VPN killen – so geht Remote-Arbeit ohne Sicherheits-Theater

Wer die folgenden fünf Schritte in den nächsten sieben Tagen durchzieht, hat am Ende Remote-Zugang, der schneller ist als VPN, weniger Support-Fälle produziert und trotzdem keine Hintertüren offenlässt. Kein Hexenwerk, nur saubere Technik – aber nur, wenn Sie wissen, wo die typischen Stolpersteine liegen.

Warum VPN für KMU heute nur noch Krücken sind

Vor zehn Jahren war VPN die Standardlösung: Ein Tunnel ins Firmennetz, verschlüsselt, fertig. Klingt sicher, ist es aber nicht mehr. Warum? Weil VPNs genau das tun, was sie sollen – sie verbinden. Und zwar alles. Einmal drin, kann jeder Nutzer auf alles zugreifen, was im Netz hängt. Das ist, als würde man jedem Mitarbeiter den Generalschlüssel fürs ganze Büro geben, nur weil er mal in die Buchhaltung muss.

Ich sehe das bei Kunden in Neukölln und Pankow: Ein Angestellter klickt auf eine Phishing-Mail, sein Laptop ist infiziert, und plötzlich hat der Angreifer freien Zugang zum Server. VPN schützt nicht vor kompromittierten Endgeräten – es macht die Sache nur einfacher für die Bösen. Dazu kommt der Support-Aufwand: Zertifikate laufen ab, Clients stürzen ab, Nutzer vergessen Passwörter. Bei einer Steuerkanzlei in Charlottenburg habe ich letztes Jahr 120 Support-Tickets allein für VPN-Probleme gezählt – das sind 120 Stunden, die niemand bezahlt.

Zero Trust geht anders: Kein Gerät, kein Nutzer, kein Dienst bekommt automatisch Vertrauen. Jeder Zugriff wird einzeln geprüft, und zwar jedes Mal. Das klingt aufwendig, ist es aber nicht – wenn man es richtig aufsetzt.

Wo Zero Trust für KMU wirklich Sinn macht

Nicht jedes Unternehmen braucht Zero Trust. Aber wenn einer der folgenden Punkte auf Sie zutrifft, lohnt sich der Blick:

• Sie haben mehr als 10 Remote-Nutzer. Ab dieser Größe wird VPN zum Support-Albtraum. Zero Trust skaliert besser, weil es keine Client-Software auf den Geräten braucht – ein Browser reicht.
• Sie verarbeiten sensible Daten. Steuerberater, Ärzte, Anwälte: Wer mit personenbezogenen Daten arbeitet, muss nachweisen können, dass nur berechtigte Personen Zugriff haben. Zero Trust protokolliert jeden Zugriff – das ist Gold wert, wenn die Aufsichtsbehörde fragt.
• Ihre Mitarbeiter nutzen private Geräte. BYOD (Bring Your Own Device) ist mit VPN ein Sicherheitsrisiko. Zero Trust prüft jedes Gerät vor dem Zugriff – ob es ein Firmen-Laptop oder ein privates iPad ist.
• Sie haben Cloud-Dienste im Einsatz. Wenn Ihre Daten eh schon in der Cloud liegen (z. B. bei Microsoft 365 oder einer Branchenlösung), ist VPN nur noch ein Umweg. Zero Trust verbindet Nutzer direkt mit den Cloud-Diensten – ohne Umweg über Ihr Büro.

Ein Beispiel: Ein Berliner Handwerksbetrieb mit 25 Mitarbeitern hat vor einem Jahr auf Zero Trust umgestellt. Vorher: 3-4 VPN-Support-Anfragen pro Woche, langsame Verbindungen, weil alles über den zentralen Server lief. Nachher: Keine Support-Anfragen mehr, Zugriff auf die Cloud-Datenbank in Echtzeit, und die Buchhalterin kann von zu Hause aus arbeiten, ohne dass das ganze Netzwerk offensteht. Die Umstellung hat drei Tage gedauert, die Hardware-Kosten lagen bei 800 Euro für einen kleinen Authentifizierungsserver.

Wie Sie in fünf Tagen von VPN auf Zero Trust umsteigen

Der Umbau ist kein Großprojekt, wenn Sie schrittweise vorgehen. Hier ist der Plan:

Tag 1: Inventur machen

• Listen Sie auf, welche Dienste und Daten aktuell per VPN erreichbar sind. Nicht nur die offiziellen – auch die, die „mal schnell“ freigegeben wurden.
• Prüfen Sie, welche Nutzer wirklich Zugriff brauchen. Oft sind 30% der VPN-Zugänge veraltet (z. B. ehemalige Mitarbeiter oder externe Dienstleister, die längst nicht mehr aktiv sind).
• Dokumentieren Sie, welche Geräte (Firmen- und Privatgeräte) aktuell VPN nutzen. Das ist wichtig für die spätere Geräteprüfung.

Tag 2: Zero-Trust-Lösung auswählen

Für KMU kommen drei Ansätze infrage:

• Cloud-basierte Lösungen (z. B. Cloudflare Access, Zscaler Private Access): Keine eigene Hardware nötig, ideal für Unternehmen, die eh schon Cloud-Dienste nutzen. Kosten: Ca. 5-10 Euro pro Nutzer/Monat.
• Hybrid-Lösungen (z. B. Microsoft Entra ID mit Conditional Access): Gut, wenn Sie Microsoft 365 im Einsatz haben. Nutzer greifen direkt auf die Cloud-Dienste zu, ohne VPN. Kosten: Enthalten in den Microsoft-Lizenzen.
• On-Premises-Lösungen (z. B. mit einem kleinen Authentifizierungsserver im Büro): Für Unternehmen, die ihre Daten nicht in der Cloud haben wollen. Kosten: Einmalig ca. 2.000-5.000 Euro für Hardware und Einrichtung.

Wichtig: Wählen Sie eine Lösung, die Multi-Faktor-Authentifizierung (MFA) unterstützt. Ohne MFA ist Zero Trust nur halb so sicher.

Tag 3: Pilotgruppe einrichten

• Wählen Sie 3-5 Nutzer aus, die die neue Lösung testen. Ideal sind Mitarbeiter, die viel remote arbeiten und technikaffin sind.
• Richten Sie die Zero-Trust-Lösung für diese Gruppe ein. Beginnen Sie mit einem einzigen Dienst (z. B. der Cloud-Datenbank oder dem E-Mail-Server).
• Schulen Sie die Pilotgruppe 30 Minuten lang – mehr braucht es nicht. Zeigen Sie, wie sie sich anmelden und wie MFA funktioniert.

Tag 4: VPN für die Pilotgruppe abschalten

• Deaktivieren Sie VPN für die Pilotgruppe. Die Nutzer müssen jetzt die Zero-Trust-Lösung verwenden.
• Sammeln Sie Feedback: Was funktioniert nicht? Wo hakt es? Typische Probleme: MFA zu oft abfragen, Geräte werden fälschlich blockiert, Zugriff auf bestimmte Dienste fehlt.
• Passen Sie die Regeln an. Zero Trust lebt davon, dass die Zugriffsregeln ständig verfeinert werden. Beispiel: Ein Nutzer braucht nur zwischen 8 und 18 Uhr Zugriff – dann schränken Sie das ein.

Tag 5: Rollout für alle Nutzer

• Erweitern Sie die Zero-Trust-Lösung auf alle Nutzer und Dienste. Beginnen Sie mit den unkritischen Diensten (z. B. E-Mail, Cloud-Speicher) und arbeiten Sie sich zu den sensiblen Daten vor (z. B. Buchhaltung, Patientendaten).
• Schalten Sie VPN schrittweise ab. Beginnen Sie mit den Nutzern, die am wenigsten VPN brauchen, und arbeiten Sie sich vor.
• Dokumentieren Sie den Prozess. Schreiben Sie auf, welche Regeln Sie eingerichtet haben, wie die Nutzer geschult wurden und wie der Support abläuft. Das ist wichtig für Audits und für neue Mitarbeiter.

Was Sie nach dem Umbau tun müssen

Zero Trust ist kein „Einmal-Einrichten-und-fertig“-Projekt. Es lebt davon, dass Sie die Regeln regelmäßig anpassen. Hier sind die drei wichtigsten Aufgaben für die ersten drei Monate:

1. Zugriffsprotokolle prüfen. Schauen Sie sich einmal pro Woche an, wer auf welche Daten zugegriffen hat. Achten Sie auf ungewöhnliche Aktivitäten (z. B. Zugriffe außerhalb der Geschäftszeiten, Zugriffe von unbekannten Geräten).
2. Regeln verfeinern. Wenn Nutzer sich beschweren, dass sie zu oft MFA eingeben müssen, passen Sie die Regeln an. Beispiel: Innerhalb des Firmennetzwerks reicht ein Passwort, außerhalb wird MFA verlangt.
3. Nutzer schulen. Zero Trust funktioniert nur, wenn die Nutzer verstehen, warum sie bestimmte Schritte gehen müssen. Machen Sie alle drei Monate eine 15-minütige Schulung – z. B. per Video-Call. Zeigen Sie typische Phishing-Mails und erklären Sie, wie MFA funktioniert.

Ein letzter Tipp: Zero Trust ist kein Allheilmittel. Es schützt vor vielen Angriffen, aber nicht vor allem. Kombinieren Sie es mit anderen Maßnahmen, z. B. regelmäßigen Backups, Patch-Management und Schulungen zur IT-Sicherheit. Aber wenn Sie die oben genannten Schritte umsetzen, haben Sie schon mal 80% der typischen Risiken ausgeschlossen – ohne dass Ihre Nutzer sich mit langsamen VPN-Verbindungen herumärgern müssen.

Und falls Sie denken: „Das klingt kompliziert“ – es ist einfacher, als Sie denken. Die meisten meiner Kunden sind nach einer Woche Umstellung überrascht, wie reibungslos es läuft. Der Trick ist, nicht alles auf einmal umsetzen zu wollen, sondern schrittweise vorzugehen. Fangen Sie mit einem Dienst an, testen Sie es, und dann erweitern Sie es. So vermeiden Sie Support-Chaos und haben am Ende eine Lösung, die wirklich sicherer ist als VPN.