ERP-Systeme gehören zu den wichtigsten Anwendungen eines Unternehmens. Auftragsbearbeitung, Warenwirtschaft, Einkauf, Lager, Produktion, Finanzbuchhaltung oder Kundenverwaltung laufen häufig über zentrale ERP-Lösungen. Gleichzeitig müssen immer mehr Mitarbeiter von außerhalb des Unternehmens auf diese Anwendungen zugreifen. Homeoffice, Außendienst, mehrere Standorte und externe Dienstleister machen den Remote-Zugriff längst zum normalen Bestandteil des Arbeitsalltags.
Traditionell wird dieses Problem mit einem VPN gelöst. Der Benutzer baut zunächst eine verschlüsselte Verbindung zum Unternehmensnetzwerk auf und startet anschließend die benötigte ERP-Anwendung oder verbindet sich mit einem Terminalserver. Dieses Konzept funktioniert, hat aber einen entscheidenden Nachteil: Eigentlich benötigt der Mitarbeiter Zugriff auf eine Anwendung – technisch erhält er jedoch zunächst Zugang zum Netzwerk.
Genau hier lohnt es sich, Remote Access neu zu denken. Statt Anwender über ein VPN in das Unternehmensnetzwerk zu bringen, kann ausschließlich die benötigte ERP-Anwendung sicher über den Browser erreichbar gemacht werden.
Nicht das ERP muss in den Browser – sondern der Zugriff
Viele etablierte ERP-Systeme wurden ursprünglich für klassische Windows-Arbeitsplätze und lokale Netzwerke entwickelt. Unternehmen nutzen diese Lösungen teilweise seit vielen Jahren, haben Prozesse individuell angepasst und erhebliche Investitionen in Einrichtung, Schnittstellen und Schulung getätigt. Nur weil Mitarbeiter heute mobiler arbeiten, besteht deshalb noch lange kein Grund, ein funktionierendes ERP-System auszutauschen oder vollständig in die Cloud zu migrieren.
Mit Kyvion Secure Access lässt sich dieser Widerspruch auflösen. Das ERP-System selbst kann weiterhin auf dem bestehenden Server, Terminalserver oder innerhalb der vorhandenen IT-Infrastruktur betrieben werden. Der Benutzer benötigt für den Zugriff lediglich einen modernen Webbrowser.
Die entscheidende Idee lautet deshalb: Wir machen nicht das ERP webfähig – wir machen den sicheren Zugriff darauf browserfähig.
Kyvion Secure Access übernimmt dabei die Vermittlung zwischen Browser und Zielsystem. Klassische Remote-Protokolle wie RDP werden für den Anwender über HTML5 im Browser bereitgestellt. Auch HTTP- und HTTPS-basierte interne Anwendungen können in entsprechende Zugriffskonzepte eingebunden werden. Die eigentliche Anwendung bleibt dort, wo sie hingehört: innerhalb der kontrollierten Unternehmensinfrastruktur.
Warum ein VPN für den ERP-Zugriff oft mehr ermöglicht als notwendig
Ein VPN verfolgt grundsätzlich einen anderen Ansatz. Es erweitert das Unternehmensnetzwerk bis zum entfernten Arbeitsplatz. Nach erfolgreichem Verbindungsaufbau befindet sich das Endgerät – abhängig von der Konfiguration – logisch innerhalb oder zumindest näher am internen Netzwerk.
Für einen Mitarbeiter, der lediglich Aufträge im ERP erfassen oder einen Kundenstammsatz bearbeiten soll, ist das häufig mehr Zugriff, als für seine Aufgabe erforderlich wäre.
Ein anwendungsbezogener Zugriff verfolgt einen anderen Ansatz. Nicht der entfernte Arbeitsplatz erhält Zugang zum Netzwerk, sondern der Benutzer erhält kontrollierten Zugang zu einer definierten Anwendung beziehungsweise einem definierten Zielsystem. Damit lässt sich das Prinzip des Least Privilege wesentlich konsequenter auf Remote-Zugriffe übertragen.
Gerade bei ERP-Systemen ist diese Trennung interessant. Schließlich befinden sich dort oftmals geschäftskritische Informationen, personenbezogene Daten, Kalkulationen, Kundeninformationen, Lieferantendaten und teilweise auch Finanzdaten. Ein möglichst eng begrenzter Zugriffsweg ist daher nicht nur eine Frage des Komforts, sondern Bestandteil einer sinnvollen Sicherheitsarchitektur.
ERP-Zugriff ohne VPN-Client und ohne Installation am Arbeitsplatz
Der Verzicht auf einen klassischen VPN-Zugang bringt einen weiteren praktischen Vorteil: Der entfernte Arbeitsplatz benötigt keinen zusätzlichen VPN-Client für diesen Zugriff. Auch ein spezieller RDP-Client muss nicht zwingend bereitgestellt werden. Der Benutzer öffnet die definierte Adresse im Browser, authentifiziert sich und startet die für ihn freigegebene Verbindung.
Damit kann der Zugriff weitgehend unabhängig vom verwendeten Endgerät erfolgen. Windows-PCs sind ebenso denkbar wie macOS-, Linux- oder geeignete mobile beziehungsweise schlanke Arbeitsplatzkonzepte. Entscheidend ist nicht mehr, ob auf dem Gerät die passende VPN- und Remote-Access-Software installiert wurde, sondern ob ein geeigneter Browser zur Verfügung steht.
Das reduziert gleichzeitig den administrativen Aufwand. VPN-Clients müssen nicht verteilt, konfiguriert und aktualisiert werden. Kompatibilitätsprobleme zwischen Betriebssystem, VPN-Software und Sicherheitsprodukten können für diesen Zugriffsweg entfallen. Gerade in kleineren und mittleren Unternehmen kann das die Betreuung von Homeoffice- und Außendienstarbeitsplätzen deutlich vereinfachen.
Bestehende ERP-Infrastruktur weiter nutzen
Ein browserbasierter Zugriff bedeutet nicht automatisch Cloud. Das ist gerade für Unternehmen interessant, die ihre ERP-Systeme bewusst im eigenen Rechenzentrum, auf eigenen Servern oder bei einem vertrauten IT-Dienstleister betreiben möchten.
Kyvion Secure Access kann als Software in die vorhandene IT-Infrastruktur integriert werden. Das bestehende ERP-System muss dafür nicht grundsätzlich verändert werden. Auch die Daten müssen nicht allein für den Remote-Zugriff zu einem externen SaaS- oder Cloud-Anbieter migriert werden.
Damit entsteht ein interessanter Mittelweg: Die bestehende Anwendung und die vorhandene Infrastruktur können erhalten bleiben, während der Zugriff moderner und stärker auf die tatsächlich benötigte Ressource begrenzt wird.
Für viele KMU ist genau das entscheidend. Digitalisierung muss nicht bedeuten, jede bestehende Anwendung durch eine Cloud-Anwendung zu ersetzen. Manchmal besteht der sinnvollere Schritt darin, den Zugang zu einer bewährten Anwendung zu modernisieren.
Interessant für Homeoffice, Außendienst und externe Dienstleister
Besonders deutlich werden die Vorteile bei unterschiedlichen Benutzergruppen. Ein Mitarbeiter im Homeoffice benötigt beispielsweise Zugriff auf das ERP-System, aber nicht zwangsläufig auf zahlreiche weitere Systeme des Unternehmens. Ein Außendienstmitarbeiter möchte möglicherweise von unterwegs Angebote, Aufträge oder Kundendaten bearbeiten. Ein externer Dienstleister benötigt zeitlich oder funktional begrenzten Zugriff auf ein bestimmtes System. Auch Steuerberater, externe Buchhaltungen oder Mitarbeiter kleiner Niederlassungen können auf zentrale Anwendungen angewiesen sein.
Bei einem klassischen Netzwerkzugang müssen für solche Szenarien häufig zusätzliche Regeln, VPN-Profile und Berechtigungen geschaffen werden. Mit einem anwendungsorientierten Zugriff lässt sich die Fragestellung anders formulieren: Welcher Benutzer darf auf welches System zugreifen?
Damit wird der Remote-Zugriff übersichtlicher und folgt stärker dem Zero-Trust-Gedanken. Entscheidend ist nicht, dass ein Benutzer bereits eine Verbindung zum internen Netzwerk hergestellt hat. Entscheidend sind seine Identität, seine Berechtigung und die für ihn freigegebene Ressource.
Auch klassische Windows-ERP-Systeme können so moderner genutzt werden
Gerade für etablierte ERP-Lösungen eröffnet dieser Ansatz interessante Möglichkeiten. Viele Unternehmen arbeiten mit ERP-, Warenwirtschafts- oder Branchenlösungen, die als klassische Windows-Anwendung konzipiert wurden. Dazu gehören beispielsweise Installationen rund um SelectLine, Sage und zahlreiche spezialisierte Branchenprogramme sowie individuell entwickelte Unternehmensanwendungen.
Diese Software muss nicht zwingend durch eine neue browserbasierte Lösung ersetzt werden, nur um einen komfortablen Fernzugriff zu ermöglichen. Läuft die Anwendung beispielsweise auf einem Windows- oder Terminalserver, kann die entsprechende Sitzung über Kyvion Secure Access im Browser bereitgestellt werden.
Aus einer klassischen Client-Server-Anwendung entsteht dadurch zwar keine native Webanwendung. Für den Anwender kann sich der Zugang jedoch sehr ähnlich anfühlen: Browser öffnen, anmelden, Anwendung starten und arbeiten.
Das kann die Lebensdauer bestehender ERP-Investitionen verlängern und Unternehmen gleichzeitig mehr Freiheit bei der Wahl ihrer Arbeitsplatzgeräte geben.
Weniger Netzwerkzugriff kann mehr Sicherheit bedeuten
Bei der Absicherung von Remote-Zugriffen wird häufig zuerst darüber gesprochen, wie eine Verbindung möglichst sicher verschlüsselt werden kann. Mindestens ebenso wichtig ist jedoch die Frage, welche Verbindung überhaupt notwendig ist.
Benötigt ein Benutzer ausschließlich Zugriff auf das ERP-System, sollte die Sicherheitsarchitektur möglichst genau diesen Zugriff ermöglichen. Ein vollständiger Netzwerkzugang ist dann nicht automatisch die beste Lösung.
Browserbasierter Remote Access kann deshalb ein wichtiger Baustein einer Zero-Trust-Strategie sein. Die Angriffsfläche lässt sich reduzieren, Zugriffswege können klarer definiert und Berechtigungen stärker auf einzelne Ressourcen ausgerichtet werden. Gleichzeitig bleiben zentrale Systeme innerhalb der kontrollierten Infrastruktur des Unternehmens.
Auch zusätzliche Sicherheitsmechanismen wie zentrale Authentifizierung, Multi-Faktor-Authentifizierung und Sitzungsaufzeichnung können je nach eingesetztem Konzept dazu beitragen, besonders sensible Zugriffe besser nachvollziehbar und kontrollierbar zu gestalten.
ERP ohne VPN ist vor allem ein anderes Zugriffskonzept
Die entscheidende Veränderung besteht deshalb nicht darin, VPN grundsätzlich als unsicher oder überflüssig zu betrachten. VPN-Technologien haben weiterhin ihre Berechtigung, wenn tatsächlich ein Netzwerkzugang benötigt wird.
Für den Zugriff auf einzelne Anwendungen sollte jedoch die Frage gestellt werden, ob dieser Netzwerkzugang überhaupt erforderlich ist.
Wer lediglich sein ERP-System, eine Warenwirtschaft, eine Fachanwendung oder einen Terminalserver erreichen muss, benötigt möglicherweise keinen Tunnel in das gesamte Unternehmensnetz. Ein gezielter, browserbasierter Zugriff kann hier die einfachere und zugleich stärker begrenzte Alternative sein.
Kyvion Secure Access setzt genau an diesem Punkt an. Bestehende Anwendungen bleiben bestehen, die Daten können innerhalb der eigenen Infrastruktur verbleiben und der Anwender arbeitet über den Browser. Es muss weder das ERP ausgetauscht noch die komplette Infrastruktur in die Cloud verlagert werden.
So wird aus der klassischen Frage „Wie bekommen wir den Mitarbeiter per VPN ins Netzwerk?“ eine wesentlich zeitgemäßere Frage:
„Wie bringen wir den Mitarbeiter sicher zu genau der Anwendung, die er benötigt?“
Und genau darin liegt der Unterschied zwischen klassischem Remote-Netzwerkzugriff und modernem, anwendungsbezogenem Secure Access.
