NETZWERK & FIREWALL · EVERGREEN
Zweigwerk, Lagerstandort, Tochterfirma: Sobald ein Unternehmen an
mehr als einem Ort arbeitet, stellt sich die Frage nach der sicheren
Verbindung. Der Klassiker dafür heißt Site-to-Site-VPN – bewährt,
wirtschaftlich, aber mit Betriebsfallen, die erst nach Jahren
zuschnappen.
Kurzantwort
Ein Site-to-Site-VPN verbindet die Netzwerke zweier oder mehrerer
Standorte über einen dauerhaft bestehenden, verschlüsselten Tunnel
zwischen den Firewalls/Gateways – Nutzer merken davon nichts, die
Standorte arbeiten wie in einem gemeinsamen Netz. Im Unterschied zum
Client-VPN (einzelne Nutzer wählen sich ein) ist es eine
Infrastrukturverbindung: einmal eingerichtet, immer aktiv. Entscheidend
für die Sicherheit sind aktuelle Verschlüsselungsverfahren, gepatchte
Gateways, saubere Netzsegmentierung zwischen den Standorten (nicht alles
mit allem!) und ein Betrieb, der Tunnel überwacht und Konfigurationen
aktuell hält – denn ein vergessener Tunnel mit Altverschlüsselung läuft
klaglos weiter, bis ihn jemand ausnutzt.
Wann Site-to-Site die
richtige Wahl ist
Typische Fälle: Zweigniederlassungen mit Zugriff auf zentrale Systeme
(ERP, Fileserver, Telefonie), Produktions- oder Lagerstandorte mit
Anbindung an die Zentrale, dauerhafte Kopplung zu Partnern mit
definiertem Datenaustausch. Die Alternative SD-WAN spielt ihre Stärken
bei vielen Standorten, mehreren Leitungen je Standort und Cloud-lastigem
Verkehr aus – für zwei bis fünf Standorte mit klassischem
Zentrale-Filiale-Muster bleibt das solide Site-to-Site-VPN meist die
wirtschaftlichste Lösung. Wichtig ist die ehrliche Verkehrsanalyse
vorab: Wenn 80 Prozent des Filialverkehrs ohnehin zu Microsoft 365
gehen, sollte er nicht erst durch die Zentrale geschleift werden
(lokaler Breakout statt Voll-Tunnel).
Die fünf
Betriebsregeln, die über Jahre entscheiden
- Segmentieren statt verschmelzen: Der
Standort-Tunnel transportiert definierte Verbindungen (Filiale → ERP),
nicht “Netz A komplett zu Netz B”. Ein Ransomware-Befall im Zweigwerk
darf nicht ungebremst in die Zentrale fluten. - Kryptografie aktuell halten: Verfahren und
Schlüssellängen altern; ein jährlicher Krypto-Check gehört in den
Betriebskalender – Tunnel laufen sonst jahrzehntelang mit den
Einstellungen ihres Geburtstags. - Gateways patchen – priorisiert: Die Endpunkte des
Tunnels sind aus dem Internet erreichbar und damit Dauerziel; siehe die
Grundsatzregeln im Beitrag VPN im
Unternehmen. - Überwachen mit Alarm: Tunnel-Status, ungewöhnliche
Volumina, Flapping – wer erst vom Anwender vom Ausfall erfährt, verliert
Stunden; wer Anomalien nie sieht, mehr. - Dokumentieren & Verantwortung klären: Welche
Tunnel existieren, wozu, wer ändert sie? Der “Tunnel vom
Dienstleister-Projekt 2021” ohne Eigentümer ist ein Klassiker im
Firewall-Audit.
Häufige Fragen (FAQ)
Reicht die VPN-Funktion unserer bestehenden
Firewalls? Meist ja – Business-Firewalls beherrschen
Site-to-Site solide. Der Engpass ist selten das Feature, sondern
Konfiguration und Pflege über die Jahre.
Was tun bei instabilen Leitungen am Standort? Zweite
Leitung (gern anderer Technologie) mit automatischem Failover – ein
Standard-Baustein, der im Ernstfall den Unterschied zwischen Ausfall und
Randnotiz macht.
Brauchen wir MFA auch für Site-to-Site? Die Tunnel
authentifizieren sich per Zertifikat/Schlüssel maschinell – MFA betrifft
die Client-Einwahl. Umso wichtiger: Schlüsselmaterial schützen und
rotieren.
Fazit
Site-to-Site-VPN bleibt das Arbeitspferd der Standortvernetzung:
unspektakulär, wirtschaftlich, sicher – wenn Segmentierung,
Krypto-Pflege, Patch-Disziplin und Monitoring stimmen. Die Risiken
wohnen nicht in der Technik, sondern im Vergessen. Genau dagegen hilft
der gemanagte
Netzwerk-Betrieb: Tunnel, die jemand kennt, überwacht und aktuell
hält.
Standort Nummer zwei (oder fünf) in Planung? Kostenloses Erstgespräch –
wir designen die Vernetzung inklusive Failover und
Segmentierung.