VPN fürs Homeoffice: Was Betriebe wirklich brauchen

„Wir bräuchten mal ein VPN fürs Homeoffice.“ Dieser Wunsch kommt in Betrieben immer häufiger auf – und dahinter steckt fast immer dasselbe Missverständnis. Denn ein VPN im Betrieb ist etwas grundlegend anderes als der Werbespot-Dienst, den man aus dem Fernsehen kennt. Wer mobiles Arbeiten sicher ermöglichen will, braucht keinen Datenschutz-Tunnel für Privatpersonen, sondern einen kontrollierten Fernzugang zu den eigenen Firmendaten. Dieser Beitrag klärt zuerst den Begriff, zeigt dann die unbequeme Wahrheit über schlecht gepflegte Zugänge – und endet mit einer Checkliste, die Sie direkt abhaken können.

Consumer-VPN und Firmen-VPN sind zwei verschiedene Dinge

Der häufigste Denkfehler beginnt schon beim Wort. „VPN“ steht für zwei völlig verschiedene Werkzeuge, die nur den Namen teilen.

Ein Consumer-VPN – die Kategorie, für die Anbieter wie NordVPN werben – dient der Privatsphäre. Es leitet Ihren privaten Internetverkehr verschlüsselt über einen fremden Server, verschleiert Ihren Standort und schützt Sie zum Beispiel im offenen WLAN. Mit Ihrem Betrieb hat dieses Werkzeug nichts zu tun. Es stellt keine Verbindung zu Ihren Firmendaten her.

Ein Firmen-VPN verfolgt genau das umgekehrte Ziel: Es baut einen gesicherten Kanal von einem Gerät außerhalb – dem Laptop im Homeoffice, dem Rechner beim Kunden – in Ihr Firmennetz auf. Erst dadurch werden interne Server, Laufwerke oder die Warenwirtschaft von unterwegs erreichbar, ohne sie offen ins Internet zu stellen. Der Fernzugriff und die Standortvernetzung sind der eigentliche Zweck. Wer diesen Unterschied kennt, stellt beim Einkauf die richtigen Fragen und kauft nicht das falsche Produkt.

Warum ein Firmen-VPN überhaupt nötig ist

Homeoffice und mobiles Arbeiten sind längst Alltag: 58 Prozent der Unternehmen ermöglichen ihren Beschäftigten das Arbeiten von zu Hause (Bitkom 2025). Sobald jemand von außerhalb auf Firmendaten zugreift, braucht dieser Zugriff einen geschützten Weg – sonst laufen sensible Informationen ungesichert durchs offene Netz.

Das ist nicht nur eine Frage der Vorsicht, sondern auch der Pflicht. Die DSGVO verlangt in Artikel 32 technische Maßnahmen nach dem „Stand der Technik“, um personenbezogene Daten zu schützen – Verschlüsselung des Zugriffs gehört ausdrücklich dazu. Ein gesicherter Fernzugang ist damit kein Luxus für große Firmen, sondern die naheliegende Antwort auf eine Anforderung, die auch für den kleinsten Betrieb gilt, sobald Mitarbeitende von außerhalb arbeiten.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für das Arbeiten im Homeoffice einen verschlüsselten Zugang zum Firmennetz als Grundvoraussetzung. Die Botschaft dahinter ist beruhigend nüchtern: Nicht die Frage, ob überhaupt gesichert wird, ist offen, sondern nur, wie sauber die Umsetzung gelingt.

Die unbequeme Wahrheit: Ein VPN ist nur so sicher wie seine Pflege

Hier liegt der Punkt, der am häufigsten unterschätzt wird: Ein VPN ohne Mehr-Faktor-Authentifizierung (MFA) und ohne regelmäßige Updates ist keine Sicherheit – es ist eine offene Tür mit Schloss-Attrappe. Genau solche Zugänge gehören inzwischen zu den wichtigsten Einfallstoren für Ransomware.

Kompromittierte VPN-Zugänge und ungepatchte Zugangs-Gateways stehen bei Angreifern ganz oben auf der Liste. So nutzte etwa die Ransomware-Gruppe Akira gezielt Fernzugänge, die nur mit Passwort und ohne zweiten Faktor geschützt waren. Und kritische Schwachstellen in VPN-Gateways – wie die als „Citrix Bleed 2“ bekannt gewordene Lücke (CVE-2025-5777) – zeigen, wie schnell ein ungepflegtes Zugangssystem vom Schutzwall zum Einfallstor wird. Ein gestohlener Zugang oder eine offene Lücke, und der Angreifer steht mitten im Firmennetz.

Daraus folgt eine klare Konsequenz: Wer ein VPN-Gateway betreibt, betreibt ein sicherheitskritisches System und braucht einen verlässlichen Update-Prozess. Es muss jemanden geben, der Sicherheitsupdates zeitnah einspielt und im Blick behält – entweder im Betrieb oder als klar benannte externe Verantwortung. Ein Gateway, das niemand pflegt, ist gefährlicher als gar kein Fernzugang.

Das Minimal-Setup, das wirklich trägt

Die gute Nachricht: Ein sauberer Fernzugang für einen Betrieb braucht keine Konzernarchitektur. Vier Grundpfeiler tragen das Setup:

• MFA ist Pflicht, nicht Option. Jeder Fernzugang wird durch einen zweiten Faktor abgesichert – etwa eine App auf dem Smartphone. Ein gestohlenes Passwort allein darf niemals ausreichen, um ins Netz zu kommen.
• Nur Firmengeräte dürfen rein. Der Zugang bleibt verwalteten, aktuell gehaltenen Firmengeräten vorbehalten. Der private, womöglich längst infizierte Familien-PC hat im Firmennetz nichts verloren.
• Least Privilege statt Volltunnel. Nicht jeder braucht Zugriff auf alles. Beschränken Sie den Zugang auf die Ressourcen, die wirklich gebraucht werden, statt pauschal das gesamte Netz zu öffnen. Das begrenzt den Schaden, falls ein Zugang doch einmal missbraucht wird.
• Gateway-Updates mit fester Verantwortung. Die VPN-Software und das Gateway werden zeitnah gepatcht – mit einer Person, die dafür zuständig ist, nicht nach dem Prinzip Hoffnung.

Wer neu aufsetzt, hat heute mehr Auswahl als das klassische VPN-Gateway. Moderne, WireGuard-basierte Lösungen sind schlanker und pflegeleichter, und für viele Betriebe ersetzen Cloud-Zugänge mit granularer Rechtevergabe das eigene Gateway ganz. Welcher Weg passt, hängt von Ihren Anwendungen und Ihrem Datenbestand ab – wichtig ist, dass die vier Grundpfeiler in jedem Fall stehen.

Checkliste: sechs Punkte zum Abhaken

Nutzen Sie diese sechs Punkte, um Ihren bestehenden oder geplanten Fernzugang ehrlich zu prüfen. Jeder Punkt, den Sie nicht klar bejahen können, ist eine offene Baustelle:

• MFA für jeden Fernzugang aktiv? Kein Zugang nur mit Passwort.
• Nur verwaltete Firmengeräte zugelassen? Private Geräte bleiben außen vor.
• Zugriff auf das Nötige beschränkt? Kein pauschaler Vollzugriff aufs gesamte Netz.
• Fester Update-Prozess mit benannter Verantwortung? Jemand kümmert sich nachweislich um Patches.
• Zugänge ausscheidender Mitarbeitender werden sofort gesperrt? Ein Fernzugang, den ein Ex-Kollege noch nutzen kann, ist ein Risiko für sich – das gehört in Ihren Offboarding-Prozess.
• Zugriffe werden protokolliert und ungenutzte Konten deaktiviert? So fällt Missbrauch überhaupt auf.

Diese sechs Punkte lassen sich in überschaubarer Zeit umsetzen und schließen die häufigsten Lücken. Ein Fernzugang ist dann kein Sorgenkind mehr, sondern ein Werkzeug, auf das Sie sich verlassen können – und die Grundlage dafür, dass mobiles Arbeiten Ihren Betrieb sicherer statt angreifbarer macht.