Remote Access und VPN

Zugang von außen als Vertrauensentscheidung: Tunnelumfang, Split-Tunnel-Kompromiss, Geräte- gegen Nutzeridentität und die Diagnose eines Tunnels, der aufgebaut ist und trotzdem nichts überträgt.

Der Tunnel ist Transport, nicht Vertrauen

Einführung · 6 Abschnitte · ~15 Min Lesezeit · Stand 2026-07-30

Betriebsfrage

Ein VPN verschlüsselt einen Transportweg. Es beantwortet nicht, wer am anderen Ende sitzt, womit er arbeitet und worauf er zugreifen darf. Genau diese drei Fragen entscheiden über die Sicherheit des Zugangs.

Mentales Modell

Identität prüfen
Gerätezustand prüfen
Tunnel aufbauen
Zugriff begrenzen
Sitzung beobachten

Zwei Grundformen

Standortkopplung	Zwei bekannte Netze werden dauerhaft verbunden. Die Identität ist die Gegenstelle; der Umfang ergibt sich aus den vereinbarten Netzbereichen.
Client-Zugang	Ein einzelnes Gerät verbindet sich. Identität, Gerätezustand und Zugriffsumfang müssen pro Sitzung entschieden werden.

Split-Tunnel

Beim vollständigen Tunnel läuft aller Verkehr durch das Unternehmensnetz — maximale Sichtbarkeit, maximale Last auf Konzentrator und Anbindung. Beim Split-Tunnel geht nur ein Teil in den Tunnel — geringere Last, aber der ausgeleitete Verkehr entzieht sich der zentralen Kontrolle.

Identität ist zweiteilig

Nutzeridentität beantwortet, wer arbeitet — sie gehört an ein Verfahren mit zweitem Faktor.
Geräteidentität beantwortet, worauf gearbeitet wird — sie hängt an einem Schlüssel oder Zertifikat, das das Gerät nicht weitergeben kann.
Nur beide zusammen verhindern, dass gültige Zugangsdaten auf einem beliebigen fremden Gerät ausreichen.