VPN funktioniert nicht: die häufigsten Ursachen und ihre Behebung
VPN-Störungen sehen für Anwender gleich aus, haben aber sehr unterschiedliche Ursachen. Diese Übersicht ordnet die häufigsten Fehlerbilder ihren technischen Auslösern zu – mit konkreten Prüfschritten.
Das Wichtigste in Kürze
- Unterscheiden Sie zuerst: Verbindung kommt gar nicht zustande, bricht ab, oder steht – aber nichts funktioniert.
- Häufigste Ursachen sind abgelaufene Zertifikate, MTU-Probleme, doppeltes NAT und eine falsche Namensauflösung.
- „Alles ist langsam über VPN“ liegt meist am Upload des Standorts, nicht am VPN selbst.
Ein VPN ist eine Kette aus Internetanschluss, Firewall, Verschlüsselung, Routing, Namensauflösung und Berechtigungen. Fällt ein Glied aus, sieht das Ergebnis für die Anwenderin immer gleich aus: „Das VPN geht nicht.“ Für die Fehlersuche ist deshalb die erste Frage entscheidend, in welchem der drei Muster sich das Problem zeigt.
Drei Fehlerbilder, drei Suchrichtungen
| Fehlerbild | Wahrscheinliche Ecke |
|---|---|
| Verbindung kommt nicht zustande | Erreichbarkeit, Zertifikat, Anmeldung, blockierte Ports |
| Verbindung steht, bricht aber ab | MTU, NAT-Zeitüberschreitungen, wechselnde Adressen, Energiesparoptionen |
| Verbindung steht, nichts erreichbar | Routing, Namensauflösung, Firewall-Regeln, Adressüberschneidung |
Fall 1: Die Verbindung kommt nicht zustande
Zertifikat abgelaufen
Der Klassiker – und einer, der alle gleichzeitig trifft. Wenn ein VPN von einem Tag auf den anderen für sämtliche Beschäftigten nicht mehr funktioniert, ohne dass etwas geändert wurde, ist ein abgelaufenes Zertifikat die erste Vermutung. Prüfen Sie Gültigkeit und Kette auf dem Gateway; nehmen Sie das Ablaufdatum anschließend in die Überwachung auf.
Der Gegenstandort blockiert
In fremden Netzen – Hotel, Kundenstandort, öffentliches WLAN – sind ausgehende Ports oft gefiltert. IPsec braucht UDP 500 und UDP 4500, WireGuard einen frei gewählten UDP-Port. Kommt in solchen Umgebungen keine Verbindung zustande, ist meist nicht Ihre Konfiguration das Problem.
Wer häufig aus fremden Netzen arbeitet, fährt mit einer Lösung über TCP 443 deutlich zuverlässiger, weil dieser Port praktisch überall offen ist.
Doppeltes NAT und CGNAT
Steht hinter dem Anschluss noch ein zweiter Router, oder vergibt der Anbieter keine eigene öffentliche Adresse, scheitern eingehende Verbindungen. Erkennbar daran, dass die im Router angezeigte Adresse von der abweicht, die eine Abfrage im Internet meldet. Abhilfe: einen Router in den Bridge-Modus setzen oder eine feste öffentliche Adresse beim Anbieter buchen.
Anmeldung und zweiter Faktor
Nach Umstellungen an der Benutzerverwaltung – etwa auf Anmeldung über Entra ID – schlagen Zugänge fehl, die noch auf das alte Verfahren zeigen. Auch eine Zeitabweichung von mehr als einer halben Minute lässt zeitbasierte Einmalcodes ins Leere laufen. Prüfen Sie die Uhrzeit auf Gateway und Endgerät.
Fall 2: Die Verbindung bricht ab
MTU und Fragmentierung
Der unangenehmste Fehler, weil er selektiv auftritt: Anmelden klappt, kleine Zugriffe funktionieren, aber sobald größere Datenmengen fließen, steht alles. Ursache ist ein zu großes Paket, das durch den VPN-Overhead die zulässige Größe überschreitet und unterwegs verworfen wird.
Test: ping mit gesetztem Fragmentierungsverbot und schrittweise kleinerer
Paketgröße durch den Tunnel. Findet sich eine Grenze deutlich unter 1500 Byte, senken Sie
die MTU auf dem Tunnel entsprechend – typische Werte liegen zwischen 1380 und 1420.
Zeitüberschreitungen bei NAT
Bleibt eine Verbindung ohne Datenverkehr länger bestehen, räumt ein zwischengeschalteter Router den Eintrag ab. Ein sogenanntes Keepalive-Intervall von 20 bis 25 Sekunden hält den Weg offen. Besonders relevant bei Mobilfunk.
Energiesparen und Netzwechsel
Notebooks legen Netzwerkkarten im Akkubetrieb schlafen; der Wechsel zwischen WLAN und Mobilfunk erzwingt einen neuen Aufbau. Deaktivieren Sie die Energiesparoption für den Netzwerkadapter und wählen Sie einen Client mit stabiler Wiederverbindung.
Fall 3: Verbindung steht, aber nichts geht
Überschneidende Adressbereiche
Das häufigste Problem im Homeoffice: Firmennetz und Heimnetz nutzen beide
192.168.1.0/24. Der Rechner hält alle Ziele für lokal und schickt nichts durch
den Tunnel. Abhilfe: Wählen Sie im Unternehmen einen unüblichen Bereich, etwa aus dem
10er-Netz. Nachträglich lässt sich das nur mit Aufwand ändern – bei jeder Neuplanung aber
kostenlos richtig machen.
Namensauflösung fehlt
Die IP-Adresse des Servers antwortet, sein Name nicht: Dann wird der interne DNS-Server über den Tunnel nicht verwendet. Der Client muss die internen Namensserver und das interne Suffix zugewiesen bekommen. Symptom: Laufwerke verbinden sich nicht, Anwendungen suchen endlos.
Regeln am Gateway
Der Tunnel steht, aber die Firewall lässt aus dem VPN-Netz nur bestimmte Ziele zu. Das ist richtig so – bloß fehlt gelegentlich der Zugriff auf ein neu hinzugekommenes System. Ein Blick in die verworfenen Verbindungen im Protokoll zeigt es sofort; siehe auch Was ist eine Firewall?.
Split Tunneling
Läuft nur der Firmenverkehr durch den Tunnel, während alles Übrige direkt ins Internet geht, schont das die Leitung – nimmt aber auch Filter- und Protokollfunktionen aus dem Spiel. Wo ein zentrales Filtern gewünscht ist, muss der gesamte Verkehr durch den Tunnel. Das ist eine bewusste Entscheidung, keine Voreinstellung.
„Über VPN ist alles langsam“
Meist kein VPN-Problem, sondern eine Frage der Bandbreite in Gegenrichtung: Wer von zu Hause auf einen Server im Betrieb zugreift, hängt am Upload des Firmenanschlusses – und der ist bei asymmetrischen Anschlüssen deutlich kleiner als der Download.
Zwei weitere häufige Beschleuniger: Arbeiten Sie nicht direkt auf Dateien im Netzlaufwerk, wenn die Anwendung dafür nicht ausgelegt ist – Datenbankdateien über VPN sind eine zuverlässige Quelle von Frust. Und prüfen Sie, ob die Verschlüsselung in Hardware beschleunigt wird; ältere Gateways brechen bei mehreren gleichzeitigen Verbindungen ein. Zur allgemeinen Eingrenzung siehe Internet langsam im Büro.
Wann sich ein anderer Ansatz lohnt
Klassisches VPN verbindet ein Gerät mit einem Netz. Alles, was danach passiert, regelt erst die Firewall. Zero-Trust-Ansätze (ZTNA) drehen das um: Sie verbinden eine Person mit einer Anwendung, jede Sitzung wird einzeln geprüft.
Das lohnt sich vor allem, wenn viele externe Beteiligte Zugriff auf einzelne Anwendungen brauchen, wenn private Geräte im Spiel sind oder wenn Sie sauber nachvollziehen wollen, wer wann worauf zugegriffen hat. Für ein Team mit fünf Personen und einem Standort bleibt ein gut konfiguriertes VPN dagegen die einfachere und günstigere Lösung. Wie eine Ablösung praktisch abläuft, beschreibt Vom VPN zum Mesh. Beides bauen wir im Rahmen von Netzwerk & Security.
Jeder Fernzugriff gehört hinter einen zweiten Faktor. Ein VPN-Zugang mit reinem Passwort ist ein direkter Weg ins Unternehmensnetz – siehe IT-Sicherheit im Mittelstand.
Fazit
Fast alle VPN-Störungen lassen sich einem der drei Fehlerbilder zuordnen, und jedes davon hat eine überschaubare Zahl typischer Ursachen. Wer zuerst das Muster bestimmt, statt Einstellungen zu ändern, kommt in der Regel innerhalb einer Stunde zum Ergebnis.
Treten Abbrüche wiederholt und ohne erkennbares Muster auf, steckt meist eine Grundsatzentscheidung dahinter – Adressplanung, Anschlussart oder ein Gateway an der Leistungsgrenze. Wir schauen uns das gern an.
