VPN für Unternehmen einrichten: Der komplette Leitfaden

Ein VPN (Virtual Private Network) ist die Grundlage sicherer Remote-Arbeit. Es verschlüsselt den Datenverkehr zwischen Mitarbeitenden im Homeoffice und dem Unternehmensnetzwerk. Doch nicht jedes VPN ist gleich.

Warum ein VPN unverzichtbar ist

Ohne VPN überträgt ein Mitarbeitender im Homeoffice Unternehmensdaten über das öffentliche Internet, unverschlüsselt und potenziell abfangbar. Ein VPN erstellt einen verschlüsselten Tunnel, der alle Daten schützt. Gleichzeitig erscheint der Remote-Mitarbeitende für das Netzwerk wie ein lokaler Nutzer.

Site-to-Site vs. Client-VPN

Site-to-Site-VPN verbindet zwei Netzwerkstandorte dauerhaft miteinander, etwa Hauptsitz und Filiale. Client-VPN ermöglicht einzelnen Nutzern die Einwahl in das Unternehmensnetzwerk. Für KMU mit Homeoffice-Mitarbeitenden ist meist ein Client-VPN die richtige Wahl.

Protokolle: WireGuard vs. OpenVPN

WireGuard ist das modernste und performanteste VPN-Protokoll. Es ist schlank, schnell und einfacher zu konfigurieren als seine Vorgänger. OpenVPN ist das bewährte Open-Source-Protokoll, das von den meisten Business-Firewalls unterstützt wird. IPsec ist der traditionelle Standard, besonders in Enterprise-Umgebungen. Für Neuinstallationen empfehlen wir WireGuard.

Hardware-basierte VPN-Lösungen

Sophos, Fortinet, Cisco Meraki und Palo Alto bieten Firewalls mit eingebautem VPN-Server. Diese Lösungen sind robuster als Software-VPNs, erfordern aber eine Firewall im Unternehmen. Für KMU ab 10 Mitarbeitenden lohnt sich eine Hardware-Firewall mit VPN-Funktion fast immer.

Brauchen Sie überhaupt noch ein VPN?

Liegen E-Mail und Dateien in Microsoft 365 oder Google Workspace, greifen Mitarbeitende direkt über das Internet darauf zu, abgesichert durch Multi-Faktor-Anmeldung. Ein VPN braucht es dann nur noch für Systeme, die im Büro stehen, etwa einen Server mit Branchensoftware. Für diese Fälle setzen sich zunehmend Lösungen durch, die nur einzelne Anwendungen freigeben statt das ganze Netzwerk.

Checkliste für ein sicheres VPN

• Anmeldung nur mit Multi-Faktor-Authentifizierung.
• Aktuelle Firmware auf Firewall bzw. VPN-Gateway, Sicherheitsupdates zeitnah einspielen.
• Zugriff nur auf die Systeme, die wirklich gebraucht werden.
• Konten ausgeschiedener Mitarbeitender sofort sperren.
• Anmeldungen protokollieren und auffällige Muster melden lassen.

Ein typisches Szenario

Ein häufiges Beispiel: Ein Unternehmen hat zwei Standorte und mehrere Mitarbeitende im Homeoffice. Die Standorte werden über ein dauerhaftes Site-to-Site-VPN verbunden, sodass beide auf denselben Server zugreifen. Die Homeoffice-Kräfte nutzen einen VPN-Client mit Multi-Faktor-Anmeldung, der nur Zugriff auf die Branchensoftware gewährt, nicht auf das ganze Netzwerk. E-Mail und Dateien laufen ohnehin über Microsoft 365 und brauchen gar kein VPN.

So richten Sie das VPN ein

• Bedarf klären: Welche Systeme müssen von außen erreichbar sein?
• Passende Lösung wählen: in der Firewall integriert oder eigener Dienst.
• Zugänge persönlich vergeben, mit MFA.
• Nur benötigte Netzbereiche freigeben.
• Client auf den Firmengeräten verteilen und testen.

Aufwand realistisch einschätzen

Mit einer aktuellen Firewall ist ein VPN für kleine Teams meist in einem Tag eingerichtet. Laufender Aufwand entsteht durch Updates des VPN-Gateways und die Pflege der Zugänge bei Ein- und Austritten. Gerade die Updates sind wichtig, weil VPN-Systeme häufig angegriffen werden.

Alternativen zum klassischen VPN

Ein klassisches VPN verbindet Geräte mit dem gesamten Firmennetz. Zero Trust Network Access, kurz ZTNA, geht einen anderen Weg: Jede Verbindung wird einzeln geprüft, und Nutzer erhalten nur Zugriff auf genau die Anwendungen, die sie brauchen. Der Zustand des Geräts fließt in die Entscheidung ein, etwa ob Updates und Virenschutz aktuell sind. Für viele kleine Unternehmen ist ein gut abgesichertes VPN weiterhin ausreichend. Wer neu plant oder viele externe Zugriffe hat, sollte ZTNA aber in die Überlegungen einbeziehen.

Kurz zusammengefasst

• Site-to-Site verbindet Standorte, Client-VPN einzelne Geräte.
• MFA ist Pflicht.
• Nur so viel freigeben wie nötig.
• Cloud-Dienste brauchen oft gar kein VPN.

Fazit

Ein gut eingerichtetes VPN ist die Basis für sicheres Arbeiten von zu Hause. Investieren Sie in eine solide Lösung, aktivieren Sie MFA und überwachen Sie die VPN-Logs regelmäßig.