Ein VPN verbindet Laptops im Homeoffice mit dem Firmennetz. Ist es nur mit Benutzername und Passwort geschützt, reicht ein gestohlenes Passwort, und Angreifer sitzen mitten in Ihrem Netz. Mit einem zweiten Faktor wird aus dem größten Risiko ein gut geschützter Zugang.
Warum ein Passwort am VPN nicht reicht
- Passwörter landen in Datenlecks, werden per Phishing abgegriffen oder mehrfach verwendet.
- VPN-Zugänge sind aus dem Internet erreichbar und werden ständig automatisiert angegriffen.
- Wer einmal drin ist, erreicht oft alles: Server, Dateiablage, Buchhaltung.
Welche zweiten Faktoren eignen sich?
- Push in der Authenticator-App: Eine Anfrage auf dem Handy bestätigen. Bequem, aber nur mit Zahlenabgleich, damit niemand versehentlich eine fremde Anfrage bestätigt.
- Einmalcode: Ein sechsstelliger Code aus einer App wie Microsoft Authenticator oder FortiToken. Funktioniert mit fast jedem VPN.
- Anmeldung über Microsoft Entra ID: Das VPN leitet zur Microsoft-Anmeldung weiter. Dann gelten dieselben Regeln wie für Microsoft 365, inklusive bedingtem Zugriff.
- Sicherheitsschlüssel (FIDO2): Am sichersten, aber noch nicht in jedem VPN-Client möglich.
- SMS: Besser als nichts, aber der schwächste zweite Faktor.
Wichtig für FortiGate-Kunden: das Ende des SSL-VPN
Fortinet hat mit FortiOS 7.6.3 den Tunnelmodus des SSL-VPN entfernt. Wer auf diese Version aktualisiert, kann sich mit FortiClient nicht mehr per SSL-VPN verbinden. Auf Modellen mit 2 GB Arbeitsspeicher oder weniger fällt das SSL-VPN ganz weg, Fortinet empfiehlt den Umstieg auf IPsec-VPN.
Die Umstellung ist eine gute Gelegenheit, den zweiten Faktor gleich mit einzuführen, etwa IPsec-VPN mit FortiClient und Anmeldung über Entra ID.
Moderne Alternativen zum klassischen VPN
Neuere Lösungen arbeiten nach dem Zero-Trust-Prinzip. Statt das ganze Netz zu öffnen, bekommt jeder Nutzer nur Zugriff auf die Dienste, die er braucht. Die Anmeldung läuft immer über das Firmenkonto mit zweitem Faktor. Beispiele sind Overlay-Netze wie NetBird oder Tailscale und die Zero-Trust-Angebote der Firewall-Hersteller.
Checkliste für einen sicheren Fernzugriff
- Zweiter Faktor für jeden Zugang, ohne Ausnahme, auch für die Geschäftsführung und externe Dienstleister.
- Firmware der Firewall aktuell halten. Lücken in VPN-Zugängen werden oft innerhalb weniger Tage ausgenutzt.
- Zugriff begrenzen: Jeder erreicht nur, was er braucht, nicht das ganze Netz.
- Zugänge löschen, sobald jemand das Unternehmen verlässt.
- Anmeldungen protokollieren und ungewöhnliche Zeiten oder Länder sperren, etwa nur Zugriffe aus Deutschland erlauben.
Kurz gesagt
Ein VPN ohne zweiten Faktor ist ein offenes Tor. Push mit Zahlenabgleich, Einmalcode oder Anmeldung über Entra ID schließen es. FortiGate-Kunden müssen ohnehin von SSL-VPN auf IPsec umstellen und führen den zweiten Faktor am besten gleich mit ein. Wir planen die Umstellung und setzen sie um, ohne dass das Homeoffice stillsteht.