Schutzmaßnahmen
VPN
Was ist ein VPN?
Ein VPN (virtuelles privates Netzwerk) ist eine verschlüsselte Verbindung, mit der sich Mitarbeiter von außerhalb in das Firmennetz einwählen. Der Datenverkehr läuft durch einen geschützten Kanal und bleibt unterwegs für Dritte unlesbar. Der Zugang öffnet sich erst nach erfolgreicher Anmeldung.
Der Anlass für ein VPN ist der Arbeitsalltag: Homeoffice, Außendienst, Baustelle, Hotel-WLAN, ein Blick auf die Auftragsliste vom Notebook am Küchentisch. Wird ein Dienst für diesen Zweck direkt aus dem Internet erreichbar gemacht, steht die Tür für jeden offen, der sie findet. Ein VPN hält den Server für das Internet unsichtbar, und nur wer sich am VPN anmeldet, gelangt in das Firmennetz.
Das Wort VPN wird für zwei verschiedene Dinge verwendet. Für einen Betrieb geht es um das Firmen-VPN, also den gesicherten Zugang der eigenen Leute in das eigene Netz. Die beworbenen VPN-Dienste für Privatpersonen verbergen die eigene IP-Adresse beim Surfen und erfüllen damit eine andere Aufgabe. Wer über den Fernzugriff auf die Buchhaltung spricht, meint das Firmen-VPN.
Ein VPN-Zugang ist ein Generalschlüssel in Ihr Netz und wird entsprechend behandelt. Jeder Zugang gehört einer namentlich benannten Person, denn Sammelkonten für mehrere Mitarbeiter machen jede spätere Nachvollziehbarkeit unmöglich. Jeder Zugang wird mit Zwei-Faktor-Authentifizierung geschützt, also mit einem zweiten Nachweis neben dem Passwort, etwa einer Bestätigung am Mobiltelefon. Zugänge ausgeschiedener Personen werden am Tag des Austritts gesperrt. Und das VPN-Gerät selbst ist aus dem Internet erreichbar, weshalb seine Sicherheitsupdates zügig eingespielt gehören.
Ein angemeldeter VPN-Nutzer sollte genau jene Systeme erreichen, die er für seine Arbeit braucht. Ein Zugang, der das gesamte Netz öffnet, macht aus einem befallenen privaten Notebook im Wohnzimmer ein Problem für die Buchhaltung. Netzwerksegmentierung, also die Aufteilung des Netzes in getrennte Bereiche, und ein Berechtigungskonzept, also die schriftliche Festlegung, wer auf welche Daten und Systeme zugreifen darf, begrenzen die Reichweite eines übernommenen Zugangs.
Der erste sinnvolle Schritt ist eine Liste aller VPN-Konten mit der Frage, wem jedes Konto gehört und ob die Person noch im Betrieb tätig ist. Danach folgen der zweite Faktor und die Protokollierung, damit nachvollziehbar bleibt, wer wann von wo verbunden war. Der IT-Check erhebt, wie der Fernzugriff auf Ihr Netz eingerichtet ist und welche Wege von außen offenstehen.
Alle Begriffe der Wissensdatenbank
Hinweis: Dieser Eintrag gibt den Stand nach bestem Wissen wieder und dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung. Maßgeblich ist immer die geltende Fassung bei der zuständigen Stelle, etwa dsb.gv.at, nis.gv.at oder onlinesicherheit.gv.at.
Vom Begriff zur Praxis
Wie steht Ihr Betrieb wirklich da?
Der IT-Check prüft Ihre IT in 8 Prüfbereichen mit über 100 Prüfpunkten und liefert einen dokumentierten Befund mit priorisiertem Maßnahmenplan. Ab 1.299 € exkl. USt. Das Erstgespräch dauert 20 Minuten. Es entstehen keine Kosten.