14.1 VPN, Intranet und Extranet
VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten, wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können.
Diese Begriffe hängen eng zusammen, werden aber nicht gleich verwendet.
Grundidee:
Intranet:
internes Netzwerk einer Organisation
Extranet:
kontrollierter Zugriff für externe Partner
VPN:
verschlüsselter Tunnel für Zugriff über ein unsicheres Netz
Merksatz:
Intranet ist intern.
Extranet ist kontrolliert extern erweitert.
VPN ist ein sicherer Tunnel.
Warum ist dieses Kapitel wichtig?
In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz.
Beispiele:
- Homeoffice
- Außendienst
- externe Dienstleister
- Partnerunternehmen
- mehrere Standorte
- Cloud-Dienste
- mobile Geräte
- Fernwartung
- Zugriff auf interne Anwendungen
Dafür braucht man sichere Zugriffskonzepte.
Merksatz:
Moderne Netzwerke enden nicht mehr nur am Bürogebäude.
Intranet
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Es ist normalerweise nur für berechtigte interne Benutzer erreichbar.
Typische Inhalte:
- interne Webseiten
- Dokumentationen
- Mitarbeiterinformationen
- interne Anwendungen
- Ticketsystem
- Zeiterfassung
- Dateifreigaben
- interne Wikis
- interne Portale
Merksatz:
Intranet = internes Netz oder internes Portal für die Organisation.
Intranet ist nicht automatisch das Internet
Das Internet ist öffentlich.
Das Intranet ist intern.
Beispiel:
Internet:
öffentlich erreichbare Webseite einer Firma
Intranet:
internes Mitarbeiterportal derselben Firma
Ein Intranet kann Webtechnik nutzen, ist aber nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Internet-Technik,
ist aber intern beschränkt.
Typische Intranet-Dienste
Typische Dienste im Intranet:
| Dienst | Beispiel |
|---|---|
| internes Wiki | Dokumentation |
| Dateiablage | SMB, SharePoint, Nextcloud |
| interne Webanwendung | Zeiterfassung |
| Ticketsystem | Helpdesk |
| Monitoring | Systemstatus |
| Telefonbuch | Mitarbeiterdaten |
| Authentifizierung | AD, LDAP, SSO |
| interne APIs | Anwendungskommunikation |
Merksatz:
Intranet enthält interne Dienste,
die nicht öffentlich sein sollen.
Schutzbedarf im Intranet
Auch interne Dienste brauchen Schutz.
Warum?
Nicht jeder interne Benutzer darf alles sehen.
Ein kompromittierter Client kann Schaden verursachen.
Gastgeräte dürfen nicht auf interne Systeme.
IoT-Geräte sind nicht automatisch vertrauenswürdig.
Malware kann sich intern ausbreiten.
Merksatz:
Intern heißt nicht automatisch sicher.
Extranet
Ein Extranet erweitert das Intranet kontrolliert für externe Parteien.
Externe Parteien können sein:
- Kunden
- Lieferanten
- Partnerunternehmen
- Dienstleister
- externe Techniker
- Projektpartner
Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen.
Merksatz:
Extranet = kontrollierter Zugriff für externe Berechtigte.
Beispiel für ein Extranet
Ein Unternehmen stellt einem Lieferanten ein Portal bereit.
Der Lieferant darf dort:
Bestellungen einsehen
Liefertermine bestätigen
Dokumente hochladen
Rechnungen abrufen
Der Lieferant darf aber nicht:
interne Personalakten sehen
interne Server verwalten
alle Kundendaten abrufen
auf das gesamte LAN zugreifen
Merksatz:
Extranet gibt gezielten Zugriff,
nicht vollständigen internen Zugriff.
Intranet und Extranet vergleichen
| Begriff | Zugriff | Zielgruppe |
|---|---|---|
| Intranet | intern | Mitarbeitende und interne Systeme |
| Extranet | kontrolliert extern | Partner, Kunden, Lieferanten |
| Internet | öffentlich | grundsätzlich jeder |
| VPN | Tunnelzugriff | berechtigte entfernte Benutzer oder Standorte |
Merksatz:
Intranet intern,
Extranet ausgewählt extern,
Internet öffentlich.
VPN
VPN steht für:
Virtual Private Network
Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf.
Beispiel:
Benutzer im Homeoffice
→ Internet
→ VPN-Tunnel
→ Firmennetz
Der Verkehr wird dabei verschlüsselt übertragen.
Merksatz:
VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk.
Warum nutzt man VPN?
VPN wird genutzt, wenn sichere Kommunikation über unsichere Netze benötigt wird.
Typische Gründe:
- Homeoffice-Zugriff
- Standortvernetzung
- Fernwartung
- Zugriff auf interne Server
- verschlüsselte Verbindung über Internet
- Schutz in öffentlichen Netzen
- Zugriff auf interne Anwendungen
- sichere Administration
Merksatz:
VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel.
VPN-Tunnel
Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung.
Die Daten werden eingepackt, verschlüsselt und über ein anderes Netz transportiert.
Man spricht dabei oft von:
Tunneling
Merksatz:
VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz.
Tunneling einfach erklärt
Beim Tunneling wird ein Paket in ein anderes Paket verpackt.
Vereinfacht:
internes Paket
wird verschlüsselt
und in äußeres Transportpaket eingepackt
Das äußere Paket wird über das Internet übertragen.
Am Ziel wird es wieder ausgepackt.
Merksatz:
Tunneling bedeutet:
ein Paket wird durch ein anderes Netz getragen.
Verschlüsselung beim VPN
VPNs nutzen Verschlüsselung, damit Dritte den Inhalt nicht mitlesen können.
Geschützt werden soll:
- Dateninhalt
- Zugangsdaten
- interne Kommunikation
- Dateiübertragungen
- Administrationszugriffe
- Anwendungsdaten
Wichtig:
Ein VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Merksatz:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Zugriffskontrolle.
Authentifizierung beim VPN
Vor dem VPN-Zugriff muss geprüft werden, wer sich verbindet.
Mögliche Verfahren:
- Benutzername und Passwort
- Zertifikat
- MFA
- Token
- Smartcard
- Geräteprüfung
- SSO
- Gruppenmitgliedschaft
Merksatz:
VPN braucht starke Authentifizierung.
Autorisierung beim VPN
Nach erfolgreicher Anmeldung muss geprüft werden, was der Benutzer darf.
Beispiele:
Support darf auf bestimmte Server.
Externe Dienstleister dürfen nur auf Wartungssysteme.
Mitarbeitende dürfen auf interne Anwendungen.
Admins dürfen ins Managementnetz.
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf alles erlaubt.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Beispiele:
Homeoffice
Außendienst
Notebook unterwegs
Administrator von extern
mobiler Benutzer
Ablauf:
Benutzer startet VPN-Client.
Benutzer authentifiziert sich.
VPN-Tunnel wird aufgebaut.
Benutzer erhält Zugriff auf erlaubte interne Ressourcen.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Standorte miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netzwerk
zwei Firewalls miteinander
Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf.
Die Gateways verbinden die Netze.
Merksatz:
Site-to-Site-VPN verbindet Netzwerke.
Remote-Access und Site-to-Site vergleichen
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | einzelner Benutzer | ganze Netze |
| typischer Einsatz | Homeoffice | Standortvernetzung |
| Client nötig | meistens ja | auf Endgerät meist nein |
| Endpunkt | Benutzergerät zu Gateway | Gateway zu Gateway |
| Zugriff | benutzerbezogen | netzbezogen |
Merksatz:
Remote-Access = Benutzer.
Site-to-Site = Standort.
VPN-Gateway
Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen.
Es kann sein:
- Firewall
- Router
- VPN-Appliance
- Cloud-Gateway
- Server
- Zero-Trust-Gateway
Aufgaben:
VPN-Verbindungen annehmen
Benutzer prüfen
Tunnel aufbauen
Verschlüsselung aushandeln
Routen verteilen
Zugriff kontrollieren
Merksatz:
VPN-Gateway ist der Zugangspunkt zum geschützten Netz.
VPN-Client
Der VPN-Client läuft auf dem Endgerät des Benutzers.
Beispiele:
Notebook
Smartphone
Tablet
Admin-PC
Aufgaben:
Verbindung zum VPN-Gateway aufbauen
Benutzer anmelden
Tunnel erzeugen
Routen setzen
DNS übernehmen
Verkehr durch Tunnel leiten
Merksatz:
VPN-Client baut den Tunnel vom Endgerät aus auf.
VPN-Protokolle
Häufige VPN-Techniken und Protokolle:
- IPsec
- IKEv2
- SSL-VPN / TLS-VPN
- OpenVPN
- WireGuard
- L2TP/IPsec
Je nach Umgebung unterscheiden sich:
Sicherheit
Geschwindigkeit
Einrichtung
Portnutzung
Betriebssystemunterstützung
Firewall-Freundlichkeit
Merksatz:
VPN ist ein Oberbegriff,
dahinter können verschiedene Protokolle stehen.
IPsec
IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene.
IPsec kann genutzt werden für:
- Site-to-Site-VPN
- Remote-Access-VPN
- verschlüsselte Kommunikation zwischen Netzen
IPsec arbeitet besonders nah an Schicht 3.
Merksatz:
IPsec schützt IP-Kommunikation.
IKE
IKE steht für:
Internet Key Exchange
IKE dient dazu, bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln.
IKEv2 ist eine moderne Version.
Merksatz:
IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus.
SSL-VPN / TLS-VPN
SSL-VPN ist ein älterer Begriff.
Fachlich geht es meist um TLS-VPN.
Dabei wird TLS genutzt, ähnlich wie bei HTTPS.
Vorteile:
oft firewallfreundlich
häufig über TCP 443 möglich
gut für Remote-Zugriff
teilweise browserbasiert oder clientbasiert
Merksatz:
SSL-VPN meint meist TLS-basiertes VPN.
OpenVPN
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
nutzt TLS
kann TCP oder UDP verwenden
flexibel konfigurierbar
oft für Remote-Access und Site-to-Site nutzbar
benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
WireGuard
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
schnell
vergleichsweise einfache Konfiguration
nutzt moderne Kryptografie
arbeitet meist über UDP
Wichtig:
Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung,
Routen
Firewall-Regeln
und Zugriffskonzept ab.
Merksatz:
WireGuard ist modernes,
schlankes VPN über UDP.
L2TP/IPsec
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst verschlüsselt nicht stark genug, deshalb wird es häufig mit IPsec kombiniert.
Merksatz:
L2TP wird für Sicherheit typischerweise mit IPsec kombiniert.
Split Tunneling
Split Tunneling bedeutet:
Nur bestimmter Verkehr geht durch den VPN-Tunnel.
Anderer Verkehr, zum Beispiel normales Internet, geht direkt über den lokalen Anschluss.
Beispiel:
Zugriff auf Firmennetz:
durch VPN
YouTube oder private Webseiten:
direkt über lokalen Internetanschluss
Merksatz:
Split Tunneling leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel.
Auch Internetzugriffe gehen zuerst ins Firmennetz und von dort weiter ins Internet.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
Nachteile:
mehr Last auf VPN und Internetanschluss der Firma
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet den gesamten Clientverkehr durch VPN.
Split Tunnel und Full Tunnel vergleichen
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Internetverkehr | direkt lokal | durch Firma |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Latenz | oft niedriger | oft höher |
| Sicherheitspolitik | schwieriger einheitlich | zentraler steuerbar |
Merksatz:
Split Tunnel spart Last.
Full Tunnel bietet mehr zentrale Kontrolle.
VPN-Routing
Damit ein VPN funktioniert, müssen passende Routen vorhanden sein.
Der Client muss wissen:
Welche Netze sind über VPN erreichbar?
Beispiele:
192.168.10.0/24 über VPN
10.10.0.0/16 über VPN
nur bestimmte Server über VPN
Fehlt eine Route, geht der Verkehr nicht durch den Tunnel.
Merksatz:
VPN braucht passende Routen.
VPN-DNS
VPN-Benutzer müssen oft interne Namen auflösen können.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür kann der VPN-Client interne DNS-Server bekommen.
Typische Fehler:
VPN verbunden,
aber interne Namen lösen nicht auf.
Merksatz:
VPN braucht oft interne DNS-Einstellungen.
Split DNS bei VPN
Split DNS bedeutet:
bestimmte Namen werden über interne DNS-Server aufgelöst,
andere Namen über normale DNS-Server.
Beispiel:
firma.local
→ interner DNS über VPN
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS sorgt dafür,
dass interne Namen über VPN korrekt aufgelöst werden.
VPN-Adresspool
Ein VPN-Adresspool ist der IP-Adressbereich, aus dem VPN-Clients eine Adresse bekommen.
Beispiel:
VPN-Clients:
10.8.0.0/24
Wichtig:
Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren.
Problem:
Wenn das Heimnetz des Benutzers denselben Bereich nutzt,
kann Routing fehlschlagen.
Merksatz:
VPN-Adresspool muss eindeutig und konfliktfrei sein.
Adresskonflikt bei VPN
Ein häufiger Fehler:
Heimnetz des Benutzers:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig, ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Folge:
interne Server sind nicht erreichbar.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
Firewall-Regeln für VPN
VPN-Zugriff muss durch Firewall-Regeln gesteuert werden.
Nicht gut:
VPN → LAN any erlauben
Besser:
VPN-Gruppe Support → bestimmte Server TCP 3389
VPN-Gruppe Admin → Managementnetz SSH/RDP
VPN-Gruppe Mitarbeiter → Intranet HTTPS
VPN-Gruppe Dienstleister → nur Wartungssystem
Merksatz:
VPN-Zugriff nach Rolle und Bedarf begrenzen.
VPN und Least Privilege
Auch beim VPN gilt:
nur notwendige Rechte erlauben.
Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten.
Warum?
kompromittierter VPN-Client
gestohlene Zugangsdaten
Malware auf Heimgerät
externe Dienstleister
zu breite Angriffsfläche
Merksatz:
VPN ist Zugang,
aber kein Freifahrtschein.
VPN und MFA
VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden.
Warum?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
Passwort-Wiederverwendung ist häufig.
VPN-Zugang ist ein direkter Einstieg ins Netz.
MFA erhöht die Sicherheit deutlich.
Merksatz:
VPN ohne MFA ist deutlich riskanter.
VPN und Zertifikate
VPNs können Zertifikate nutzen für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
starke Identitätsprüfung
Vorteil:
nicht nur Passwort,
sondern zusätzlich kryptografischer Nachweis.
Wichtig:
Zertifikate müssen verwaltet,
erneuert
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate erhöhen VPN-Sicherheit,
brauchen aber gutes Management.
VPN und Gerätesicherheit
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb ist wichtig:
aktuelles Betriebssystem
aktuelle Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
sichere Konfiguration
kein kompromittiertes Gerät
Gerätezertifikat oder Geräteprüfung
Patchstand prüfen
Merksatz:
Unsicheres Endgerät plus VPN ist ein Risiko.
VPN und öffentliche WLANs
VPN kann in öffentlichen WLANs schützen, weil der Verkehr im Tunnel verschlüsselt wird.
Aber:
VPN schützt nicht vor allem.
Weiterhin wichtig:
HTTPS prüfen
Phishing vermeiden
Gerät aktuell halten
keine fremden Zertifikate akzeptieren
keine Warnungen ignorieren
Merksatz:
VPN hilft im öffentlichen WLAN,
ersetzt aber kein sicheres Verhalten.
VPN und Performance
VPN kann die Leistung beeinflussen.
Mögliche Ursachen:
Verschlüsselungsaufwand
längerer Weg
zentrale Internetleitung
Full Tunnel
schwacher VPN-Gateway
schlechte Clientverbindung
MTU-Probleme
Paketverlust
hohe Latenz
Merksatz:
VPN kann sicher sein,
aber Geschwindigkeit und Latenz beeinflussen.
VPN und MTU
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Nutzlast kleiner werden.
MTU-Probleme zeigen sich oft so:
kleine Pakete funktionieren
große Übertragungen hängen
Webseiten laden teilweise
VPN-Verbindung instabil
RDP oder SSH bricht sporadisch ab
Merksatz:
Bei VPN-Problemen mit großen Daten an MTU denken.
VPN und Logging
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
Sie zeigen:
wer sich verbunden hat
wann Verbindung aufgebaut wurde
von welcher IP
mit welchem Gerät
ob MFA erfolgreich war
welche VPN-IP vergeben wurde
warum Verbindung getrennt wurde
ob Fehler auftraten
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
VPN und Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Anzahl aktiver Verbindungen
CPU-Auslastung
RAM
Bandbreite
Tunnelstatus
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Authentifizierungsfehler
Merksatz:
VPN ist kritische Infrastruktur und muss überwacht werden.
Typische VPN-Fehler
Häufige Fehler:
- VPN baut nicht auf
- Anmeldung schlägt fehl
- MFA funktioniert nicht
- Zertifikat ungültig
- Client bekommt keine VPN-IP
- Route fehlt
- DNS fehlt
- interne Dienste nicht erreichbar
- nur manche Netze erreichbar
- Adresskonflikt mit Heimnetz
- Firewall blockiert
- Split Tunnel falsch
- Full Tunnel überlastet
- MTU-Problem
- Verbindung bricht ab
Merksatz:
VPN-Fehler können Authentifizierung,
Routing,
DNS,
Firewall
oder MTU betreffen.
Fehlerbild: VPN verbindet nicht
Mögliche Ursachen:
- falscher Servername
- Internetverbindung gestört
- VPN-Gateway nicht erreichbar
- falscher Port blockiert
- Benutzername oder Passwort falsch
- MFA schlägt fehl
- Zertifikat ungültig
- Clientversion inkompatibel
- Konto gesperrt
- Lizenz oder Berechtigung fehlt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung
und Zertifikate prüfen.
Fehlerbild: VPN verbunden, aber kein interner Zugriff
Mögliche Ursachen:
- Route fehlt
- DNS fehlt
- Firewall-Regel fehlt
- Benutzergruppe nicht berechtigt
- falscher VPN-Adresspool
- Adresskonflikt mit Heimnetz
- Split Tunnel falsch
- Zielsystem-Firewall blockiert
- Rückweg fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erreichbar.
Fehlerbild: Interne Namen gehen nicht
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- Split DNS falsch
- DNS-Suffix fehlt
- DNS-Anfragen gehen lokal statt durch VPN
- interne Zone fehlt
- Firewall blockiert DNS
- falscher DNS-Server antwortet
Merksatz:
Bei VPN-Namensproblemen DNS und Split DNS prüfen.
Fehlerbild: Nur manche internen Netze erreichbar
Mögliche Ursachen:
- Route für bestimmtes Netz fehlt
- Firewall-Regel fehlt
- Benutzergruppe darf nur bestimmte Netze
- Rückroute fehlt
- Zielnetz überschneidet sich mit lokalem Netz
- ACL blockiert
Merksatz:
Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin.
Fehlerbild: VPN langsam
Mögliche Ursachen:
- Full Tunnel überlastet
- hohe Latenz
- schwache Internetleitung
- VPN-Gateway ausgelastet
- Paketverlust
- MTU-Problem
- WLAN instabil
- Verschlüsselungsleistung begrenzt
- zentraler Proxy langsam
Merksatz:
VPN-Langsamkeit mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
Fehlerbild: VPN bricht ab
Mögliche Ursachen:
- instabile Internetverbindung
- WLAN-Roaming
- NAT-Timeout
- Firewall-Timeout
- Mobilfunkwechsel
- Energiesparmodus
- Clientproblem
- Zertifikat oder Token läuft ab
- Gateway überlastet
- MTU-Problem
Merksatz:
VPN-Abbrüche brauchen Zeitbezug,
Logs
und Verbindungsmessung.
VPN und Extranet unterscheiden
Ein Extranet kann über VPN bereitgestellt werden, muss aber nicht.
Beispiele:
Extranet über Webportal:
Partner meldet sich im Browser an.
Extranet über VPN:
Partner bekommt VPN-Zugang zu bestimmten Systemen.
Wichtig:
Extranet ist das Zugriffskonzept.
VPN ist eine mögliche technische Umsetzung.
Merksatz:
Extranet beschreibt Zielgruppe und Zugriff.
VPN beschreibt den Tunnel.
Extranet-Sicherheit
Extranet-Zugänge brauchen klare Begrenzung.
Wichtig:
- eigene Benutzerkonten
- MFA
- Rollen und Rechte
- Protokollierung
- Vertrags- und Zweckbindung
- zeitliche Begrenzung
- Zugriff nur auf benötigte Daten
- keine gemeinsamen Konten
- regelmäßige Prüfung
- Sperrung nach Projektende
Merksatz:
Externe Zugänge müssen besonders sauber kontrolliert werden.
Partnerzugriff
Partnerzugriff sollte nicht ungefiltert ins interne Netz führen.
Besser:
Partnerportal
API-Gateway
Reverse Proxy
dedizierte Extranet-Zone
VPN mit begrenzten Regeln
Bastion Host
getrennte Benutzerrollen
Merksatz:
Partner nur auf das zugreifen lassen,
was sie wirklich benötigen.
Intranet über VPN
Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu.
Beispiel:
Benutzer verbindet VPN.
Danach öffnet er internes Wiki.
DNS löst internen Namen auf.
Firewall erlaubt VPN → Intranet HTTPS.
Webserver prüft Anmeldung.
Merksatz:
Intranet-Zugriff über VPN braucht Tunnel,
DNS,
Firewall
und Berechtigung.
Intranet über Zero Trust
Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN.
Grundidee:
Benutzer bekommt nicht Zugriff auf das ganze Netz,
sondern nur auf einzelne Anwendungen.
Prüfung:
Identität
Gerät
Standort
Risiko
MFA
Anwendung
Richtlinie
Merksatz:
Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff.
VPN und Zero Trust vergleichen
| Merkmal | klassisches VPN | Zero-Trust-Zugriff |
|---|---|---|
| Zugriffsebene | oft Netzwerkzugriff | meist Anwendungszugriff |
| Risiko | breiter Zugriff möglich | stärker begrenzter Zugriff |
| Prüfung | häufig beim Verbindungsaufbau | kontinuierlicher und kontextbezogener |
| Nutzung | interne Netze | einzelne Anwendungen |
| Vorteil | bewährt und flexibel | feiner steuerbar |
Merksatz:
VPN verbindet oft Netze.
Zero Trust gibt gezielt Anwendungen frei.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist ein VPN-Gateway?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Warum können gleiche IP-Netze bei VPN Probleme verursachen?
- Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben?
- Warum ist MFA bei VPN sinnvoll?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Warum ist ein Extranet besonders zu schützen?
Typische Prüfungsfallen
VPN bedeutet Virtual Private Network.
VPN ist ein Tunnel,
nicht automatisch ein komplettes Sicherheitskonzept.
VPN schützt den Transportweg.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Berechtigungen.
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN verbindet Standorte oder Netze.
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel leitet gesamten Verkehr durch VPN.
VPN braucht passende Routen.
VPN braucht oft interne DNS-Einstellungen.
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme.
MFA erhöht VPN-Sicherheit.
Externe Dienstleister nur begrenzt berechtigen.
Intranet ist intern.
Extranet ist kontrolliert für externe Berechtigte.
Internet ist öffentlich.
Extranet ist nicht automatisch VPN.
VPN kann durch MTU-Probleme langsam oder instabil wirken.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN | Virtual Private Network |
| VPN-Tunnel | geschützte logische Verbindung |
| Tunneling | Einpacken von Daten in eine Tunnelverbindung |
| Remote-Access-VPN | VPN für einzelne Benutzer |
| Site-to-Site-VPN | VPN zwischen Netzwerken |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Software oder Gerät des Benutzers |
| IPsec | VPN-Technik auf IP-Ebene |
| IKE | Schlüsselaushandlung bei IPsec |
| TLS-VPN | VPN auf Basis von TLS |
| OpenVPN | verbreitete TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Split Tunnel | nur ausgewählter Verkehr durch VPN |
| Full Tunnel | gesamter Verkehr durch VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Split DNS | getrennte DNS-Auflösung je nach Ziel |
| Intranet | internes Netzwerk oder internes Portal |
| Extranet | kontrollierter Zugriff für externe Berechtigte |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | nur notwendige Rechte |
| Zero Trust | kein automatisches Vertrauen |
IHK-sichere Kurzformulierung
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden.
Merksätze
Intranet = intern.
Extranet = kontrolliert extern erweitert.
Internet = öffentlich.
VPN = Virtual Private Network.
VPN baut einen verschlüsselten Tunnel.
VPN schützt den Transportweg.
VPN ersetzt keine Rechteprüfung.
VPN ersetzt keine Firewall-Regeln.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Netze.
VPN-Gateway ist der Zugangspunkt.
VPN-Client baut den Tunnel auf.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
TLS-VPN nutzt TLS.
OpenVPN ist flexibel.
WireGuard ist schlank und modern.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
Split DNS hilft bei internen Namen.
VPN-Adresspool darf sich nicht überschneiden.
Gleiche Netze verursachen Routingprobleme.
VPN-Zugriff nach Rolle begrenzen.
MFA für VPN ist wichtig.
Unsichere Endgeräte sind trotz VPN riskant.
VPN kann durch MTU-Probleme instabil werden.
VPN verbunden heißt nicht:
alles erreichbar.
Extranet ist Zugriffskonzept,
VPN ist Tunneltechnik.
Zero Trust gibt gezielter Zugriff auf Anwendungen.