Vom VPN zum Mesh: Fernzugriff mit NetBird statt Einwahl ins Firmennetz
Wer sich per VPN einwählt, steht anschließend im Firmennetz – mit allem, was dort erreichbar ist. Dieser Beitrag zeigt, wie ein Mesh-Netz auf WireGuard-Basis den Zugriff auf einzelne Dienste begrenzt, ohne die tägliche Arbeit umständlicher zu machen.
Das Wichtigste in Kürze
- Ein klassisches VPN gewährt Zugriff auf ein Netz. Gebraucht wird meist Zugriff auf zwei, drei Anwendungen.
- Ein Mesh auf WireGuard-Basis verbindet Geräte direkt miteinander – ohne dass am Anschluss ein Port nach außen geöffnet werden muss.
- Die Anmeldung läuft über die Identität, die ohnehin schon existiert; scheidet jemand aus, endet der Zugriff mit dem Konto.
Wenn ein VPN nicht funktioniert, liegt das meist an einer überschaubaren Zahl von Ursachen – abgelaufene Zertifikate, blockierte Ports, überlappende Adressbereiche. Diese Fehlersuche haben wir in Das VPN funktioniert nicht beschrieben. Hier geht es um die Frage dahinter: ob die klassische Einwahl ins Firmennetz überhaupt noch der richtige Ansatz ist – und wie eine Ablösung aussieht.
Wir nehmen dafür NetBird als Beispiel, weil wir es selbst einsetzen und weil es quelloffen ist und im eigenen Haus betrieben werden kann. Die Überlegungen gelten aber unabhängig vom Produkt.
Was am klassischen VPN stört
Die technische Kritik am VPN ist nicht, dass es unsicher wäre. Ein sauber eingerichtetes VPN verschlüsselt zuverlässig. Das Problem liegt in dem, was nach der Einwahl passiert:
- Der Zugriff ist zu breit. Wer eingewählt ist, befindet sich im Firmennetz. Ob jemand nur die Warenwirtschaft braucht oder auch den Dateiserver, die Kameras und die Verwaltungsoberfläche der Firewall erreichen könnte, entscheidet üblicherweise niemand mehr – es ist einfach alles da.
- Es braucht einen erreichbaren Einwahlpunkt. Der VPN-Zugang muss aus dem Internet ansprechbar sein. Damit ist er auch für alle anderen ansprechbar und wird dauerhaft auf Schwachstellen abgeklopft. Mehrere der folgenreichsten Vorfälle der letzten Jahre begannen an genau dieser Stelle.
- Der Zugang hängt an einer eigenen Benutzerliste. Wer ausscheidet, wird im Personalsystem und im Verzeichnisdienst deaktiviert – und bleibt in der VPN-Konfiguration manchmal noch monatelang stehen.
- Externe bekommen zu viel. Der Dienstleister, der einmal im Quartal auf eine Maschinensteuerung schaut, erhält denselben Netzzugang wie ein Mitarbeiter.
Wie ein Mesh-Netz das anders löst
Statt aller Verbindungen über eine zentrale Einwahl baut ein Mesh direkte, verschlüsselte Verbindungen zwischen den einzelnen Geräten auf. Auf jedem Gerät läuft ein kleiner Dienst; eine Verwaltungsinstanz vermittelt, wer wen erreichen darf, und bringt die Verbindungen zusammen. Der eigentliche Datenverkehr läuft anschließend direkt zwischen den Beteiligten.
Der praktische Unterschied: Beide Seiten bauen die Verbindung von innen nach außen auf. Damit muss am Anschluss kein Port mehr für eingehende Verbindungen geöffnet werden. Was von außen nicht erreichbar ist, kann von außen auch nicht angegriffen werden. Kommt eine direkte Verbindung nicht zustande – etwa hinter besonders restriktiven Anschlüssen oder bei einem Anschluss ohne eigene öffentliche Adresse –, läuft der Verkehr verschlüsselt über einen Vermittlungsdienst weiter.
| Merkmal | Klassisches VPN | Mesh auf WireGuard-Basis |
|---|---|---|
| Eingehender Port am Anschluss | Erforderlich | Nicht erforderlich |
| Reichweite nach der Anmeldung | Das Netz, häufig vollständig | Nur die freigegebenen Ziele |
| Benutzerverwaltung | Eigene Liste im Gerät | Vorhandener Verzeichnisdienst |
| Weg der Daten | Immer über die Zentrale | Direkt zwischen den Geräten, wenn möglich |
| Zweiter Standort | Eigene Kopplung je Verbindung | Tritt dem Verbund einfach bei |
Anmeldung über die Identität, die es schon gibt
Der zweite große Unterschied betrifft die Anmeldung. Ein Gerät wird nicht mit einer hinterlegten Konfigurationsdatei aufgenommen, sondern über eine Anmeldung beim vorhandenen Identitätsanbieter – Microsoft Entra ID, Google Workspace oder eine selbst betriebene Lösung wie Keycloak oder Authentik.
Das klingt nach einem Detail und hat spürbare Folgen im Alltag:
- Ein Konto, ein Ausstieg. Wird das Benutzerkonto beim Ausscheiden deaktiviert, endet damit auch der Netzzugang – spätestens, wenn die Anmeldung des Geräts abläuft; diese Frist legt man bei der Einrichtung selbst fest. Es gibt keine zweite Liste, an die niemand denkt.
- Der zweite Faktor gilt automatisch mit. Wenn die Anmeldung am Identitätsanbieter eine Bestätigung verlangt, gilt das auch für den Fernzugriff – ohne eigene Einrichtung.
- Gruppen statt Einzelfreigaben. Wer in der Gruppe „Buchhaltung“ ist, bekommt die Freigaben der Buchhaltung. Das ist die Verwaltungsebene, in der ohnehin gedacht wird.
Zugriff auf Dienste statt auf Netze
Die Freigaben werden nicht als Adressbereiche formuliert, sondern zwischen Gruppen: Diese Benutzergruppe darf diese Zielgruppe auf diesem Port erreichen. Alles, was nicht ausdrücklich erlaubt ist, ist nicht erreichbar. Das ist der eigentliche Kern dessen, was unter dem Begriff Zero Trust zusammengefasst wird – kein Produkt, sondern die Umkehrung der Grundannahme: Zugehörigkeit zum Netz begründet keinen Zugriff mehr. Wie man solche Regeln sinnvoll aufbaut, steht in Mikrosegmentierung mit NetBird.
Praktisch sieht das zum Beispiel so aus:
- Der Außendienst erreicht die Warenwirtschaft – und sonst nichts.
- Der Maschinenlieferant erreicht genau eine Steuerung auf genau einem Port, zeitlich begrenzt.
- Die Verwaltungsoberflächen der Server erreicht nur die IT, und nur von verwalteten Geräten aus.
Ergänzend lassen sich Bedingungen an den Zustand des Geräts knüpfen: eine Mindestversion des Betriebssystems, eine aktive lokale Firewall, ein laufender Schutzdienst. Geräte, die das nicht erfüllen, kommen gar nicht erst hinein. Das ersetzt keine Geräteverwaltung, schließt aber die Lücke zwischen „richtiges Passwort“ und „vertrauenswürdiges Gerät“.
Ein Mesh regelt, wer von außen auf welche internen Dienste zugreift. Die Trennung von Netzbereichen im Haus, die Filterung des ausgehenden Verkehrs und der Schutz der Internetanbindung bleiben Aufgabe der Firewall. Beide Bausteine ergänzen sich, sie ersetzen einander nicht.
Was der Umstieg im Betrieb bedeutet
Ein Umstieg lässt sich schrittweise machen und braucht keinen Stichtag. Bewährt hat sich dieser Weg: eine Gruppe beginnt parallel zum bestehenden VPN, die Freigaben werden anhand der tatsächlichen Nutzung geschärft, weitere Gruppen kommen dazu, und erst wenn niemand mehr die alte Einwahl braucht, wird der Zugang von außen geschlossen.
Realistisch gehören auf die Aufwandsseite: die Anbindung an den Identitätsanbieter, das Ausrollen des Dienstes auf die Geräte, das Erarbeiten der Freigaben – und dieser Punkt ist der größte, weil dabei zum ersten Mal aufgeschrieben wird, wer eigentlich worauf zugreifen muss. Erfahrungsgemäß ist das der Teil, der den meisten Erkenntnisgewinn bringt. Wer die Verwaltungsinstanz im eigenen Haus betreiben will, rechnet einen kleinen Server und dessen laufende Pflege dazu; wer den Dienst des Anbieters nutzt, spart diesen Aufwand und gibt dafür Verwaltungsdaten außer Haus.
Wo dieser Weg nicht passt
- Wenn Geräte keinen eigenen Dienst ausführen können. Ältere Maschinen, Drucker und Steuerungen bekommen keine Software installiert. Für sie braucht es weiterhin einen Zugangspunkt im Netz, der stellvertretend vermittelt.
- Wenn es keinen Identitätsanbieter gibt. Ohne zentrale Benutzerverwaltung entfällt der größte Vorteil. Dann ist der erste sinnvolle Schritt, diese Grundlage zu schaffen – nicht, den Fernzugriff umzubauen.
- Wenn eine funktionierende Standortkopplung besteht. Zwei Standorte, die über eine stabile Verbindung dauerhaft gekoppelt sind, muss man nicht ohne Anlass ablösen.
- Bei nur einer Handvoll Zugriffen im Jahr. Für zwei Fernwartungen pro Jahr lohnt der Aufbau nicht. Hier ist ein enger gefasster, dokumentierter Einzelzugang die ehrlichere Antwort.
Fazit
Der Wechsel vom VPN zum Mesh ist weniger ein Produktwechsel als ein Wechsel der Grundannahme: Nicht mehr „wer drin ist, darf“, sondern „wer nachweislich wer ist, darf genau das“. Der spürbare Gewinn liegt darin, dass kein Zugang mehr aus dem Internet erreichbar sein muss, dass Berechtigungen mit dem Benutzerkonto enden und dass externe Dienstleister nur noch das sehen, wofür sie geholt wurden.
Wir planen und betreiben solche Zugänge – quelloffen und im eigenen Haus betrieben, wenn Sie das möchten. Mehr dazu unter Netzwerk & IT-Sicherheit und Automatisierung & Open Source.
