Seit Jahrzehnten ist das virtuelle private Netzwerk (VPN) aus dem Alltag von Berufstätigen, die außerhalb des Büros arbeiten, nicht mehr wegzudenken. Hier ist ein weiterer Klassiker: Sich über das VPN zu beschweren.
Endnutzer beschweren sich über die zusätzliche Zeit, die durch VPNs beim Einloggen in das Unternehmensnetzwerk entsteht, und müssen nach der Verbindung mit einem langsameren Internetzugang vorliebnehmen. Netzwerkadministratoren müssen die Helpdesk-Anrufe dieser verärgerten Nutzer entgegennehmen. Alle scheinen VPNs als umständlich, schwerfällig und lästig zu empfinden.
Und das war noch vor der Pandemie. Traditionell erwarben die meisten Unternehmen gerade so viel VPN-Kapazität, dass etwa 10 % ihrer Mitarbeiter zu jedem Zeitpunkt bedient werden konnten – genug, um sicherzustellen, dass Außendienstmitarbeiter auf ihren Touren, Führungskräfte und andere ihre Arbeit auch außerhalb des Büros erledigen konnten.
Doch plötzlich arbeiteten alle von zu Hause aus, und sofern man nicht schnell an die für den Betrieb herkömmlicher VPNs erforderliche lokale Hardware (sogenannte VPN-Konzentratoren) herankam, hatten Unternehmen große Schwierigkeiten, ihren Mitarbeitern sichere und zuverlässige Verbindungen zur Verfügung zu stellen.
„Unternehmen mussten ihre VPN-Kapazität verzehnfachen, und die Nutzer verzeichnen eine schlechtere Leistung als je zuvor.“Richard Stiennon
„Was früher nur ein Ärgernis war, behindert nun die Erledigung geschäftlicher Aufgaben“, sagt Richard Stiennon, Gründer von IT-Harvest, einem Unternehmen für Sicherheitsanalysen. „Unternehmen mussten ihre VPN-Kapazität verzehnfachen, und die Nutzer verzeichnen eine schlechtere Leistung als je zuvor.“
In einer von Tanium im Jahr Juni 2020 durchgeführten Umfrage nannten Führungskräfte überlastete VPNs tatsächlich als die zweitgrößte Sicherheitsherausforderung, mit der sie bei der Umstellung auf eine stärker dezentralisierte Belegschaft konfrontiert waren. (An erster Stelle stand die Identifizierung neuer Computergeräte im Netzwerk, da sich die Mitarbeiter im Homeoffice mit ihren privaten Geräten anmeldeten.) Infolgedessen gaben 40 % an, dass sie ihre Abhängigkeit von dieser Technologie künftig verringern würden.
[Sehen Sie selbst: Gute Sicherheit ist gut gemachte IT]
Ein Grund dafür: Die Cybersicherheitsteams mussten so viel Zeit für die Einrichtung sicherer Verbindungen für Remote-Mitarbeiter aufwenden, dass sie andere Aufgaben vernachlässigten, so Stiennon. In der Tanium-Umfrage gaben 26 % der Führungskräfte auf C-Level an, dass ihre Unternehmen in den ersten Monaten der Krise die Installation von Patches und andere Sicherheitsmaßnahmen zurückstellen mussten. Im Jahr 2021, während die Pandemie weiter andauert, suchen viele Unternehmen nach sichereren und skalierbaren Alternativen.
Zeit für eine Aufrüstung
Glücklicherweise haben Unternehmen eine Alternative. Da immer mehr digitale Aufgaben mithilfe cloudbasierter Dienste erledigt werden – man denke beispielsweise an Microsoft360, Slack und Zoom –, haben große Anbieter Funktionen entwickelt, die schneller, stärker automatisiert und sicherer sind als VPNs. Dies führt dazu, dass VPNs zunehmend überflüssig werden, sagt Rob Sadowski , Leiter des Bereichs Vertrauen und Sicherheit bei Google Cloud, auf der „“.
„“ Ein in die Cloud integrierter Fernzugriff bietet sowohl für die Benutzer als auch für die Administratoren ein besseres Erlebnis.“Alex J. Philips
„VPNs sind für die dezentrale Belegschaft einfach nicht die beste Lösung“, sagt Sadowski. „Ein in die Cloud integrierter Fernzugriff bietet sowohl für die Benutzer als auch für die Administratoren ein besseres Erlebnis.“
Alex J. Philips, der CIO des in Houston ansässigen Unternehmens National Oilwell Varco, stimmt dem zu. „VPNs sind in meinem Arbeitsumfeld wahrscheinlich die häufigste Ursache für Probleme“, sagt er.
Das Ölbohrdienstleistungsunternehmen in 2016 hat mehr als ein Dutzend seiner VPN-Router außer Betrieb genommen und ist auf einen cloudbasierten Dienst umgestiegen, der weltweit Hunderte von Zugangspunkten bietet. Ein Ingenieur in Singapur könnte sich beispielsweise sicher bei Cloud-basierten Anwendungen anmelden, ohne ein VPN nutzen zu müssen. Das Ergebnis war eine verbesserte Benutzererfahrung, unabhängig davon, ob sich der Mitarbeiter bei der Spesenabrechnungsanwendung des Unternehmens anmeldete oder Cloud-basierte Dienste wie Zoom oder Slack nutzte.
Ein weiterer Vorteil sei die Skalierbarkeit, so Philips. Über das VPN betrug die maximale Anzahl der Mitarbeiter, die sich aus der Ferne angemeldet hatten, 2 000. Als die Pandemie ausbrach, waren 9 000 Mitarbeiter gleichzeitig online. Das Cloud-System hat diese Aufgaben reibungslos bewältigt.
[Lesen Sie auch: Wie die Bank of America ihre digitale Zukunft vorantreibt]
„Unterdessen bemühten sich all diese anderen Unternehmen verzweifelt darum, mehr VPN-Kapazität zu erwerben – und das zu einer Zeit, als die globalen Lieferketten zusammenbrachen und man keine weitere Hardware mehr beschaffen konnte“, sagt er. „Hätten wir noch unsere alte VPN-Architektur gehabt, weiß ich nicht, was wir getan hätten, aber es wäre eine echte Tortur gewesen.“
Cloud-basierte Dienste verfügen über eigene integrierte Sicherheitsfunktionen, die nicht die inhärenten Schwachstellen von VPNs aufweisen. Google Cloud hat beispielsweise eine Open-Source-Technologie namens „ “ (BeyondCorp) entwickelt, damit sich die eigenen Mitarbeiter sicher über ihr WLAN zu Hause oder über jedes andere ungesicherte Netzwerk anmelden können, ohne sich mit einem VPN herumschlagen zu müssen.
Als die Stadt New York ihr Cyber Command ins Leben rief, um eine gemeinsame Infrastruktur für alle Websites und Dienste der Stadt zu schaffen, entschieden sich die Verantwortlichen für Google Cloud – unter anderem, weil sie dadurch auf den Einsatz von VPNs verzichten konnten. „Sie beschäftigen Mitarbeiter, die die größte Stadt des Landes schützen, und diese Mitarbeiter müssen jederzeit auf wichtige Anwendungen und Ressourcen zugreifen können“, sagt Sadowski.
Vertrauen in das Zero-Trust-Modell gewinnen
Neben einer im Wesentlichen unbegrenzten Bandbreite verfolgt BeyondCorp einen Sicherheitsansatz namens „Zero Trust“, bei dem sich Benutzer bei jeder Anmeldung an Unternehmenssystemen, Anwendungen und Websites auf verschiedene Weise identifizieren müssen. Ein Problem herkömmlicher VPNs besteht darin, dass Nutzer, sobald sie Zugang zu einem Netzwerk erhalten haben, uneingeschränkten Zugriff darauf haben, sich überall hin zu bewegen – darunter möglicherweise auch in sensible Kunden- und Mitarbeiterdatenbanken.
Jüngsten Presseberichten von „ “ zufolge gelang es Hackern kürzlich, sich über ein VPN Zugang zum Netzwerk eines Wasseraufbereitungsunternehmens in Oldsmar, Florida, zu verschaffen, und sie hätten beinahe gefährliche Mengen an Lauge in das Wasserversorgungssystem eingeleitet.
Ein Zero-Trust-System überprüft nicht nur die Identität jedes Geräts, sondern stellt auch sicher, dass es ordnungsgemäß konfiguriert ist und beispielsweise keine veraltete, nicht mehr unterstützte Software ausführt. Es überprüft die Identität des Benutzers, sodass entlassene Mitarbeiter sich nicht anmelden können. Zudem regelt es den Zugriff auf jede Anwendung, um sicherzustellen, dass der Benutzer über die entsprechenden Zugriffsrechte verfügt.
[Lesen Sie auch: Wie Tanium Transparenz bei Endgeräten für Googles BeyondCorp gewährleistet]
VPNs ( ), die ursprünglich von einem Microsoft-Ingenieur im Jahr mid-1990s konzipiert wurden, funktionieren durch die Einrichtung eines temporären, verschlüsselten „Tunnels“ zwischen einem Unternehmensrouter und dem PC des Mitarbeiters. Sie wurden so konzipiert, dass der Benutzer ausschließlich Zugriff auf Anwendungen im Unternehmensnetzwerk erhält, und waren nicht für die heutigen ständigen Verbindungen ausgelegt.
Die Nachfrage nach VPN-Lösungen wird natürlich nicht so schnell nachlassen. Nicht nur haben sich viele Unternehmen dafür entschieden, zusätzliche Kapazitäten zu erwerben, anstatt auf neue Ansätze umzusteigen, sondern auch Anbieter wie IBM haben Wege gefunden, ihre VPN-Angebote so anzupassen, dass diese stärker auf die Cloud ausgerichtet sind.
Sollte das Arbeiten von zu Hause aus jedoch für Millionen von Mitarbeitern zur Realität werden, müssen Netzwerkadministratoren weitaus mehr Geräte effizienter absichern – und zwar nicht nur die sorgfältig konfigurierten PCs, an denen die Mitarbeiter seit Jahrzehnten arbeiten. Für den privaten Laptop, mobile Geräte und alle neuen Endgeräte, die in den kommenden Jahren auf den Markt kommen werden, ist ein sicherer Zugriff erforderlich. Dies bedeutet ein reichhaltiges Jagdrevier für Cyberdiebe und Hacker, da mehr Geräte auch mehr Möglichkeiten bieten, Passwörter und andere Zugangsdaten zu stehlen.
Technologieanbieter schließen sich zunehmend zusammen, um dieses komplexe Verwaltungsproblem zu lösen. So hat beispielsweise Tanium im Jahr 2020 eine „ “-Partnerschaft mit Google bekannt gegeben, damit Unternehmen, die unser Endpunktmanagementsystem und BeyondCorp nutzen, den gesamten Datenverkehr in einem Chrome-Browser kontinuierlich auf Malware und andere Bedrohungen überprüfen können.
„Es gibt einen Grund, warum jeder das VPN so gerne hasst“, sagt John Pescatore , Direktor für neue Sicherheitstrends am SANS Institute, auf . „Sie sollten auf dieselbe Weise arbeiten können, ganz gleich, ob Sie sich von Ihrem Büro, über Ihr WLAN zu Hause, von einem Parkplatz oder aus einem Hotelzimmer verbinden – ohne überhaupt wissen zu müssen, dass es so etwas wie ein VPN gibt.“
