Schwächen konventioneller VPN-Verbindungen für die Anbindung von Home-Offices

Veronym warnt vor trügerischer Sicherheit

[datensicherheit.de, 15.04.2020] Nicht nur  im Zuge der Corona-Verbreitung haben Unternehmen einen Teil ihrer Mitarbeiter, soweit möglich, ins Home-Office verlagert. Trotz der gebotenen Eile haben sie sich dabei meist auch um eine sichere Anbindung der nun extern stationierten Mitarbeiter Gedanken gemacht. Die naheliegende Lösung war in vielen Fällen die Nutzung eines VPN (Virtual Private Network) . „Doch ist ein VPN wirklich sicher?“, fragt Veronym, ein Cloud Security Service Provider aus Berlin.

Bei Veronym ist man überzeugt: Ein verschlüsselte VPN-Verbindung allein reicht nicht aus, um einen durchgängigen Schutz vor Cyber-Gefahren zu gewährleisten. Unternehmen, beziehungsweise deren mobilen Mitarbeiter, benötigen zusätzlich zu der sicheren Verbindung weitere Sicherheitskontrollen an den Endpunkten und im Netzwerk. Auch weitere Aspekte müssen bei der Nutzung von konventionellen VPN-Lösung berücksichtigt werden.

Herausforderungen und Einschränkungen beim Einsatz von klassischen VPN-Lösungen

Home-Office bedeutet in vielen Fällen die Nutzung von privaten Endgeräten. Diese weisen meist ein deutlich schlechteres Sicherheitsniveau im Vergleich zur Unternehmens-IT auf. Weiterhin besteht eine große Gefahr darin, dass Mitarbeiter zu Hause auch ein Firmengerät nutzen, um im Internet zu surfen. Es ist daher unerlässlich, einen geeigneten Schutz auf den genutzten Endgeräten zu installieren. Ist ein Endgerät bei einem Mitarbeiter zu Hause infiziert, nützt auch das beste VPN nichts. Der Angreifer hat dann quasi schon Zugang zu dem Unternehmens-Netzwerk.

Gesamter Datenverkehr wird durch das Unternehmensnetzwerk geleitet

Die Einrichtung eines VPN für Ihr Heimbüro auf herkömmliche Weise bedeutet, dass der gesamte Datenverkehr durch Ihr Unternehmensnetzwerk geleitet wird, beispielsweise auch dann, wenn Ihr Unternehmen Cloud-Anwendungen wie Office 365, Salesforce etc. verwendet. So kann es zu einer hohen Auslastung oder gar Überlastung der verfügbaren Bandbreiten kommen; das ist vor allem – in Krisenzeiten, in denen die Anzahl der Home-Office-Nutzer sehr stark ansteigt, problematisch.

Eine VPN-Verbindung muss im Unternehmen von Experten eingerichtet und vor allem auch verwaltet werden. Andernfalls kann diese sogar zu zusätzlichen Sicherheitsproblemen führen, statt für eine sichere Anbindung der Belegschaft zu sorgen. Weltweit warnen staatliche Cybersicherheitsorganisationen wie die CISA des US-Heimatschutzministeriums bereits vor diesen Gefahren. Die CISA richtet explizit diese Warnung an Unternehmen, die VPNs für Telearbeit nutzen. Diese müssen sich bewusst sein, dass Hacker nach Schwachstellen suchen und diese gezielt ausnutzen.

Veronym-Lösung für Cybersicherheit im Home-Office

Eine praktikable Alternative sind nach Auffasung der Unternehmens Cloud-basierten Cyber-Security Dienste. Solche Services sind im Idealfall vollständig gemanagt, innerhalb von Minuten einsatzbereit und erfordern keine Integration mit der Infrastruktur der Unternehmen. Die Benutzerverwaltung erfolgt über Kundenportale. Flexibles Lizenzmodelle erlauben es Unternehmen, die Security-Dienste monatlich zu abonnieren und abzumelden. Zudem sind keine Vorab-Investitionen und Betriebspersonal erforderlich.

Für die Netzwerk-Sicherheit stellen die Anbieter eine VPN-Verbindung von den Endpunkten der Unternehmen direkt zu den Cloud-Lösung zur Verfügung. In der Cloud terminiert der Service Provider den Datenverkehr und führt eine Sicherheitsinspektion durch, um Gefahren zu erkennen und zu unterbinden. Für den Verkehr zwischen der Cloud-Lösung und dem Unternehmen wird dann eine zweite VPN Verbindung aufgesetzt. Hierfür müssen meist nur einige Konfigurationen an der Firewall durchgeführt werden.

Ein moderner Cloud-Dienst kann darüberhinaus auch als Security-Gateway für den direkten Zugang zum Internet genutzt werden. Dabei wird vermieden, dass der Verkehr zu Cloud- oder Internet-Anwendungen durch das Unternehmens-Netzwerk geleitet werden muss und es somit zu Engpässen bei der verfügbaren Bandbreite kommen könnte.

Ein zweiter wesentlicher Bestandteil eine Cloud Security Services ist der Schutz der Endpunkte im Home-Office. Dabei setzen Service-Anbieter meist auf marktführende Security-Technologie etablierter Hersteller, die alle gängigen Betriebssysteme wie Windows, macOS, Linux, iOS, und Android unterstützen.

Dieses ist besonders wichtig, wenn Mitarbeiter für das Arbeiten von zu Hause ihre privaten Rechner nutzen müssen. Cloud Security Service Provider können ohne großen Aufwand diese Rechner über ihre Kundenportale verwalten und ohne Integration in die Unternehmens-IT schützen.

„Mit unserem Cyber Defense Center überwachen wir automatisiert rund um die Uhr die Home-Office Arbeitsplätze der Mitarbeiter unserer Kunden und alarmieren diese sofort, wenn wir kritische Auffälligkeiten finden“, erklärt Michael Teschner, Marketingleiter bei Veronym. „Einmal pro Woche erhalten die Unternehmen übersichtliche Berichte per E-Mail über die Nutzung des Dienstes und Nutzer-Statistiken.“

Weitere Informationen zum Thema:

datensicherheit.de, 14.04.2020
Fünf unterschätzte Punkte beim Kampf gegen immer raffiniertere Cyber-Attacken 

datensicherheit.de, 14.04.2020
Home-Office: Vergrößerung der Angriffsfläche verlangt nach automatisierter Cybersicherheit

datensicherheit.de, 30.03.2020
VPN-Nutzung: Endgeräte-Hygiene im Home-Office empfohlen