Ein Mitarbeiter braucht am Abend noch Zugriff auf die Warenwirtschaft. Eine Steuerkanzlei muss Mandantenakten im Homeoffice bearbeiten. Und ein externer Dienstleister benötigt kurzfristig Zugang zu einer Fachanwendung. Genau an solchen Situationen entscheidet sich, ob Secure Remote Access ohne VPN nur bequem oder tatsächlich sicher organisiert ist. Für kleine und mittelständische Unternehmen geht es dabei nicht um ein neues Werkzeug um jeden Preis. Es geht darum, Anwendungen und Daten erreichbar zu machen, ohne dafür das gesamte interne Netzwerk zu öffnen.
Warum der klassische VPN-Zugang oft zu weit reicht
Ein VPN baut eine verschlüsselte Verbindung zwischen einem Endgerät und dem Unternehmensnetz auf. Das kann sinnvoll sein, insbesondere wenn IT-Administratoren interne Systeme betreuen müssen. In vielen Unternehmen erhalten Mitarbeitende über das VPN jedoch Zugriff auf deutlich mehr Netzwerkbereiche, als sie für ihre tägliche Arbeit benötigen.
Das erhöht die Folgen eines kompromittierten Endgeräts. Wird ein Notebook durch Schadsoftware, gestohlene Zugangsdaten oder eine unsichere lokale Konfiguration betroffen, kann die Verbindung zum Einstiegspunkt in weitere Systeme werden. Der Angriff muss nicht erfolgreich sein, aber die mögliche Angriffsfläche ist größer.
Hinzu kommt der Verwaltungsaufwand. VPN-Clients müssen installiert, aktualisiert und bei Störungen unterstützt werden. Bei privaten oder wechselnden Endgeräten ist zudem oft unklar, ob Sicherheitsupdates, Festplattenverschlüsselung und ein aktueller Virenschutz vorhanden sind. Für Betriebe ohne große eigene IT-Abteilung entsteht daraus ein schwer kontrollierbarer Prozess.
Ein VPN ist deshalb nicht grundsätzlich unsicher. Die Frage lautet vielmehr: Braucht die jeweilige Person wirklich Netzwerkzugriff, oder reicht der Zugriff auf eine klar definierte Anwendung beziehungsweise einen Arbeitsplatz?
Kyvion Secure Remote Access ohne VPN: Zugriff auf das Nötige begrenzen
Kyvion Secure Remote Access ohne VPN folgt einem anderen Prinzip. Mitarbeitende verbinden sich nicht pauschal mit dem gesamten Firmennetz. Sie erhalten einen kontrollierten Zugang zu genau den Anwendungen, virtuellen Desktops oder Arbeitsplätzen, die sie für ihre Aufgabe benötigen.
Die zentrale Sicherheitslogik ist einfach: Nicht das Netzwerk wird freigegeben, sondern der benötigte Dienst. Ein Mitarbeiter der Buchhaltung kann beispielsweise die Buchhaltungssoftware nutzen, ohne dass er gleichzeitig Serverfreigaben, Verwaltungsoberflächen oder Systeme der Produktion erreichen kann. Externe Dienstleister erhalten zeitlich begrenzte Rechte für einen klaren Zweck statt eines dauerhaften Fernzugangs.
Eine Lösung wie Kyvion Secure Access powered by SparkView kann diesen Ansatz unterstützen. Der Zugriff erfolgt über eine zentral bereitgestellte Oberfläche, häufig direkt im Browser. Die Anwendung läuft dabei weiterhin in der geschützten Unternehmensumgebung. Je nach Konfiguration verlassen Dateien und Daten den vorgesehenen Bereich nicht oder nur nach ausdrücklich definierten Regeln. Das verbessert die Kontrolle und unterstützt die Datensouveränität.
Für Unternehmen mit sensiblen Informationen ist das besonders relevant. Steuerkanzleien verarbeiten personenbezogene Finanzdaten, Handwerksbetriebe verwalten Kundendaten und Kalkulationen, Kommunen arbeiten mit vertraulichen Unterlagen. Der Ort, an dem Daten verarbeitet, gespeichert und übertragen werden, darf kein blinder Fleck sein.
Der Unterschied liegt in der Zugriffsebene
Bei einem klassischen VPN steht häufig die Netzverbindung im Mittelpunkt. Bei einem modernen Remote-Access-Konzept steht die Identität der zugreifenden Person im Mittelpunkt: Wer meldet sich an? Welche Anwendung wird benötigt? Von welchem Gerät erfolgt der Zugriff? Ist der Zugriff zu diesem Zeitpunkt zulässig?
Diese Fragen lassen sich mit Mehrfaktor-Authentifizierung, rollenbasierten Berechtigungen und nachvollziehbarer Protokollierung deutlich besser beantworten als mit einem allgemeinen Fernzugang. Entscheidend ist nicht, möglichst viele Sicherheitsfunktionen einzukaufen. Entscheidend ist, Rechte sauber zu vergeben und die Lösung im Arbeitsalltag konsequent zu nutzen.
Welche Sicherheitsbausteine KMU einplanen sollten
Ein sicherer Fernzugriff entsteht nicht allein durch ein Portal oder einen Browser. Er braucht mehrere aufeinander abgestimmte Maßnahmen. Für die meisten KMU sind vor allem diese fünf Punkte relevant:
- Mehrfaktor-Authentifizierung: Passwort und ein zweiter Faktor senken das Risiko erheblich, dass gestohlene Zugangsdaten allein für einen Zugriff ausreichen.
- Rollen und minimale Rechte: Jede Person erhält nur Zugriff auf die Anwendungen und Daten, die sie für ihre konkrete Aufgabe benötigt.
- Geräte- und Sitzungsregeln: Nicht jedes Endgerät muss gleich behandelt werden. Unternehmensgeräte können weitergehende Rechte erhalten als private Geräte. Sitzungen sollten bei Inaktivität enden.
- Protokollierung und Kontrolle: Anmeldungen, Fehlversuche und relevante Zugriffe müssen nachvollziehbar sein. Auffälligkeiten werden so früher sichtbar.
- Geschützte Netzwerkgrenzen: Eine korrekt konfigurierte Firewall, etwa auf Basis von Fortinet, trennt Systeme, kontrolliert Verbindungen und ergänzt den Zugriffsschutz auf Netzwerkebene.
Diese Bausteine wirken zusammen. Mehrfaktor-Authentifizierung hilft nicht, wenn ein Benutzerkonto zu viele Rechte besitzt. Eine Firewall allein löst nicht das Problem, wenn externe Personen mit einem gemeinsamen Konto arbeiten. Sicherheit entsteht durch ein stimmiges Gesamtkonzept.
Praxisbeispiel: Zugriff für Kanzlei und Außendienst
Nehmen wir eine mittelständische Kanzlei mit zehn Mitarbeitenden. Einige arbeiten regelmäßig im Homeoffice, andere besuchen Mandanten vor Ort. Bisher melden sie sich per VPN am Kanzleinetz an und öffnen danach die benötigten Programme. Bei Problemen mit dem VPN greift der externe IT-Support ein. Zudem ist nicht klar dokumentiert, welche Mitarbeitenden auf welche Bereiche zugreifen können.
Ein besser passender Ansatz wäre, die Fachanwendung und den Kanzleiarbeitsplatz zentral bereitzustellen. Mitarbeitende melden sich mit ihrem persönlichen Konto und einem zweiten Faktor an. Sie sehen nur die Anwendungen, für die sie berechtigt sind. Ein externer Supportmitarbeiter erhält bei Bedarf einen befristeten, protokollierten Zugang zu einem bestimmten System.
Das reduziert nicht nur technische Risiken. Auch die Abläufe werden klarer: Die Kanzleileitung kann Berechtigungen nachvollziehen, neue Mitarbeitende schneller einrichten und ausscheidende Personen sauber deaktivieren. Bei einem verlorenen Notebook muss nicht automatisch das gesamte Unternehmensnetz als potenziell erreichbar betrachtet werden.
Ob ein browserbasierter Zugriff, ein veröffentlichter Desktop oder eine Kombination sinnvoll ist, hängt von den eingesetzten Anwendungen ab. Software mit hoher Grafiklast, speziellen lokalen Geräten oder komplexen Schnittstellen kann andere Anforderungen stellen als eine typische Büroanwendung. Eine Bestandsaufnahme vor der Einführung verhindert spätere Einschränkungen im Betrieb.
Datenschutz und Datensouveränität praktisch betrachten
Remote Access betrifft immer auch Datenschutz. Die DSGVO verlangt zwar keine bestimmte technische Lösung, aber sie fordert angemessene technische und organisatorische Maßnahmen. Dazu gehören Zugriffskontrolle, Berechtigungskonzepte und die Möglichkeit, Verarbeitungsvorgänge nachvollziehbar zu gestalten.
Bei der Auswahl einer Lösung sollten Verantwortliche deshalb nicht nur auf Funktionen schauen. Relevant sind auch Speicherorte, Auftragsverarbeitung, Administrationsrechte und der Umgang mit Protokolldaten. Werden Dateien auf private Endgeräte heruntergeladen? Können Zwischenablagen, Druck oder lokale Laufwerke eingeschränkt werden? Wer darf Benutzerkonten und Berechtigungen ändern?
Datensouveränität bedeutet hier: Das Unternehmen behält die Kontrolle darüber, wo seine Daten liegen, wer darauf zugreift und welche Wege sie nehmen dürfen. Das ist kein Hindernis für mobiles Arbeiten. Es ist die Voraussetzung dafür, mobiles Arbeiten verantwortbar zu ermöglichen.
So starten Sie mit einer realistischen Bestandsaufnahme
Der erste Schritt ist keine Produktentscheidung, sondern eine kurze Analyse der vorhandenen Zugänge. Erfassen Sie, welche Personen remote arbeiten, welche Anwendungen sie benötigen und ob externe Dienstleister Zugang haben. Prüfen Sie anschließend, welche VPN-Konten noch aktiv sind und ob diese Berechtigungen aktuell sind.
Besonders aufschlussreich ist die Frage nach Ausnahmen: Wer nutzt gemeinsame Konten? Wo bestehen dauerhaft eingerichtete Zugänge für ehemalige Dienstleister? Welche Anwendungen sind direkt aus dem Internet erreichbar? Solche Sonderfälle entstehen häufig aus Zeitdruck. Sie sollten dennoch bereinigt werden, weil sie in der Praxis oft das größte Risiko darstellen.
Danach lässt sich ein Zielbild entwickeln. Manche Mitarbeitende benötigen nur eine Fachanwendung. Andere brauchen einen vollständigen Arbeitsdesktop. Administratoren benötigen unter Umständen weiterhin einen technisch stärker ausgestatteten Zugang. Ein einheitlicher Zugang für alle klingt einfacher, ist aber selten die sicherste Lösung.
Planen Sie außerdem den Notfall mit ein. Wenn ein Benutzerkonto kompromittiert wird, müssen Zugriffe schnell gesperrt und Sitzungen beendet werden können. Wenn ein Server ausfällt oder durch einen Cyberangriff betroffen ist, entscheidet ein getestetes Backup- und Wiederherstellungskonzept darüber, ob wichtige Anwendungen wieder verfügbar werden. Secure Remote Access schützt den Zugang, ersetzt aber keine Daten-Resilienz.
Der beste Fernzugriff fühlt sich für Mitarbeitende nicht wie ein Sicherheitsprojekt an. Er gibt ihnen verlässlich Zugriff auf ihre Arbeit und begrenzt im Hintergrund genau das, was nicht benötigt wird. Diese Klarheit schafft mehr Sicherheit, ohne die tägliche Arbeit unnötig kompliziert zu machen.
