VPN: Funktionsweise, Arten und Protokolle im Überblick
Die zunehmende Vernetzung der Welt bietet weitreichende Möglichkeiten, Geschäftsprozesse effizienter zu gestalten, bringt jedoch auch Gefahren. Immer mehr Unternehmen nutzen das Internet als Transportmedium, um Home-Office und mobile Arbeitsplätze zu ermöglichen, Standorte zu vernetzen oder Kunden und Partner an die eigene IT-Infrastruktur anzubinden. Damit sensible Daten auf diesem Weg nicht in falsche Hände geraten, muss die Übertragung abgesichert werden. Eine gängige Lösung dafür ist das VPN.
Was ist ein VPN?
Ein VPN (Virtual Private Network) ist ein virtuelles, logisch abgeschottetes Kommunikationsnetz, das auf einem bestehenden physischen Netz – meist dem Internet – aufsetzt. Die Datenpakete werden dabei in einen Tunnel verpackt und in der Regel verschlüsselt und authentifiziert, sodass Dritte im zugrunde liegenden Netz den Inhalt weder mitlesen noch unbemerkt verändern können.
Ein VPN ermöglicht damit einen sicheren Transport sensibler Daten über eine nicht vertrauenswürdige Verbindung und ist eine kostengünstige Alternative zu privaten Standleitungen. Typische Einsatzgebiete sind der Fernzugriff auf das Firmennetz und die Vernetzung mehrerer Standorte.
Der Begriff VPN beschreibt zunächst nur die logische Trennung eines Netzes. Provider-VPNs, etwa auf Basis von MPLS, trennen den Datenverkehr verschiedener Kunden im Netz des Anbieters, verschlüsseln ihn aber nicht automatisch. Wenn im Alltag von VPN die Rede ist, sind meist verschlüsselte VPNs wie IPsec, WireGuard oder OpenVPN gemeint.
Wie funktioniert ein VPN?
Ein VPN verbindet zwei Endpunkte, etwa einen VPN-Client auf einem Laptop und ein VPN-Gateway (Router, Firewall oder Server) am Firmenstandort. Der Verbindungsaufbau läuft in drei Schritten ab:
- Authentifizierung: Beide Seiten weisen ihre Identität nach, zum Beispiel per Zertifikat, Pre-Shared Key oder Benutzerkonto mit zweitem Faktor.
- Schlüsselaustausch: Die Endpunkte handeln Sitzungsschlüssel aus, mit denen die Daten anschließend verschlüsselt werden.
- Tunneling: Jedes Datenpaket wird verschlüsselt und in ein neues, äußeres Paket eingekapselt (Kapselung). Für das öffentliche Netz sind nur die Adressen der beiden Tunnelendpunkte sichtbar, nicht aber Inhalt und eigentliches Ziel des Pakets.
Am Tunnelende wird das Paket entpackt, entschlüsselt und im dortigen Netz zugestellt. Für Anwendungen verhält sich das Endgerät so, als wäre es direkt mit dem entfernten Netz verbunden.
Welche VPN-Arten gibt es?
Beim Einrichten eines VPN stehen drei Anwendungsgebiete im Vordergrund: die Vernetzung von zwei oder mehr Unternehmensstandorten über ein öffentliches Netz (Site-to-Site-VPN), der Zugriff auf das Unternehmensnetz von zu Hause oder unterwegs (End-to-Site-VPN) und die direkte gesicherte Verbindung zwischen zwei einzelnen Rechnern (End-to-End-VPN). Davon zu unterscheiden sind VPN-Dienste für Privatnutzer.
Site-to-Site-VPN
Ein Site-to-Site-VPN kommt zum Einsatz, wenn mehrere lokale Netzwerke über ein öffentliches Transportmedium zu einem virtuellen Kommunikationsnetz verbunden werden sollen. Typisch ist die Vernetzung von Unternehmensstandorten, Außenstellen oder Niederlassungen. Alternativ lässt sich eine Standortvernetzung auch als Corporate Network (CN) auf Basis privater Festverbindungen realisieren. Diese Infrastruktur muss jedoch kostenpflichtig angemietet werden. Eine Verbindung via VPN nutzt dagegen das Internet, sodass im Wesentlichen die Kosten für den Internetanschluss anfallen. Voraussetzung ist an jedem Standort ein VPN-fähiger Router, eine Firewall oder ein Gateway, der bzw. die den Tunnel zum Gegenüber aufbaut. Für die Nutzer im LAN ist das VPN unsichtbar, auf ihren Geräten ist keine VPN-Software nötig. Andere Bezeichnungen für das Site-to-Site-VPN sind LAN-to-LAN-VPN oder Branch-Office-VPN.
End-to-Site-VPN
Auf ein End-to-Site-VPN greifen Unternehmen zurück, wenn das Firmennetzwerk für mobile Nutzer im Außendienst oder im Home-Office zugänglich gemacht werden soll. Den Tunnel zum lokalen Netzwerk baut ein VPN-Client auf dem Endgerät der externen Mitarbeitenden auf, Transportmedium ist das Internet. So können Beschäftigte über einen beliebigen Internetzugang auf das Firmennetz und damit auf Datei- und Mail-Server oder spezielle Branchensoftware zugreifen. Ein End-to-Site-VPN wird auch als Remote-Access-VPN oder Client-to-Site-VPN bezeichnet.
End-to-End-VPN
Beim End-to-End-VPN (auch Host-to-Host-VPN) verläuft der Tunnel nicht zu einem ganzen Netzwerk, sondern direkt zwischen zwei einzelnen Rechnern. Die Verschlüsselung reicht damit von Endgerät zu Endgerät, ein zwischengeschaltetes Gateway entfällt. Ein Beispiel ist die gesicherte Verbindung zwischen zwei Servern, etwa für Datenbank-Replikation oder Backups, oder der verschlüsselte Zugang einer Administratorin zu einem einzelnen Server. Transportmedium kann das Internet oder ein lokales Firmennetz sein.
Häufig wird in diesem Zusammenhang Remote Desktop genannt. Fernwartungsprotokolle wie RDP sind jedoch selbst kein VPN: Sie übertragen Bildschirminhalt und Eingaben zwischen zwei Rechnern. Ein VPN wird aber oft genutzt, um solche Fernzugriffe abzusichern, damit der Remote-Desktop-Dienst nicht direkt aus dem Internet erreichbar sein muss.
VPN-Dienste für Privatnutzer
Neben Unternehmens-VPNs gibt es kommerzielle VPN-Dienste für Privatpersonen. Hier führt der Tunnel vom eigenen Gerät zu einem Server des Anbieters, der den Datenverkehr anschließend ins Internet weiterleitet. Websites sehen dadurch die IP-Adresse des VPN-Servers statt der eigenen, und in öffentlichen WLANs ist der Datenverkehr bis zum VPN-Server vor Mitlesern geschützt. Der Internetanbieter erkennt nur noch die Verbindung zum VPN-Server. Dafür sieht der VPN-Anbieter, welche Ziele angesteuert werden: Das Vertrauen verlagert sich vom Internetanbieter auf den VPN-Dienst.
VPN-Protokolle: Wie wird ein VPN technisch umgesetzt?
Für verschlüsselte VPN-Verbindungen kommen verschiedene Protokolle zum Einsatz. Gängige Lösungen setzen auf IPsec, SSL/TLS (zum Beispiel OpenVPN) und zunehmend auf WireGuard. Ältere Verfahren wie L2TP over IPsec und PPTP sind noch verbreitet, gelten aber als Auslaufmodelle.
VPN mit IPsec
IPsec („Internet Protocol Security“) ist eine von der IETF standardisierte Protokollfamilie, die eine gesicherte Kommunikation über nicht vertrauenswürdige IP-Netze ermöglicht. Sie arbeitet auf der Vermittlungsschicht (OSI-Schicht 3) und sichert Vertraulichkeit, Authentizität und Integrität des Datenverkehrs. Die wichtigsten Bestandteile sind:
- ESP (Encapsulating Security Payload) verschlüsselt die Pakete und schützt ihre Integrität.
- AH (Authentication Header) sichert nur Integrität und Authentizität, ohne zu verschlüsseln, und spielt in der Praxis kaum noch eine Rolle.
- IKEv2 (Internet Key Exchange Version 2) übernimmt die gegenseitige Authentifizierung und den Schlüsselaustausch. Mit der Erweiterung MOBIKE bleibt der Tunnel auch bestehen, wenn ein mobiles Gerät das Netz wechselt, etwa vom WLAN ins Mobilfunknetz.
Für VPNs wird IPsec meist im Tunnelmodus betrieben, bei dem das komplette ursprüngliche IP-Paket verschlüsselt und eingekapselt wird. Im Transportmodus wird dagegen nur der Inhalt eines Pakets geschützt, was sich für direkte Host-to-Host-Verbindungen eignet.
IPsec entstand Mitte der 1990er-Jahre parallel zur Entwicklung von IPv6, war aber von Anfang an für IPv4 und IPv6 spezifiziert. Für IPv6-Knoten war IPsec ursprünglich verpflichtend, inzwischen wird die Unterstützung nur noch empfohlen. Weil IPsec in nahezu allen Routern, Firewalls und Betriebssystemen enthalten ist, ist es der Standard für Site-to-Site-VPNs zwischen Geräten unterschiedlicher Hersteller. Das BSI empfiehlt in seiner Technischen Richtlinie TR-02102-3 ausschließlich IKEv2 für den Schlüsselaustausch.
L2TP over IPsec
Ein VPN, das mittels L2TP over IPsec realisiert wird, greift auf das „Layer 2 Tunneling Protocol“ (L2TP) zurück. L2TP tunnelt Schicht-2-Rahmen (PPP) und kann deshalb neben IP auch andere Netzwerkprotokolle transportieren. Da L2TP selbst keine Verschlüsselung bietet, wird es mit IPsec kombiniert, das die Verschlüsselung und Authentifizierung übernimmt.
Die doppelte Kapselung erzeugt allerdings zusätzlichen Overhead, und das Verfahren hat sich gegenüber IKEv2 als umständlicher erwiesen. Microsoft hat L2TP und das noch ältere PPTP im Oktober 2024 für den Routing- und RAS-Dienst (RRAS) von Windows Server als veraltet eingestuft und empfiehlt den Umstieg auf IKEv2 oder SSTP. PPTP gilt seit Langem als unsicher und sollte nicht mehr verwendet werden.
SSL-/TLS-VPN
SSL („Secure Sockets Layer“) wurde ursprünglich zur Absicherung von HTTP-Verbindungen entwickelt, ist aber anwendungsunabhängig spezifiziert. Sein Nachfolger TLS (Transport Layer Security) wird daher auch zur Absicherung von VPN-Verbindungen eingesetzt. Alle SSL-Versionen sowie TLS 1.0 und 1.1 gelten inzwischen als unsicher und sind von der IETF offiziell abgekündigt. Der Begriff „SSL-VPN“ hat sich trotzdem gehalten, aktuelle Lösungen nutzen TLS 1.2 oder 1.3.
TLS-VPNs gibt es in zwei Formen: als clientloses Web-Portal, über das Nutzer per Browser auf einzelne interne Anwendungen zugreifen, und als Client-basiertes VPN, das wie ein IPsec-VPN den gesamten Datenverkehr tunnelt. Weil TLS-Verbindungen auch restriktive Firewalls meist problemlos passieren, sind TLS-VPNs für Remote Access beliebt. Eine verbreitete Open-Source-Lösung ist OpenVPN, das TLS für Authentifizierung und Schlüsselaustausch nutzt und wahlweise über UDP oder TCP läuft. Microsoft bietet mit SSTP ein eigenes TLS-basiertes VPN-Protokoll an.
WireGuard
WireGuard ist ein vergleichsweise junges, bewusst schlankes VPN-Protokoll. Es verzichtet auf aushandelbare Verschlüsselungsverfahren und setzt fest auf moderne Kryptografie (unter anderem ChaCha20 und Poly1305 für Verschlüsselung und Integrität, Curve25519 für den Schlüsselaustausch und BLAKE2s für Hashes). Die Konfiguration ähnelt SSH: Jeder Teilnehmer besitzt ein Schlüsselpaar, Gegenstellen werden über ihre öffentlichen Schlüssel eingetragen. WireGuard überträgt alle Pakete per UDP.
Seit Linux 5.6 (März 2020) ist WireGuard direkt im Linux-Kernel enthalten, Clients gibt es auch für Windows, macOS, Android und iOS. Durch den kleinen Codeumfang und die hohe Geschwindigkeit eignet sich WireGuard gut für Remote Access und für selbst betriebene VPN-Server.
VPN-Protokolle im Vergleich
| Protokoll | Grundlage | Transport | Einschätzung heute |
|---|---|---|---|
| IPsec mit IKEv2 | IETF-Standard, OSI-Schicht 3 | ESP, bei NAT gekapselt in UDP | Standard für Site-to-Site, auch für Remote Access geeignet |
| WireGuard | eigenes Protokoll mit fester, moderner Kryptografie | UDP | schlank und schnell, zunehmend verbreitet |
| OpenVPN | TLS | UDP oder TCP | flexibel, passiert Firewalls gut, weit verbreitet |
| L2TP over IPsec | L2TP, verschlüsselt durch IPsec | L2TP über UDP, eingekapselt in ESP | veraltet, von Microsoft in RRAS abgekündigt |
| PPTP | PPP über GRE | TCP (Steuerung) und GRE | unsicher, nicht mehr verwenden |
Vorteile und Grenzen eines VPN
Ein VPN bietet vor allem diese Vorteile:
- Sichere Übertragung über unsichere Netze: Daten sind auch in öffentlichen WLANs oder über das Internet vor Mitlesern und Manipulation geschützt.
- Geringe Kosten: Standorte und Mitarbeitende lassen sich über vorhandene Internetanschlüsse vernetzen, private Standleitungen sind nicht nötig.
- Zentrale Kontrolle: Unternehmen können steuern, wer sich mit dem Firmennetz verbinden darf, und den Zugang etwa an Zertifikate oder Mehr-Faktor-Authentifizierung knüpfen.
Gleichzeitig hat ein VPN Grenzen:
- Leistung: Verschlüsselung und Kapselung kosten Rechenleistung und Bandbreite, zusätzliche Umwege über das VPN-Gateway erhöhen die Latenz.
- Nur der Transportweg ist geschützt: Ein VPN schützt weder vor Schadsoftware auf dem Endgerät noch vor Phishing. Ein kompromittiertes Gerät gelangt über das VPN direkt ins Firmennetz.
- Breiter Netzzugriff: Klassische Remote-Access-VPNs geben nach der Anmeldung oft Zugriff auf große Teile des Netzes. Angreifer mit gestohlenen Zugangsdaten können sich so weiter im Netz bewegen.
- Angriffsziel Gateway: VPN-Gateways sind direkt aus dem Internet erreichbar und deshalb ein beliebtes Ziel für Angriffe. Updates des Herstellers sollten zeitnah eingespielt werden.
VPN oder Zero Trust?
Wegen dieser Grenzen setzen viele Unternehmen zusätzlich oder alternativ auf Zero Trust. Das Prinzip, beschrieben unter anderem in der NIST-Publikation SP 800-207, lautet: Kein Zugriff wird allein deshalb erlaubt, weil sich ein Gerät im „richtigen“ Netz befindet. Stattdessen werden Nutzer, Gerät und Kontext bei jedem Zugriff geprüft. Lösungen für Zero Trust Network Access (ZTNA) gewähren den Zugang gezielt zu einzelnen Anwendungen statt zum gesamten Netzwerk. In der Praxis lösen ZTNA-Lösungen klassische Remote-Access-VPNs schrittweise ab, während Site-to-Site-VPNs für die Standortvernetzung weiterhin üblich sind.
Eigenes VPN auf einem Server betreiben
Ein VPN lässt sich nicht nur über Router und Firewalls, sondern auch auf einem eigenen Server realisieren. Auf einem virtuellen Server mit öffentlicher IP-Adresse können Sie zum Beispiel WireGuard oder OpenVPN installieren und so einen eigenen Remote-Access-Zugang aufbauen: etwa um Verwaltungsoberflächen, Datenbanken oder Entwicklungsumgebungen nicht öffentlich ins Internet zu stellen, sondern nur über den VPN-Tunnel erreichbar zu machen. Wichtig sind dabei eine restriktive Firewall-Konfiguration, starke Authentifizierung und regelmäßige Updates.
Häufige Fragen zum VPN
Nein. Ein VPN verbirgt Ihre IP-Adresse gegenüber den aufgerufenen Websites und schützt den Datenverkehr bis zum VPN-Server. Der Betreiber des VPN-Servers kann jedoch sehen, welche Ziele Sie ansteuern. Zudem lassen sich Nutzer etwa über Cookies, Logins oder Browser-Fingerprinting weiterhin wiedererkennen.
In der Regel geringfügig, da Verschlüsselung und Kapselung Rechenleistung kosten und der Datenverkehr über das VPN-Gateway läuft. Wie stark sich das auswirkt, hängt vom Protokoll, von der Leistung der Endpunkte und von der Entfernung zum VPN-Server ab.
Ein Proxy leitet meist nur den Datenverkehr einzelner Anwendungen oder Protokolle weiter, zum Beispiel den eines Browsers, und verschlüsselt ihn nicht zwingend. Ein VPN tunnelt dagegen in der Regel den gesamten IP-Datenverkehr eines Geräts oder Netzes und verschlüsselt ihn.
Reviewer
Christian Heldmaier
Christian Heldmaier ist ein erfahrener Online-Marketing- und SEO-Spezialist aus Karlsruhe. Seit Juli 2020 ist er als SEO Manager bei IONOS tätig.