Der sichere Zugriff auf Firmendaten ist für moderne Unternehmen eine fundamentale Voraussetzung für einen reibungslosen Geschäftsbetrieb. Das gilt für den Datenaustausch zwischen festen Standorten ebenso wie für die Anbindung mobiler Arbeitsplätze. Wer hier an der Absicherung spart, gefährdet sein gesamtes Kerngeschäft. Dieser Leitfaden zeigt Ihnen, wie Sie Ihre Datenströme mittels IPsec-VPN effektiv schützen.
Der Begriff „IPsec-VPN“ bezeichnet eine standardisierte Protokoll-Suite zur Verschlüsselung von Datenpaketen.
Die Verschlüsselung erfolgt auf der dritten Schicht des ISO/OSI-Modells (Vermittlungsschicht).
Die Technologie ermöglicht eine dauerhafte Standortvernetzung und den sicheren Fernzugriff auf das Firmennetzwerk.
Die zentralen technischen Säulen bilden die Protokolle Internet Key Exchange (IKE) und Encapsulating Security Payload (ESP).
Die Entscheidung für oder gegen IPsec-VPN fällt immer im Zusammenhang mit der Frage nach dem nötigen IT-Verwaltungsaufwand.
Mobile VPN für sichere Kommunikation mit verschlüsselten Daten
Mit CorporateDataAccess 5.0 vernetzen und schützen Sie mobile Geräte wie Smartphone, Laptop oder Tablet. So stellen Sie auf geschützte Art Daten auf den Servern Ihres Unternehmens bereit.
Sicherer Übergang vom Vodafone-Netz in Ihr Firmennetz
Mobiles VPN mit allen Mobilgeräten über 3G, 4G oder 5G
Der Begriff „IPsec-VPN“ steht ausgeschrieben für „Internet Protocol Security-Virtual Private Network“. Er umfasst zwei eigenständige Technologien:
Das Virtual Private Network sorgt für eine geschützte Verbindung zwischen zwei Endpunkten über das öffentliche Internet.
Der IPsec-Standard verschlüsselt den gesamten Datenverkehr über dieses VPN direkt auf der Vermittlungsschicht des Netzwerks.
IPsec-VPN sorgt – richtig umgesetzt und betrieben – für eine durchgehende Verschlüsselung des Datenverkehrs innerhalb eines Netzwerks. Das Ergebnis ist eine geschützte Kommunikation über öffentliche Netze.
Wesentliche Eigenschaften dieser Kombination aus zwei an sich eigenständigen Technologien sind:
Vertraulichkeit: Unbefugte Personen können die übertragenen Daten während des Transports nicht mitlesen.
Integrität: Die Daten bleiben auf dem Übertragungsweg unverändert.
Authentizität: Die Identität aller beteiligten Kommunikationspartner wird verifiziert.
Für IT-Entscheider:innen ist der zuverlässige Schutz der digitalen Infrastruktur eine geschäftskritische Kernaufgabe. Ein IPsec-VPN bietet hierzu eine weltweit standardisierte Lösung auf der Netzwerkebene (Ebene 3 im ISO/OSI-Schichtenmodell, siehe Schaubild). Da Anwendereingaben und Manipulationen weitgehend ausgeschlossen sind, entsteht ein besonderes Level an Sicherheit.
In der Netzwerktechnik hat sich das OSI-Schichtenmodell etabliert, um komplexe Vorgänge innerhalb des Netzes aufzugliedern.
So funktioniert ein IPsec-VPN-Tunnel: IKE, ESP und die Modi
Der Aufbau eines IPsec-VPN erfolgt in einer festgelegten Reihenfolge.
Phase 1: Am Anfang steht der Aufbau einer Sicherheitsbeziehung (Security Association). Dabei einigen sich die beteiligten Endpunkte auf die Sicherheitsaspekte.
Phase 2: Anschließend verständigen sich beide Parteien über die kryptografischen Schlüssel. Dieser Schlüsselaustausch erfolgt über das Protokoll Internet Key Exchange (IKE), idealerweise in der modernen Version IKEv2. Die technische Basis für diesen Austausch bildet das Internet Security Association and Key Management Protocol (ISAKMP). Es arbeitet eng mit dem Diffie-Hellman-Verfahren aus der asymmetrischen Verschlüsselung zusammen.
Phase 3: Nach dem Schlüsselaustausch beginnt die Vorbereitung für die Datenübertragung. Hierbei kommen zwei unterschiedliche Protokolle zum Einsatz. Der Authentication Header (AH) stellt die Authentizität und die Integrität der Datenpakete sicher. Er verschlüsselt die Nutzdaten nicht selbst. Für die tatsächliche Verschlüsselung ist das Protokoll Encapsulating Security Payload (ESP) verantwortlich.
Phase 4: Anschließend beginnt die eigentliche Datenübertragung über den verschlüsselten VPN-Tunnel.
IT-Verantwortliche unterscheiden außerdem zwischen zwei Betriebsmodi eines IPsec-VPN:
Der Transportmodus verschlüsselt lediglich die reinen Nutzdaten des ursprünglichen Pakets.
Der Tunnelmodus verschlüsselt das gesamte originale Datenpaket. Er verpackt es in ein neues Paket.
IPsec-Verbindungsaufbau in vier Schritten
Nach einem erfolgreichen IPsec-Verbindungsaufbau existiert ein verschlüsselter Tunnel für die sichere Datenübertragung.
Vergleich von Tunnelmodus und Transportmodus bei IPsec
Ja, wird für die Weiterleitung zwischen den Gateways generiert
Nein, der originale Header bleibt sichtbar
Typischer Einsatz
Standortvernetzung zwischen zwei Routern (Site-to-Site)
Direkte Verbindung zwischen zwei Endgeräten (Host-to-Host)
Sicherheitsniveau
Sehr hoch, da interne Netzwerkstrukturen verborgen bleiben
Moderat, da Quell- und Zieladresse lesbar bleiben
Kriterium
Tunnelmodus
Transportmodus
Standortvernetzung für Ihr Unternehmen
Holen Sie sich eine eigene Plattform für alle Sprach-, Daten- und UCC-Anwendungen. Mit unserer Lösung zur Standort-Vernetzung. Sie verbindet alle Standorte und Mitarbeiter Ihres Unternehmens.
Sicherheit für Ihre Daten
Effizientes Arbeiten und Kommunizieren
Flexible Access Technologien
Alles aus einer Hand und ein Partner für alle Fragen
IPsec-VPN im Unternehmen: Standortvernetzung und Remote-Zugriff
Unternehmen nutzen die IPsec-Technologie in der Praxis für verschiedene Szenarien.
Das wichtigste Einsatzgebiet ist die klassische Standortvernetzung (Site-to-Site oder LAN-to-LAN). Hierbei findet eine Kopplung der lokalen Netzwerke verschiedener Zweigstellen statt. Die einzelnen Standorte kommunizieren transparent und geschützt über das öffentliche Internet. Router bzw. Gateways verschlüsseln die Daten. Bei diesem Szenario brauchen die Geräte im Netzwerk keine separate VPN-Software.
Ein weiteres zentrales Anwendungsszenario ist der geschützte Remote-Zugriff (Host-to-Gateway). Diese Methode gewinnt durch mobiles Arbeiten besondere Bedeutung. Mitarbeiter:innen auf Dienstreise oder im Homeoffice bauen über einen IPsec-VPN von ihrem Endgerät einen sicheren, temporären Tunnel zum zentralen Netzwerkknoten des Unternehmens auf. Hierfür benötigen die Angestellten eine entsprechende VPN-Software auf ihren Geräten.
Weitere Informationen zur Absicherung von Homeoffice-Arbeitsplätzen bietet unser Artikel zur Sicherheit im Homeoffice.
Es gibt zentrale Unterschiede zwischen der Standortvernetzung und der Anbindung mobiler Geräte ans Firmennetz.
Eine reine Server-zu-Server-Kopplung ist ebenfalls möglich, wird aber seltener genutzt und soll hier nicht näher thematisiert werden.
Möchten Sie die Cybersicherheit in Ihrem Unternehmen strategisch optimieren? In unserem umfassenden Whitepaper zum Thema Cyber Security erfahren Sie ausführlich, worauf es dabei ankommt:
Whitepaper: Cyber Security
Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:
Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen
IPsec-VPN vs. SSL-VPN, WireGuard und MPLS: Die richtige Wahl
Für die Absicherung Ihrer Netzwerkinfrastruktur stehen verschiedene Technologien zur Verfügung:
Ein IPsec-VPN arbeitet auf der Vermittlungsschicht (Schicht 3 des ISO/OSI-Modells, siehe oben). Es erfasst automatisch den gesamten Netzwerkverkehr eines Endgeräts.
Ein SSL-VPN (basierend auf SSL bzw. TLS) agiert auf der Anwendungsebene. Diese Technologie sichert gezielt einzelne Anwendungssitzungen über den Webbrowser ab.
WireGuardgilt als moderne Alternative zu IPsec. Es bietet in großen Unternehmensumgebungen jedoch weniger integrierte Werkzeuge für das zentrale Management.
MPLS (Multiprotocol Label Switching) ist kein virtuelles Netzwerk über das öffentliche Internet. Es beschreibt ein privates Netzdesign direkt vom Netzanbieter.
Ein IPsec-VPN hat vor allem einen Nachteil: Der administrative Aufwand bei der Konfiguration komplexer Netzwerke ist sehr hoch. In restriktiven Umgebungen kann es außerdem vereinzelt zu Kompatibilitätsproblemen mit Firewalls kommen. Hier kann eine Managed-Lösung wie ein MPLS-VPN eine Alternative sein.
Vergleich von Sicherheit und Verwaltungsaufwand typischer Netzwerktechnologien
IPsec-VPN
Schicht 3 (Netzwerk)
Standortvernetzung und ganzheitlicher Fernzugriff
Sehr hoch durch umfassende Krypto-Suiten
Hoch bei manueller Konfiguration
SSL/TLS-VPN
Schicht 6/7 (Anwendung)
Zugriff auf einzelne Webanwendungen via Browser
Gut für Einzelsitzungen
Gering, da meist ohne Client-Software
WireGuard
Schicht 3 (Netzwerk)
Schnelle Punkt-zu-Punkt-Verbindungen
Sehr hoch durch moderne Kryptografie
Gering aufgrund von schlankem Code
MPLS
Schicht 2/3 (Transport)
Private Standortvernetzung ohne Internet
Exzellent durch physische Isolation
Hoch, Verwaltung erfolgt durch den Provider
Technologie
ISO/OSI-Schicht
Primärer Einsatzbereich
Sicherheitsniveau
Verwaltungsaufwand
Unser Fazit: Eine IPsec-VPN-Umgebung ist sicher – aber nur als Managed-Lösung leicht zu betreiben
Die Auswahl der passenden Sicherheitsarchitektur ist entscheidend für den Schutz Ihrer digitalen Geschäftsprozesse. Mit einem durchdachten Konzept verbindet ein IPsec-VPN Ihre Standorte und mobilen Teams zuverlässig. Um den Verwaltungsaufwand für Ihre IT-Abteilung zu minimieren, empfehlen sich jedoch verwaltete Dienstleistungen (sogenannte Managed Services).
Vodafone bietet mit Corporate Data Access eine maßgeschneiderte Lösung für Ihr Unternehmen. Dieser Service ermöglicht einen verschlüsselten Zugriff auf Ihre zentralen Unternehmensanwendungen über einen sicheren IPsec-Tunnel. Nutzen Sie unsere Expertise für eine zukunftssichere Standortvernetzung.
Mobile VPN für sichere Kommunikation mit verschlüsselten Daten
Mit CorporateDataAccess 5.0 vernetzen und schützen Sie mobile Geräte wie Smartphone, Laptop oder Tablet. So stellen Sie auf geschützte Art Daten auf den Servern Ihres Unternehmens bereit.
Sicherer Übergang vom Vodafone-Netz in Ihr Firmennetz
Mobiles VPN mit allen Mobilgeräten über 3G, 4G oder 5G
IPsec ist eine Protokollsammlung für die sichere Datenübertragung in öffentlichen Netzen. Die Technologie verschlüsselt und authentifiziert Datenpakete direkt auf der Netzwerkebene. Das ermöglicht eine abhörsichere Kommunikation über öffentliche Netze.
Zuerst handeln die beteiligten Endpunkte über das IKE-Protokoll eine sichere Verbindung aus. Danach werden die Datenpakete mithilfe des ESP-Protokolls verschlüsselt. Im Tunnelmodus wird das komplette originale Datenpaket dann in ein neues Paket verpackt und sicher übertragen.
Das hängt vom konkreten Einsatzzweck ab. IPsec eignet sich für die vollständige Vernetzung von Standorten oder den Schutz des gesamten Netzwerkverkehrs. Ein SSL-VPN ist besser geeignet, wenn Sie gezielt einzelne Anwendungen über einen Webbrowser freigeben.
Die Aktivierung ist empfehlenswert, wenn Sie sensible Unternehmensdaten über öffentliche Internet-Verbindungen übertragen (wollen). So stellen Sie sicher, dass Vertraulichkeit, Integrität und Authentizität Ihrer geschäftlichen Kommunikation gewahrt bleiben.
Zunächst definieren Sie die Endpunkte in den beteiligten Firmennetzwerken. Danach konfigurieren Sie die Sicherheitsbeziehungen sowie die gewünschten Verschlüsselungsalgorithmen wie AES-256. Alternativ lassen Sie die Einrichtung über einen verlässlichen Partner via Managed Services realisieren. Das spart internen Aufwand.
Eine Business Continuity Software digitalisiert Notfallpläne, Risikoanalysen und Krisenalarmierung. Erfahren Sie, welche Module wichtig sind, wie Sie den passenden Anbieter auswählen und wie die Norm ISO 22301 und der BSI-Standard 200-4 Ihr Unternehmen technisch absichern.
Wir erklären Schritt für Schritt, wie Sie zu einer sicheren Cloud kommen. Wofür ist der Cloud-Anbieter zuständig und wofür Sie als Unternehmen? Welche Verantwortlichkeiten müssen Sie festlegen? Welche technischen Maßnahmen sind wichtig? Lesen Sie hier, wie Sie Ihre Firmen-Cloud absichern.
Malware auf dem iPhone ist zwar selten, Vorsicht ist aber dennoch geboten: Phishing, unsichere App-Quellen und manipulierte Profile gefährden auch iOS-Geräte. Erfahren Sie, wie Sie Warnsignale erkennen, Schadsoftware entfernen und iPhones im Unternehmen zentral schützen.
Ein Computervirus kann Daten, IT-Systeme und laufende Geschäftsprozesse gefährden. Hier lesen Sie, wie Sie Infektionen erkennen, Schadsoftware entfernen und Ihre Unternehmenssysteme mit Endpoint Security, Updates, Back-ups und geschulten Mitarbeitenden schützen.
Das Prinzip Least Privilege erteilt Benutzer:innen, Anwendungen und Systemen lediglich die minimal notwendigen Zugriffsberechtigungen, um ihre Aufgaben auszuführen. Auf diese Weise können Unternehmen die Angriffsfläche für Cyberbedrohungen erheblich reduzieren.
