VPN für Unternehmen: Sicherer Fernzugriff einrichten

Immer mehr Mitarbeiter arbeiten von zuhause, von unterwegs oder von mehreren Standorten aus – und benötigen dabei sicheren Zugriff auf Firmendaten und interne Systeme. Ein VPN für Unternehmen ist heute keine optionale IT-Spielerei mehr, sondern ein grundlegender Sicherheitsbaustein für jeden Betrieb mit Fernzugriff-Bedarf. Ein Virtual Private Network (VPN) verschlüsselt die gesamte Datenverbindung zwischen dem Gerät des Mitarbeiters und dem Firmennetz – sensible Informationen bleiben geschützt, egal ob der Zugriff aus dem Homeoffice, einem Hotel oder einem Kundenstandort erfolgt. In diesem Artikel zeigen wir Ihnen, wie Sie ein VPN für Ihre Firma einrichten, welche Protokolle für KMU sinnvoll sind und worauf Sie beim sicheren Fernzugriff unbedingt achten müssen.

Warum braucht Ihr Unternehmen ein VPN?

Der Schutz von Unternehmensdaten beginnt nicht erst in der Buchhaltungssoftware – er beginnt bei der Verbindung. Ohne VPN laufen Daten, die Ihre Mitarbeiter über das Internet senden und empfangen, ungeschützt oder nur schwach gesichert. Das ist ein erhebliches Risiko – besonders dann, wenn Mitarbeiter öffentliche WLAN-Netzwerke in Hotels, Bahnhöfen oder Cafés nutzen.

Typische Szenarien, in denen ein sicherer Fernzugriff unverzichtbar ist:

• Homeoffice: Mitarbeiter greifen von zuhause auf interne Server, ERP-Systeme oder Dateifreigaben zu
• Außendienst: Vertriebsmitarbeiter verbinden sich von unterwegs mit dem Firmennetz
• Mehrere Standorte: Filiale und Hauptsitz sollen über ein gesichertes Netzwerk verbunden sein
• Lokale Anwendungen aus der Ferne: ERP, Warenwirtschaft (z.B. JTL), Zeiterfassung oder NAS-Server von extern nutzen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt in seinem IT-Grundschutz-Kompendium den Einsatz von VPNs explizit für sicheres mobiles Arbeiten. Zusätzlich verlangen die Anforderungen der DSGVO an technische und organisatorische Maßnahmen (TOMs), dass personenbezogene Daten bei der Übertragung angemessen geschützt werden – ein VPN ist hier ein zentraler Baustein.

VPN-Protokolle im Vergleich: WireGuard, OpenVPN und Co.

Nicht alle VPNs sind gleich. Das eingesetzte Protokoll entscheidet über Geschwindigkeit, Sicherheit und Kompatibilität. Für Unternehmen sind vor allem drei Protokolle relevant:

WireGuard – Modern und schnell

WireGuard ist das aktuellste VPN-Protokoll und wurde 2020 offiziell in den Linux-Kernel (Version 5.6) integriert. Es zeichnet sich durch eine schlanke Codebasis (ca. 4.000 Zeilen Code), sehr hohe Geschwindigkeit und starke Verschlüsselung (ChaCha20-Poly1305) aus. WireGuard eignet sich besonders für Linux-basierte Server und moderne Unternehmensumgebungen. Standard-Port: 51820 (UDP).

OpenVPN – Bewährt und flexibel

OpenVPN ist seit Jahren das Standardprotokoll im Unternehmensbereich. Es ist sehr flexibel, läuft auf nahezu allen Plattformen und nutzt OpenSSL mit AES-256-Verschlüsselung – dem Standard, den auch US-amerikanische Bundesbehörden für Verschlusssachen einsetzen. Standard-Port: 1194 (UDP) oder 443 (TCP, für restriktive Firewalls). Nachteil: Die Konfiguration ist vergleichsweise komplex.

IPsec/IKEv2 – Ideal für mobile Geräte

IPsec mit dem IKEv2-Schlüsselaustauschprotokoll ist fest in Windows, macOS, iOS und Android integriert und ermöglicht sehr schnelle Wiederverbindungen nach einem Netzwechsel – ideal für Mitarbeiter, die häufig zwischen WLAN und Mobilfunknetz wechseln.

VPN für Ihre Firma einrichten – Schritt für Schritt

Das VPN einrichten in der Firma lässt sich in klar definierte Schritte unterteilen. Je nach Unternehmensgröße und vorhandener Infrastruktur variiert der Aufwand – die grundsätzliche Vorgehensweise bleibt jedoch ähnlich.

Schritt 1: Anforderungen definieren

• Wie viele Mitarbeiter benötigen gleichzeitig VPN-Zugriff?
• Auf welche Systeme soll zugegriffen werden (Server, NAS, ERP, Warenwirtschaft)?
• Welche Endgeräte werden genutzt (Windows, macOS, Linux, Smartphones)?
• Eigener Server oder Cloud-Lösung?

Schritt 2: Infrastruktur wählen

Für KMU gibt es zwei grundsätzliche Wege: Ein eigener VPN-Server (Linux-Server oder VPS bei einem deutschen Hoster) bietet volle Kontrolle zu niedrigen laufenden Kosten. Ein Router mit integriertem VPN (z.B. Fritzbox Business, Sophos XGS) ist einfacher zu verwalten, aber weniger flexibel.

Schritt 3: VPN-Server konfigurieren (Beispiel WireGuard auf Linux)

• WireGuard installieren: apt install wireguard
• Server-Schlüsselpaar generieren (wg genkey)
• Konfigurationsdatei wg0.conf anlegen
• IP-Forwarding aktivieren und Firewall-Regel für Port 51820 (UDP) setzen
• WireGuard-Dienst starten und Autostart aktivieren (systemctl enable wg-quick@wg0)

Schritt 4: Client-Konfigurationen erstellen und verteilen

Für jeden Mitarbeiter wird eine individuelle Konfigurationsdatei mit eigenem Schlüsselpaar und definierten Zugriffsrechten erstellt. WireGuard bietet hierfür auch eine praktische QR-Code-Funktion für die Einrichtung auf Smartphones.

VPN-Lösungen für KMU: Welche passt zu Ihrem Betrieb?

Die Wahl der richtigen VPN-Lösung hängt von Betriebsgröße, Budget und vorhandenen IT-Ressourcen ab. Hier ein praxisnaher Überblick für Unternehmen in Friesland und der Region Wilhelmshaven:

Fritzbox mit VPN (für sehr kleine Betriebe)

Viele Unternehmen in der Region nutzen bereits eine Fritzbox als Router. AVM hat in neueren Firmware-Versionen WireGuard integriert. Über MyFRITZ! lässt sich ein VPN für bis zu 5 gleichzeitige Verbindungen einfach einrichten – ideal für Einzelunternehmer und kleine Teams ohne eigene IT-Abteilung.

Business-Firewall mit integriertem VPN (Mittelstand)

Geräte von Sophos, Fortinet (FortiGate) oder Cisco Meraki bieten umfangreiche VPN-Funktionen inklusive zentraler Benutzerverwaltung, 2FA-Integration und detailliertem Logging. Geeignet für Unternehmen mit 10–100 Mitarbeitern und höheren Compliance-Anforderungen.

Eigener Linux-VPN-Server (flexibel und kostengünstig)

Maximale Kontrolle bei niedrigen laufenden Kosten. Ideal für Unternehmen mit einem externen IT-Dienstleister. TwoPixels aus Schortens/Friesland betreut solche Setups regelmäßig für Kunden in der Region und sorgt für professionelle Einrichtung, Dokumentation und laufende Betreuung über unsere IT-Operations-Leistungen.

Zero-Trust-Lösungen (zukunftsorientiert)

Dienste wie Cloudflare Access bieten einen modernen, identitätsbasierten Fernzugriff ohne klassischen VPN-Tunnel – besonders interessant für Unternehmen, die stark auf Cloud-Dienste setzen. Ob das zu Ihrem Betrieb passt, klären wir gerne in einem unverbindlichen Beratungsgespräch.

Sicherer Remote Access: Diese Maßnahmen gehören unbedingt dazu

Ein VPN für Ihr Unternehmen allein macht Ihren Fernzugriff noch nicht vollständig sicher. Kombinieren Sie Ihr VPN-Setup mit diesen zusätzlichen Maßnahmen:

• Zwei-Faktor-Authentifizierung (2FA): Jede VPN-Verbindung sollte neben dem Passwort einen zweiten Faktor erfordern – z.B. per TOTP-App (Google Authenticator, Aegis). Damit bleibt Ihr Netzwerk auch bei kompromittierten Zugangsdaten geschützt.
• Split Tunneling bewusst einsetzen: Bei Split Tunneling wird nur der Firmennetz-Traffic über den VPN-Tunnel geleitet. Das spart Bandbreite, lässt aber privaten Internet-Traffic ungeschützt. Für hochsensible Umgebungen empfiehlt sich Full Tunnel.
• Granulare Zugriffsrechte: Nicht jeder Mitarbeiter braucht Zugriff auf alle Systeme. Definieren Sie, welche Nutzer auf welche Netzwerksegmente zugreifen dürfen – in WireGuard über die AllowedIPs-Konfiguration pro Peer.
• Regelmäßige Updates: Halten Sie VPN-Server und Client-Software stets aktuell. Aktivieren Sie Logging, um ungewöhnliche Verbindungsversuche zu erkennen.
• Geräte-Compliance: Stellen Sie sicher, dass sich nur firmeneigene oder registrierte Geräte verbinden dürfen – z.B. über Zertifikatsauthentifizierung.

Mehr zum Thema IT-Infrastruktur, Server-Management und digitale Betriebssicherheit finden Sie in unserem Bereich IT-Operations, wo wir alle Leistungen rund um sichere Unternehmens-IT für Betriebe in Friesland und Umgebung beschreiben.

Fazit: VPN für Unternehmen – sicherer Fernzugriff zahlt sich aus

Ein VPN für Ihr Unternehmen ist eine der wirkungsvollsten und kosteneffizientesten Investitionen in die IT-Sicherheit. Ob drei Homeoffice-Mitarbeiter oder ein Außendienst mit 20 Kolleginnen und Kollegen – mit dem richtigen VPN-Setup schützen Sie Ihre Firmendaten zuverlässig. WireGuard und OpenVPN sind bewährte, kostenlose Protokolle, die auch für kleine Betriebe in Schortens, Wilhelmshaven und Friesland einfach einzurichten sind. Entscheidend ist, das VPN konsequent mit 2FA, sauberem Zugriffsmanagement und regelmäßigen Updates zu kombinieren. Wer das beherzigt, hat eine solide Grundlage für sicheres mobiles Arbeiten.

Häufig gestellte Fragen

Was kostet ein VPN für Unternehmen?

Die Kosten hängen von der gewählten Lösung ab. Ein selbst gehosteter WireGuard-Server auf einem deutschen VPS kostet ab ca. 4–6 Euro monatlich, dazu kommen einmalige Einrichtungskosten. Business-Firewalls mit integriertem VPN kosten mehrere hundert Euro in der Anschaffung, bieten aber komfortablere Verwaltung. Managed-VPN-Dienste liegen oft bei 5–15 Euro pro Nutzer und Monat.

Wie viele Mitarbeiter können gleichzeitig das VPN nutzen?

Das hängt von Server-Hardware und Protokoll ab. WireGuard ist sehr effizient: ein kleiner VPS mit 2 CPU-Kernen und 4 GB RAM bedient problemlos 20–50 gleichzeitige Verbindungen. Für größere Teams empfiehlt sich dedizierte Hardware oder ein leistungsstärkerer Server.

Ist ein VPN DSGVO-konform?

Ein VPN unterstützt die DSGVO-Anforderungen an technische Schutzmaßnahmen bei der Datenübertragung. Entscheidend ist, dass der VPN-Server in der EU gehostet wird und – bei Nutzung eines Drittanbieters – ein Auftragsverarbeitungsvertrag (AVV) vorliegt. Ein selbst gehosteter Server in Deutschland erfüllt diese Anforderungen automatisch.

Kann ich als Fritzbox-Nutzer einfach ein VPN einrichten?

Ja. AVM hat in neueren Firmware-Versionen WireGuard in die Fritzbox integriert. Über die Fritzbox-Oberfläche und MyFRITZ! lässt sich ein VPN für bis zu 5 gleichzeitige Verbindungen in wenigen Schritten einrichten – geeignet für kleine Teams. Für größere Anforderungen ist ein dedizierter Server empfehlenswert.

Was ist der Unterschied zwischen VPN und Zero Trust?

Ein klassisches VPN gewährt nach erfolgreicher Anmeldung Zugriff auf ein Netzwerksegment. Zero Trust prüft bei jedem Zugriff auf jede einzelne Anwendung erneut Identität, Gerätezustand und Kontext – unabhängig vom Standort. Zero Trust ist moderner und sicherer, aber aufwändiger einzurichten. Für die meisten KMU ist ein gut konfiguriertes VPN mit 2FA ein ausreichendes Schutzniveau.

Wie lange dauert die Einrichtung eines VPNs?

Die technische Einrichtung eines WireGuard-Servers dauert für einen erfahrenen Administrator ca. 1–3 Stunden. Dazu kommen Anforderungsanalyse, Client-Konfigurationen und Mitarbeiterschulung. TwoPixels richtet VPN-Umgebungen für KMU in der Regel innerhalb eines Arbeitstages vollständig ein.

Brauche ich ein VPN, wenn ich nur Cloud-Dienste nutze?

Wenn Ihr Unternehmen ausschließlich auf SaaS-Dienste (Microsoft 365, Google Workspace etc.) setzt und keine lokalen Server betreibt, ist ein klassisches VPN weniger kritisch. Hier reichen konsequente 2FA auf allen Diensten und ein Zero-Trust-Ansatz oft aus. Bei gemischten Umgebungen mit lokalen Systemen ist ein VPN jedoch weiterhin empfehlenswert.

Glossar: VPN-Fachbegriffe einfach erklärt

VPN (Virtual Private Network)

Verschlüsselter Tunnel zwischen zwei Netzwerkpunkten über das öffentliche Internet. Schützt Daten vor Abhören und ermöglicht sicheren Fernzugriff auf interne Unternehmensressourcen.

WireGuard

Modernes, quelloffenes VPN-Protokoll, das 2020 in den Linux-Kernel (Version 5.6) integriert wurde. Bekannt für sehr hohe Geschwindigkeit, eine schlanke Codebasis (~4.000 Zeilen) und starke Verschlüsselung (ChaCha20-Poly1305).

OpenVPN

Etabliertes Open-Source-VPN-Protokoll auf Basis von OpenSSL. Nutzt AES-256-Verschlüsselung, ist sehr flexibel und plattformübergreifend einsetzbar, aber komplexer in der Konfiguration als WireGuard.

IPsec/IKEv2

Weit verbreitetes VPN-Protokoll-Duo, das fest in den meisten Betriebssystemen (Windows, macOS, iOS, Android) integriert ist. Ermöglicht schnelle Wiederverbindungen nach Netzwechsel – ideal für mobile Geräte.

Split Tunneling

Konfiguration, bei der nur der für das Firmennetz bestimmte Traffic über den VPN-Tunnel geleitet wird. Privater Internet-Traffic läuft direkt – spart Bandbreite, lässt aber den privaten Traffic ungeschützt.

2FA (Zwei-Faktor-Authentifizierung)

Sicherheitsmechanismus, der neben dem Passwort einen zweiten Faktor (z.B. zeitbasierter Einmalcode per App) erfordert. Schützt Zugänge auch dann, wenn ein Passwort gestohlen oder erraten wurde.

Zero Trust

Sicherheitskonzept, das keinem Nutzer und keinem Gerät von vornherein vertraut – jeder einzelne Zugriff wird individuell auf Identität, Gerätezustand und Kontext geprüft. Moderner Ansatz, der klassische VPN-Konzepte in Cloud-lastigen Umgebungen zunehmend ergänzt.

Peer (WireGuard)

Bezeichnung für ein am WireGuard-VPN teilnehmendes Gerät. Jeder Peer besitzt ein individuelles Schlüsselpaar und klar definierte Zugriffsrechte (AllowedIPs), die festlegen, auf welche Netzwerkadressen er zugreifen darf.