Wie funktionieren VPN und ZTNA?
Beim VPN (Virtual Private Network) baut ein Client auf dem Notebook einen verschlüsselten Tunnel zu einem Gateway am Firmenstandort auf, meist per IPsec, SSL/TLS oder WireGuard. Nach der Anmeldung erhält das Gerät eine interne Adresse und ist Teil des Netzes. Was es dort erreicht, bestimmen Firewall-Regeln. In vielen Unternehmen sind das über Jahre gewachsene Freigaben auf ganze Subnetze.
Bei ZTNA (Zero Trust Network Access) prüft ein Vermittler, meist Broker oder Controller genannt, vor jeder Sitzung, wer zugreift, mit welchem Gerät und in welchem Zustand. Erst dann wird eine Verbindung zu genau einer Anwendung hergestellt. Bei vielen Lösungen bauen Connectoren im Rechenzentrum die Verbindung von innen nach außen auf, sodass am Standort keine eingehenden Ports offen sein müssen und die Anwendungen aus dem Internet nicht sichtbar sind. ZTNA ist der Baustein für den Fernzugriff in einer Zero-Trust-Architektur.
Zur Prüfung des Gerätezustands fragt ZTNA typischerweise ab, ob das Gerät verwaltet wird, ein gültiges Zertifikat besitzt, das Betriebssystem aktuell ist, die Festplatte verschlüsselt ist und der Endpunktschutz läuft. Fällt eine Bedingung weg, endet der Zugriff oder wird eingeschränkt, auch mitten in der Sitzung. Webanwendungen lassen sich bei vielen Lösungen sogar ohne Client im Browser freigeben, was den Zugang für externe Dienstleister vereinfacht.
ZTNA vs. VPN im direkten Vergleich
| Kriterium | VPN | ZTNA |
|---|---|---|
| Zugriff auf | Netz oder Subnetze | Einzelne Anwendungen |
| Vertrauensprüfung | Bei der Anmeldung | Pro Sitzung, laufend anhand von Identität und Gerätezustand |
| Sichtbarkeit im Internet | Gateway mit offenem Port, für Scanner auffindbar | Bei vielen Lösungen keine eingehenden Ports, Anwendungen nicht sichtbar |
| Seitliche Bewegung | Möglich, wenn Regeln zu weit gefasst sind | Stark eingeschränkt |
| Gerätezustand | Je nach Produkt prüfbar, oft nicht genutzt | Fester Bestandteil der Entscheidung |
| Protokolle | Alle IP-Protokolle, auch UDP und ältere Anwendungen | Web und TCP gut, UDP, Telefonie und vom Server aufgebaute Verbindungen je nach Lösung eingeschränkt |
| Standortkopplung | Bewährt als Site-to-Site-VPN | Nicht vorgesehen |
| Arbeitsalltag | Tunnel oft manuell starten, Engpass am Gateway möglich | Meist unsichtbar für Nutzer, Verbindung je Anwendung |
| Betrieb | Bekannt, wenige Komponenten | Neues Rollenmodell, Abhängigkeit vom Identitätsdienst |
| Betriebsmodell | Gateway im eigenen Rechenzentrum oder auf der Firewall | Als Dienst eines Anbieters oder selbst betrieben, je nach Lösung |
ZTNA lohnt sich besonders, wenn mindestens einer dieser Punkte zutrifft:
- Externe Dienstleister oder Partner greifen regelmäßig auf einzelne Systeme zu.
- Ein großer Teil der Belegschaft arbeitet mobil oder im Homeoffice, und das VPN-Gateway ist zu Stoßzeiten ein Engpass.
- Die wichtigsten Anwendungen sind webbasiert oder laufen über wenige TCP-Ports.
- Prüfungen oder Kunden verlangen nachvollziehbar, wer wann auf welches System zugegriffen hat.
- Das bestehende VPN-Regelwerk ist über Jahre gewachsen und kaum noch zu überblicken.
Warum klassische VPN-Gateways unter Druck stehen
VPN-Gateways stehen direkt im Internet, sind leicht auffindbar und versprechen nach einem erfolgreichen Einbruch Zugang zum ganzen Netz. Entsprechend häufig werden sie angegriffen. Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA finden sich zahlreiche Lücken in VPN- und Fernzugriffsprodukten verschiedener Hersteller. Anfang 2024 wies die CISA US-Bundesbehörden per Notfallanweisung sogar an, die Gateways eines Herstellers vorübergehend vom Netz zu nehmen.
Hinzu kommen Schwächen im Betrieb: gemeinsam genutzte Konten, fehlende MFA, Regeln nach dem Muster „VPN-Nutzer dürfen alles“, verspätete Updates. Ein Angreifer mit gültigen VPN-Zugangsdaten bewegt sich dann wie ein Mitarbeiter durchs Netz, und viele Ransomware-Angriffe beginnen über solche Fernzugänge. Das spricht nicht automatisch gegen VPN, wohl aber gegen ein schlecht gepflegtes VPN.
Wann ein VPN weiterhin die richtige Wahl ist
- Für die Standortkopplung bleibt Site-to-Site-VPN per IPsec zwischen Firewalls der Standard, sofern nicht ohnehin SD-WAN im Einsatz ist. Mehr dazu unter SD-WAN oder MPLS.
- Kleine, klar umrissene Nutzergruppen wie wenige Administratoren lassen sich mit MFA, eigenen Konten und eng gefassten Regeln auf ein Verwaltungsnetz gut absichern.
- Ältere Anwendungen und Protokolle, etwa Fachanwendungen mit eigenem Client, Telefonie oder Wartungszugänge zu Maschinen, laufen über VPN oft problemloser.
- In der Übergangsphase ist ein gehärtetes VPN die richtige Brücke, solange der Umstieg Zeit braucht.
Ein gutes VPN heißt heute: MFA für jede Anmeldung, Sicherheitsupdates innerhalb weniger Tage, Regeln pro Nutzergruppe statt Freigaben auf alles, protokollierte Anmeldungen und keine Verwaltungsoberfläche aus dem Internet. Welche Plattformen das gut abbilden, zeigt unser Firewall-Vergleich.
Wo ZTNA an Grenzen stößt
- Abhängigkeit vom Identitätsdienst: Fällt das zentrale Verzeichnis oder der Anmeldedienst aus, kommt niemand mehr an die Anwendungen. Planen Sie Hochverfügbarkeit und einen Notzugang.
- Protokolle: Anwendungen, die Verbindungen vom Server zum Client aufbauen, Telefonie über UDP oder Dienste, die auf Broadcasts angewiesen sind, funktionieren je nach Produkt nur eingeschränkt.
- Lizenzmodell: ZTNA wird meist pro Nutzer und Jahr lizenziert. Bei vielen Nutzern mit wenigen Anwendungen kann ein gut betriebenes VPN wirtschaftlicher sein.
- Datenweg: Viele ZTNA-Angebote laufen als Dienst über die Rechenzentren des Anbieters. Das erleichtert die Skalierung, bedeutet aber, dass Verbindungen über Dritte laufen. Wer das nicht möchte, wählt eine selbst betriebene Variante. Manche Firewall-Plattformen bringen ZTNA-Funktionen bereits mit.
- Fehlersuche: Wenn eine Anwendung nicht erreichbar ist, kann die Ursache in Richtlinie, Gerätezustand, Identitätsdienst, Connector oder Anwendung liegen. Der Support braucht dafür neue Abläufe und Zugriff auf die Entscheidungsprotokolle.
ZTNA, SSE und SASE: Begriffe sauber trennen
Im Markt verschwimmen drei Begriffe. ZTNA ist der anwendungsbezogene Fernzugriff. SSE (Security Service Edge) bündelt ZTNA mit weiteren Sicherheitsfunktionen wie einem Web-Filter (Secure Web Gateway) und der Kontrolle von Cloud-Anwendungen (CASB). SASE (Secure Access Service Edge) ergänzt SSE um die Netzwerkseite, typischerweise SD-WAN. Den Begriff SASE hat das Analysehaus Gartner 2019 geprägt. Für die Entscheidung zwischen ZTNA und VPN müssen Sie keine SASE-Plattform einführen, ZTNA lässt sich auch einzeln betreiben.
Migrationspfad: vom VPN zu ZTNA in fünf Schritten
- Zugriffe erfassen: Welche Gruppen nutzen das VPN für welche Anwendungen? Die Protokolle der Firewall zeigen das meist innerhalb weniger Wochen.
- Identitäten und Geräte vorbereiten: zentrales Verzeichnis, MFA für alle, verwaltete Geräte mit Zertifikat. Ohne diese Grundlage hat ZTNA nichts zu prüfen, siehe MFA im Unternehmen einführen.
- Pilot mit Webanwendungen und externen Dienstleistern: Hier ist der Gewinn am größten, denn Dienstleister erhalten Zugriff auf genau ein System statt auf das Netz.
- Anwendung für Anwendung umziehen: das VPN parallel weiterbetreiben, seine Regeln schrittweise einengen und Nutzergruppen verschieben.
- VPN zurückbauen: Am Ende bleibt VPN nur für Standortkopplung und begründete Sonderfälle, mit engen Regeln und MFA.
Beispiel mit typischen Werten: Bei 200 Nutzern und 20 bis 30 Anwendungen dauert ein solcher Umstieg meist 6 bis 12 Monate. Der Pilot liefert nach wenigen Wochen belastbare Erfahrungen.
Planen Sie für jede Umzugswelle eine kurze Information an die Nutzer, einen festen Ansprechpartner im Support und einen Rückweg: Solange das VPN parallel läuft, kann eine Gruppe bei Problemen kurzfristig zurück, ohne dass die Arbeit stillsteht. Prüfen Sie nach jeder Welle in den Protokollen, ob noch Zugriffe über das VPN laufen, die eigentlich umgezogen sein sollten. Erst wenn dort Ruhe herrscht, werden die alten Regeln gelöscht.
Wie Unite2Link Sie unterstützt
Unser Team plant und betreibt Fernzugriffe herstellerneutral, mit VPN, mit ZTNA oder in Kombination. Wir erfassen die bestehenden Zugriffe, härten das VPN als Brücke, wählen die ZTNA-Lösung passend zu Ihrem Betriebsmodell und prüfen das Ergebnis mit einem Penetrationstest. Unser Team ist für WatchGuard zertifiziert und setzt ebenso Fortinet und Check Point ein. Mehr zu unseren Leistungen in der Cybersicherheit.