Im Jahr 2020 lösten fast alle Unternehmen das Thema Telearbeit auf dieselbe Weise: ein VPN an der Firewall, ein Benutzername und ein Passwort pro Mitarbeiter, und alle waren plötzlich von zu Hause aus “im Büro”. Es hat funktioniert – und genau darin liegt das Problem. Ein klassisches VPN verbindet den Remote-Computer so mit dem Firmennetzwerk, als wäre er physisch vor Ort: mit Zugriff auf Server, freigegebene Ordner, Drucker und alles andere, was das Netzwerk zu bieten hat. Wer sich mit gestohlenen Zugangsdaten anmeldet, erhält denselben Zugriff. Dieser Artikel erklärt, warum das VPN allein keine ausreichende Antwort mehr ist und was es in einem KMU ersetzt oder ergänzt.
Was eine VPN gut kann – und was nicht
Ein VPN tut eine Sache gut: Es verschlüsselt die Verbindung zwischen dem Remote-Computer und dem Unternehmen, sodass niemand im Café oder Hotel den Datenverkehr mitlesen kann. Was es nicht tut, ist zu überprüfen, wer sich außer mit dem Passwort auf der anderen Seite befindet, in welchem Zustand der Computer ist, der sich verbindet (aktualisiert? mit Antivirenprogramm? privat oder vom Unternehmen?), noch einzuschränken, was dieser Computer nach dem Verbindungsaufbau erreichen kann. Es ist eine Tür mit einem guten Schloss, die zum ganzen Haus führt.
Die drei echten Risiken
- Gestohlene Anmeldedatendie meisten Angriffe auf portugiesische Unternehmen beginnen mit einer Phishing-E-Mail, die jemanden dazu bringt, das Passwort auf einer gefälschten Website einzugeben. Wenn dieses Passwort auch das VPN öffnet, ist der Angreifer im Netzwerk, ohne etwas erzwingen zu müssen.
- Persönlicher Computer kompromittiertEin privater, mit der Familie geteilter Laptop ohne Aktualisierungen verbindet sich mit dem VPN und bringt mit, was er sich eingefangen hat. Das Firmennetzwerk behandelt ihn wie einen internen Arbeitsplatz.
- SeitwärtsbewegungEinmal drin, sucht der Angreifer nach dem Dateiserver, der Verwaltungssoftware und den Backups. In einem flachen Netzwerk erreicht er alles in wenigen Minuten. So hat die Mehrheit der uns bekannten Ransomware-Fälle in KMU begonnen.
Erster Schritt heute: MFA im VPN
Wenn Ihre VPN nur Benutzernamen und Passwort akzeptiert, ist die dringendste Maßnahme das Hinzufügen eines zweiten Faktors — einen Code in der Handy-App oder eine Benachrichtigung zur Genehmigung. Fast alle Unternehmens-Firewalls unterstützen dies ohne zusätzliche Lizenzkosten oder durch eine Integration in Microsoft 365. Mit MFA reicht ein gestohlenes Passwort nicht mehr aus. Wir haben erklärt, wie man das implementiert, in dem Artikel über Multifaktor-Authentifizierung im Unternehmen.
Zweiter Schritt: Überprüfen Sie das Equipment, nicht nur die Person
Der Fernzugriff sollte auch vom Computer abhängen. Die einfachste Regel: Nur firmeneigene, verwaltete und aktiv geschützte Geräte erhalten Zugriff auf das interne Netzwerk. Private Geräte greifen über den Browser mit bedingtem Zugriff auf E-Mails und Dateien in Microsoft 365 zu, ohne in das Netzwerk einzutragen. Dies trennt zwei Welten, die das klassische VPN vermischt: das Arbeiten mit Firmendaten und das Befinden innerhalb der Unternehmensinfrastruktur.
Dritter Schritt: App-basierter Zugriff anstelle von Netzwerkzugriff
Die meisten Menschen im Homeoffice benötigen drei oder vier Dinge: E-Mail, Dateien, die Management-Software und vielleicht einen Remote-Desktop. Keines davon erfordert es, “im Netzwerk” zu sein. E-Mail und Dateien sind bereits in Microsoft 365. Die Management-Software kann über ein Portal oder einen Remote-Desktop mit starker Authentifizierung bereitgestellt werden. Jeder Zugriff erfolgt auf eine spezifische Anwendung, wird protokolliert und öffnet nicht den Weg für den Rest. Das VPN bleibt denjenigen vorbehalten, die wirklich Server oder Geräte verwalten müssen – normalerweise das IT-Team – und selbst das mit MFA und von verwalteten Geräten aus.
Vierter Schritt: Segmentieren, was die VPN erreicht
Solange die VPN existiert, sollte das Segment, in dem sich Remotebenutzer befinden, keinen direkten Zugriff auf Backup-Server, Kameras, Industrieanlagen oder das Management-Netzwerk haben. Dies geschieht mithilfe von VLANs und Firewall-Regeln – dieselbe Arbeit, die wir beschrieben haben in VLANs und Netzwerksegmentierung und im Artikel über Zero Trust für KMU. Wenn ein Remotelaptop kompromitiert wird, bleibt der Schaden eingedämmt.
Und die externen Lieferanten?
Der Anbieter der Managementsoftware, der POS-Techniker, der Kamera-Installateur: Alle verlangen “einen VPN-Zugang” und geben ihn fast nie zurück. Jeder sollte ein eigenes Konto mit MFA haben, mit Zugriff nur auf den Server oder das Gerät, das er betreut, das nur während des Eingriffs aktiv und protokolliert ist. Bei den von uns durchgeführten Audits sind vergessene Lieferantenzugänge einer der häufigsten Funde.
Wie das in der Praxis bei einem KMU aussieht
Ein typisches Szenario mit 40 Arbeitsplätzen und 10 Personen im regelmäßigen Telearbeitsplatz: Microsoft 365 mit MFA und bedingtem Zugriff für E-Mail und Dateien; Management-Software, die in einer Remotedesktop-Umgebung mit MFA bereitgestellt wird; VPN wird nur für zwei Administratoren mit MFA aufrechterhalten und landet in einem Management-VLAN; Lieferantenzugänge werden manuell eingerichtet. Kosten für Lizenzen: kaum oder gar nichts zusätzlich zu dem, was das Unternehmen bereits bezahlt. Was sich ändert, ist die Architektur und wer sie verwaltet. In den Verträgen IT Unlimited Diese Zeichnung ist Teil des Dienstes und die Firewall ist von uns verwaltet und überwacht, wobei die Warnungen von Menschen bearbeitet werden.
Häufig gestellte Fragen
Soll ich das VPN ausschalten?
Nicht sofort. Fügen Sie zuerst MFA hinzu und schränken Sie deren Reichweite ein. Verlagern Sie dann die Zugriffe nach und nach auf veröffentlichte Anwendungen. Am Ende bleibt das VPN Systemadministratoren vorbehalten – wenigen, gut identifizierten Personen.
Ist der Remote-Zugriff auf den Arbeitsplatz sicher?
Ja, wenn er hinter einer starken Authentifizierung und nicht direkt dem Internet ausgesetzt ist. Ein Remotedesktopserver mit offenem Port und nur einem Passwort ist eines der bevorzugten Ziele für automatisierte Angriffe.
Darf ich persönliche Geräte erlauben?
Für E-Mails und Dateien im Browser, mit bedingtem Zugriff und ohne lokalen Download, ja. Für den Zugriff auf das interne Netzwerk nicht. Das ist die Trennung zwischen der Arbeit mit den Daten und dem Aufenthalt innerhalb der Infrastruktur.
Erfordert dies den Kauf einer neuen Lösung?
In den meisten KMU nicht. Es erfordert eine bessere Konfiguration der bereits vorhandenen Firewall und von Microsoft 365 und vor allem jemanden, der die Zugriffe fortlaufend verwaltet.
Möchten Sie den Fernzugriff Ihres Unternehmens überprüfen?
Wir analysieren, wer hineinkommt, mit welchen Berechtigungen und worauf sie zugreifen, und liefern einen schriftlichen Plan, um die verbleibenden Türen zu schließen. Sehen Sie sich unsere Managed Firewalls für Unternehmen Oder rufen Sie 211 459 950 an.
