Warum traditionelle VPNs zum Sicherheitsrisiko für Unternehmen werden
Henry Koch
Warum traditionelle VPNs zum Sicherheitsrisiko für Unternehmen werden
Traditionelle VPNs – einst als sichere Lösung für Fernzugriff gepriesen – entwickeln sich zunehmend zum Cyberrisiko. Aktuelle Angriffe haben ihre Schwachstellen offenbart und zwingen Unternehmen, nach sichereren Alternativen zu suchen. Zwei schwere Vorfälle im Oktober 2023 unterstrichen die Gefahren veralteter VPN-Systeme.
Ende Oktober 2023 wurde Südwestfalen-IT Opfer eines Ransomware-Angriffs, bei dem eine Lücke im VPN ausgenutzt wurde. Die Attacke verschlüsselte kritische Systeme und zwang lokale Behörden, fast ein Jahr lang im Notbetrieb zu arbeiten. Die Angreifer drangen über Brute-Force-Methoden oder schwache Passwörter ein und arbeiteten sich bis auf Administrator-Ebene vor.
Zur gleichen Zeit sah sich Nominet, die britische Registry für Domainnamen, einem ähnlichen Angriff ausgesetzt. Hacker nutzten eine Zero-Day-Schwachstelle (CVE-2023-46805 und CVE-2024-21887) in Ivanti Connect Secure, einer softwarebasierten VPN-Lösung. Einmal im System, bewegten sie sich ungehindert – ausgenutzt wurde dabei das mangelnde Monitoring vieler VPNs. Die Sicherheitslücken treiben Firmen nun zu modernen Lösungen wie Privileged Access Security (PAS), das strengere Kontrollen bietet: automatische Passwortrotation, Begrenzungen für Datenübertragungen und Zero-Trust-Architekturen. Zudem unterstützt es zertifikatbasierte Logins sowie passwortlose Methoden wie Gesichtserkennung oder FIDO2. Zwar verringern diese Systeme die Angriffsfläche, doch absoluter Schutz bleibt illusorisch.
Ein zentrales Merkmal von PAS ist Vendor Privileged Access Management (VPAM), das den Zugriff externer Dienstleister einschränkt. Während VPNs oft pauschalen Netzwerkzugang gewähren, ermöglicht PAS feingranulare Berechtigungen und begrenzt so die seitliche Bewegung von Angreifern.
Der Abschied von VPNs beschleunigt sich, da Organisationen auf sicherere Fernzugriffslösungen umsteigen. PAS und ähnliche Systeme bieten besseren Schutz vor Privilegieneskalation und Ransomware. Experten betonen jedoch: Realistisch ist nur eine Risikoreduzierung – nicht die vollständige Beseitigung von Bedrohungen.
