Der Begriff VPN taucht in unterschiedlichen Situationen auf: beim Zugriff auf Firmenlaufwerke im Homeoffice, in Werbung für Datenschutzdienste, in öffentlichen WLANs oder in Supportmeldungen nach einer fehlgeschlagenen Anmeldung. Das führt leicht zu Missverständnissen, weil dabei nicht immer derselbe Zweck gemeint ist.
Technisch geht es nicht um ein einzelnes Datenschutzversprechen, sondern um Routing, Kapselung, Verschlüsselung, Authentifizierung und Namensauflösung. Wer diese Begriffe einordnet, versteht besser, warum ein VPN interne Ressourcen erreichbar machen kann, warum es in fremden Netzen nützlich sein kann und warum es trotzdem weder automatische Anonymität noch einen Rundumschutz gegen Angriffe bietet.
Zwei Bedeutungen im Alltag: Firmen-VPN und kommerzieller VPN-Dienst
Ein VPN, Virtual Private Network, stellt eine geschützte Tunnelverbindung zwischen einem Gerät und einem entfernten Netzwerk oder VPN-Server her. Entscheidend ist, wo dieser Tunnel endet, welche Daten darüber geleitet werden und welchem Betreiber der Verkehr dadurch anvertraut wird.
Bei einem Firmen-VPN liegt die Gegenstelle typischerweise in der Infrastruktur des Unternehmens oder eines von ihm beauftragten Betreibers. Der Tunnel dient dem Fernzugriff auf Ressourcen, die nicht allgemein über das öffentliche Internet erreichbar sein sollen. Dazu können Dateiserver, interne Webanwendungen, Administrationszugänge oder andere interne Dienste gehören. Nach dem Tunnelende wird der Zugriff innerhalb der Unternehmensumgebung nach den dort geltenden Routen, Berechtigungen und Sicherheitsrichtlinien weitergeführt.
Ein kommerzieller VPN-Dienst verfolgt einen anderen Hauptzweck. Hier endet der Tunnel in der Infrastruktur des VPN-Anbieters. Der für das VPN vorgesehene Internetverkehr wird zunächst dorthin übertragen und anschließend zum eigentlichen Zieldienst weitergeleitet. Gegenüber einer Webseite erscheint dadurch häufig die öffentliche IP-Adresse der VPN-Gegenstelle statt derjenigen des lokalen Internetzugangs. Das allein verhindert jedoch keine Wiedererkennung über Konten, Cookies oder andere Merkmale und ist nicht mit vollständiger Anonymität gleichzusetzen.
Das Vertrauensmodell unterscheidet sich entsprechend: Beim Firmen-VPN wird der getunnelte Verkehr der Unternehmensinfrastruktur anvertraut, beim kommerziellen Dienst dem jeweiligen Anbieter. Ein VPN beschreibt damit zunächst eine Netzwerkverbindung. Aus dem Begriff allein folgen weder ein bestimmtes Geschäftsmodell noch pauschale Aussagen über Datenschutz, Protokollierung oder Sicherheitsniveau.
Wie der VPN-Tunnel arbeitet: Kapselung, Gegenstelle, Full-Tunnel und Split-Tunneling
Ein VPN-Tunnel ist ein definierter Übertragungsweg zwischen einem VPN-Client und einer entfernten Gegenstelle. Anschaulich lässt sich das als „Paket im Paket“ beschreiben: Der ursprüngliche Netzwerkverkehr wird für diesen Teil seines Weges in eine zusätzliche Verbindung eingepackt. Diese Kapselung ermöglicht es, die Datenpakete durch ein anderes Netz zur VPN-Gegenstelle zu transportieren. Dort werden sie ausgepackt und anschließend je nach Ziel und Konfiguration innerhalb eines Unternehmensnetzes oder über weitere Netze zum endgültigen Ziel geleitet.
Der Tunnel umfasst daher nicht automatisch den gesamten Weg bis zu einer Webseite, einem Cloud-Dienst oder einem anderen Kommunikationspartner. Er endet an der VPN-Gegenstelle. Für den weiteren Abschnitt gelten die dortigen Netzwerkwege und die Schutzmechanismen der jeweiligen Anwendung, beispielsweise HTTPS bei einer Webseite.
Die zentralen Komponenten
- VPN-Client: Eine Software oder Systemkomponente auf dem Endgerät. Sie baut die Verbindung auf, verarbeitet Anmeldedaten und Schlüsselmaterial und richtet die vorgesehenen Netzwerkwege ein.
- VPN-Server oder VPN-Gegenstelle: Der entfernte Endpunkt des Tunnels. Das kann ein Unternehmensgateway, die Infrastruktur eines kommerziellen VPN-Dienstes oder eine andere dafür eingerichtete Gegenstelle sein.
- VPN-Protokoll: Das technische Regelwerk für Verbindungsaufbau, Kapselung, Verschlüsselung und Integritätsprüfung. Welche Eigenschaften tatsächlich verfügbar sind, hängt vom eingesetzten Verfahren und seiner Konfiguration ab.
- Verschlüsselung: Sie soll den Inhalt der übertragenen Daten auf dem Tunnelabschnitt gegen unbefugtes Mitlesen schützen. Sie ist von einer anwendungseigenen Ende-zu-Ende-Verschlüsselung bis zum endgültigen Kommunikationspartner zu unterscheiden.
- Authentifizierung: Sie prüft die Identität und Berechtigung eines Nutzers, Geräts oder Servers. Dafür können beispielsweise Zugangsdaten, Mehrfaktor-Authentifizierung oder kryptografische Nachweise eingesetzt werden.
- Zertifikat: Ein technischer Identitätsnachweis, mit dem in vielen Umgebungen Server, Geräte oder Nutzer überprüft werden. Zertifikate besitzen unter anderem einen Gültigkeitszeitraum und müssen zu einer als vertrauenswürdig eingestuften Zertifikatskette passen.
Full-Tunnel und Split-Tunneling
Beim Full-Tunnel wird grundsätzlich der gesamte vorgesehene Netzwerkverkehr über die VPN-Gegenstelle geführt. Bei einem Firmen-VPN kann dadurch auch der allgemeine Internetverkehr zunächst durch die Unternehmensinfrastruktur laufen. Bei einem kommerziellen Dienst wird der entsprechende Verkehr über dessen Server weitergeleitet. Ein Full-Tunnel kann lokale Netzwerkgeräte vorübergehend unerreichbar machen, wenn der direkte Weg ins Heimnetz nicht vorgesehen ist.
Beim Split-Tunneling nimmt nur festgelegter Verkehr den Tunnel. Beispielsweise kann der Zugriff auf interne Unternehmensnetze über das VPN laufen, während eine öffentliche Webseite weiterhin direkt über den lokalen Internetzugang erreicht wird. Welche Verbindung welchen Weg nimmt, bestimmen Routen, Zielbereiche, DNS-Vorgaben und Sicherheitsrichtlinien. Split-Tunneling ist daher keine Eigenschaft, die sich allein am sichtbaren Verbindungsstatus erkennen lässt.
Ein Proxy ist davon zu unterscheiden. Er vermittelt bestimmte Anfragen häufig auf Anwendungsebene, etwa Webanfragen eines Browsers. Ein VPN verändert dagegen typischerweise auf Netzwerkebene die Datenwege für den Verkehr, der von seiner Konfiguration erfasst wird. Weder ein Proxy noch ein VPN schützt automatisch jede Anwendung oder jeden Kommunikationsweg.
Was ein VPN schützt und was trotz Tunnel sichtbar bleibt
Auf dem Weg vom Endgerät bis zur VPN-Gegenstelle kann ein korrekt eingerichteter VPN-Tunnel den übertragenen Verkehr gegen einfache Mitlese- und Manipulationsversuche im lokalen Netz schützen. Das ist beispielsweise in einem fremden WLAN relevant. Der Betreiber dieses lokalen Netzes sieht den Inhalt des getunnelten Verkehrs dann nicht ohne Weiteres, kann aber weiterhin erkennen, dass Verbindungen bestehen, und je nach Aufbau auch, dass eine VPN-Gegenstelle kontaktiert wird.
Beim Fernzugriff erfüllt das VPN zusätzlich eine Zugangsfunktion. Interne Netze und Anwendungen müssen nicht allgemein aus dem Internet erreichbar sein, sondern können erst nach erfolgreicher Authentifizierung über die VPN-Infrastruktur zugänglich werden. Ob ein bestimmter Dienst tatsächlich verwendet werden darf, entscheidet jedoch weiterhin dessen Berechtigungsmodell.
Der Tunnel verlagert Vertrauen
Der lokale Netzbetreiber erhält durch den Tunnel weniger Einblick in die darin transportierten Inhalte. Dafür endet die geschützte Verbindung bei einer anderen Stelle. Beim Firmen-VPN ist dies die Unternehmensinfrastruktur, beim kommerziellen VPN-Dienst der Anbieter. Die jeweilige Gegenstelle kann abhängig von Technik, Routing und Protokollierung Verbindungsdaten, Zielinformationen oder andere Metadaten verarbeiten. Allgemeine Aussagen über eine angeblich vollständig protokollierungsfreie Nutzung lassen sich ohne Prüfung des konkreten Dienstes und seiner technischen Umsetzung nicht treffen.
Beim Aufruf einer HTTPS-Webseite entsteht neben dem VPN-Tunnel eine eigenständige verschlüsselte Verbindung zwischen Browser und Webserver. Das VPN schützt den Abschnitt bis zur VPN-Gegenstelle; HTTPS schützt die Webkommunikation bis zum Server der Webseite. Die VPN-Gegenstelle kann den HTTPS-Inhalt daher normalerweise nicht allein deshalb lesen, weil der Verkehr durch sie geleitet wird. Sie kann je nach Aufbau jedoch Verbindungs- und Zielmetadaten erkennen. Die Webseite selbst erhält weiterhin die Anfrage und verarbeitet die dort übermittelten Inhalte.
Auch die sichtbare IP-Adresse ist nur ein Teil der Zuordnung. Gegenüber dem Zieldienst erscheint bei entsprechend geroutetem Verkehr häufig die Adresse der VPN-Gegenstelle. Ein angemeldetes E-Mail-, Streaming- oder Benutzerkonto bleibt dennoch eindeutig mit der Sitzung verbunden. Cookies, Browsermerkmale und freiwillig übermittelte Daten wirken ebenfalls weiter. Ein VPN löscht diese Informationen nicht und verhindert nicht automatisch anwendungsübergreifendes Tracking.
DNS, Anwendungen und Endgeräte
DNS übersetzt Namen wie interne Serverbezeichnungen oder Webadressen in Netzwerkadressen. Welche Stelle diese Anfragen erhält, hängt von der Konfiguration ab. Die Namensauflösung kann über einen Unternehmens-DNS, den VPN-Anbieter, den lokalen Netzbetreiber oder einen anderen DNS-Dienst laufen. Full-Tunnel, Split-Tunneling und getrennte interne Namensräume beeinflussen diesen Weg. Deshalb lässt sich aus einer aktiven VPN-Verbindung allein nicht ableiten, welcher DNS-Dienst jede Anfrage verarbeitet.
Browser, Apps und Zieldienste behalten ihre eigenen Rollen. Sie können Kontoinformationen, eingegebene Daten, Cookies und technische Merkmale verarbeiten. Das VPN ändert primär den Netzwerkweg; es ändert nicht automatisch die Datenerhebung innerhalb einer Anwendung oder die Berechtigungen eines Benutzerkontos.
Ebenso wenig schützt ein VPN zuverlässig ein bereits kompromittiertes Endgerät. Schadsoftware kann Daten vor der Verschlüsselung erfassen oder nach dem Entschlüsseln auslesen. Das VPN verhindert weder Phishing noch schädliche Downloads, unsichere Konten oder die Ausnutzung fehlender Updates. Es ersetzt daher keine Sicherheitsaktualisierungen, keine geeigneten Schutzmechanismen auf dem Gerät und keine anwendungseigene Ende-zu-Ende-Verschlüsselung.
Wenn VPN verbunden ist, aber nichts funktioniert: typische Fehlerbilder richtig eingrenzen
Die Meldung „verbunden“ bestätigt zunächst nur, dass der VPN-Client einen Tunnel zur Gegenstelle aufgebaut hat. Sie sagt noch nicht, ob ein bestimmter Dateiserver erreichbar ist, interne Namen korrekt aufgelöst werden, die erforderliche Berechtigung besteht oder der Datenverkehr über die vorgesehene Route läuft. Deshalb sollten Tunnelstatus, Zielerreichbarkeit, Namensauflösung und Zugriffsrechte getrennt betrachtet werden.
Bei der Eingrenzung ist eine feste Reihenfolge hilfreich: Zuerst werden Anmeldung und Tunnelaufbau betrachtet. Danach lässt sich feststellen, ob alle oder nur einzelne Ziele betroffen sind. Erst anschließend sollten DNS, Routing, Split-Tunneling, lokale Geräte und die allgemeine Netzqualität geprüft werden. So bleibt erkennbar, ob die Störung am Zugang, am Datenweg oder am angesprochenen Dienst liegt.
Typische VPN-Störungen systematisch prüfen
| Was Sie beobachten | Was dahinterstecken kann | So grenzen Sie es ein | Sicherer nächster Schritt |
|---|---|---|---|
| Die Anmeldung schlägt fehl und der VPN-Tunnel wird nicht aufgebaut. | Infrage kommen falsche oder veraltete Anmeldedaten, ein gesperrtes Konto, fehlende Zugriffsrechte, eine nicht erreichbare VPN-Gegenstelle oder eine geänderte Anmeldemethode. | Prüfen Sie die genaue Fehlermeldung, die Schreibweise und das Tastaturlayout. Unterscheiden Sie eine abgelehnte Anmeldung von einer nicht erreichbaren Gegenstelle und wiederholen Sie Anmeldeversuche nicht unbegrenzt. | Nutzen Sie den vorgesehenen Weg zur Kontowiederherstellung. Bei einem Firmenzugang sollte die IT Kontostatus, Berechtigung und Anmeldemethode prüfen. |
| Der MFA-Code fehlt, kommt verspätet an oder wird abgelehnt. | Die registrierte Authentifizierungsmethode kann nicht verfügbar sein, die Gerätezeit kann abweichen oder die Anfrage gehört zu einem abgelaufenen Anmeldeversuch. Auch eine geänderte Registrierung kommt infrage. | Prüfen Sie Datum, Uhrzeit und Netzverbindung des beteiligten Geräts. Beginnen Sie nur dann einen neuen Anmeldevorgang, wenn der vorherige eindeutig beendet ist, und bestätigen Sie ausschließlich erwartete Anfragen. | Nutzen Sie nur eine offiziell eingerichtete alternative Methode. Bleibt der Zugriff aus, sollte die Firmen-IT beziehungsweise der zuständige Kontosupport die Registrierung sicher prüfen; MFA darf nicht umgangen werden. |
| Der Client meldet ein abgelaufenes, noch nicht gültiges oder nicht akzeptiertes Zertifikat. | Das Benutzer-, Geräte- oder Serverzertifikat kann abgelaufen sein. Möglich sind außerdem eine falsche Systemzeit, eine unvollständige Vertrauenskette oder eine nicht zur Gegenstelle passende Serveridentität. | Notieren Sie den vollständigen Wortlaut der Meldung und prüfen Sie Datum, Uhrzeit und Zeitzone. Achten Sie darauf, ob die Warnung den Server oder ein Zertifikat des eigenen Geräts betrifft. | Ignorieren Sie die Warnung nicht und akzeptieren Sie kein unerwartetes Zertifikat. Bei Firmenzugängen sollte die IT Gültigkeit, Zuordnung, Vertrauenskette und Gegenstelle kontrollieren. |
| In einem öffentlichen WLAN lässt sich das VPN nicht aufbauen, in einem anderen Netz dagegen schon. | Das WLAN kann eine vorgeschaltete Anmeldeseite verwenden, bestimmte Verbindungsarten einschränken oder nur ausgewählten Verkehr zulassen. Auch eine instabile Funkverbindung ist möglich. | Prüfen Sie zunächst, ob der reguläre Internetzugang freigeschaltet und eine vorgeschaltete Anmeldung abgeschlossen wurde. Testen Sie dieselbe VPN-Konfiguration anschließend, sofern möglich, in einem anderen vertrauenswürdigen Netz. | Verwenden Sie ein zulässiges alternatives Netz oder einen freigegebenen mobilen Zugang. Sicherheitsparameter und VPN-Profil sollten nur nach Vorgabe der IT oder des Anbieters geändert werden. |
| Der Client meldet „verbunden“, das interne Laufwerk oder eine interne Anwendung öffnet sich aber nicht. | Der Tunnel kann stehen, während nur das konkrete Ziel ausgefallen, nicht geroutet oder für das Konto nicht freigegeben ist. Ebenfalls möglich sind eine fehlerhafte Namensauflösung oder ein veralteter Zugriffspfad. | Prüfen Sie, ob andere bekannte interne Ziele erreichbar sind. Unterscheiden Sie dabei zwischen einem einzelnen Dienst und sämtlichen internen Ressourcen sowie zwischen einem Namensproblem und genereller Nichterreichbarkeit. | Melden Sie der Firmen-IT Tunnelstatus, betroffenes Ziel, Zeitpunkt und Fehlermeldung. Sie kann Berechtigungen, interne Routen und den Zustand des Zielsystems prüfen. |
| Interne Systeme sind über ihren Namen nicht erreichbar, obwohl die VPN-Verbindung besteht. | Interne DNS-Server oder DNS-Suchbereiche können fehlen, nicht erreichbar sein oder durch eine andere Netzkonfiguration überlagert werden. Die Netzwerkverbindung kann funktionieren, während die Übersetzung des Namens scheitert. | Trennen Sie Namensauflösung und generelle Erreichbarkeit: Prüfen Sie, ob mehrere interne Namen betroffen sind und ob andere interne sowie öffentliche Ziele weiterhin funktionieren. Verwenden Sie nur bekannte, freigegebene Ziele für den Vergleich. | Geben Sie der Firmen-IT die betroffenen Namen und den Zeitpunkt weiter. Ändern Sie DNS-Vorgaben nicht eigenmächtig, da dies interne Auflösung und Schutzrichtlinien beeinträchtigen kann. |
| Ein lokaler Drucker oder ein anderes Gerät im Heimnetz verschwindet, sobald das VPN aktiv ist. | Ein Full-Tunnel kann den gesamten Verkehr zur VPN-Gegenstelle leiten. Auch Split-Tunneling-Regeln, Netzsegmentierung oder Unternehmensrichtlinien können den direkten Zugriff auf lokale Geräte unterbinden. | Prüfen Sie, ob das lokale Gerät vor dem VPN-Aufbau erreichbar war und nach dem regulären Trennen wieder erscheint. Stellen Sie außerdem fest, ob nur der Drucker oder das gesamte lokale Netz betroffen ist. | Umgehen Sie die vorgegebene Netztrennung nicht. Fragen Sie die Firmen-IT, ob lokaler Zugriff vorgesehen ist und ob dafür eine freigegebene Konfiguration oder andere Druckmöglichkeit existiert. |
| Bestimmte Webseiten oder Anwendungen nehmen den falschen Datenweg, während andere wie erwartet funktionieren. | Split-Tunneling kann unvollständig oder falsch gesteuert sein. Routen, Zielbereiche oder DNS-Vorgaben können dazu führen, dass interner Verkehr direkt ins Internet oder anderer Verkehr unnötig durch das VPN läuft. | Vergleichen Sie je ein bekanntes internes und öffentliches Ziel. Notieren Sie, welche Ziele nur mit aktivem VPN, nur ohne VPN oder in beiden Zuständen funktionieren und welchen Weg sie nach der Richtlinie nehmen sollten. | Bei einem Firmen-VPN sollte die IT Routing-, DNS- und Split-Tunneling-Richtlinien prüfen. Ändern Sie die zentral bereitgestellte Konfiguration nicht auf eigene Faust. |
| Mit aktivem VPN ist das Internet deutlich langsamer oder reagiert verzögert. | Der zusätzliche Übertragungsweg, der Aufwand für Verschlüsselung, eine ausgelastete VPN-Gegenstelle, ein Full-Tunnel oder die allgemeine Qualität der Internetverbindung können gemeinsam oder einzeln bremsen. | Vergleichen Sie die Verbindung zu unterschiedlichen Zeiten und, sofern zulässig, mit deaktiviertem VPN. Prüfen Sie, ob nur interne Dienste, sämtliche Internetziele oder bereits die normale Verbindung ohne VPN langsam sind. | Schließen Sie zunächst Probleme der lokalen Verbindung aus. Bei anhaltender Beeinträchtigung kann die IT beziehungsweise der Anbieter Auslastung, Tunnelweg und vorgesehene Routing-Konfiguration prüfen. |
Hilfreich für den Support sind der Zeitpunkt der Störung, der genaue Wortlaut einer Meldung, das betroffene Ziel und die Information, ob andere interne oder öffentliche Ziele funktionieren. Kennwörter, MFA-Codes, private Schlüssel und vollständige Zertifikatsdaten gehören dagegen nicht in eine ungeschützte Supportnachricht.
Häufige Fragen zu VPN
Was bedeutet VPN?
VPN steht für Virtual Private Network. Gemeint ist eine geschützte Tunnelverbindung zwischen einem Gerät und einem entfernten Netzwerk oder VPN-Server.
Was ist ein VPN-Tunnel?
Ein VPN-Tunnel ist ein definierter Übertragungsweg zwischen VPN-Client und Gegenstelle. Datenpakete werden für diesen Abschnitt zusätzlich gekapselt und abhängig von Technik und Konfiguration verschlüsselt sowie auf Integrität geprüft.
Ist VPN anonym?
Nein, ein VPN macht nicht automatisch anonym. Zielseiten können weiterhin Konten, Cookies und Browsermerkmale erkennen; außerdem kann die VPN-Gegenstelle je nach Technik und Protokollierung Verbindungsdaten sehen.
Was ist ein Firmen-VPN?
Ein Firmen-VPN ermöglicht berechtigten Geräten oder Nutzern den Fernzugriff auf interne Netze und Dienste. Der Tunnel endet dabei typischerweise an der Unternehmensinfrastruktur.
Was bedeutet Split-Tunneling?
Beim Split-Tunneling läuft nur festgelegter Verkehr durch das VPN, beispielsweise der Zugriff auf interne Unternehmensnetze. Andere Verbindungen können den normalen Internetzugang verwenden, sofern Routing und Richtlinien dies vorsehen.
Warum ist Internet über VPN langsamer?
Der Verkehr kann einen längeren Weg über die VPN-Gegenstelle nehmen und muss zusätzlich verarbeitet werden. Auch Auslastung, Verschlüsselungsaufwand, Full-Tunnel-Konfiguration und die Qualität der Ausgangsverbindung beeinflussen die Geschwindigkeit.
Schützt VPN vor Viren?
Nein. Ein VPN schützt einen Übertragungsweg, verhindert aber weder schädliche Downloads noch Phishing oder die Ausführung von Malware. Updates, sichere Konten und geeignete Schutzmechanismen auf dem Endgerät bleiben erforderlich.
Warum funktionieren lokale Drucker im VPN manchmal nicht?
Full-Tunnel, Split-Tunneling-Regeln oder eine bewusste Netztrennung können den direkten Weg ins lokale Netzwerk blockieren. Ob lokales Drucken erlaubt ist, hängt von der VPN-Konfiguration und den Sicherheitsrichtlinien der jeweiligen Umgebung ab.
Ein VPN ist am zuverlässigsten zu verstehen, wenn der Tunnelendpunkt klar ist. Beim Firmen-VPN führt der Tunnel zur Unternehmensinfrastruktur, beim kommerziellen VPN-Dienst zu einem Anbieter. In beiden Fällen wird Vertrauen verlagert, nicht aufgehoben.
Der Tunnel kann Daten auf einem Teil des Weges schützen und interne Ressourcen erreichbar machen. Er ersetzt aber weder sichere Konten noch Updates, Phishing-Schutz, Malware-Abwehr oder Ende-zu-Ende-Verschlüsselung in Anwendungen. Bei Störungen hilft es, Anmeldung, Tunnelstatus, DNS, Routing, lokale Geräte und Zielsysteme getrennt zu betrachten.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten