VPN steht für Virtual Private Network, also virtuelles privates Netzwerk. Vereinfacht verbindet ein VPN ein Gerät oder Netzwerk über eine geschützte Verbindung mit einem anderen Netzwerkpunkt.
Statt Daten direkt über das normale Netzwerk zum eigentlichen Ziel zu senden, werden sie zunächst durch einen sogenannten VPN-Tunnel zu einem VPN-Gateway transportiert.
ohne VPN
Gerät
↓
Internet
↓
Zielserver
Mit VPN kommt ein zusätzlicher Zwischenpunkt hinzu:
Gerät
↓
verschlüsselter VPN-Tunnel
↓
VPN-Gateway
↓
Internet
↓
Zielserver
Der entscheidende Zweck eines VPN besteht damit zunächst nicht darin, jemanden „unsichtbar“ zu machen. Ein VPN schafft einen geschützten Netzwerkpfad zwischen zwei Punkten. NIST beschreibt VPNs im Rahmen von Remote Access entsprechend als Technologie, mit der externe Benutzer geschützt auf nicht öffentliche Ressourcen einer Organisation zugreifen können. IPsec wiederum ist von der IETF ausdrücklich als Architektur für Sicherheitsdienste auf der IP-Ebene spezifiziert. (NIST Computer Security Resource Center)
Was bedeutet „Tunnel“?
Der Begriff klingt komplizierter, als das Grundprinzip ist.
Stell dir ein normales Netzwerkpaket vor:
Gerät
↓
Datenpaket
↓
Ziel
Bei einem VPN wird der zu transportierende Netzwerkverkehr innerhalb einer zusätzlichen geschützten Verbindung zwischen VPN-Client und VPN-Gateway übertragen.
VPN-Verbindung
┌──────────────────────────────┐
│ ursprünglicher Datenverkehr │
└──────────────────────────────┘
↓
geschützt übertragen
↓
VPN-Gateway
Das Gateway verarbeitet den Verkehr anschließend entsprechend seiner Konfiguration weiter.
Die genaue technische Konstruktion unterscheidet sich zwischen VPN-Protokollen. Das Grundprinzip bleibt jedoch: Zwischen zwei definierten VPN-Endpunkten entsteht ein geschützter Kommunikationskanal.
Verschlüsselung ist nicht dasselbe wie Anonymität
Das ist die wichtigste Unterscheidung des gesamten Artikels.
Ein VPN kann Netzwerkverkehr zwischen deinem Gerät und dem VPN-Gateway kryptografisch schützen.
Gerät
↓
verschlüsselt
↓
VPN-Gateway
Daraus folgt aber nicht:
VPN aktiv
↓
niemand weiß mehr,
wer ich bin
Denn Identität im Internet kann auf vielen verschiedenen Ebenen entstehen:
Login,
Cookies,
Browserinformationen,
Gerätekennungen,
E-Mail-Adresse,
Zahlungsdaten,
GPS beziehungsweise Standortfreigaben,
Kontohistorie.
Ein VPN verändert davon nur einen Teil: den Netzwerkweg.
Was sieht das lokale Netzwerk ohne VPN?
Du sitzt beispielsweise in einem Hotel-WLAN.
Dein Gerät kommuniziert über:
Notebook
↓
Hotel-WLAN
↓
Internetanbieter
↓
Internet
Bei unverschlüsselten Protokollen könnten Teilnehmer auf dem Netzwerkweg prinzipiell Inhalte lesen oder manipulieren. Moderne HTTPS-Verbindungen verwenden dagegen TLS, das nach erfolgreichem Verbindungsaufbau Vertraulichkeit und Integrität der übertragenen Anwendungsdaten gewährleisten soll. (RFC Editor)
Deshalb ist die Aussage:
Ohne VPN kann jeder im WLAN sämtliche Webseiten mitlesen.
für heutiges HTTPS-Web zu pauschal.
HTTPS schützt bereits sehr viel
Wenn du eine Website über:
https://
aufrufst, entsteht grundsätzlich eine verschlüsselte Verbindung zwischen deinem Browser und dem entsprechenden HTTPS-Endpunkt.
Browser
════════ TLS ════════
Webserver
TLS 1.3 ist ausdrücklich darauf ausgelegt, die nach dem Verbindungsaufbau übertragenen Daten vor Mitlesen und unbemerkter Veränderung durch einen Angreifer auf dem Netzwerkweg zu schützen. (RFC Editor)
Ein VPN ersetzt HTTPS deshalb nicht.
VPN und HTTPS schützen unterschiedliche Strecken
Ohne VPN:
Browser
════════════ HTTPS ════════════
Website
Mit VPN:
Gerät
════ VPN-Tunnel ════
VPN-Gateway
↓
╚════ HTTPS ════ Website
Das VPN schützt die Verbindung bis zum VPN-Gateway.
HTTPS schützt die Anwendungsdaten zwischen Browser und Website.
Beides kann gleichzeitig eingesetzt werden.
Das VPN kann HTTPS nicht einfach „besser verschlüsseln“
Wenn eine Website bereits korrekt über HTTPS übertragen wird, ist deren eigentlicher Inhalt zwischen Browser und Website bereits kryptografisch geschützt. Das VPN legt eine weitere geschützte Transportebene um den Verkehr auf dem Weg zum VPN-Gateway.
Der Nutzen besteht also nicht darin:
HTTPS
+
VPN
=
doppelt so geheime Website
Vielmehr schützen die beiden Verfahren unterschiedliche Kommunikationsbeziehungen.
Was sieht das lokale WLAN bei einem VPN?
Bei einem VPN sieht das lokale Netzwerk grundsätzlich die Kommunikation mit dem VPN-Endpunkt, nicht einfach den unverpackten Verkehr innerhalb des Tunnels.
Vereinfacht:
Hotel-WLAN sieht:
dein Gerät
↓
Verbindung zu VPN-Gateway
Der Verkehr innerhalb dieser Verbindung ist durch das jeweilige VPN-Verfahren geschützt.
Das macht VPNs für Remote-Zugriffe aus fremden Netzwerken nützlich. Gleichzeitig warnt CISA zu Recht davor, VPN als magische Sicherheitsgrenze zu behandeln: Ein VPN besitzt selbst Software, Konfiguration und mögliche Schwachstellen, und seine Sicherheit hängt auch von den verbundenen Endgeräten ab. (CISA)
Ein infizierter Laptop wird durch VPN nicht sauber
Angenommen, auf dem Notebook läuft ein Infostealer.
Dann kann dieser möglicherweise:
Passwörter,
Browserdaten,
Dateien,
Sitzungsinformationen
bereits vor der VPN-Verschlüsselung auslesen.
Malware
↓
liest Daten auf Gerät
VPN
↓
verschlüsselt anschließend
die Netzwerkübertragung
Das VPN schützt dann zwar den Transportweg, nicht aber das kompromittierte Endgerät. Genau deshalb betont CISA bei VPN-basiertem Remote Access, dass die Verbindung nur so sicher sein kann wie die daran beteiligten Systeme. (CISA)
VPN schützt nicht vor Phishing
Du aktivierst dein VPN.
Dann erhältst du eine gefälschte Nachricht:
Ihr Konto wurde gesperrt. Hier anmelden.
Du öffnest eine Phishingseite und gibst dort dein Passwort ein.
VPN aktiv
↓
Phishingseite
↓
Nutzer trägt Passwort ein
↓
Angreifer bekommt Passwort
Das VPN hat exakt das getan, wofür es gebaut wurde: die Netzwerkverbindung zum VPN-Gateway geschützt.
Es hat nicht beurteilt:
Ist diese Website ehrlich?
Phishing ist ein Authentifizierungs- und Vertrauensproblem, kein Tunnelproblem.
VPN schützt nicht automatisch vor Malware
Dasselbe gilt für einen schädlichen Download.
VPN
↓
verschlüsselte Übertragung
↓
Malware-Datei
↓
Gerät führt sie aus
Die Tatsache, dass eine gefährliche Datei verschlüsselt übertragen wurde, macht sie nicht ungefährlich.
Ein VPN ersetzt deshalb weder:
Endpoint-Schutz,
Updates,
sichere Softwarequellen,
noch:
Backups.
Was passiert mit der IP-Adresse?
Hier entsteht das bekannteste sichtbare Ergebnis eines typischen Consumer-VPN.
Ohne VPN:
Gerät
↓
Internetzugang
↓
Website sieht
öffentliche IP des Anschlusses
Bei einem klassischen Full-Tunnel-VPN:
Gerät
↓
VPN
↓
VPN-Gateway
↓
Website
sendet das VPN-Gateway den Verkehr weiter. Für das Ziel erscheint auf Netzwerkebene daher typischerweise die öffentliche Adresse des Gateways als unmittelbare Quelladresse.
Das wird häufig als:
„VPN versteckt deine IP-Adresse“
beworben.
Präziser ist:
Die Zielwebsite sieht bei entsprechend geroutetem Verkehr die Adresse des VPN-Ausgangs statt unmittelbar die öffentliche Adresse deines normalen Internetzugangs.
Deine ursprüngliche IP-Adresse verschwindet dadurch nicht aus der Welt
Der VPN-Anbieter beziehungsweise Betreiber des Gateways muss deine Verbindung entgegennehmen.
Er sieht daher technisch eine Verbindung von deinem Gerät beziehungsweise Internetanschluss zu seiner Infrastruktur.
Internetanbieter
↓
kennt Anschluss
VPN-Gateway
↓
erhält VPN-Verbindung
Website
↓
sieht VPN-Ausgang
Ein VPN beseitigt damit nicht sämtliche Vertrauensbeziehungen.
Es verschiebt einen Teil davon.
Ein VPN-Anbieter wird zum neuen Netzwerk-Zwischenpunkt
Ohne VPN verläuft dein Verkehr vereinfacht über:
Gerät
↓
Internetanbieter
↓
Ziel
Mit kommerziellem VPN:
Gerät
↓
Internetanbieter
↓
VPN-Anbieter
↓
Ziel
Der Internetanbieter sieht nun vor allem die Verbindung zum VPN-Gateway. Dafür befindet sich der VPN-Betreiber an einer besonders interessanten Stelle des Netzwerkpfades.
Deshalb sollte die Frage bei einem VPN-Anbieter nicht nur lauten:
Wie viele Server hat er?
sondern:
Wem vertraue ich hier
einen Teil meines
Netzwerkverkehrs an?
HTTPS schützt Inhalte weiterhin gegenüber dem VPN-Gateway
Eine korrekt aufgebaute HTTPS-Verbindung reicht durch den VPN-Tunnel hindurch bis zur Website.
Browser
════════════ HTTPS ════════════
Website
innerhalb des Weges:
VPN-Gateway
Das VPN-Gateway transportiert den HTTPS-Verkehr weiter, besitzt deshalb aber nicht automatisch den TLS-Schlüssel der Browser-Website-Verbindung.
TLS ist gerade dafür konzipiert, dass der Inhalt des geschützten Kanals nur für dessen Endpunkte sichtbar ist. (RFC Editor)
Das VPN kann also Netzwerkmetadaten sehen beziehungsweise beeinflussen, ohne damit automatisch den Klartext jeder HTTPS-Verbindung lesen zu können.
Metadaten verschwinden nicht durch Verschlüsselung
Verschlüsselung schützt den Inhalt einer Kommunikation sehr gut.
Sie kann aber nicht sämtliche Eigenschaften der Kommunikation verbergen.
Beispielsweise können je nach Position und Technik sichtbar beziehungsweise ableitbar bleiben:
dass eine Verbindung besteht,
wann sie beginnt,
wie lange sie dauert,
wie viel Verkehr übertragen wird.
TLS selbst verspricht ausdrücklich keine vollständige Verschleierung von Datenlängen und Verkehrsmustern. (RFC Editor)
Deshalb gilt:
verschlüsselt
≠
unsichtbar
Macht ein VPN anonym?
Nein, nicht automatisch.
Angenommen, du aktivierst ein VPN und öffnest anschließend:
amazon.example
Dann meldest du dich mit deinem persönlichen Konto an.
VPN-IP
+
Login
↓
Website weiß,
welches Konto du verwendest
Die geänderte Netzwerkadresse verhindert nicht, dass du dich selbst identifizierst.
Dasselbe gilt für:
E-Mail,
soziale Netzwerke,
Onlineshops,
Cloudkonten.
Cookies funktionieren auch mit VPN
Im Artikel über Cookies und Tracking haben wir gesehen, dass ein Browser durch gespeicherte Kennungen wiedererkannt werden kann.
Angenommen:
Cookie:
visitor=4711
Du nutzt heute deine normale IP.
Morgen ein VPN.
Übermorgen einen anderen VPN-Server.
Das Cookie kann trotzdem im Browser bleiben:
IP A
↓
Cookie 4711
VPN-IP B
↓
Cookie 4711
VPN-IP C
↓
Cookie 4711
Ein VPN löscht weder Cookies noch Local Storage.
Es verhindert deshalb nicht automatisch browserbasiertes Tracking.
Fingerprinting funktioniert ebenfalls unabhängig von der VPN-Idee
Ein Dienst kann versuchen, Geräte beziehungsweise Browser anhand verschiedener Eigenschaften wiederzuerkennen.
Wie im Artikel Cookies und Tracking beschrieben, ist Tracking nicht auf IP-Adressen oder Cookies beschränkt.
Deshalb:
VPN
→ verändert Netzwerkpfad
aber nicht zwingend:
VPN
→ verändert Browser
→ löscht Cookies
→ verhindert Fingerprinting
Ein VPN ist kein allgemeines Anti-Tracking-System.
Standort und VPN
Ein häufiger Einsatzzweck besteht darin, einen VPN-Ausgang in einer bestimmten Region zu verwenden.
Die Website sieht dann beispielsweise eine IP-Adresse, die geografisch einem VPN-Rechenzentrum in einem anderen Land zugeordnet wird.
Dadurch kann eine IP-basierte Standortschätzung verändert werden.
Aber dein tatsächlicher Standort kann zusätzlich aus anderen Quellen stammen.
Beispielsweise:
GPS
Browser-Standortfreigabe
Kontoangaben
Lieferadresse
Mobilfunkinformationen
Deshalb gilt:
VPN-Ausgang in Paris
≠
Gerät befindet sich
physisch in Paris
Das VPN verändert den Netzwerk-Ausgangspunkt, nicht die Realität.
Was ist ein Consumer-VPN?
Das ist die Variante, die den meisten Menschen aus Werbung bekannt ist.
Notebook / Smartphone
↓
VPN-App
↓
Server des VPN-Anbieters
↓
Internet
Typische Ziele sind:
Schutz des Netzwerkwegs bis zum VPN-Anbieter,
Änderung des sichtbaren Internet-Ausgangs,
Nutzung eines definierten VPN-Standorts.
Der Nutzer möchte also meist ins öffentliche Internet hinaus.
Ein Unternehmens-VPN verfolgt häufig das gegenteilige Ziel
Hier möchte ein Mitarbeiter nicht primär über irgendeinen VPN-Server surfen.
Er möchte von außen in geschützte Unternehmensressourcen gelangen.
Homeoffice
↓
Internet
↓
VPN-Gateway des Unternehmens
↓
internes Netzwerk
↓
Dateiserver / Anwendungen
NIST behandelt VPNs deshalb vor allem als Remote-Access-Technologie für nicht öffentliche Unternehmensressourcen. (NIST Computer Security Resource Center)
Consumer-VPN und Unternehmens-VPN verwenden also ähnliche Grundkonzepte, erfüllen aber unterschiedliche Aufgaben.
Remote-Access-VPN
Beim Remote Access verbindet sich ein einzelnes Gerät mit einem entfernten Netzwerk.
Mitarbeiter-Notebook
↓
VPN-Tunnel
↓
Unternehmen
Der Client erhält dadurch abhängig von der Architektur Zugriff auf definierte interne Ressourcen.
Das war über Jahrzehnte ein Standardmodell für Homeoffice und externe Administration. NIST SP 800-46 beschreibt Remote Access entsprechend als Zugriff externer Nutzer auf nicht öffentliche Ressourcen einer Organisation. (NIST Computer Security Resource Center)
Site-to-Site-VPN
Hier werden nicht einzelne Benutzer, sondern ganze Netzwerke verbunden.
Beispielsweise:
Büro Wien
↓
VPN-Gateway
══════════════════
VPN-Gateway
↓
Büro Graz
Für Geräte innerhalb der beiden Standorte kann die Verbindung dadurch wie eine Netzwerkverbindung zwischen den Standorten funktionieren.
IPsec ist für solche IP-basierten Sicherheitsbeziehungen ein klassisches standardisiertes Fundament. RFC 4301 beschreibt ausdrücklich Sicherheitsdienste auf der IP-Schicht für IPv4 und IPv6.
Ein VPN kann deshalb wie ein langes virtuelles Netzwerkkabel wirken
Physisch liegen zwischen zwei Standorten:
Router,
Internetanbieter,
Internet,
viele Netzwerkkomponenten.
Logisch kann der geschützte Tunnel sie verbinden:
LAN A
↓
VPN
↓
LAN B
Das ist die Idee hinter dem „Virtual Private Network“ besonders anschaulich.
Welche VPN-Protokolle gibt es?
VPN ist kein einzelnes Protokoll.
Es ist eine Funktionsklasse.
Verschiedene technische Verfahren können den Tunnel aufbauen.
Ein klassisches Beispiel ist IPsec. Die IETF definiert IPsec als Sicherheitsarchitektur für IP-Verkehr und beschreibt dabei unter anderem Sicherheitsbeziehungen und Verarbeitung des Netzwerkverkehrs.
Daneben gibt es Remote-Access-Lösungen, die TLS-basierte Verbindungen verwenden. NIST hat solche SSL/TLS-VPN-Konzepte insbesondere für den geschützten Remotezugriff auf Unternehmensressourcen beschrieben. (NIST)
Für den normalen Nutzer ist weniger wichtig, jeden Protokollnamen auswendig zu kennen.
Wichtiger ist:
Wie wird authentifiziert?
Welche Kryptografie wird verwendet?
Ist die Implementierung aktuell?
Was wird durch den Tunnel geroutet?
Welche Ressourcen werden erreichbar?
CISA empfiehlt bei eingesetzten VPN-Gateways ausdrücklich aktuelle Software, starke Kryptografie und die Deaktivierung unnötiger Funktionen beziehungsweise veralteter kryptografischer Optionen. (CISA)
Verschlüsselung löst nur die Transportfrage
Ein VPN-Protokoll kann mathematisch ausgezeichnet sein.
Wenn das VPN-Konto geschützt wird durch:
admin
Passwort: admin123
bleibt der Remotezugang schwach.
Darum sollte ein Unternehmens-VPN mit einer starken Authentifizierungsstrategie kombiniert werden.
VPN
+
starke Identität
+
MFA
+
sicheres Gerät
CISA empfiehlt bei Remotezugängen ausdrücklich MFA beziehungsweise moderne Zero-Trust-Gateways, beispielsweise wenn RDP von außen erreichbar sein muss. (CISA)
VPN-Gateway ist selbst ein sensibles System
Ein Unternehmens-VPN steht oft direkt am Übergang zwischen Internet und internen Ressourcen.
Internet
↓
VPN-Gateway
↓
internes Netzwerk
Damit wird es zu einem interessanten Angriffsziel.
Ein Angreifer, der das Gateway erfolgreich kompromittiert, befindet sich an einem äußerst wertvollen Punkt der Infrastruktur.
CISA warnt deshalb ausdrücklich vor Sicherheitsrisiken traditioneller Remote-Access- und VPN-Installationen und empfiehlt Unternehmen, Fehlkonfigurationen sowie Schwachstellen von VPN-Infrastruktur ernst zu nehmen. (CISA)
VPN-Software muss aktualisiert werden
Auch ein Sicherheitsprodukt besteht aus Software.
Und Software kann Sicherheitslücken besitzen.
Deshalb ist:
VPN
→ installiert
→ zehn Jahre nicht angefasst
kein Sicherheitskonzept.
CISA erinnert bei Remotezugang regelmäßig daran, VPN-Produkte aktuell zu halten und ihre externe Angriffsfläche auf das Notwendige zu reduzieren. (CISA)
Was ist Full Tunneling?
Bei einem Full Tunnel wird der für die VPN-Konfiguration vorgesehene Internetverkehr des Geräts durch den VPN-Tunnel geleitet.
Vereinfacht:
Notebook
├── Website A ┐
├── Website B ├─→ VPN → Internet
├── DNS │
└── Firma ┘
Das Unternehmen beziehungsweise der VPN-Anbieter kontrolliert damit einen großen Teil des Netzwerkpfads.
Für Unternehmen kann das interessant sein, wenn auch externe Webzugriffe über zentrale Sicherheitskontrollen geführt werden sollen.
Der Preis:
mehr Verkehr,
höhere Belastung des Gateways,
gegebenenfalls zusätzliche Latenz.
Was ist Split Tunneling?
Bei Split Tunneling wird nur bestimmter Verkehr durch das VPN geschickt.
Beispielsweise:
internes ERP
↓
VPN
↓
Unternehmen
während:
öffentliche Website
↓
direkt über
lokalen Internetanschluss
läuft.
Das kann Bandbreite sparen und die Wege verkürzen.
Es erzeugt aber zwei parallele Netzwerkpfade.
Notebook
├── interner Verkehr → VPN
└── Internetverkehr → direkt
Für Unternehmen ist das eine Sicherheits- und Architekturentscheidung, weil das externe Gerät gleichzeitig Verbindung zum Unternehmensnetz und zu einem anderen Netz besitzen kann. NIST empfiehlt Remote-Access-Architekturen generell auf Basis eines Threat Models zu planen und sowohl das entfernte Gerät als auch die Zugriffstechnologie angemessen abzusichern. (NIST Computer Security Resource Center)
Split Tunnel ist weder automatisch gut noch automatisch schlecht
Es ist ein Trade-off.
Full Tunnel:
mehr zentrale Kontrolle
+
einheitlicher Netzwerkpfad
dafür möglicherweise:
mehr Bandbreite
+
mehr Latenz
+
größere zentrale Abhängigkeit
Split Tunnel:
direktere Internetwege
+
geringere VPN-Last
dafür:
mehr parallele Netzwerkpfade
+
komplexere Sicherheitsbewertung
Die richtige Lösung hängt vom Bedrohungsmodell ab.
DNS und VPN
Bevor dein Browser beispielsweise:
casiopeya.de
aufrufen kann, muss dieser Name grundsätzlich in eine passende Netzwerkadresse aufgelöst werden.
Das geschieht über DNS.
Domainname
↓
DNS-Auflösung
↓
IP-Adresse
Wenn ein VPN zwar Webverkehr tunnelt, DNS-Anfragen aber außerhalb des vorgesehenen Tunnels an einen anderen Resolver gehen, entsteht eine andere Sichtbarkeit als erwartet.
Deshalb gehört DNS zur VPN-Konfiguration.
DNS kann selbst verschlüsselt werden
DNS war traditionell nicht auf Vertraulichkeit ausgelegt. Mit DNS over TLS und DNS over HTTPS existieren standardisierte Verfahren, DNS-Anfragen gegenüber dem jeweiligen Resolver verschlüsselt zu transportieren. RFC 7858 beschreibt DNS over TLS ausdrücklich zur Reduzierung von Mithören und Manipulation auf dem Netzwerkpfad; RFC 8484 definiert DNS-Anfragen über HTTPS. (RFC Editor)
Auch hier gilt allerdings:
DNS verschlüsselt
≠
niemand kennt Anfrage
Der gewählte DNS-Resolver muss die Anfrage letztlich verarbeiten.
Wieder verschiebt Verschlüsselung die Vertrauensgrenze.
Ein „DNS Leak“ ist deshalb vor allem ein Routing- und Erwartungsproblem
Ein Nutzer erwartet:
alles läuft durch VPN
Tatsächlich laufen DNS-Anfragen aber:
Gerät
↓
lokaler DNS-Resolver
außerhalb dieses Weges.
Dann entspricht die reale Architektur nicht der erwarteten.
Die Lösung besteht nicht in mystischer „Leak Protection“, sondern darin, Netzwerkpfade bewusst zu konfigurieren und zu überprüfen.
VPN-Kill-Switch
Viele VPN-Systeme kennen konzeptionell eine Funktion, die verhindern soll, dass Verkehr nach einem Abbruch des VPN-Tunnels unbemerkt über die normale Verbindung weiterläuft.
Das Ziel:
VPN funktioniert
↓
Verkehr erlaubt
aber:
VPN fällt aus
↓
Verkehr blockieren
statt:
VPN fällt aus
↓
Betriebssystem routet
plötzlich direkt ins Internet
Das kann sinnvoll sein, wenn ein bestimmter Netzwerkweg zwingend vorgeschrieben ist.
Es macht den Rechner aber ebenfalls nicht anonym oder malwarefrei.
Ist öffentliches WLAN ohne VPN gefährlich?
Die Antwort lautet heute:
Es kommt darauf an, was man genau meint.
HTTPS schützt Webinhalte bereits gegen einfaches Mitlesen auf dem Netzwerkweg. (RFC Editor)
Ein VPN schafft darüber hinaus einen geschützten Tunnel vom Gerät bis zu einem definierten Gateway und kann damit auch anderen entsprechend gerouteten Netzwerkverkehr schützen.
Deshalb kann VPN in fremden Netzen weiterhin sinnvoll sein.
Aber die alte Vorstellung:
öffentliches WLAN
↓
ohne VPN
↓
sämtliche Passwörter sofort sichtbar
passt nicht mehr pauschal zum modernen HTTPS-Web.
Ein bösartiges WLAN kann trotzdem Probleme verursachen
Ein fremdes Netzwerk kann beispielsweise versuchen:
DNS zu beeinflussen,
unverschlüsselte Verbindungen zu manipulieren,
Verbindungen zu blockieren,
Nutzer auf betrügerische Portale zu locken.
Ein VPN reduziert einige netzwerkbasierte Angriffsflächen, indem es einen authentifizierten geschützten Tunnel zu einem bekannten Gateway aufbaut.
Aber auch hier gilt:
Wenn der Nutzer anschließend auf einer echten aussehenden Phishingseite freiwillig seine Daten eingibt, hilft die Tunnelverschlüsselung nicht.
VPN und HTTPS ergänzen sich deshalb
Der praktische Gedanke lautet:
HTTPS
→ schützt Webverbindung
bis zur Website
VPN
→ schützt Netzwerkpfad
bis zum VPN-Gateway
MFA / Passkey
→ schützt Anmeldung
Endpoint-Schutz
→ schützt Gerät
Backup
→ schützt Wiederherstellbarkeit
Jede Ebene löst ein anderes Problem.
Ein VPN ersetzt keine Firewall
Eine Firewall entscheidet, welcher Netzwerkverkehr erlaubt oder blockiert wird.
Ein VPN schafft einen geschützten Netzwerkpfad.
Beides kann gemeinsam eingesetzt werden.
VPN
→ wie kommt Verkehr
sicher von A nach B?
Firewall
→ welcher Verkehr
darf überhaupt passieren?
Ein Unternehmen könnte daher einen VPN-Benutzer erfolgreich authentifizieren und anschließend nur bestimmte interne Systeme über Firewallregeln freigeben.
Ein VPN bedeutet nicht „volle Rechte im Netzwerk“
Zumindest sollte das nicht automatisch so sein.
Ein klassisches schlechtes Modell wäre:
VPN erfolgreich
↓
du bist jetzt „intern“
↓
du darfst praktisch alles
Genau diese Vorstellung eines vertrauenswürdigen internen Netzes wird durch Zero-Trust-Architekturen zunehmend infrage gestellt. NIST beschreibt Zero Trust ausdrücklich so, dass keinem Benutzer und keinem Gerät allein aufgrund seines Netzwerkstandorts implizit vertraut werden soll; Zugriff soll sich stärker an Benutzer, Gerät und konkreter Ressource orientieren. (NIST Computer Security Resource Center)
Warum Zero Trust über klassisches VPN hinausgeht
Ein klassisches VPN denkt häufig in Netzwerkgrenzen:
außen
↓
VPN
↓
innen
Zero Trust fragt dagegen:
Wer bist du?
Welches Gerät verwendest du?
Welche Ressource brauchst du?
Bist du dafür autorisiert?
Ist der Kontext weiterhin vertrauenswürdig?
NIST formuliert den Paradigmenwechsel ausdrücklich als Bewegung weg von statischen Netzwerkperimetern hin zum Schutz einzelner Benutzer, Geräte, Dienste und Ressourcen. (NIST Computer Security Resource Center)
Das bedeutet nicht, dass VPNs plötzlich nutzlos sind
VPN kann weiterhin hervorragend geeignet sein für:
Standortverbindungen,
bestimmte administrative Netze,
spezifischen Remote Access,
geschützte Netzwerkpfade.
Aber:
VPN verbunden
=
automatisch vertrauenswürdig
ist als alleiniges Sicherheitsmodell zu grob.
CISA empfiehlt Organisationen deshalb inzwischen, neben traditionellen VPN-Architekturen auch modernere Zugriffsmodelle wie Zero Trust, SSE und SASE zu prüfen. (CISA)
VPN und Zero Trust können nebeneinander existieren
Die Technologien schließen sich nicht zwangsläufig gegenseitig aus.
Ein Unternehmen kann beispielsweise bestimmte Netzwerke weiterhin über VPN verbinden und gleichzeitig einzelne Anwendungen stärker identitätsbasiert schützen.
Netzwerkverbindung
→ VPN
plus:
Ressourcenzugriff
→ Identität
→ Gerätezustand
→ Autorisierung
Die Entwicklung verlagert also den Sicherheitsfokus.
Vom:
„Bist du im internen Netz?“
hin zu:
„Darf genau diese Identität
mit genau diesem Gerät
jetzt auf genau diese Ressource zugreifen?“
Was bedeutet „No-Log-VPN“?
Bei kommerziellen VPN-Diensten begegnet häufig das Versprechen:
No Logs
Das ist kein VPN-Protokoll.
Es ist eine Aussage über die Datenverarbeitung des Betreibers.
Ein VPN kann technisch identisch funktionieren, unabhängig davon, ob der Betreiber umfangreiche Verbindungsprotokolle speichert oder versucht, möglichst wenig davon aufzubewahren.
Die Frage lautet also:
Was kann der Dienst technisch sehen?
Was verarbeitet er tatsächlich?
Was speichert er?
Wie lange?
Zu welchem Zweck?
Das ist eine Datenschutz- und Vertrauensfrage und sollte nicht mit der eigentlichen Tunneltechnik verwechselt werden.
Ein VPN-Anbieter kann nicht beweisen, dass du „anonym“ bist
Schon deshalb nicht, weil viele andere Systeme beteiligt sind.
Du kannst gleichzeitig:
bei Google angemeldet,
bei einem Shop eingeloggt,
mit persistenten Cookies versehen,
über Zahlungsdaten identifiziert
sein.
Das VPN kontrolliert diese Schichten nicht.
VPN
→ Netzwerkidentität teilweise verändert
aber:
Kontoidentität
Browseridentität
Zahlungsidentität
Geräteidentität
→ bleiben eigene Ebenen
VPN ist deshalb kein Datenschutz-Komplettpaket
Die Werbevorstellung lautet oft:
VPN aktiv
↓
Privatsphäre gelöst
Das tatsächliche Modell:
Privatsphäre
├── Netzwerk
├── Browser
├── Cookies
├── Konten
├── Dienste
├── Geräte
├── Betriebssystem
└── Verhalten
VPN beeinflusst vor allem den ersten Bereich.
Kann ein VPN Tracking verhindern?
Nur bestimmte Formen, die unmittelbar von der ursprünglichen Netzwerkadresse abhängen.
Nicht automatisch:
Cookies,
Logintracking,
Local Storage,
Fingerprinting,
serverseitige Nutzerkonten.
Darum ist ein VPN keine Alternative zu einer datensparsamen Browser- und Websitearchitektur, wie sie unter Cookies und Tracking beschrieben wurde.
Kann ein VPN Werbung blockieren?
Das ist keine notwendige Eigenschaft eines VPN.
Ein Anbieter kann zusätzliche DNS- oder Filterfunktionen integrieren.
Dann blockiert aber die Filterfunktion bestimmte Ziele.
Nicht der VPN-Tunnel als solcher.
VPN
→ geschützter Transport
Filter
→ bestimmte Ziele blockieren
Solche Funktionen sollten begrifflich getrennt werden.
Kann ein VPN Viren blockieren?
Dasselbe Prinzip.
Ein VPN kann mit zusätzlichen Sicherheitsdiensten kombiniert werden.
Aber VPN selbst bedeutet zunächst nicht:
Malwareanalyse.
VPN-Tunnel
≠
Antivirus
CISA trennt ebenfalls den sicheren Remotezugang von der Sicherheit der beteiligten Endgeräte. (CISA)
Kann ein VPN Passwörter schützen?
Auf dem Netzwerkweg kann der geschützte Tunnel verhindern, dass bestimmte unverschlüsselte Daten auf dem lokalen Weg einfach mitgelesen werden.
Aber moderne Passwörter sollten ohnehin nur über authentifizierte verschlüsselte Anwendungen übertragen werden.
Das größere Passwortproblem liegt heute häufig bei:
Phishing,
Wiederverwendung,
Malware,
schwachen Loginverfahren.
Dafür brauchen wir:
und Schutz vor Phishing.
Kann ein VPN den Internetanbieter unsichtbar machen?
Der Internetanbieter muss deine Daten zum VPN-Server transportieren.
Er sieht deshalb weiterhin, dass dein Anschluss Daten überträgt und grundsätzlich, dass eine Verbindung zu einem bestimmten Netzwerkziel besteht.
Der Verkehr innerhalb des VPN-Tunnels ist entsprechend geschützt.
Das bedeutet:
ISP sieht nicht einfach
den ungeschützten Tunnelinhalt
aber nicht:
ISP sieht überhaupt
keine Netzwerkaktivität mehr
Auch verschlüsselte Protokolle verbergen nicht sämtliche Verkehrseigenschaften. (RFC Editor)
Kann ein VPN die Internetgeschwindigkeit erhöhen?
Normalerweise fügt ein VPN zunächst zusätzliche Verarbeitung und möglicherweise einen längeren Netzwerkweg hinzu.
ohne VPN:
A → B
mit VPN:
A → VPN → B
Verschlüsselung und zusätzlicher Routingweg können daher zusätzliche Latenz beziehungsweise Overhead erzeugen.
In speziellen Netzsituationen kann ein anderer Routingweg dennoch günstiger sein. Daraus sollte aber keine allgemeine Behauptung werden:
VPN
=
schnelleres Internet
Serverentfernung beeinflusst Latenz
Wenn du in Wien sitzt, das VPN-Gateway aber sehr weit entfernt liegt, muss jedes Paket zunächst dorthin.
Wien
↓
VPN weit entfernt
↓
Ziel
Für Anwendungen mit niedriger Latenz kann das spürbar sein.
Deshalb ist die Wahl eines VPN-Ausgangs nicht nur eine Datenschutz-, sondern auch eine Netzwerkfrage.
VPN kann Anwendungen stören
Einige Dienste reagieren auf:
ungewohnte IP-Adressen,
häufig wechselnde Regionen,
bekannte Rechenzentrumsnetze
mit zusätzlichen Sicherheitsprüfungen.
Das ist aus Sicht eines Dienstes nachvollziehbar: Eine Anmeldung, die plötzlich über eine andere Region beziehungsweise Netzwerkinfrastruktur erfolgt, kann ein Risikosignal sein.
Ein VPN kann deshalb Komfortprobleme verursachen, obwohl technisch alles korrekt funktioniert.
Ein eigenes VPN
Statt einem kommerziellen Anbieter zu vertrauen, kann man selbst einen VPN-Server betreiben.
Beispielsweise:
Notebook unterwegs
↓
VPN
↓
eigener Server zu Hause
↓
Internet
Damit ändert sich die Vertrauensstruktur.
Nun vertraust du nicht einem Consumer-VPN-Anbieter, sondern:
deiner eigenen Serverkonfiguration,
deinem Hosting- beziehungsweise Internetanbieter,
deinem Endgerät.
Ein eigener VPN macht dich ebenfalls nicht anonym
Angenommen, dein VPN endet auf deinem Heimanschluss.
Dann erscheint dein Verkehr anschließend gerade wieder unter:
deiner Heim-IP
Das kann hervorragend sein, um unterwegs sicher auf:
NAS,
Smart Home,
interne Dienste
zuzugreifen.
Für das Ziel:
meine normale IP-Adresse
vor Websites verbergen
ist ein solcher Aufbau dagegen offensichtlich etwas anderes als ein kommerzieller VPN-Ausgang.
VPN zu Hause als Remote Access
Das ist ein sehr sinnvoller Einsatzzweck.
Statt Dienste direkt öffentlich ins Internet zu stellen:
NAS
→ öffentlich erreichbar
kann der Zugang beispielsweise erfolgen über:
Internet
↓
VPN-Gateway
↓
internes Netz
↓
NAS
Damit muss nicht jeder einzelne interne Dienst unmittelbar von außen erreichbar sein.
Auch hier sollte jedoch das VPN-Gateway selbst:
aktuell,
stark authentifiziert,
minimal exponiert
sein. CISA empfiehlt gerade bei Remote-Access-Gateways die externe Angriffsfläche und unnötige Funktionen zu reduzieren. (CISA)
VPN ist kein Ersatz für MFA beim internen Dienst
Nur weil ein Nutzer über VPN kommt:
VPN erfolgreich
↓
interne Anwendung
sollte die Anwendung nicht automatisch davon ausgehen:
Dieser Nutzer ist vertrauenswürdig.
Das ist der zentrale Zero-Trust-Gedanke.
NIST fordert ausdrücklich, Identität und Autorisierung nicht allein aus dem Netzwerkstandort abzuleiten. (NIST Computer Security Resource Center)
VPN und RDP
Remote Desktop direkt öffentlich ins Internet zu stellen, schafft eine wertvolle Angriffsfläche.
CISA empfiehlt bei notwendigem RDP-Zugriff, diesen beispielsweise über einen sicheren VPN-Zugang mit MFA oder über ein Zero-Trust-Remote-Access-Gateway bereitzustellen. (CISA)
Das Grundprinzip:
Internet
X
direktes RDP
stattdessen:
Internet
↓
starke Authentifizierung
↓
VPN / sicherer Zugriffsgateway
↓
RDP
Auch VPN braucht Least Privilege
Ein Administrator benötigt vielleicht Zugriff auf:
Server A.
Daraus folgt nicht automatisch:
VPN
↓
komplettes internes Netz
Besser:
Admin
↓
VPN
↓
nur notwendige Management-Ressourcen
Dasselbe Prinzip kennen wir aus Malware und Ransomware: Je geringer die erreichbaren Rechte und Systeme, desto kleiner kann der Schaden eines kompromittierten Zugangs ausfallen.
Häufige Irrtümer über VPNs
„VPN macht mich anonym“
Nein. Es verändert den Netzwerkpfad und kann die für Zielserver sichtbare Ausgangs-IP ändern. Konten, Cookies und andere Identifikatoren funktionieren trotzdem.
„Mit VPN brauche ich HTTPS nicht“
Falsch. Der VPN-Tunnel endet am VPN-Gateway. HTTPS schützt die Anwendungsdaten weiter bis zum eigentlichen Webserver. TLS bietet dabei Vertraulichkeit und Integrität zwischen seinen Endpunkten. (RFC Editor)
„Mit HTTPS brauche ich niemals VPN“
Ebenfalls zu pauschal. VPN erfüllt andere Aufgaben, insbesondere geschützten Remotezugang zu privaten Netzwerken beziehungsweise einen definierten Tunnel bis zu einem Gateway. NIST behandelt VPN entsprechend als Remote-Access-Technologie. (NIST Computer Security Resource Center)
„VPN schützt vor Phishing“
Nein. Eine gefälschte Website bleibt eine gefälschte Website.
„VPN schützt vor Malware“
Nein. Ein VPN ist kein Endpoint-Schutz. CISA betont ausdrücklich, dass auch die angeschlossenen Geräte abgesichert sein müssen. (CISA)
„VPN verhindert Cookies“
Nein. Cookies liegen im Browser und funktionieren unabhängig davon, über welche IP-Adresse der Browser gerade kommuniziert.
„VPN verhindert Fingerprinting“
Nein. Auch Browser- und Geräteinformationen werden durch einen Netzwerk-Tunnel nicht automatisch verändert.
„VPN versteckt meinen Standort“
Nur die IP-basierte Standortableitung kann sich durch einen anderen Ausgangspunkt verändern. Andere Standortquellen bleiben davon unabhängig.
„Ein VPN-Anbieter kann grundsätzlich meinen gesamten HTTPS-Inhalt lesen“
Nicht allein dadurch, dass er VPN-Anbieter ist. Eine normale Ende-zu-Ende-TLS-Verbindung zwischen Browser und Website schützt deren Inhalt gegenüber Zwischenstellen auf dem Netzwerkpfad. (RFC Editor)
„Ein VPN-Anbieter kann überhaupt nichts sehen“
Ebenso falsch. Er ist ein Netzwerk-Zwischenpunkt und nimmt deine VPN-Verbindung entgegen. Welche Metadaten er verarbeitet oder speichert, ist Teil des konkreten technischen und datenschutzrechtlichen Modells.
„Ein VPN ist automatisch sicher, weil es ein Sicherheitsprodukt ist“
Nein. VPN-Gateways können Schwachstellen und Fehlkonfigurationen besitzen. CISA empfiehlt aktuelle Software, starke Kryptografie und eine möglichst kleine externe Angriffsfläche. (CISA)
„Wenn ich im Firmen-VPN bin, darf mein Gerät automatisch alles“
Dieses klassische Vertrauensmodell widerspricht dem Zero-Trust-Prinzip, Netzwerkposition nicht als ausreichenden Vertrauensnachweis zu betrachten. (NIST Computer Security Resource Center)
Wann ist ein VPN sinnvoll?
Ein VPN besitzt einen klaren Nutzen, wenn ein geschützter Netzwerkpfad zwischen zwei definierten Punkten benötigt wird.
Zum Beispiel:
Homeoffice
↓
Unternehmensnetz
oder:
Notebook unterwegs
↓
eigenes Heimnetz
oder:
Standort A
↓
Standort B
oder bei einem kommerziellen Dienst:
Gerät
↓
definierter VPN-Ausgang
↓
Internet
Das ist die Kernfunktion.
Wann ist ein VPN nicht die eigentliche Lösung?
Wenn dein Problem lautet:
Ich bekomme Phishingmails.
brauchst du Phishing-Schutz.
Wenn es lautet:
Meine Passwörter sind überall gleich.
brauchst du einen Passwortmanager.
Wenn:
Mein PC hat Malware.
brauchst du Incident Response und Endpoint-Sicherheit.
Wenn:
Websites verfolgen mich mit Cookies.
brauchst du Browser- und Trackingkontrolle.
Wenn:
Meine Website überträgt Login-Daten unverschlüsselt.
brauchst du HTTPS.
VPN kann diese Probleme nicht ersetzen.
Ein einfaches Entscheidungsmodell
Frage zuerst:
Welches Problem
möchte ich lösen?
Wenn die Antwort lautet:
Netzwerkverkehr
zwischen meinem Gerät
und einem definierten Gateway
geschützt übertragen
ist VPN wahrscheinlich relevant.
Wenn die Antwort lautet:
anonym sein
ist VPN allein nicht ausreichend.
Wenn die Antwort lautet:
Phishing verhindern
ist VPN das falsche Werkzeug.
Wenn die Antwort lautet:
sicher auf interne Ressourcen zugreifen
kann VPN ein Bestandteil der Lösung sein – heute häufig ergänzt um stärkere Identitäts-, Geräte- und Zero-Trust-Kontrollen. (CISA)
Ein sinnvolles VPN-Modell für Privatnutzer
Für Privatnutzer sollte man VPN nüchtern betrachten.
Ein VPN kann:
Netzwerkpfad
zum VPN-Gateway schützen
und je nach Konfiguration:
öffentliche Ausgangs-IP
gegenüber Zielservern ändern
Es kann jedoch nicht:
Cookies löschen
Kontologins verstecken
Malware beseitigen
Phishing erkennen
GPS verändern
absolute Anonymität garantieren
Wer das verstanden hat, kann VPN gezielt einsetzen, statt von unrealistischen Versprechen enttäuscht zu werden.
Ein sinnvolles VPN-Modell für Unternehmen
Bei Unternehmen sieht der Prozess anders aus.
Zuerst sollte geklärt werden:
Welche Ressourcen
müssen extern erreichbar sein?
Dann:
Welche Benutzer
dürfen darauf zugreifen?
Dann:
Welche Geräte?
Danach:
Welche Authentifizierung?
und:
Welcher Netzwerkzugang
ist tatsächlich notwendig?
Ein möglicher Aufbau:
Mitarbeiter
↓
verwaltetes Gerät
↓
starke Authentifizierung
↓
VPN / moderner Access Gateway
↓
nur freigegebene Ressourcen
Nicht:
Passwort stimmt
↓
komplettes internes Netzwerk
ist vertrauenswürdig erreichbar
Das VPN-Gateway gehört in das Patchmanagement
Da der VPN-Dienst bewusst von außen erreichbar sein muss, verdient er besondere Aufmerksamkeit.
Ein sinnvoller Betriebsprozess umfasst:
Updates
↓
Konfigurationsprüfung
↓
starke Authentifizierung
↓
Logging
↓
minimale Dienste
↓
Monitoring
CISA rät ausdrücklich dazu, VPN-Gateways zu härten, unnötige externe Exposition zu reduzieren, starke Kryptografie zu verwenden und nicht benötigte Funktionen zu deaktivieren. (CISA)
Der VPN-Zugang gehört ins Monitoring
Interessant können beispielsweise sein:
ungewöhnliche Loginzeiten,
neue Geräte,
ungewöhnliche Regionen,
wiederholte fehlgeschlagene Anmeldungen,
ungewöhnliche Zugriffsmuster.
VPN stellt Zugang her.
Monitoring hilft zu erkennen, wenn dieser Zugang anders genutzt wird als erwartet.
Ein kompromittierter VPN-Account ist besonders gefährlich
Der Account existiert gerade dafür, eine äußere Netzwerkgrenze zu überwinden.
Internet
↓
VPN-Account
↓
internes Netz
Deshalb sollte besonders für Remotezugänge eine starke Authentifizierung eingesetzt werden. CISA empfiehlt bei sicheren Remotezugängen MFA und verweist zusätzlich auf Zero-Trust-Gateways als Alternative beziehungsweise Weiterentwicklung. (CISA)
Zero Trust als nächste Stufe
NIST beschreibt den grundlegenden Wandel sehr klar:
Früher dominierte häufig:
außen
=
nicht vertrauenswürdig
innen
=
vertrauenswürdig
Zero Trust geht davon weg.
Netzwerkstandort
≠
Vertrauensbeweis
Stattdessen werden Benutzer, Gerät, Ressource und Kontext für einzelne Zugriffe berücksichtigt. (NIST Computer Security Resource Center)
Das ist besonders relevant für moderne Umgebungen mit:
Cloud,
Homeoffice,
mobilen Geräten,
externen Partnern.
Warum dieses Modell zur Cloud passt
Eine Anwendung liegt vielleicht gar nicht mehr:
im Unternehmens-LAN
sondern:
Cloud A
eine zweite:
Cloud B
und eine dritte:
SaaS-Anbieter
Dann wird die Vorstellung:
Alle müssen zuerst ins Firmen-LAN tunneln.
zunehmend künstlich.
NIST nennt gerade Cloudressourcen, Remote-Nutzer und BYOD als Treiber für die Entwicklung hin zu Zero-Trust-Architekturen. (NIST Computer Security Resource Center)
Damit führt VPN direkt zum letzten Artikel unseres Grundausbaus:
Cloud-Sicherheit.
Was du dir über einen VPN-Tunnel merken solltest
Ein VPN schützt eine Verbindung zwischen definierten Endpunkten.
Gerät
↓
VPN-Tunnel
↓
Gateway
Je nach VPN-Architektur kann der weitere Verkehr anschließend:
ins Unternehmensnetz,
zu einem anderen Standort
oder:
ins öffentliche Internet
gehen.
Das ist die eigentliche Funktion.
Was du dir über die IP-Adresse merken solltest
Bei einem typischen VPN-Ausgang sieht ein Zielserver für den entsprechend gerouteten Verkehr die Adresse des VPN-Gateways als Netzwerk-Ausgangspunkt.
deine normale IP
↓
bis VPN-Gateway relevant
VPN-IP
↓
für Zielserver sichtbar
Das ist eine Änderung des Netzwerkpfads.
Keine Löschung deiner Identität.
Was du dir über HTTPS merken solltest
VPN und HTTPS sind keine Konkurrenten.
VPN
→ Gerät bis Gateway
HTTPS
→ Browser bis Website
TLS schützt den Anwendungsinhalt zwischen seinen Endpunkten durch Vertraulichkeit und Integrität. (RFC Editor)
Deshalb sollte HTTPS auch innerhalb eines VPN selbstverständlich bleiben.
Was du dir über öffentliches WLAN merken solltest
Ein VPN kann einen geschützten Netzwerkpfad aus einem fremden Netz schaffen.
Gleichzeitig ist das heutige Web bereits weitgehend auf TLS-basierte geschützte Kommunikation ausgelegt. Ein VPN ist daher eine zusätzliche Netzwerksicherheitsebene – kein Ersatz für HTTPS, sichere Geräte und vernünftiges Benutzerverhalten. (RFC Editor)
Was du dir über Datenschutz merken solltest
VPN verändert Netzwerkmetadaten und die Vertrauensbeziehung zwischen:
Internetprovider,
VPN-Anbieter
und Zielsystem.
Es verhindert aber nicht automatisch:
Cookies,
Loginidentifikation,
Browser-Fingerprinting,
Tracking über Accounts.
Deshalb muss ein VPN innerhalb des größeren Datenschutzmodells aus Datenschutz-Grundlagen und Cookies und Tracking betrachtet werden.
Was du dir über Unternehmens-VPN merken solltest
Ein VPN ist ein Zugangskanal.
VPN erfolgreich
↓
Netzwerkverbindung vorhanden
Das sollte nicht automatisch bedeuten:
Nutzer
↓
uneingeschränkt vertrauenswürdig
NISTs Zero-Trust-Modell verlangt ausdrücklich, Vertrauen nicht allein aus physischer oder logischer Netzwerkposition abzuleiten. (NIST Computer Security Resource Center)
Darum gehört zu modernem Remote Access:
Identität
+
MFA
+
Gerätesicherheit
+
minimale Berechtigungen
+
Ressourcenkontrolle
+
Monitoring
und gegebenenfalls VPN als eine Netzwerkkomponente dieses Systems.
Das vollständige mentale Modell
VPN
↓
schützt Netzwerkpfad
bis zu einem Gateway
HTTPS
↓
schützt Anwendungsdaten
bis zur Website
Passwortmanager
↓
schützt gegen
Passwort-Wiederverwendung
MFA / Passkeys
↓
schützen Authentifizierung
Endpoint-Sicherheit
↓
schützt das Gerät
Backup
↓
ermöglicht Wiederherstellung
Datenschutz
↓
regelt sinnvolle und
rechtmäßige Datenverarbeitung
Keine dieser Ebenen ersetzt die anderen.
Der zentrale Merksatz lautet:
Ein VPN ist ein geschützter Netzwerkweg, kein Unsichtbarkeitsmantel. Es kann den Verkehr zwischen deinem Gerät und einem VPN-Gateway absichern und bei typischen Consumer-Konfigurationen den für Zielserver sichtbaren Internet-Ausgangspunkt verändern. Es löscht aber weder Cookies noch Kontologins, schützt nicht vor Phishing oder Malware und garantiert keine Anonymität. In Unternehmen ist VPN weiterhin ein nützliches Werkzeug für bestimmte Remote- und Standortverbindungen, sollte aber nicht mit Vertrauen gleichgesetzt werden: Moderne Sicherheitsarchitekturen prüfen Identität, Gerät und Berechtigung auch nach erfolgreichem Netzwerkzugang.