VPN und sicherer Fernzugriff

Sicherer Fernzugriff im IT-Grundschutz

Drei Bausteine sind maßgeblich: NET.3.3 «VPN» für die technische Verbindung, OPS.1.2.5 «Fernwartung» für den Zugriff durch Administratoren und Dienstleister sowie OPS.1.2.4 «Telearbeit» für das Arbeiten von zu Hause.

Basis-Anforderungen NET.3.3

• Planung des VPN-Einsatzes (A1): Verantwortlichkeiten, Benutzergruppen und Berechtigungen sind festgelegt, ebenso die Dokumentation von erteilten, geänderten und entzogenen Rechten.
• Auswahl von VPN-Dienstleistenden (A2): Falls ein Anbieter beteiligt ist, werden Service Level Agreements schriftlich vereinbart und kontrolliert.
• Sichere Installation von VPN-Endgeräten (A3) und sichere Konfiguration (A4): Die Konfiguration wird festgelegt, dokumentiert und regelmäßig darauf geprüft, ob sie noch sicher ist.
• Sperrung nicht mehr benötigter Zugänge (A5): Regelmäßig prüfen, ob nur Berechtigte zugreifen können; nicht mehr benötigte Zugänge zeitnah deaktivieren; den Zugriff auf benötigte Nutzungszeiten beschränken.

Basis-Anforderungen OPS.1.2.5

• Planung der Fernwartung (A1).
• Sicherer Verbindungsaufbau bei der Fernwartung von Clients (A2): Die Fernwartungssoftware baut eine Verbindung zum Arbeitsplatz erst nach ausdrücklicher Zustimmung des Benutzers auf.
• Absicherung der Schnittstellen (A3): Zugänge auf das notwendige Maß beschränken, Verbindungen nach der Wartung trennen.

Technische Varianten

Client-VPN

Auf dem Notebook läuft eine VPN-Software, die einen verschlüsselten Tunnel zur Firewall oder zu einem VPN-Gateway aufbaut. Verbreitete Verfahren sind IPsec, TLS-basierte VPNs und WireGuard. Wichtiger als das Verfahren ist eine aktuelle Implementierung mit sicheren Einstellungen; Empfehlungen zu Verfahren und Parametern enthält die Technische Richtlinie TR-02102 des BSI.

Standortvernetzung

Zwei Standorte werden dauerhaft per Site-to-Site-VPN verbunden. Auch hier gilt: Nicht alles darf alles. Die Firewall-Regeln zwischen den Standorten sollten so restriktiv sein wie zwischen internen Segmenten.

Remote-Desktop-Gateway und Webportale

Statt das ganze Netz zu öffnen, kann ein Gateway gezielt Zugang zu bestimmten Arbeitsplätzen oder Anwendungen geben. Remote-Desktop-Dienste dürfen nie direkt per Portfreigabe aus dem Internet erreichbar sein, sondern nur über VPN oder ein abgesichertes Gateway mit Mehrfaktor-Anmeldung.

Anwendungsbezogener Zugriff

Neuere Ansätze, oft unter dem Begriff Zero Trust Network Access, verbinden Nutzer nicht mit dem Netz, sondern nur mit einzelnen Anwendungen und prüfen bei jedem Zugriff Identität und Gerätezustand. Das verkleinert die Angriffsfläche, setzt aber eine saubere Identitätsverwaltung voraus.

Anmeldung und Rechte

• Zwei-Faktor-Authentifizierung für jeden Fernzugang ohne Ausnahme. Gestohlene Passwörter sind der häufigste Weg in fremde Netze.
• Persönliche Konten: Geteilte Zugänge machen Protokolle wertlos und lassen sich beim Austritt einer Person nicht gezielt sperren.
• Gruppen und Rechte: VPN-Benutzer landen nicht automatisch im ganzen Netz. Die Firewall regelt, welche Gruppe welche Systeme erreicht. Die Buchhaltung braucht ihre Fachanwendung, aber keinen Zugriff auf die Verwaltungsoberflächen der Server.
• Gerätezustand: Wo möglich nur Firmengeräte mit aktueller Software und aktivem Virenschutz zulassen. Private Geräte im Firmennetz sind ein Risiko, das bewusst entschieden werden muss.

VPN-Gateway pflegen

VPN-Geräte und -Server stehen am Rand des Netzes und sind aus dem Internet erreichbar. Lücken in solchen Produkten werden erfahrungsgemäß schnell nach Bekanntwerden ausgenutzt. Daraus folgt:

• Sicherheitsmitteilungen des Herstellers abonnieren und Updates kurzfristig einspielen.
• Die Verwaltungsoberfläche nicht aus dem Internet erreichbar machen.
• Anmeldeversuche protokollieren und bei Häufungen alarmieren.
• Bei Produkten ohne Herstellerunterstützung zügig ersetzen.

Fernwartung durch Dienstleister

Dienstleister nutzen häufig eigene Fernwartungswerkzeuge. Klären Sie vertraglich und technisch:

• Welches Werkzeug wird eingesetzt, und läuft es dauerhaft im Hintergrund oder nur auf Anforderung?
• Hat jede Technikerin und jeder Techniker ein eigenes Konto mit zweitem Faktor?
• Werden Sitzungen protokolliert, und können Sie die Protokolle einsehen?
• Wird bei Arbeitsplätzen vor dem Zugriff die Zustimmung des Benutzers eingeholt, wie es OPS.1.2.5 verlangt?
• Wie schnell werden Zugänge beim Wechsel des Dienstleisters entfernt?

Unbeaufsichtigte Dauerzugänge sollten die Ausnahme sein und auf die Systeme beschränkt bleiben, für die sie wirklich nötig sind.

Homeoffice

Für das Arbeiten von zu Hause gelten zusätzlich organisatorische Regeln, etwa zum Umgang mit Ausdrucken, zur Bildschirmsperre und zur Nutzung des Heimnetzes. Der Baustein OPS.1.2.4 «Telearbeit» beschreibt sie. Technisch ist es sinnvoll, Firmendaten nur über das VPN oder freigegebene Cloud-Dienste zu bearbeiten und nicht lokal auf privaten Geräten zu speichern.

Typische Fehler

• Ein ehemaliger Mitarbeiter hat noch ein aktives VPN-Konto, weil die Sperrung nur im E-Mail-System erfolgte.
• Mehrere Fernwartungsprogramme verschiedener Dienstleister sind parallel installiert, eines davon von einer Firma, die längst nicht mehr betreut.
• Eine Portfreigabe für Remote Desktop wurde «vorübergehend» eingerichtet und nie entfernt.
• Das VPN-Konto eines Dienstleisters hat Zugriff auf das gesamte Netz, obwohl nur ein Server betreut wird.

Regelmäßige Kontrolle

Mindestens einmal im Jahr und bei jedem Personal- oder Dienstleisterwechsel sollten Sie prüfen: Welche VPN-Konten gibt es, wer nutzt sie, wann zuletzt? Welche Fernwartungswerkzeuge sind installiert? Welche Ports sind aus dem Internet erreichbar? Ein externer Scan der eigenen Adressen zeigt schnell, ob unbeabsichtigt etwas offensteht.