VPN oder Zero Trust Network Access: Unterschiede erklärt

Für den Fernzugriff auf Firmendaten ist das klassische VPN seit Jahren Standard. Inzwischen taucht in Angeboten und Fachartikeln immer häufiger der Begriff Zero Trust Network Access (ZTNA) auf. Beide Ansätze verbinden Mitarbeitende mit internen Anwendungen, folgen aber einer unterschiedlichen Logik. Dieser Artikel vergleicht beide konkret und zeigt, welche Fragen Sie vor einer Entscheidung klären sollten.

Wie ein klassisches VPN funktioniert

Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen dem Gerät eines Mitarbeitenden und dem Firmennetzwerk auf. Nach der Anmeldung verhält sich das Gerät so, als stünde es im Büro. Es bekommt eine interne IP-Adresse und kann grundsätzlich alle Systeme erreichen, die auch im lokalen Netz erreichbar sind.

Dieses Modell folgt dem Prinzip „drinnen vertrauenswürdig, draußen nicht“. Die Prüfung findet einmal am Eingang statt, beim Verbindungsaufbau. Danach wird dem Gerät weitgehend vertraut.

Das hat praktische Vorteile: Ein VPN ist bekannt, gut dokumentiert und für fast jede Anwendung geeignet, weil es auf Netzwerkebene arbeitet. Die Schwächen zeigen sich, wenn etwas schiefgeht:

• Zu weitreichender Zugriff: Ein kompromittiertes Notebook mit VPN-Verbindung kann das gesamte Netz sehen, nicht nur die Anwendung, die der Nutzer braucht.
• Seitliche Bewegung: Angreifer, die einmal im Netz sind, können sich von System zu System weiterbewegen. Fachleute nennen das Lateral Movement.
• Offene Einwahlpunkte: VPN-Gateways sind aus dem Internet erreichbar und deshalb ein beliebtes Ziel. Sicherheitslücken in VPN-Produkten müssen schnell gepatcht werden.

Wie Zero Trust Network Access funktioniert

ZTNA setzt das Zero-Trust-Prinzip für den Fernzugriff um. Der Grundgedanke lautet: Kein Zugriff wird allein deshalb erlaubt, weil sich ein Gerät in einem bestimmten Netz befindet. Jede Verbindung zu einer Anwendung wird anhand von Identität, Gerät und Richtlinie einzeln geprüft.

Das US-amerikanische National Institute of Standards and Technology (NIST) beschreibt diese Architektur in der Publikation SP 800-207. Zentral sind dabei zwei Ideen:

• Least Privilege: Jeder Nutzer und jedes Gerät erhält nur die Rechte, die für die konkrete Aufgabe nötig sind. Die Buchhaltung erreicht die Finanzsoftware, aber nicht den Entwicklungsserver.
• Zugriff pro Ressource: Statt Zugang zum ganzen Netz gibt es Zugang zu einzelnen Anwendungen oder Diensten. Alles andere bleibt für den Nutzer unsichtbar.

Technisch steht zwischen Nutzer und Anwendung eine Instanz, die Richtlinien durchsetzt. Je nach Lösung ist das ein Gateway, ein Proxy oder ein Client, der nur bestimmte Verbindungen zulässt. Interne Anwendungen müssen dabei nicht direkt aus dem Internet erreichbar sein.

Der direkte Vergleich

Häufige Missverständnisse

„ZTNA ersetzt Verschlüsselung“: Nein. Auch ZTNA-Lösungen nutzen verschlüsselte Verbindungen, oft sogar VPN-Protokolle wie WireGuard oder TLS. Der Unterschied liegt nicht in der Verschlüsselung, sondern darin, wer worauf zugreifen darf.

„Ein VPN ist automatisch unsicher“: Auch das stimmt nicht. Ein gut konfiguriertes VPN mit Multi-Faktor-Authentifizierung, segmentierten Netzen und restriktiven Firewall-Regeln kann bereits viele Zero-Trust-Ideen umsetzen. Umgekehrt bietet eine schlecht gepflegte ZTNA-Lösung keinen Schutz.

„ZTNA ist nur etwas für Konzerne“: Gerade kleinere Unternehmen mit wenigen, klar abgegrenzten Anwendungen können Zugriffsregeln oft übersichtlich definieren.

„Zero Trust heißt, man vertraut niemandem“: Gemeint ist, dass Vertrauen nicht pauschal vergeben, sondern für jeden Zugriff begründet wird.

Wann welcher Ansatz passt

Ein klassisches VPN kann weiterhin sinnvoll sein, wenn wenige Personen administrativ auf ein ganzes Netz zugreifen müssen oder alte Anwendungen nur auf Netzwerkebene funktionieren. Dann sollte der Zugriff aber auf eine kleine Gruppe beschränkt und gut abgesichert sein.

ZTNA ist im Vorteil, wenn viele Mitarbeitende remote arbeiten, externe Dienstleister eingebunden werden oder unterschiedliche Gruppen auf unterschiedliche Systeme zugreifen. Auch wenn Sie Anforderungen wie Zugriffskontrolle und Multi-Faktor-Authentifizierung nachweisen müssen, etwa im Rahmen von NIS2, hilft eine feingranulare Rechtevergabe.

In der Praxis ist der Übergang fließend. Viele Unternehmen beginnen mit einem VPN und schränken die Zugriffe schrittweise ein, bis jeder Nutzer nur noch seine Anwendungen erreicht.

Fragen an Anbieter und Dienstleister

Ob eine Lösung als VPN oder als ZTNA vermarktet wird, sagt wenig über die tatsächliche Sicherheit aus. Stellen Sie bei Angeboten deshalb konkrete Fragen:

• Auf welcher Ebene werden Zugriffe gesteuert: pro Netz, pro Host oder pro Anwendung?
• Wie werden Identitäten angebunden und ist Multi-Faktor-Authentifizierung Pflicht?
• Wie schnell lässt sich der Zugang eines Geräts oder einer Person sperren?
• Welche Zugriffe werden protokolliert und wer kann die Protokolle einsehen?
• Wo werden die Verwaltungsdaten gespeichert und betrieben?
• Welche Komponenten sind aus dem Internet erreichbar?

Schritte für den Umstieg

1. Anwendungen erfassen: Listen Sie alle Systeme auf, die remote erreichbar sein müssen.
2. Nutzergruppen bilden: Ordnen Sie zu, welche Rolle welche Anwendung tatsächlich braucht.
3. Identität absichern: Führen Sie Multi-Faktor-Authentifizierung für alle Fernzugriffe ein.
4. Geräte einbeziehen: Legen Sie fest, welche Geräte zugelassen sind und welchen Mindeststand sie haben müssen, etwa aktuelle Updates.
5. Pilotgruppe starten: Testen Sie die neuen Regeln mit einer kleinen Gruppe und einer überschaubaren Anwendung.
6. Alten Zugang zurückbauen: Schließen Sie pauschale Netzfreigaben erst, wenn die neuen Zugriffe zuverlässig funktionieren.
7. Protokollieren und prüfen: Werten Sie Zugriffe regelmäßig aus und entfernen Sie nicht mehr benötigte Rechte.

Zero-Trust-Netzwerk von Simplify Data

Simplify Data betreibt für Unternehmen ein Zero-Trust-Netzwerk auf WireGuard-Basis. Dabei verbinden wir die Verschlüsselung eines modernen VPN-Protokolls mit Zugriffsregeln nach dem Least-Privilege-Prinzip. Wenn Sie Ihren bestehenden Fernzugriff überprüfen möchten, sprechen Sie uns an. Zero-Trust-VPN ansehen

Quellen

• NIST SP 800-207: Zero Trust Architecture
• WireGuard: Protokoll und Kryptografie