# 14.5 **VPN-Sicherheit, Zugriffskontrolle und typische Risiken** Ein VPN stellt einen sicheren Tunnel bereit. Aber: Ein VPN allein macht ein Netzwerk nicht automatisch sicher. Wichtig sind zusätzlich: - starke Authentifizierung - klare Berechtigungen - Firewall-Regeln - Protokollierung - Gerätesicherheit - Rollenmodell - regelmäßige Prüfung - Monitoring - saubere Dokumentation Merksatz: VPN ist ein Zugang ins Netz. Deshalb muss dieser Zugang besonders geschützt werden. --- **Warum VPN-Sicherheit wichtig ist** Ein VPN-Zugang kann sehr mächtig sein. Wenn ein Angreifer VPN-Zugang erhält, kann er je nach Konfiguration interne Systeme erreichen. Mögliche Folgen: - Zugriff auf interne Server - Zugriff auf Dateifreigaben - Ausbreitung von Malware - Angriff auf Managementsysteme - Datenabfluss - Manipulation interner Dienste - Umgehung äußerer Schutzmaßnahmen Merksatz: Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko. --- **VPN ist kein Freifahrtschein** Ein häufiger Fehler ist: Benutzer ist per VPN verbunden. Also darf er alles im internen Netz erreichen. Das ist unsicher. Besser: Benutzer bekommt nur Zugriff auf die Systeme, die er für seine Aufgabe braucht. Beispiele: Mitarbeiter: Intranet und Dateiablage Support: Ticketsystem und bestimmte Clients Administrator: Managementsysteme Dienstleister: nur definierter Wartungsserver Merksatz: VPN verbunden heißt nicht: Zugriff auf alles erlaubt. --- **Authentifizierung** Authentifizierung bedeutet: Wer bist du? Beim VPN wird geprüft, ob der Benutzer oder das Gerät wirklich berechtigt ist. Mögliche Faktoren: Benutzername Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO biometrischer Faktor Merksatz: Authentifizierung prüft die Identität. --- **Autorisierung** Autorisierung bedeutet: Was darfst du? Nach erfolgreicher Anmeldung entscheidet das System, welche Ziele, Dienste und Anwendungen erlaubt sind. Beispiele: Zugriff auf Servernetz erlaubt? Zugriff auf Managementnetz erlaubt? Zugriff auf RDP erlaubt? Zugriff auf Datenbank verboten? Zugriff nur auf HTTPS erlaubt? Merksatz: Authentifizierung ist Anmeldung. Autorisierung ist Berechtigung. --- **MFA bei VPN** MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: Passwort + Authenticator-App Passwort + Hardwaretoken Zertifikat + PIN Smartcard + PIN Warum wichtig? Passwörter können gestohlen werden. Phishing kann Zugangsdaten abgreifen. VPN ist aus dem Internet erreichbar. VPN-Zugang führt oft in interne Netze. Merksatz: VPN-Zugänge sollten möglichst mit MFA geschützt werden. --- **MFA ist nicht unfehlbar** MFA erhöht die Sicherheit deutlich, ist aber kein vollständiger Schutz. Risiken bleiben: Phishing MFA-Push-Fatigue gestohlene Session-Tokens unsicheres Endgerät Social Engineering schlecht konfigurierte Ausnahmen fehlende Gerätekontrolle Merksatz: MFA ist stark, aber kein Ersatz für weitere Schutzmaßnahmen. --- **MFA-Push-Fatigue** MFA-Push-Fatigue bedeutet: Ein Angreifer löst viele MFA-Anfragen aus, bis der Benutzer genervt oder aus Versehen bestätigt. Schutz: Number Matching kurze Hinweise zur Anfrage Schulung verdächtige Anfragen melden Rate Limiting keine blinde Bestätigung Merksatz: MFA-Anfragen niemals automatisch bestätigen. --- **Zertifikatsbasierte VPN-Authentifizierung** VPN kann Zertifikate verwenden. Dabei kann geprüft werden: Ist das Gerät zugelassen? Ist der Benutzer zugelassen? Ist das Zertifikat gültig? Wurde das Zertifikat widerrufen? Vertraut der Client dem VPN-Gateway? Vorteile: stärker als Passwort allein Gerätebindung möglich Widerruf einzelner Zertifikate möglich gut für verwaltete Geräte Merksatz: Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden. --- **Clientzertifikat** Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher. Es kann beweisen: Dieses Gerät oder dieser Benutzer ist berechtigt, sich am VPN anzumelden. Wichtig: privater Schlüssel schützen Zertifikat nicht kopieren verlorene Geräte sperren Zertifikat bei Austritt widerrufen Ablaufdatum überwachen Merksatz: Clientzertifikat ist nur sicher, wenn der private Schlüssel geschützt ist. --- **Serverzertifikat** Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen: Verbinde ich mich wirklich mit dem richtigen VPN-Server? Fehler können sein: Zertifikat abgelaufen Name passt nicht CA nicht vertrauenswürdig Zertifikatskette unvollständig falsches Zertifikat auf Gateway Merksatz: Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle. --- **Zertifikatswiderruf** Wenn ein Zertifikat nicht mehr vertrauenswürdig ist, muss es widerrufen werden. Gründe: Gerät verloren privater Schlüssel kompromittiert Benutzer ausgeschieden Dienstleisterzugang beendet Zertifikat falsch ausgestellt Widerruf kann geprüft werden über: CRL OCSP Merksatz: Zertifikate müssen widerrufen werden können. --- **Benutzergruppen** VPN-Zugriffe sollten über Gruppen gesteuert werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Dienstleister VPN-Partner Vorteil: Regeln bleiben übersichtlich. Rechte lassen sich zentral verwalten. Austritte und Rollenwechsel sind einfacher. Zugriff kann nach Aufgabe getrennt werden. Merksatz: Gruppen machen VPN-Berechtigungen verwaltbar. --- **Rollenmodell** Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt. Beispiel: | Rolle | erlaubter Zugriff | |---|---| | Mitarbeiter | Intranet, Dateiablage | | Support | Ticketsystem, bestimmte Clients | | Administrator | Managementnetz, Serververwaltung | | Dienstleister | definierter Wartungsserver | | Partner | Extranet-Portal | | Cloud-Admin | Cloud-Managementzugänge | Merksatz: Rollenmodell verhindert pauschale Freigaben. --- **Least Privilege beim VPN** Least Privilege bedeutet: nur die Rechte, die wirklich benötigt werden. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine gemeinsamen Konten keine Adminrechte für normale Benutzer Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. --- **Need to Know beim VPN** Need to Know bedeutet: Zugriff nur auf Informationen oder Systeme, die für die Aufgabe notwendig sind. Beispiel: Ein Lieferant braucht Zugriff auf Bestelldaten, aber nicht auf Personalakten. Ein Wartungsdienstleister braucht Zugriff auf eine Anlage, aber nicht auf das gesamte Servernetz. Merksatz: VPN-Zugriff nach Aufgabe begrenzen, nicht nach Bequemlichkeit. --- **Zero Trust und VPN** Zero Trust bedeutet: kein Zugriff wird automatisch vertraut. Auch nach VPN-Verbindung wird weiter geprüft: Wer ist der Benutzer? Welches Gerät wird genutzt? Ist MFA erfüllt? Ist das Gerät aktuell? Welche Anwendung wird aufgerufen? Welche Rolle hat der Benutzer? Ist der Zugriff ungewöhnlich? Merksatz: Zero Trust prüft Zugriff fortlaufend und kontextbezogen. --- **Klassisches VPN und Zero Trust vergleichen** | Merkmal | klassisches VPN | Zero-Trust-Zugriff | |---|---|---| | Zugriff | oft Netzwerkzugriff | meist Anwendungszugriff | | Prüfung | häufig beim Tunnelaufbau | kontinuierlicher | | Reichweite | kann breit sein | stärker begrenzt | | Risiko | laterale Bewegung möglich | weniger pauschaler Netzblick | | Vorteil | bewährt, flexibel | feiner steuerbar | Merksatz: VPN verbindet oft ins Netz. Zero Trust gibt gezielt Anwendungen frei. --- **Laterale Bewegung** Laterale Bewegung bedeutet: Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz. Beispiel: Angreifer erhält VPN-Zugang. Danach scannt er interne Server. Anschließend greift er weitere Systeme an. Schutz: Segmentierung Firewall-Regeln Least Privilege Monitoring EDR getrennte Adminzugänge keine pauschale VPN-Freigabe Merksatz: VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen. --- **Netzsegmentierung** Netzsegmentierung bedeutet: Das Netzwerk wird in getrennte Bereiche aufgeteilt. Beispiele: Clientnetz Servernetz Managementnetz DMZ Gastnetz IoT-Netz VPN-Zone Extranet-Zone Vorteil: Ein kompromittierter Bereich kann nicht automatisch alles erreichen. Merksatz: Segmentierung begrenzt Schäden. --- **VPN-Zone** Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr. Beispiele: VPN-Mitarbeiter-Zone VPN-Admin-Zone VPN-Dienstleister-Zone VPN-Partner-Zone Dadurch kann man Firewall-Regeln gezielt definieren. Merksatz: VPN-Zonen verhindern, dass VPN-Verkehr wie normales LAN behandelt wird. --- **Admin-VPN besonders schützen** Admin-Zugänge sind besonders kritisch. Admin-VPN sollte streng geschützt werden: separate Admin-Konten MFA Zertifikat Zugriff nur von verwalteten Geräten keine private Nutzung Zugriff nur auf Managementnetze Protokollierung Alarmierung bei Fehlversuchen regelmäßige Prüfung Merksatz: Admin-VPN ist Hochrisiko-Zugang. --- **Dienstleister-VPN besonders begrenzen** Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten. Sicherer ist: eigenes Konto pro Person keine Sammelkonten MFA zeitliche Begrenzung Zugriff nur auf Zielsystem Protokollierung Freigabeprozess Deaktivierung nach Wartung regelmäßige Prüfung Merksatz: Dienstleisterzugang muss eng, nachvollziehbar und zeitlich begrenzt sein. --- **Sammelkonten vermeiden** Sammelkonten sind gemeinsame Benutzerkonten, die mehrere Personen nutzen. Problem: keine eindeutige Zuordnung schwierige Nachvollziehbarkeit Passwort wird weitergegeben Sperrung einzelner Personen schwer Sicherheitsvorfälle schwer aufklärbar Merksatz: Jeder VPN-Benutzer braucht ein eigenes Konto. --- **Zeitlich begrenzter Zugriff** Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein. Beispiele: Wartung am Samstag Projektzugang für zwei Wochen externer Support während Störung temporäre Migration Nach Ende: Zugriff deaktivieren Regel entfernen Konto sperren Logs prüfen Dokumentation aktualisieren Merksatz: Temporärer Zugriff darf nicht dauerhaft bleiben. --- **Offboarding** Offboarding bedeutet: Zugriffe bei Austritt oder Rollenwechsel entfernen. Beim VPN wichtig: Konto deaktivieren Gruppenmitgliedschaft entfernen Zertifikate widerrufen Tokens sperren Gerätezugriff entziehen Dienstleisterzugänge prüfen Dokumentation aktualisieren Merksatz: Wer nicht mehr berechtigt ist, darf keinen VPN-Zugang behalten. --- **Gerätesicherheit beim VPN** Ein VPN-Client ist ein Einstiegspunkt ins interne Netz. Deshalb sollte das Gerät sicher sein. Wichtige Anforderungen: aktuelles Betriebssystem aktuelle Sicherheitsupdates Schutzsoftware Festplattenverschlüsselung Bildschirmsperre kein lokaler Admin für Alltagsnutzer sichere Konfiguration MDM oder Gerätemanagement keine Malware Merksatz: Unsicheres Gerät plus VPN ist gefährlich. --- **Managed Device** Ein Managed Device ist ein verwaltetes Gerät. Das Unternehmen kann Vorgaben prüfen und durchsetzen. Beispiele: Updates Verschlüsselung Gerätesperre Zertifikate VPN-Profil Sicherheitsrichtlinien Softwarestand Remote Wipe bei Verlust Merksatz: Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar. --- **BYOD und VPN** BYOD steht für: Bring Your Own Device Dabei nutzt ein Benutzer ein privates Gerät beruflich. Bei VPN ist das riskant, wenn das private Gerät nicht kontrolliert wird. Fragen: Ist das Gerät aktuell? Ist es verschlüsselt? Ist es kompromittiert? Gibt es MDM? Sind Firmen- und Privatdaten getrennt? Kann Zugriff bei Verlust entzogen werden? Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. --- **Geräteprüfung vor VPN-Zugang** Manche Umgebungen prüfen Geräte vor dem Zugriff. Prüfkriterien: aktueller Patchstand aktivierte Festplattenverschlüsselung aktive Schutzsoftware Gerätezertifikat vorhanden nicht gerootet oder jailbroken MDM-konform sichere Bildschirmperre Merksatz: Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen. --- **Posture Check** Posture Check bedeutet: Der Sicherheitszustand eines Geräts wird geprüft. Beispiele: Ist Antivirus aktiv? Ist das Betriebssystem aktuell? Ist die Festplatte verschlüsselt? Ist das Gerät verwaltet? Ist ein Zertifikat vorhanden? Merksatz: Posture Check prüft, ob ein Gerät sicher genug für Zugriff ist. --- **VPN und Malware** Wenn ein Gerät mit Malware infiziert ist, kann VPN gefährlich werden. Risiken: Malware erreicht interne Systeme. Zugangsdaten werden abgegriffen. interne Server werden gescannt. Daten werden exfiltriert. Ransomware breitet sich aus. Schutz: Endgeräteschutz EDR Segmentierung Least Privilege Monitoring keine pauschalen Freigaben Merksatz: VPN kann Malware einen Weg ins interne Netz geben, wenn Zugriffe zu breit sind. --- **VPN und Phishing** Angreifer versuchen oft, VPN-Zugangsdaten zu stehlen. Typische Methoden: gefälschte Loginseiten gefälschte Support-Mails MFA-Abfragen auslösen Passwort-Wiederverwendung ausnutzen Schadsoftware auf Endgerät Schutz: MFA Schulung Passwortmanager Zertifikate verdächtige Logins erkennen klare Meldewege Merksatz: VPN-Zugangsdaten sind ein attraktives Angriffsziel. --- **VPN und Brute Force** Brute Force bedeutet: Angreifer probieren viele Zugangsdaten aus. Schutzmaßnahmen: MFA Account Lockout Rate Limiting starke Passwörter keine Standardkonten Geoblocking bei Bedarf Monitoring Alarmierung Merksatz: VPN-Loginversuche müssen überwacht und begrenzt werden. --- **VPN und Passwort-Wiederverwendung** Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden, kann ein fremder Datenabfluss zum VPN-Risiko werden. Beispiel: Passwort aus privatem Dienst wird geleakt. Angreifer probiert es am VPN-Portal. Login funktioniert. Schutz: Passwortmanager eindeutige Passwörter MFA Leak-Erkennung Schulung Merksatz: Wiederverwendete Passwörter gefährden VPN-Zugänge. --- **VPN und Logging** VPN-Zugriffe sollten protokolliert werden. Wichtige Informationen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP Verbindungsdauer MFA-Ergebnis zugewiesene Gruppe Fehlergrund getrennte Verbindung Zielzugriffe je nach System Merksatz: VPN-Logs ermöglichen Nachvollziehbarkeit. --- **VPN und Alarmierung** Bestimmte VPN-Ereignisse sollten Alarm auslösen. Beispiele: viele fehlgeschlagene Logins Login aus ungewöhnlichem Land Admin-VPN außerhalb Arbeitszeit neues Gerät abgelaufenes Zertifikat Dienstleisterzugang außerhalb Zeitfenster ungewöhnlich lange Verbindung ungewöhnlich hoher Datenverkehr Merksatz: Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben. --- **VPN und Monitoring** VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU des Gateways RAM Bandbreite Paketverlust Latenz Fehlversuche Zertifikatsablauf Lizenzgrenzen Verbindungsabbrüche Merksatz: VPN ist kritische Infrastruktur und gehört ins Monitoring. --- **VPN und Protokollierung von Adminaktionen** Bei Admin-VPN reicht oft nicht nur der Login. Zusätzlich wichtig: Welche Systeme wurden verwaltet? Welche Änderungen wurden durchgeführt? Welche Befehle wurden ausgeführt? Welche Tickets gehören dazu? Wer hat die Änderung freigegeben? Je nach Umgebung werden dafür Bastion Hosts, Jump Server oder Session Recording genutzt. Merksatz: Adminzugriffe müssen besonders nachvollziehbar sein. --- **Bastion Host** Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe. Ablauf: Admin verbindet sich per VPN. Admin verbindet sich auf Bastion Host. Von dort geht es zu Zielsystemen. Vorteile: zentraler Kontrollpunkt bessere Protokollierung weniger direkte Zugriffe klare Zugriffspfade Merksatz: Bastion Host bündelt und kontrolliert Adminzugriffe. --- **Jump Server** Jump Server ist ein ähnlicher Begriff wie Bastion Host. Er dient als Sprungpunkt in geschützte Netze. Beispiele: Zugriff auf Servernetz Zugriff auf Managementnetz Zugriff auf OT-Netz Zugriff auf Cloud-Adminsysteme Merksatz: Jump Server verhindert direkte Adminzugriffe von beliebigen Clients. --- **VPN und Managementnetz** Managementnetze enthalten besonders kritische Systeme. Beispiele: Switch-Verwaltung Firewall-Verwaltung Hypervisor Backup-System Monitoring Storage-System Domain Controller Admin-Portale VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein. Merksatz: Managementnetz niemals breit per VPN freigeben. --- **VPN und DMZ** Ein VPN-Gateway kann in einer DMZ stehen. Grund: Es ist von außen erreichbar. Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet. Wichtig: DMZ vom LAN trennen nur notwendige Regeln Gateway härten Logs prüfen Updates durchführen Monitoring aktivieren Merksatz: VPN-Gateway von außen erreichbar, LAN-Zugriff danach streng regeln. --- **VPN und Patchmanagement** VPN-Systeme müssen aktuell gehalten werden. Wichtig: VPN-Gateway patchen VPN-Client aktualisieren Betriebssystem aktualisieren Bibliotheken aktualisieren alte Protokolle deaktivieren bekannte Schwachstellen beachten Merksatz: VPN-Systeme sind internetnah und müssen aktuell bleiben. --- **VPN und Hardening** Hardening bedeutet: System sicher konfigurieren und unnötige Angriffsfläche reduzieren. Beim VPN: nur notwendige Protokolle aktivieren starke Kryptografie alte Verfahren deaktivieren Adminzugänge begrenzen Logs aktivieren MFA erzwingen Standardkonten entfernen sichere TLS-Konfiguration regelmäßige Prüfung Merksatz: Hardening verringert die Angriffsfläche. --- **VPN und Backup der Konfiguration** VPN-Konfigurationen sollten gesichert werden. Warum? Wiederherstellung nach Ausfall Fehlkonfiguration rückgängig machen Migration Vergleich nach Änderungen Disaster Recovery Wichtig: Backups sicher speichern, weil sie sensible Informationen enthalten können. Merksatz: VPN-Konfigurationsbackup sicher aufbewahren. --- **VPN und Änderungsmanagement** VPN-Änderungen sollten kontrolliert durchgeführt werden. Beispiele für Änderungen: neue Firewall-Regel neue VPN-Gruppe neuer Dienstleisterzugang Zertifikat erneuern Protokoll wechseln Gateway aktualisieren neue Route hinzufügen Wichtig: Zweck dokumentieren Test durchführen Rollback planen Verantwortlichen nennen Ticket oder Änderungsnachweis erfassen Merksatz: VPN-Änderungen brauchen Dokumentation und Rückweg. --- **Typische VPN-Sicherheitsfehler** Häufige Fehler: - VPN ohne MFA - gemeinsame Konten - zu breite Firewall-Regeln - VPN → LAN any allow - Adminzugriff ohne Trennung - Dienstleisterzugang dauerhaft aktiv - alte VPN-Protokolle - schwache PSKs - fehlende Logs - keine Alarmierung - unsichere Endgeräte - keine Zertifikatsprüfung - veraltete VPN-Gateways - fehlendes Offboarding Merksatz: Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe. --- **Sichere VPN-Grundregeln** 1. MFA aktivieren. 2. Eigene Konten pro Benutzer nutzen. 3. Keine Sammelkonten verwenden. 4. Rollenmodell erstellen. 5. VPN-Zonen nutzen. 6. Firewall-Regeln eng setzen. 7. Dienstleisterzugriffe zeitlich begrenzen. 8. Adminzugänge trennen. 9. Geräte prüfen. 10. Logs und Monitoring aktivieren. 11. Alte Protokolle deaktivieren. 12. Zertifikate verwalten. 13. Offboarding durchführen. 14. Änderungen dokumentieren. Merksatz: VPN-Sicherheit entsteht durch Technik, Prozesse und klare Rechte. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist VPN allein kein vollständiges Sicherheitskonzept? - Warum sollte VPN mit MFA abgesichert werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Warum sind Sammelkonten problematisch? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Was bedeutet Least Privilege beim VPN? - Warum sind Dienstleisterzugänge besonders kritisch? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Warum ist Gerätesicherheit beim VPN wichtig? - Was ist ein Posture Check? - Warum sind VPN-Logs wichtig? - Welche Ereignisse sollten bei VPN alarmiert werden? - Warum muss ein VPN-Gateway gepatcht werden? - Welche typischen VPN-Sicherheitsfehler gibt es? --- **Typische Prüfungsfallen** VPN ist nicht automatisch sicher, nur weil es verschlüsselt. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN ohne MFA ist riskant. Authentifizierung ist nicht Autorisierung. VPN verbunden heißt nicht: alles erlaubt. Sammelkonten sind schlecht nachvollziehbar. Dienstleisterzugänge zeitlich begrenzen. Adminzugänge getrennt behandeln. Managementnetz besonders schützen. BYOD braucht klare Regeln. Unsichere Endgeräte sind Risiko. Zertifikate brauchen Verwaltung und Widerruf. VPN-Logs sind sicherheitsrelevant. Monitoring erkennt ungewöhnliche Zugriffe. Patchmanagement für VPN-Gateways ist kritisch. Alte VPN-Protokolle vermeiden. Least Privilege gilt auch im VPN. Zero Trust kann breiten VPN-Zugriff reduzieren. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Authentifizierung | Identität prüfen | | Autorisierung | Rechte prüfen | | MFA | Multi-Faktor-Authentifizierung | | Clientzertifikat | Zertifikat für Benutzer oder Gerät | | Serverzertifikat | Zertifikat des VPN-Gateways | | Zertifikatswiderruf | Zertifikat für ungültig erklären | | CRL | Zertifikatsperrliste | | OCSP | Online-Prüfung von Zertifikatsstatus | | Benutzergruppe | Gruppe zur Rechtevergabe | | Rollenmodell | Zuordnung von Rollen zu Zugriffsrechten | | Least Privilege | nur notwendige Rechte | | Need to Know | Zugriff nur bei Bedarf | | Zero Trust | kein automatisches Vertrauen | | laterale Bewegung | Ausbreitung im internen Netz | | Segmentierung | Trennung von Netzbereichen | | VPN-Zone | eigene Sicherheitszone für VPN | | BYOD | private Geräte im Unternehmenseinsatz | | Managed Device | verwaltetes Gerät | | Posture Check | Prüfung des Gerätezustands | | Bastion Host | gehärteter Zwischenserver | | Jump Server | Sprungserver für Adminzugriffe | | Hardening | sichere Systemkonfiguration | | Offboarding | Entfernen nicht mehr nötiger Zugriffe | | Sammelkonto | gemeinsam genutztes Benutzerkonto | --- **IHK-sichere Kurzformulierung** Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken. --- **Merksätze** VPN ist ein Zugang ins Netz. VPN allein ist kein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, nicht automatisch alle Ziele. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? MFA schützt VPN-Zugänge deutlich besser. MFA ist wichtig, aber nicht unfehlbar. Zertifikate binden Zugriff an Identität oder Gerät. Privater Schlüssel muss geschützt werden. Zertifikate müssen widerrufen werden können. Gruppen steuern VPN-Zugriff. Rollenmodell verhindert Pauschalfreigaben. Least Privilege gilt auch im VPN. Need to Know begrenzt Informationszugriff. Zero Trust vertraut nicht automatisch. Laterale Bewegung verhindern. Segmentierung begrenzt Schäden. VPN-Zonen trennen Zugriffe. Admin-VPN besonders schützen. Dienstleister-VPN zeitlich begrenzen. Sammelkonten vermeiden. Offboarding konsequent durchführen. Unsichere Endgeräte sind Risiko. BYOD braucht klare Regeln. Posture Check prüft Gerätesicherheit. Malware auf VPN-Client gefährdet interne Systeme. VPN-Logins überwachen. Auffällige VPN-Ereignisse alarmieren. Bastion Host bündelt Adminzugriffe. Managementnetz niemals breit freigeben. VPN-Gateway patchen. Hardening reduziert Angriffsfläche. VPN-Änderungen dokumentieren.