob das bei Ihnen der Fall ist. ## Ist das 2020 eingerichtete Homeoffice noch sicher? Fast nie. 2020 entstand Remote-Arbeit in Eile: VPN-Tunnel auf der Firewall, ein Zugangsdatensatz pro Person und das Team arbeitete von zu Hause. Seitdem ist die Konfiguration gleich geblieben, die Angreifer haben sich weiterentwickelt. Das Gerät, das das VPN bereitstellt, ist selbst zum Ziel geworden. Verizon wies 2025 auf Angriffe auf Edge-Geräte und VPN hin; in der Ausgabe 2026 wurde die Ausnutzung von Softwareschwachstellen zum Einfallstor Nummer eins, beobachtet bei 31 % der untersuchten Datenpannen. ### Schlüssel zum Gebäude oder Schlüssel zum Zimmer? Ein VPN gibt dem Laptop einen Schlüssel zum ganzen Gebäude, Server, Freigaben, Drucker, Kameras. Der Zugriff pro Anwendung gibt einen Zimmerschlüssel: Er passt für eine Tür, protokolliert die Uhrzeit jedes Zutritts und begrenzt den Schaden, wenn er verloren geht. Das VPN bleibt für eines nützlich: den Datenverkehr in einem öffentlichen Netz zu schützen. Allein bestätigt es aber weder die Identität dessen, der sich verbindet, noch bewertet es den Zustand des Geräts oder begrenzt, wohin es gelangt. ## Wo dringt ein Angreifer über das VPN ein? - **Abgefangenes Passwort** Eine überzeugende Phishing-Nachricht genügt; ohne zweiten Faktor öffnet sich der Tunnel. - **Privater Laptop** Mit der Familie geteilt und veraltet, bringt er ins Netz, was er bereits mit sich trägt. - **Bewegung im Netz** Im Netz sucht der Eindringling Dateien, ERP und vor allem die Kopien. Ohne Segmentierung hält ihn nichts auf. - **Veraltete Firmware** Der VPN-Konzentrator ist zum Internet gerichtet und wird von automatisierten Werkzeugen gescannt, sobald eine Schwachstelle veröffentlicht wird. ## Sechs Fragen, um zu wissen, ob das VPN noch taugt Wir empfehlen Änderungen nur, wenn sie nötig sind. Lauten alle Antworten Ja, erfüllt Ihr VPN seinen Zweck: - Verlangt jede Verbindung eine Bestätigung in der Smartphone-App, für alle? - Können sich nur verwaltete, aktualisierte Firmenlaptops verbinden? - Erreicht jedes Team nur das, was es betrifft, zum Beispiel die Buchhaltung nur das Rechnungsprogramm? - Werden Korrekturen für Firewall und VPN-Portal in Tagen statt Monaten installiert? - Werden die Verbindungen protokolliert (wer, wann, von wo) und analysiert jemand dieses Protokoll? - Hat kein externer Dienstleister eine dauerhaft offene Verbindung? Bei zwei oder mehr „Nein“ liegt der Fehler nicht in der VPN-Technologie, sondern in der Art, wie sie konfiguriert wurde. ## Welche Fernzugriffslösung passt zu welcher Situation? | Situation | Reicht VPN mit MFA? | Empfohlener Ansatz | | --- | --- | --- | | Kleines Remote-Team, nur Firmenlaptops | Ja, gut konfiguriert | Zweiter Faktor, Profile pro Team, aktuelle Firewall | | Nutzung eigener Computer | Nein | E-Mail und Dokumente im Browser, ohne Zugang zum internen Netz | | Unternehmenssoftware außerhalb des Büros genutzt | Kommt darauf an | Veröffentlichte Anwendung mit starker Authentifizierung, Netz geschlossen | | Häufige externe Dienstleister | Nein | Persönliche, eingeschränkte Konten, nur während jedes Einsatzes aktiv | | Klinische, finanzielle oder Kundendaten | Selten | Zugriff pro Anwendung mit individueller Protokollierung | ## Wie kommt man in vier Schritten zu sicherem Fernzugriff? ### 1. Den zweiten Faktor aktivieren Das ist die Maßnahme mit dem größten Nutzen zu den geringsten Kosten. Business-Firewalls unterstützen MFA, häufig verbunden mit Microsoft 365. Vergleichen Sie die Optionen in unserem Leitfaden zu [MFA für Unternehmen](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/). ### 2. Nur verwaltete Geräte zulassen Private Computer bleiben auf E-Mail und Dokumente im Browser beschränkt, mit Richtlinien, die Downloads blockieren. Um mit Unternehmensinformationen zu arbeiten, muss man nicht in der Infrastruktur sein. ### 3. Anwendungen veröffentlichen, nicht das Netz E-Mail, Dokumente, Unternehmenssoftware und bei Bedarf ein Remote-Desktop lassen sich bereitstellen, ohne Zugang zum gesamten Netz zu geben. Jede mit starker Authentifizierung veröffentlichte Anwendung hat ihre eigene Tür und ihr eigenes Protokoll. Das VPN bleibt denen vorbehalten, die Systeme administrieren. ### 4. Die Reichweite des VPN verkleinern Sicherungskopien, Videoüberwachung und Netzwerkverwaltungskonsolen bleiben immer außerhalb der Fernreichweite. Die Firewall teilt das Netz in Zonen und lässt nur das Unverzichtbare durch. Dienstleister kommen mit eigenen Zugangsdaten, MFA und einer Verbindung herein, die endet, wenn die Arbeit erledigt ist. ## Wie sieht das in einem Unternehmen mit 40 Arbeitsplätzen aus? *Anschauliches Beispiel:* 40 Arbeitsplätze, davon 10 regelmäßig im Homeoffice. Die Architektur, die wir vorschlagen: - **E-Mail und Dokumente** Im [Managed Microsoft 365](https://www.dataroad-it.com/de/microsoft-365-unternehmen-verwaltung/), mit MFA und gerätegebundenem Zugriff. - **Unternehmenssoftware** Bereitgestellt über einen Remote-Desktop, geschützt durch starke Authentifizierung. - **VPN** Nur für zwei Administratoren, mit zweitem Faktor, in einer isolierten Managementzone. - **Dienstleister** Zugangsdaten pro Einsatz erstellt und am Ende deaktiviert. In der Regel gelingt das mit der Firewall und den Lizenzen, die das Unternehmen bereits hat: Das Design ändert sich, die Rechnung nicht. Dieselbe Logik leitet das [Zero-Trust-Modell in vier Schritten](https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/), und die VPN-Firmware sollte einer [Update-Richtlinie mit engen Fristen](https://www.dataroad-it.com/de/update-management-patch-fristen-noc/) folgen. ## Welchen Unterschied macht eine Managed Firewall? Der Fall FreshDesign Für [FreshDesign](https://www.dataroad-it.com/de/freshdesign-firewall-vpn-failover/) implementierte DataRoad eine NGFW und ein verschlüsseltes VPN, das dem Team Fernzugriff auf Server und interne Anwendungen gibt. Das Projekt vereinte zentrale Verwaltung von Zugängen und Berechtigungen, Filterung und Intrusion Prevention, laufende Fernüberwachung mit Frühwarnungen sowie zwei Internetzugänge mit Lastverteilung und automatischem Umschalten auf den zweiten Anbieter bei Ausfall. Den Unterschied machte der Betrieb nach der Installation. Der Vertrag umfasst Firewall-Updates, regelmäßige Feinabstimmung der Regeln und Überwachung der VPN-Stabilität. Das trennt eine Managed Firewall von einer offen gelassenen Tür. ## Häufige Fragen zu sicherem Fernzugriff ### Sollten wir das VPN sofort abschalten? Nein. Aktivieren Sie zuerst MFA und reduzieren Sie die Reichweite, stellen Sie das Team dann auf Zugriff pro Anwendung um und lassen Sie das VPN am Ende nur für Systemadministratoren. ### Reicht für ein KMU ein VPN mit MFA? Es kann reichen, sofern sich nur Firmenlaptops verbinden, jedes Team nur das Nötige erreicht, die Firewall aktuell ist und Verbindungen protokolliert werden. Fällt eine Bedingung weg, ist das Risiko wieder hoch. ### Ist Arbeiten am Heimcomputer sicher? Für E-Mail und Dokumente im Browser, mit blockierten Downloads, ist es akzeptabel. Für den Zugang zum internen Netz nicht. ### Müssen wir eine neue Plattform kaufen? Bei den allermeisten KMU nicht. Es fehlt eine bessere Konfiguration der vorhandenen Firewall und des vorhandenen Microsoft 365 und jemand, der die Zugänge laufend verwaltet. ## Nächster Schritt: Audit des Fernzugriffs in 5 Werktagen Wir prüfen das VPN, wer sich mit welchen Systemen verbindet, die Zugangsdaten der Dienstleister und den Zustand der Firewall und liefern einen schriftlichen Plan mit nach Priorität geordneten Korrekturen. Fordern Sie ein unverbindliches Angebot an. Das Management von [Managed Firewalls und Netzwerksicherheit](https://www.dataroad-it.com/de/firewall-it-sicherheit-portugal/) sowie von [Remote-Arbeit und Mobilität](https://www.dataroad-it.com/de/remote-arbeit-it-support-portugal/) ist im [Tarif IT Unlimited Premium](https://www.dataroad-it.com/de/it-unlimited-premium-vor-ort-service/) enthalten. **Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch.** Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt. **Anruf ins portugiesische Festnetz.* ## Konsultierte Quellen - [Verizon DBIR 2026 (Executive Summary)](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) - [Verizon DBIR 2025 (Pressemitteilung)](https://www.verizon.com/about/news/2025-data-breach-investigations-report) - [CISA-Katalog ausgenutzter Schwachstellen](https://www.cisa.gov/known-exploited-vulnerabilities) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed Cybersecurity ## One StepAhead of IT. Sicherheit beweist sich über Jahre, nicht durch Versprechen. Managed Firewalls, MFA, Endpoint-Schutz und getestete Backups, derselbe Standard für alle Kunden. - **5 ★** bei Google · 52 Bewertungen - **Top 5%** KMU · scoring.pt - **MFA** auf allen betreuten Konten We do **IT** right. DataRoad IT Unlimited ## Ein Internetausfall sollte Ihr Büro nicht lahmlegen. Redundante Zugänge, automatisches Failover und laufende Überwachung. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/fernzugriff-vpn-mfa-anwendungszugriff/