Sicherer Fernzugriff neu gedacht Warum Zero Trust Network Access das klassische VPN ablöst

Klassische VPNs werden zunehmend zum Sicherheitsrisiko. Angriffe, schlechte Performance und komplexes Routing setzen Unternehmen unter Druck. Mit Zero Trust Network Access (ZTNA) und integrierten SASE-Ansätzen gelingt der sichere und effiziente Ersatz, inklusive Lösungen für hybride Arbeit, Cloud-Migration und Legacy-Anwendungen.

Jahrelang war das Remote Access Virtual Private Network (VPN) die beste Lösung für einen sicheren Fernzugriff. Doch mit der Entwicklung der digitalen Landschaft erweist sich genau die Infrastruktur, die einst Schutz bot, als eine erhebliche Belastung. Veraltete Fernzugriffs-VPNs werden zunehmend selbst zu einem Sicherheitsrisiko, da sie Angreifer anziehen und unerlaubte Seitwärtsbewegungen innerhalb von Netzwerken ermöglichen.

Mehr als die Hälfte (56 Prozent) der befragten Unternehmen hatten laut dem Netskope VPNs Under Siege Report 2025 im vergangenen Jahr mindestens einen Sicherheitsvorfall im Zusammenhang mit VPNs zu verzeichnen, wobei viele von ihnen mehrere Sicherheitsverletzungen erlebten, was VPNs zu einem primären Angriffsvektor macht.

Gefahr für OT-Umgebungen

Viele Remote-Access-Tools sind nicht für Unternehmen geeignet

Beispielsweise ermöglichte die Sicherheitslücke CVE-2025-0282 von Ivanti Angreifern die Ausführung von Remote-Code ohne Authentifizierung und wurde aktiv ausgenutzt. Die gängige Praxis, nicht-lokalen Datenverkehr durch das VPN zu leiten, nur um auf das Internet zuzugreifen, führt zu einer schlechten User Experience, hohen Kosten und komplexem Routing. Tatsächlich beschweren sich 22 Prozent der Nutzer über langsame Verbindungsgeschwindigkeiten, und 19 Prozent sind von den komplexen Authentifizierungsprozessen bei VPNs frustriert. IT-Teams finden außerdem, dass der Leistungsausgleich (21 Prozent) und die ständige komplexe Fehlersuche (18 Prozent) zu den größten VPN-Herausforderungen gehören.

Für Unternehmen, die ihre Konnektivität für eine hybride Belegschaft modernisieren möchten, wird Zero Trust Network Access (ZTNA) allgemein als die bessere Alternative angepriesen. Höhere Sicherheit (78 Prozent) ist der Hauptgrund für die Einführung von ZTNA, gefolgt von vereinfachtem Infrastrukturmanagement (63 Prozent). 26 Prozent der Unternehmen haben ZTNA bereits implementiert, weitere 37 Prozent planen die Einführung innerhalb des nächsten Jahres.

Allerdings sind nicht alle ZTNA-Lösungen gleich, und viele ermöglichen keinen vollständigen VPN-Ersatz. Um die alten VPNs wirklich loszuwerden, sollten sich Unternehmen auf ihre Use Cases konzentrieren, anstatt zu versuchen, sich auf eine einzige Technologie festzulegen. Dabei wird deutlich, dass ein breiterer Secure Access Services Edge (SASE)-Ansatz – die Integration von ZTNA mit anderen Technologien wie Remote Browser Isolation (RBI) und Enterprise Browsern – der Schlüssel zum endgültigen Ausstieg aus VPNs ist. 60 Prozent der Unternehmen wünschen sich eine enge Integration von ZTNA in eine breitere Secure Service Edge (SSE)-Plattform, um einen einheitlichen Zugriff, Daten- und Bedrohungsschutz für den gesamten Datenverkehr zu gewährleisten.

Zunehmende Angriffe auf Fernzugriffstechnologien

Schwachstelle VPN

Im Folgenden sind sechs Use Cases dargestellt, die Unternehmen prüfen sollten, sowie Empfehlungen, wie sie den modernen Ersatz erweitern können, um ein Upgrade zu ermöglichen – ohne dabei ihren Technologie-Stack zu fragmentieren.

1. Hybride Arbeitskräfte befähigen

Das Aufkommen des hybriden Arbeitsmodells hat die Unzulänglichkeiten herkömmlicher VPN-Lösungen offengelegt. VPNs bieten nur einen begrenzten Einblick in die Anwendungsaktivitäten, leiden unter Latenzzeiten aufgrund von Backhauling des Datenverkehrs und gewähren einen breiten Zugriff auf Netzwerkebene, wodurch sich die Angriffsfläche durch ungehinderte seitliche Bewegungen vergrößert. Darüber hinaus können ungepatchte Schwachstellen in VPN-Konzentratoren als wichtige Angriffsvektoren dienen.

Um sicherzustellen, dass eine neue Fernzugriffstechnologie hybride Mitarbeiter unterstützt, sollten Unternehmen sich für eine ZTNA-Lösung entscheiden, die einen identitäts- und kontextbewussten, möglichst privilegierten Zugriff auf Unternehmens-Anwendungen gewährt, da dies unberechtigte Seitwärtsbewegungen erheblich einschränkt. Der Echtzeit-Einblick in den detaillierten App Traffic und die User-Aktivitäten gewährleistet eine konsistente Durchsetzung der Richtlinien unabhängig vom Standort des Users. Darüber hinaus ermöglicht dieser Ansatz die sichere Einrichtung von Verbindungen vor der Anmeldung, was das sichere Onboarding neuer Geräte erleichtert und das Zurücksetzen von Passwörtern aus der Ferne ermöglicht. Dadurch wird sichergestellt, dass nur genehmigte Geräte auf wichtige interne Ressourcen zugreifen.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

2. Cloud-Migration beschleunigen

Die digitale Transformation hat zu einem Wendepunkt geführt, an dem sich mehr Arbeitslasten in öffentlichen Clouds als in privaten Rechenzentren befinden, sodass eine effiziente Konnektivität zu Infrastructure-as-a-Service (IaaS) sowohl für User vor Ort als auch für Remote User höchste Priorität hat. Herkömmliche VPN-Infrastrukturen leiten den User Traffic durch private Rechenzentren, bevor sie eine Verbindung zu IaaS-Clouds herstellen – oft unter Verwendung von MPLS oder direkten Tunneln. Dies führt zu einer schlechten User Experience, erhöhten Infrastrukturkosten und komplexem Netzwerk-Routing. Die Möglichkeit, diese Erfahrungen zu verbessern, wird von den IT-Teams erkannt, die bei mehr als der Hälfte (51 Prozent) der ZTNA-Programme eine „bessere Anwendungs-Performance“ als Hauptgrund angeben.

ZTNA löst jedoch nicht unbedingt diese unlogischen und langwierigen Routing-Ent­schei­dung­en. Deshalb ist es wichtig, auf ZTNA-Lösungen zu achten, die genauso viel Zeit für die Archi­tek­tur des Netzwerks aufwenden wie für die Sicherheit. Unternehmen sollten diese bei potenziellen Anbietern genauestens erkunden und Hairpinning (NAT Loopback) sowie alles ablehnen, bei dem Daten sich mehr bewegen, als sie müssen. Jeder Hop erhöht die Latenzzeit und verhindert eine optimale User Experience.

privacyIDEA Workshop – Teil 2

VPN an privacyIDEA anbinden

3. Zugriff auf nicht verwaltete Geräte erleichtern

Unternehmen müssen häufig externen Auftragnehmern, Dienstleistern und Partnern sicheren Zugriff auf Unternehmensressourcen gewähren. Auftragnehmer bringen ihre eigenen Geräte mit, und Mitarbeiter erwarten einen nahtlosen Zugriff über ihre persönlichen Geräte. Dies alles stellt die Herausforderung dar, den Zugriff mit nicht verwalteten Geräten zu ermöglichen, ohne dass Ressourcen dem öffentlichen Internet oder der DMZ (Demilitarisierte Zone) ausgesetzt werden. Eine spezielle Client-Software nur für diesen Anwendungsfall zu verlangen, kann unpraktisch sein, da die User möglicherweise zögern, sie auf persönlichen Geräten zu installieren. Zudem kann die Gewährung von VPN-Zugang für nicht verwaltete Geräte zu einem übermäßigen Zugriff führen.

Dies ist ein Use Case, bei dem es sehr sinnvoll ist, eine ZTNA-Lösung zu wählen, die in eine konsolidierte SSE- (Security Services Edge) oder SASE-Architektur integriert ist. Enterprise Browser bieten wertvolle Fernzugriffsoptionen für nicht verwaltete Geräte und können, wenn sie innerhalb einer größeren Plattform ausgewählt werden, für diesen Anwendungsfall eingeführt werden, ohne dass der betriebliche Aufwand für die Richtlinienverwaltung verdoppelt werden muss.

Mit OpenVPN-Client

VPN-Server mit dem Synology-NAS aufbauen

4. Remote Contact Center unterstützen

Remote Contact Center-Mitarbeiter weltweit stellen besondere Anforderungen an die Konnektivität. Während einige Unternehmen Callcenter Cloud-basierte Unified Communication as a Service (UCaaS) einsetzen, verlassen sich viele immer noch auf ältere, vor Ort gehostete VoIP-Systeme und leiten Anrufe oftmals über Remote Access VPNs weiter. Dies kann zu einer unzureichenden VoIP-Qualität führen, die zu Störungen und Latenzzeiten führt. Dies ist sowohl für Agenten als auch für Kunden frustrierend. Die meisten in der Cloud bereitgestellten ZTNA-Lösungen unterstützen derzeit kein vor Ort gehostetes VoIP, sodass Unternehmen gezwungen sind, sowohl eine ZTNA- als auch eine VPN-Infrastruktur zu unterhalten.

Für diesen Use Case sollten sie nach Lösungen suchen, die ZTNA- und SD-WAN-Funktionen in einer einzigen Lösung darüber hinaus in einem einzigen Client vereinen. Um eine konsistente Sprach- und Videoanwendung zu gewährleisten, benötigen Unternehmen eine dynamische Verkehrssteuerung und eine kontextabhängige Quality of Service (QoS).

Open Source VPN-Plattform Netbird

Mit Netbird WireGuard-basierte VPN-Lösung selbst hosten

5. Ältere Anwendungen berücksichtigen

Ein entscheidender Schritt bei jedem Technologie-Upgrade ist das Testen auf Kompatibilität. Bei der Bereitstellung von ZTNA stellen Unternehmen häufig fest, dass einige ältere Anwendungen mit den meisten aktuellen ZTNA-Lösungen nicht kompatibel sind. So funktionieren beispielsweise Legacy-Anwendungen, die einen vom Server initiierten Datenverkehr benötigen, nicht gut mit der „Inside-Out-Konnektivität“ einer modernen ZTNA-Lösung, die einen vom Endpunkt initiierten Datenverkehr erfordert. Diese proprietären Altsysteme beanspruchen oft viel Zeit, Ressourcen und eine sorgfältige Planung für die Umgestaltung und Modernisierung.

Bei diesem Use Case müssen Unternehmen die Art und Weise untersuchen, wie ZTNA den Zugriff auf private Unternehmens-Anwendungen sowie den Zugriff auf die Cloud und andere modernere Ressourcen handhabt. Größere Änderungen an Legacy-Anwendungen werden vielleicht nicht in nächster Zeit stattfinden, aber die Anforderungen an einen sicheren Zugriff bestehen permanent. Es ist notwendig, die Langlebigkeit von Legacy-Anwendungen zu verlängern. Dabei müssen sie jedoch keine Kompromisse bei der Konsolidierung von Zugangstechnologien machen. Ein schneller, zuverlässiger Anwendungszugang (unabhängig davon, wo die Anwendungen gehostet werden) sollte ein Kernprinzip der ZTNA-Strategie sein.

Tipps & Tricks zu OPNsense – Teil 4: VPN

OPNsense mit OpenVPN oder WireGuard nutzen

6. Integration von Fusionen und Übernahmen beschleunigen

Fusionen und Übernahmen sind Ereignisse, bei denen viel auf dem Spiel steht und die IT-, Netzwerk- und Sicherheitsteams vor besondere Herausforderungen stellen. Ihr Erfolg hängt oft davon ab, wie schnell die Integration der beiden Unternehmen abgeschlossen werden kann. Herkömmliche Methoden zur Zusammenführung von Netzwerken sind kostspielig, zeitaufwändig und komplex. Sie führen häufig zu IP-Konflikten und erfordern ein Adressen-Renumbering. 91 Prozent der Unternehmen finden den Eintritt von Dritten und die Integration von Fusionen und Übernahmen mit VPNs sehr schwierig. In Organisationen, die viele Übernahmen getätigt haben, ist es nicht ungewöhnlich, dass mehrere alte Fernzugriffstechnologien vorhanden sind und es keinen Plan gibt, wie die Situation bei künftigen Übernahmen besser gehandhabt werden kann.

Hier kommt die ZTNA zum Tragen – und dieser Use Case wird oft wegen seiner Vorteile angepriesen. Sie ermöglicht es Unternehmen, schnell geschäftlichen Nutzen zu erzielen, indem sie Mitarbeiter, Auftragnehmer und Berater vom ersten Tag an gezielt mit relevanten unternehmensinternen Applikationen verbindet. Eine VPN-Einrichtung und die Zusammenführung von Netzwerken sind nicht mehr erforderlich, was eine sofortige und sichere Integration ermöglicht. Der Zugriff wird auf der Grundlage adaptiver Vertrauenskriterien gewährt, die die Identität des Users, die Sicherheit des Geräts und andere kontextbezogene Faktoren berücksichtigen. Dadurch werden die Risiken von Seitwärtsbewegungen und die Preisgabe sensibler Informationen durch selektiven Zugriff auf Anwendungen und Daten verringert.

Grenzen der IT-Security

Network-Perimeter durch Zero-Trust-Modelle ersetzen

In der Praxis zeigt sich jedoch, dass viele ZTNA-Lösungen die hier beschriebenen Probleme nicht vermeiden können, da sie nicht alle vom übernommenen Unternehmen benötigten Anwendungsfälle abdecken. Kein Legacy-VPN kann abgeschaltet werden, solange nicht jeder User und jede Anwendung (selbst umständliche Legacy-Anwendungen) abgedeckt werden können. Es lohnt sich also, alle hier aufgeführten gängigen Use Cases in Betracht zu ziehen, wenn Unternehmen Fusionen und Übernahmen planen. Auch wenn sie sie heute nicht alle nutzen, könnten einige von ihnen in Zukunft benötigt werden.

Fazit

Veraltete Fernzugriffs-VPNs, die einst modern waren, weisen heute erhebliche Sicherheitslücken auf und beeinträchtigen die Netzwerkleistung sowie die Benutzerfreundlichkeit. Viele ZTNA-Lösungen bieten derzeit nur einen teilweisen VPN-Ersatz, was zu einer komplexen Mischung von Infrastrukturen führt, die komplizierter sein kann als die ursprüngliche Einrichtung. Bei der Bewertung moderner Alternativen sind diese Kompromisse nicht notwendig, wenn die anspruchsvolleren Use Cases im Vorfeld erkannt und bei der Auswahl der Architektur berücksichtigt werden.

Über den Autor: Als Vice President Central & Eastern Europe leitet Mathias Widler die Vertriebs- und Außendienst-Teams in den schnell expandierenden Märkten bei Netskope. Widler verfügt über umfangreiche Erfahrungen im Sicherheits- und Netzwerkvertrieb. Bevor er zu Netskope wechselte, war Widler unter anderem für Zscaler und Palo Alto Networks tätig.

Durchstarten mit Zero Trust Network Access

Vier-Punkte-Plan zur Einführung von ZTNA

(ID:50548685)