Homeoffice ohne VPN: Die offene Flanke Ihres Betriebs
Dauerfernwartung, die nie endet, Portfreigaben, die keiner mehr erklären kann: So sieht Homeoffice in vielen Betrieben aus. Ein VPN schließt die Flanke – ein verschlüsselter Tunnel ins Firmennetz, einmal sauber eingerichtet statt monatlich abonniert.
Ihre Mitarbeiterin arbeitet freitags von zu Hause. Sie greift auf den Bürorechner zu – über ein Fernwartungsprogramm, das seit zwei Jahren durchläuft. Oder über eine Portfreigabe, die »der Neffe damals mal eingerichtet hat«. Läuft doch.
Läuft. Für Sie. Und für jeden, der die offene Tür findet.
Denn genau danach wird gesucht: Automatische Scanner klopfen rund um die Uhr das gesamte Internet ab, Adresse für Adresse. Das ist kein gezielter Angriff auf Ihren Betrieb. Das ist ein Skript, das jeden erreichbaren Zugang durchprobiert – Ihren auch.
Die saubere Antwort darauf heißt VPN. Und sie ist deutlich unspektakulärer, als das Kürzel klingt.
Was ein VPN ist – und was es nicht ist
Ein VPN (Virtual Private Network) ist ein verschlüsselter Tunnel zwischen zwei Punkten. Der Laptop im Homeoffice verbindet sich durch diesen Tunnel mit Ihrem Firmennetz und verhält sich danach so, als stünde er im Büro. Von außen ist der Datenverkehr unlesbar. Wer den passenden Schlüssel nicht hat, kommt nicht hinein. Punkt.
Genauso wichtig ist, was ein Firmen-VPN nicht ist: kein Anonymisierungs-Abo aus der YouTube-Werbung. NordVPN, Surfshark und Konsorten verschleiern, von wo aus Sie surfen – mehr leisten sie nicht. Mit sicherem Zugriff auf Ihre Firmendaten hat das nichts zu tun. Zwei völlig verschiedene Produkte, die zufällig denselben Namen tragen.
| Anonymisierungs-Abo (NordVPN & Co.) | Firmen-VPN (z. B. WireGuard) | |
|---|---|---|
| Zweck | Verschleiert, von wo aus Sie surfen | Verbindet das Homeoffice sicher mit dem Firmennetz |
| Weg der Daten | Über fremde Server, oft im Ausland | Direkt zwischen Mitarbeiter und Ihrer Firewall |
| Kostenmodell | Monatliches Abo pro Nutzer | Einmalige Einrichtung, keine Lizenzkosten |
| Schützt Firmendaten im Homeoffice? | Nein | Ja – genau dafür ist es da |
So sieht Homeoffice ohne VPN aus – die üblichen Sünden
Ich sehe in kleinen Betrieben immer wieder dieselben Konstruktionen. Alle vier funktionieren im Alltag. Alle vier sind offene Flanken.
- RDP offen im Internet. RDP ist die eingebaute Fernsteuerung von Windows. Praktisch im Büro, brandgefährlich, wenn sie direkt aus dem Internet erreichbar ist. Offene RDP-Zugänge gehören seit Jahren zu den beliebtesten Einstiegen für Ransomware, also Erpressungstrojaner.
- Die ewige Fernwartungs-Sitzung. TeamViewer und AnyDesk sind für den Ausnahmefall gebaut: kurz aufschalten, Problem lösen, Verbindung trennen. Ein Fernwartungstool, das dauerhaft läuft, damit jemand von zu Hause arbeiten kann, ist zweckentfremdet. Dauerfernwartung ist keine Infrastruktur, sondern ein Provisorium mit Ablaufdatum.
- Ein Zugang für alle. Drei Leute, ein Passwort, seit Jahren unverändert. Sie können nicht nachvollziehen, wer wann zugegriffen hat. Und wenn jemand den Betrieb verlässt, müssten Sie das Passwort überall ändern – was in der Praxis fast nie passiert.
- Portfreigaben, die keiner mehr erklären kann. Im Router stecken Weiterleitungen auf die NAS (den Netzwerkspeicher), auf die Kamera, auf irgendein Gerät von damals. Jede dieser Freigaben ist eine Tür nach draußen. Wissen Sie, welche bei Ihnen offen sind? Die meisten wissen es nicht.
Die saubere Lösung: WireGuard auf der eigenen Firewall
WireGuard ist ein modernes VPN-Protokoll: Open Source, schlank, schnell und auf jedem Laptop und Smartphone zu Hause. Am besten läuft es zentral – auf einer Firewall am Übergang zwischen Internet und Firmennetz. Ich setze dafür OPNsense ein, eine freie Firewall-Software. Warum dafür ein eigenes Gerät statt der FritzBox sinnvoll ist, zeige ich in OPNsense statt FritzBox.
Das Setup läuft in fünf Schritten:
- Bestandsaufnahme. Wer muss von außen worauf zugreifen – und was ist heute schon erreichbar, ohne dass es jemand weiß?
- Firewall aufsetzen. OPNsense kommt auf ein kleines, sparsames Gerät zwischen Internetanschluss und Firmennetz.
- WireGuard einrichten. Auf der Firewall entsteht der Endpunkt des Tunnels. Jede Person bekommt einen eigenen digitalen Schlüssel – keine geteilten Zugänge mehr.
- Geräte einbinden. WireGuard-App auf Laptop und Handy installieren, Konfiguration per QR-Code laden, fertig. Für Ihre Leute ist es danach ein Schalter: an, arbeiten, aus.
- Alte Löcher schließen. Portfreigaben raus, RDP von außen dicht, Dauerfernwartung deinstalliert. Der Tunnel ist jetzt der einzige Weg hinein.
Verlässt jemand den Betrieb, wird sein Schlüssel gelöscht. Eine Minute, erledigt. Kein Passwort-Rundlauf durch die ganze Firma.
Was kostet das? Einmal etwas – statt jeden Monat
WireGuard kostet keine Lizenzgebühr. OPNsense auch nicht. Beides ist Open Source. Bezahlen müssen Sie zwei Dinge: die Hardware für die Firewall – je nach Betriebsgröße grob einige hundert Euro, einmalig – und die Einrichtung. Danach fallen keine Gebühren pro Nutzer an, keine Preiserhöhung zum Jahreswechsel, kein Abo bei einem US-Anbieter, dem Sie vertrauen müssen, ohne ihn prüfen zu können.
Zum Vergleich: Business-VPN-Dienste aus der Cloud rechnen pro Kopf und Monat ab. Das klingt nach wenig und summiert sich über die Jahre – während der Endpunkt Ihres Tunnels trotzdem bei einem fremden Anbieter liegt. Bei der eigenen Firewall liegt er bei Ihnen. Das ist der ganze Unterschied zwischen mieten und besitzen.
Wann sich der Aufwand für Sie nicht lohnt
Sagen wir es direkt: Nicht jeder Betrieb braucht ein Firmen-VPN. Wenn Sie allein arbeiten und im Büro nichts läuft, worauf Sie von unterwegs zugreifen müssten – keine NAS, kein Server, kein Kassenrechner –, dann gibt es schlicht kein Firmennetz, in das ein Tunnel führen müsste. Liegen Ihre Dateien bei einem sauber eingerichteten europäischen Cloud-Anbieter und Ihre E-Mails beim Provider, reichen starke, einzigartige Passwörter plus Zwei-Faktor-Anmeldung (ein zweiter Bestätigungsschritt beim Login, etwa per App auf dem Handy).
Ich baue Ihnen keine Firewall auf, die Sie nicht brauchen. Auch »brauchen Sie nicht« ist eine Beratung.
Checkliste: Ist Ihre Flanke offen?
Gehen Sie die Liste durch. Jedes »Ja« ist ein Punkt, den Sie klären sollten.
- Läuft auf einem Bürorechner dauerhaft ein Fernwartungsprogramm, damit jemand von zu Hause arbeiten kann?
- Gibt es Portfreigaben im Router, die niemand mehr erklären kann?
- Ist RDP, die NAS oder ein anderer Dienst direkt aus dem Internet erreichbar?
- Teilen sich mehrere Personen ein Passwort für den Fernzugriff?
- Haben ehemalige Mitarbeiter theoretisch noch Zugriff, weil nach dem Abschied nie etwas geändert wurde?
- Können Sie nicht sagen, was von außen auf Ihr Netz erreichbar ist?
Schon ein einziges Ja lohnt den genaueren Blick. Wie so ein Projekt bei mir abläuft, sehen Sie auf Netzwerk & Sicherheit.
Bleibt nach der Checkliste auch nur ein Ja stehen, steht Ihre Flanke noch offen. Im kostenlosen Erstgespräch gehe ich mit Ihnen den Homeoffice-Zugang Ihres Betriebs durch und sage Ihnen, ob sich ein WireGuard-Tunnel lohnt oder ob starke Passwörter samt Zwei-Faktor genügen. Wer die offene Tür mit Ihnen findet, macht sie hinterher auch dicht. Kein Zwischenhändler.
