Ein VPN verschlüsselt die Verbindung ins Unternehmensnetz über unsichere Netze hinweg. Als zentrales Einfallstor steht es seit Jahren im Fokus von Angreifern.
Ein Virtual Private Network (VPN) baut über ein unsicheres Netz – typischerweise das Internet – einen verschlüsselten Tunnel in ein anderes Netz auf. Im Unternehmen dient es vor allem dazu, Mitarbeitenden im Homeoffice oder unterwegs Zugriff auf interne Ressourcen zu geben, als wären sie vor Ort. Die Datenübertragung ist dabei vertraulich und gegen Mitlesen geschützt.
So wichtig VPNs für sicheres Arbeiten sind, so sehr stehen die VPN-Gateways selbst im Fokus von Angreifern. Sie sind per Definition aus dem Internet erreichbar und führen bei erfolgreicher Kompromittierung direkt ins Innere des Netzes.
Funktionsweise und Schwachstellen
Technisch setzen VPNs auf Protokolle wie IPsec oder TLS-basierte Verfahren. Sicherheitsrelevant ist weniger die Verschlüsselung selbst als die Appliance, die den Zugang bereitstellt. Typische Schwachstellen:
- ungepatchte VPN-Gateways mit bekannten, aktiv ausgenutzten Lücken,
- fehlende oder umgehbare Multi-Faktor-Authentifizierung,
- schwache oder wiederverwendete Zugangsdaten (Ziel von Password Spraying),
- zu weitreichender Netzzugriff nach erfolgreicher Anmeldung.
Bedeutung für Unternehmen
VPN-Gateways gehören zu den häufigsten Wegen für den Erstzugriff. Laut Mandiant M-Trends 2026 sind ausgenutzte Schwachstellen mit 32 Prozent der häufigste Erstzugriffsvektor – exponierte Gateways spielen dabei eine große Rolle. Für Entscheider ist entscheidend: Ein VPN verschiebt die Vertrauensgrenze nach außen. Wer dort hereinkommt, steht oft mitten im Netz. Viele erfolgreiche Angriffe der vergangenen Jahre begannen mit einem einzigen verwundbaren Gateway, hinter dem sich der Weg ins gesamte Netz öffnete. Deshalb verschieben viele Organisationen den Fernzugriff hin zu Zero-Trust-Ansätzen.
Härtung und Prüfung aus Red-Team-Sicht
In Einsätzen prüfen wir VPN-Zugänge als realistischen Einstiegspunkt – von der Suche nach exponierten, ungepatchten Gateways bis zum Test der Anmeldeprozesse. Empfohlene Maßnahmen:
- konsequentes Patch-Management für alle extern erreichbaren Gateways,
- phishing-resistente MFA für jeden VPN-Zugang,
- Zugriff nach der Anmeldung auf das wirklich Nötige begrenzen (Segmentierung),
- Monitoring auf ungewöhnliche Anmeldungen und Standorte,
- schrittweiser Umstieg auf Zero-Trust-Zugriffsmodelle.
Externe Zugänge testen wir im Penetrationstest und im Red Teaming.