„`html

Es ist Montagmorgen, und Ihre Buchhalterin ruft an: Sie sitzt im Homeoffice, braucht dringend Zugriff auf das ERP-System – aber ohne gesicherte Verbindung ins Firmennetz ist das schlicht nicht möglich. Genau für solche Situationen ist ein VPN-Zugang für Homeoffice-Mitarbeiter unverzichtbar. Mit der richtigen Einrichtung verbinden sich Ihre Mitarbeiter sicher, schnell und zuverlässig mit dem Unternehmensnetzwerk – egal ob aus dem Homeoffice, dem Zug oder dem Hotel.

Voraussetzungen

Bevor Sie mit der Einrichtung beginnen, sollten einige organisatorische und technische Fragen geklärt sein. Gehen Sie diese Punkte systematisch durch:

• Administratorrechte: Sie benötigen lokale Administratorrechte auf dem Firmengerät des Mitarbeiters sowie Zugang zur Firewall oder dem VPN-Gateway im Unternehmen.
• VPN-Lösung festlegen: Entscheiden Sie vorab, welche Technologie Sie einsetzen – klassisches IPsec/IKEv2, OpenVPN oder eine Hersteller-spezifische Lösung wie Fortinet, Sophos oder WatchGuard. Die Wahl hängt von Ihrer vorhandenen Firewall-Hardware ab.
• Netzwerkinformationen: Halten Sie die IP-Adresse oder den DNS-Namen Ihres VPN-Gateways bereit, außerdem das zu verwendende Protokoll und den vorgesehenen Port (häufig UDP 500 oder TCP 443).
• Benutzerkonto und Gruppen: Der Mitarbeiter braucht ein Active-Directory-Konto mit der richtigen Gruppenmitgliedschaft, die den VPN-Zugriff erlaubt.
• Zertifikate oder Shared Secret: Klären Sie, ob die Authentifizierung per Zertifikat, Pre-Shared-Key oder Zwei-Faktor-Authentifizierung (2FA) erfolgt. Das BSI empfiehlt grundsätzlich den Einsatz von Zwei-Faktor-Authentifizierung für alle externen Zugänge.
• Endgerät geprüft: Das Gerät des Mitarbeiters sollte aktuell gepatcht sein, einen Virenschutz besitzen und den Sicherheitsrichtlinien Ihres Unternehmens entsprechen.

Schritt-für-Schritt: VPN-Zugang einrichten

1. VPN-Gateway auf der Firewall konfigurieren

Melden Sie sich an der Administrationsoberfläche Ihrer Firewall an. Navigieren Sie zum Bereich VPN oder Remote Access und legen Sie ein neues VPN-Profil an. Tragen Sie dort den Authentifizierungstyp (z. B. IKEv2 mit Zertifikat), den erlaubten IP-Adresspool für die VPN-Clients sowie die internen Netzwerke ein, auf die der Zugriff erlaubt sein soll. Speichern Sie die Konfiguration und stellen Sie sicher, dass die Firewall-Regel den VPN-Port nach außen freigibt. Ergebnis: Ihr Firmennetzwerk ist jetzt bereit, eingehende VPN-Verbindungen anzunehmen.

2. Benutzerkonto für den VPN-Zugang freischalten

Öffnen Sie die Active-Directory-Verwaltungskonsole (ADUC) auf Ihrem Server. Suchen Sie das Benutzerkonto des Mitarbeiters, öffnen Sie die Eigenschaften und wechseln Sie zum Reiter Einwählen. Setzen Sie den Netzwerkzugriff auf Zugriff gestatten oder – empfohlen – steuern Sie den Zugriff über eine NPS-Richtlinie (Network Policy Server). Fügen Sie das Konto anschließend der Sicherheitsgruppe hinzu, die Sie in Schritt 1 für den VPN-Zugriff definiert haben. Ergebnis: Der Mitarbeiter besitzt nun die serverseitige Berechtigung für die VPN-Einwahl.

Praxistipp: Legen Sie für VPN-Zugänge eine eigene Active-Directory-Gruppe an – zum Beispiel „VPN-RemoteUser“. So behalten Sie den Überblick, wer überhaupt Fernzugriff hat, und können einzelne Mitarbeiter bei Bedarf mit einem Klick sperren, ohne Einstellungen an der Firewall ändern zu müssen.

3. VPN-Client auf dem Mitarbeitergerät installieren

Laden Sie den passenden VPN-Client von der Herstellerseite Ihrer Firewall herunter oder nutzen Sie den in Windows integrierten VPN-Client für IKEv2-Verbindungen. Führen Sie die Installation mit Administratorrechten aus und folgen Sie dem Setup-Assistenten. Bei herstellerspezifischen Clients (z. B. FortiClient, Sophos Connect) können Sie vorab ein Konfigurationspaket erstellen, das alle Einstellungen bereits enthält – das spart Zeit und verhindert Eingabefehler. Ergebnis: Der VPN-Client ist auf dem Gerät des Mitarbeiters einsatzbereit.

4. VPN-Verbindung auf dem Client einrichten

Öffnen Sie den VPN-Client und klicken Sie auf Neue Verbindung hinzufügen (bei Windows: Einstellungen → Netzwerk & Internet → VPN → VPN-Verbindung hinzufügen). Tragen Sie folgende Werte ein:

• Verbindungsname: z. B. „Firma TTG VPN“
• Serveradresse: DNS-Name oder IP-Adresse Ihres VPN-Gateways
• VPN-Typ: IKEv2, L2TP/IPsec oder das herstellerabhängige Protokoll
• Anmeldetyp: Benutzername und Kennwort, Zertifikat oder 2FA-Token

Speichern Sie die Verbindung. Ergebnis: Die VPN-Verbindung erscheint in der Liste der verfügbaren Netzwerke.

Praxistipp: Nutzen Sie nach Möglichkeit Split-Tunneling nur nach sorgfältiger Abwägung. Ohne Split-Tunneling läuft der gesamte Internetverkehr des Homeoffice-Mitarbeiters über das Firmennetz – das erhöht die Sicherheit, belastet aber Ihre Internetleitung. Sprechen Sie diesen Punkt vorab mit Ihrem IT-Dienstleister ab.

5. Zertifikat oder 2FA einrichten

Wenn Sie Zertifikatsauthentifizierung verwenden: Exportieren Sie das Client-Zertifikat aus Ihrer PKI-Infrastruktur als PFX-Datei und importieren Sie es auf dem Mitarbeitergerät über die Zertifikatverwaltung (certmgr.msc) in den persönlichen Zertifikatspeicher. Bei 2FA richten Sie für den Mitarbeiter einen TOTP-Token ein (z. B. über Microsoft Authenticator oder Google Authenticator) und verknüpfen diesen im NPS- oder Radius-Server mit dem Benutzerkonto. Ergebnis: Die Verbindung ist durch eine zweite Sicherheitsebene geschützt.

6. Verbindung testen und dokumentieren

Lassen Sie den Mitarbeiter die VPN-Verbindung manuell herstellen – am besten von einem Netzwerk außerhalb des Büros (Mobilhotspot eignet sich gut für den Test). Prüfen Sie dabei: Kann der Mitarbeiter interne Server, Dateifreigaben und das ERP-System erreichen? Kontrollieren Sie parallel in den Firewall-Logs, ob die Verbindung sauber aufgebaut und korrekt protokolliert wird. Halten Sie alle Einstellungen schriftlich fest – Serveradresse, Protokoll, Port und Zertifikatslaufzeit. Ergebnis: Der VPN-Zugang funktioniert einwandfrei, und Sie haben eine Dokumentationsbasis für spätere Wartungen.

Häufige Fehler bei der VPN-Einrichtung im KMU

Fehler 1: Firewall-Port ist nicht freigegeben. Einer der häufigsten Stolpersteine ist, dass der VPN-Port am Router oder der vorgelagerten Firewall nicht nach außen weitergeleitet wird. Der Client baut scheinbar eine Verbindung auf, erhält aber keine Antwort. Lösung: Prüfen Sie die NAT-Regeln und Port-Weiterleitungen auf dem Internet-Router zusätzlich zur eigentlichen Firewall.

Fehler 2: Zu weit gefasste Zugriffsrechte. Viele KMU öffnen den VPN-Nutzern im ersten Schritt den Zugriff auf das gesamte interne Netz – aus Bequemlichkeit. Das ist ein erhebliches Sicherheitsrisiko. Lösung: Definieren Sie in den Firewall-Regeln gezielt, auf welche Segmente (z. B. nur Dateiserver und ERP) die VPN-Nutzer zugreifen dürfen. Mehr dazu finden Sie in den Empfehlungen zur VPN-Sicherheit für Unternehmen.

Fehler 3: Kein Ablaufplan für ausscheidende Mitarbeiter. Verlässt ein Mitarbeiter das Unternehmen, wird der VPN-Zugang oft vergessen. Ein aktives Konto in der VPN-Gruppe bleibt dann als offenes Einfallstor bestehen. Lösung: Integrieren Sie die VPN-Deaktivierung fest in Ihren Offboarding-Prozess – am besten als Checkliste, die HR und IT gemeinsam abarbeiten.

Fazit & nächste Schritte

Ein sauber eingerichteter VPN-Zugang ist heute keine Kür mehr, sondern Pflicht für jeden Betrieb, der Homeoffice ermöglicht. Mit der richtigen Vorbereitung, einer durchdachten Benutzer- und Rechteverwaltung sowie konsequenter Zwei-Faktor-Authentifizierung schaffen Sie eine sichere Brücke zwischen Ihren Mitarbeitern und dem Firmennetzwerk – ohne Kompromisse bei der IT-Sicherheit. Gleichzeitig sorgen klare Prozesse dafür, dass Zugänge nicht unkontrolliert bestehen bleiben. Wer das einmal sauber aufsetzt, spart auf lange Sicht Zeit, Nerven und im Zweifel auch Geld, das sonst für die Bereinigung von Sicherheitsvorfällen aufgewendet werden müsste. Möchten Sie das von TTG einrichten lassen? Sprechen Sie uns an.

„`