VPN war über viele Jahre die Standardantwort auf eine einfache Frage: Wie können Mitarbeiter, Administratoren oder externe Dienstleister von außerhalb sicher auf Systeme im Unternehmensnetzwerk zugreifen?
Die Antwort lautete fast immer: VPN-Client installieren, Zugang konfigurieren, Tunnel aufbauen und den entfernten Rechner zumindest teilweise mit dem internen Netzwerk verbinden.
Dieses Prinzip funktioniert. Aber es stammt aus einer Zeit, in der Anwendungen, Arbeitsplätze und Sicherheitsanforderungen anders aussahen als heute.
Moderne IT-Sicherheit verfolgt zunehmend einen anderen Ansatz: Nicht den Benutzer ins Netzwerk bringen, sondern die benötigte Anwendung sicher zum Benutzer bringen.
Genau hier wird der Browser interessant.
Das eigentliche Problem ist nicht das VPN – sondern der Netzwerkzugriff
Ein VPN verschlüsselt die Kommunikation zwischen einem entfernten Endgerät und dem Unternehmensnetzwerk. Das ist zunächst sinnvoll. Gleichzeitig entsteht damit jedoch eine Netzwerkverbindung über Unternehmensgrenzen hinweg.
Der externe Rechner wird Teil einer Kommunikationsbeziehung mit dem internen Netz.
Damit beginnen viele der Herausforderungen, die Administratoren seit Jahren beschäftigen: VPN-Clients müssen installiert, aktualisiert und konfiguriert werden. Firewall-Regeln müssen passen. Unterschiedliche Betriebssysteme und Client-Versionen müssen unterstützt werden. Bei externen Dienstleistern kommen Geräte hinzu, über deren Sicherheitszustand das Unternehmen häufig nur wenig weiß.
Vor allem aber stellt sich eine grundsätzliche Frage:
Warum benötigt ein Benutzer Zugang zum Netzwerk, wenn er eigentlich nur Zugang zu einem bestimmten Server oder einer bestimmten Anwendung braucht?
Wer lediglich eine RDP-Sitzung zu einem Terminalserver benötigt, braucht deshalb noch lange keinen Netzwerkzugriff.
Wer einen Linux-Server per SSH administrieren soll, muss nicht automatisch per VPN in das entsprechende Servernetz gelangen.
Und ein externer Dienstleister, der eine bestimmte interne Webanwendung betreuen soll, benötigt ebenfalls keinen allgemeinen Zugang zum Unternehmensnetz.
Genau an diesem Punkt setzt das Prinzip Browser statt VPN an.
Der Browser wird zum sicheren Zugangspunkt
Mit Kyvion Secure Access erfolgt der Zugriff auf interne Systeme direkt über einen modernen Webbrowser.
Der Benutzer öffnet eine HTTPS-Adresse, authentifiziert sich und erhält anschließend ausschließlich die für ihn freigegebenen Ressourcen. Der eigentliche Zugriff auf das Zielsystem erfolgt kontrolliert über das Secure-Access-Gateway.
RDP, VNC, SSH, Telnet sowie interne HTTP- und HTTPS-Anwendungen können damit über den Browser bereitgestellt werden.
Auf dem Arbeitsplatz muss dafür kein spezieller Remote-Access-Client installiert werden. Auch auf dem Zielsystem ist für die eigentliche Browser-Sitzung keine zusätzliche Client-Software erforderlich.
Das verändert die Architektur des Fernzugriffs grundlegend.
Der Benutzer bekommt nicht das Netzwerk. Er bekommt die Anwendung.
Weniger Netzwerkzugriff bedeutet weniger Angriffsfläche
Bei klassischen VPN-Konzepten muss genau kontrolliert werden, welche Netzwerkbereiche ein angemeldeter Benutzer erreichen darf. Netzwerksegmentierung, Firewall-Regeln, Routing und Zugriffskontrollen sollen verhindern, dass aus einem eigentlich begrenzten Fernzugriff ein weitreichender Netzwerkzugang entsteht.
Beim browserbasierten Zugriff kann diese Trennung wesentlich früher erfolgen.
Der Anwender kommuniziert zunächst mit Kyvion Secure Access. Das Gateway stellt anschließend die Verbindung zum freigegebenen Ziel her.
Ein Benutzer kann beispielsweise die Berechtigung erhalten, genau einen bestimmten Windows-Server per RDP zu verwenden. Ein Administrator darf bestimmte Linux-Systeme per SSH erreichen. Ein Maschinenlieferant erhält ausschließlich Zugriff auf das System, für dessen Wartung er verantwortlich ist.
Das interne Netzwerk selbst muss dem Benutzer dabei nicht zugänglich gemacht werden.
Damit nähert sich der Fernzugriff einem wichtigen Grundgedanken moderner Zero-Trust-Architekturen: So wenig Zugriff wie möglich und nur so viel wie tatsächlich notwendig.
Besonders interessant für externe Dienstleister
Kaum irgendwo wird der Unterschied zwischen VPN und browserbasiertem Zugriff deutlicher als bei externen Dienstleistern.
IT-Systemhäuser, Softwareanbieter, Maschinenbauer, Wartungsunternehmen oder Supportpartner benötigen regelmäßig Zugriff auf interne Systeme ihrer Kunden.
Traditionell werden dafür VPN-Zugänge eingerichtet. Im Laufe der Jahre entstehen so häufig zahlreiche externe Zugänge, unterschiedliche VPN-Konfigurationen und entsprechende Firewall-Regeln.
Mit einem browserbasierten Secure-Access-Konzept kann der Ansatz umgedreht werden.
Der Dienstleister erhält eine Webadresse und authentifiziert sich am zentralen Zugangspunkt. Dort sieht er ausschließlich die für ihn freigegebenen Systeme.
Er benötigt keinen VPN-Client des Kunden und muss keine speziellen Netzwerkparameter konfigurieren. Gleichzeitig kann das Unternehmen wesentlich genauer bestimmen, welche Ressourcen tatsächlich erreichbar sind.
Aus einem Netzwerkzugang für einen Dienstleister wird ein kontrollierter Zugang zu einer definierten Ressource.
Das ist ein entscheidender Unterschied.
Auch privilegierte Zugriffe lassen sich besser kontrollieren
Besonders kritisch sind administrative Zugriffe auf Server, Firewalls, Virtualisierungsplattformen und andere zentrale Infrastrukturkomponenten.
Hier reicht die Frage „Wer darf sich anmelden?“ längst nicht mehr aus.
Entscheidend ist auch, worauf ein Benutzer zugreifen darf, mit welchen Zugangsdaten dies geschieht und wie dieser Zugriff nachvollzogen werden kann.
Kyvion Secure Access kann dabei als kontrollierende Ebene zwischen Benutzer und Zielsystem eingesetzt werden. Benutzerzugang und tatsächliches Systemkonto können voneinander getrennt werden. Ein externer Administrator muss beispielsweise die Zugangsdaten eines privilegierten Zielkontos nicht zwingend kennen.
Zusätzlich können Sitzungen aufgezeichnet werden. Damit lässt sich nachvollziehen, was während eines administrativen Fernzugriffs tatsächlich passiert ist.
Der Browser wird dadurch nicht nur zum Ersatz für einen VPN-Client, sondern zum zentralen Kontrollpunkt für Remote- und privilegierte Zugriffe.
Keine eingehenden Ports in besonders geschützte Netzwerke
Interessant wird das Konzept auch bei stark segmentierten Umgebungen, Produktionsnetzen oder besonders geschützten administrativen Bereichen.
Mit dem Kyvion Reverse Agent kann die Kommunikation aus einem geschützten Netzwerk heraus aufgebaut werden. Die Verbindung wird dabei ausgehend zum Secure-Access-Gateway hergestellt.
Damit müssen für den Remote-Zugriff keine entsprechenden eingehenden Verbindungen in das geschützte Netzwerk geöffnet werden.
Das ist beispielsweise für Tier-0- und Tier-1-Umgebungen, Produktionsnetze, Maschinenzugänge oder abgeschottete Serverbereiche interessant.
Statt einen externen Benutzer über einen VPN-Tunnel möglichst sicher in ein sensibles Netzwerk hineinzulassen, kann der Zugriff über einen kontrollierten Vermittlungspunkt erfolgen.
Browser statt VPN bedeutet auch weniger Aufwand
Security ist allerdings nur eine Seite der Medaille.
Gerade kleine und mittelständische Unternehmen kämpfen zunehmend mit der Komplexität ihrer IT-Infrastruktur.
VPN-Clients müssen verteilt und gepflegt werden. Unterschiedliche Versionen müssen unterstützt werden. Benutzer benötigen Konfigurationen und Zertifikate. Neue Mitarbeiter oder Dienstleister müssen eingerichtet werden. Bei Gerätewechseln beginnt ein Teil dieses Prozesses erneut.
Browserbasierter Zugriff reduziert diese Abhängigkeiten erheblich.
Ein aktueller Browser ist heute auf praktisch jedem Arbeitsplatz vorhanden. Windows, macOS und Linux können ebenso genutzt werden wie Thin Clients oder andere browserfähige Endgeräte.
Damit wird der Browser zur universellen Zugriffsschicht.
Das kann besonders für Unternehmen interessant sein, die heterogene Arbeitsplatzumgebungen betreiben oder häufig wechselnden externen Benutzern Zugriff ermöglichen müssen.
VPN abschaffen? Nicht unbedingt.
„Browser statt VPN“ bedeutet nicht, dass jedes VPN über Nacht abgeschaltet werden sollte.
VPN-Technologie hat weiterhin ihre Berechtigung. Wenn beispielsweise ganze Netzwerkbereiche miteinander gekoppelt werden müssen, Site-to-Site-Verbindungen erforderlich sind oder Anwendungen zwingend direkten IP-basierten Netzwerkzugriff benötigen, kann ein VPN weiterhin die passende Lösung sein.
Die entscheidende Frage lautet deshalb nicht:
Ist VPN gut oder schlecht?
Sondern:
Braucht dieser Benutzer für diese Aufgabe wirklich Netzwerkzugriff?
Sehr häufig lautet die Antwort: Nein.
Für den Zugriff auf einen Terminalserver, einen Administrationsserver, eine Linux-Konsole, eine interne Webanwendung, eine Maschine oder ein einzelnes Fachverfahren ist ein vollständiger Netzwerkzugang oftmals gar nicht erforderlich.
Dann kann ein browserbasierter Zugang die einfachere und zugleich stärker kontrollierbare Architektur sein.
Vom Remote Access zum Application Access
Genau darin liegt der größere Wandel.
Unternehmen sollten Fernzugriff nicht mehr automatisch als Netzwerkzugriff betrachten.
Ein Mitarbeiter möchte nicht „ins Firmennetz“. Er möchte seine Anwendung benutzen.
Ein Administrator möchte nicht „ins Servernetz“. Er möchte einen bestimmten Server administrieren.
Ein Maschinenhersteller möchte nicht „ins Produktionsnetz“. Er möchte eine bestimmte Maschine warten.
Und ein externer IT-Dienstleister möchte nicht „ins Kundennetz“. Er möchte ein konkretes System betreuen.
Wenn man Fernzugriff aus dieser Perspektive betrachtet, wirkt der klassische VPN-Tunnel plötzlich erstaunlich groß für eine oftmals sehr kleine Aufgabe.
Warum ein ganzes Netzwerk öffnen, wenn eigentlich nur eine einzige Anwendung benötigt wird?
Kyvion Secure Access: Der Browser als kontrollierter Zugang
Kyvion Secure Access wurde genau für solche Szenarien entwickelt.
Die Lösung stellt RDP-, VNC-, SSH-, Telnet- sowie HTTP/HTTPS-Ressourcen über einen zentralen browserbasierten Zugang bereit. Sie kann auf Windows, Linux/Unix oder macOS betrieben sowie auf virtuellen Maschinen, physischen Systemen oder in Container-Umgebungen eingesetzt werden.
Dabei lässt sich Kyvion Secure Access in bestehende IT-Infrastrukturen integrieren, anstatt eine vollständig neue Security-Plattform aufzubauen.
Das Ziel ist nicht, VPN grundsätzlich für überholt zu erklären.
Das Ziel ist, VPN dort überflüssig zu machen, wo ein Netzwerkzugang überhaupt nicht notwendig ist.
Denn moderner Fernzugriff sollte nicht mit der Frage beginnen:
„Wie bekommen wir diesen Benutzer sicher in unser Netzwerk?“
Die bessere Frage lautet:
„Warum sollte er überhaupt hinein?“
