Zero Trust Network Access (ZTNA) vs. VPN: Was ist besser für die Cybersicherheit in Unternehmen?

Gerade beim Austausch sensibler Daten sollten Unternehmen höchste Vorsicht walten lassen. Klassische Virtual Private Networks (VPN) leisten dabei seit Jahren nützliche Dienste. Bei Unternehmen mit hybriden Arbeitsmodellen, vielen Cloud-Anwendungen und externen Dienstleistern stoßen sie jedoch zunehmend an ihre Grenzen. In Zeiten zunehmender Cyberbedrohungen hat sich deshalb ZTNA zu einer sinnvollen Alternative entwickelt.

Was ist ZTNA?

ZTNA steht für Zero Trust Network Access. Hinter Zero Trust steckt das Sicherheitsprinzip: „Never trust, always verify“ – niemals grundsätzlich vertrauen, jede Anfrage einzeln prüfen. Statt Nutzern pauschal Zugriff auf ein Netzwerksegment zu gewähren, bewertet ZTNA jede Zugriffsanfrage anhand von Identität und Gerät. Dabei ist es unerheblich, ob die Anfrage aus dem Büro oder von unterwegs kommt.

Wie unterscheiden sich VPN und ZTNA voneinander?

Mit einer VPN-Verbindung können Nutzer von außen auf ein bestehendes Netzwerk zugreifen. Dabei funktioniert ein VPN wie ein Tunnel: Mit Hilfe eines speziellen VPN-Clients verbinden sich Nutzer mit dem VPN-Server. Sämtlicher Datenaustausch zwischen Client und Server erfolgt verschlüsselt. Für Außenstehende, die eine ungesicherte Verbindung überwachen, sind lediglich verschlüsselte Datenpakete ersichtlich. Der VPN-Tunnel schirmt alle Inhalte ab.  

Ein VPN-Gateway lauscht aktiv auf eingehende Verbindungsanfragen aus dem offenen Internet und ist damit für Angreifer potenziell sichtbar. ZTNA stellt das Prinzip auf den Kopf: Die Unternehmensinfrastruktur baut selbst eine ausgehende Verbindung zu einem Cloud-Dienst auf und bleibt für das offene Internet unsichtbar. Nutzer erhalten ausschließlich Zugang zu der Anwendung, für die sie berechtigt sind, statt zu einem größeren Netzwerksegment wie beim VPN.

Ein weiterer wichtiger Unterschied: Ein VPN prüft die Identität einmalig beim Verbindungsaufbau, danach gilt die Sitzung als vertrauenswürdig. ZTNA prüft dagegen fortlaufend. Bei verdächtigen Standortwechseln oder veralteten Sicherheitsupdates auf einem Gerät kann der Zugriff automatisch eingeschränkt werden.

Informationssicherheit mit ISMS strukturiert angehen

Ein Informationssicherheitsmanagementsystem (ISMS) gibt VPN und ZTNA einen organisatorischen Rahmen mit klaren Zugriffsrichtlinien und der Dokumentation, die NIS2 und ISO 27001 verlangen.

Zur ISMS-Beratung

Performance und Protokollierung: Welcher Ansatz punktet im Alltag?

Zwei Punkte verdienen beim Vergleich von ZTNA und VPN eine genauere Betrachtung, weil sie in der Praxis oft unterschätzt werden und gerade für Compliance-Verantwortliche relevant sind: Performance und Protokollierung.

Geschwindigkeit im Alltag: ZTNA liegt vorn

Bei einem VPN läuft der Datenverkehr über ein zentrales Gateway, auch wenn Mitarbeitende nur auf ein Projektmanagement-Tool in der Cloud zugreifen. Dieser Umweg kann bei hoher Auslastung oder ungünstigem Serverstandort zu spürbarer Latenz führen.  

ZTNA verbindet Nutzer dagegen direkt mit der benötigten Anwendung. Gerade wenn ein Großteil der genutzten Anwendungen in der Cloud liegt, wirkt sich das im Alltag auf die Arbeitsgeschwindigkeit aus.

Logging und Nachvollziehbarkeit: Compliance-Vorteil von ZTNA

Unternehmen mit Nachweis- und Meldepflichten aus NIS2 oder der DSGVO müssen den Zugriff auf personenbezogene Daten und IT-Systeme nachvollziehen können. Sowohl VPN als auch ZTNA bieten dafür technisch die Möglichkeit.  

VPN-Logs zeigen dabei in der Regel primär, dass sich eine Person mit dem Netzwerk verbunden hat, während sich der konkrete Anwendungszugriff daraus oft nur eingeschränkt ablesen lässt. ZTNA-Lösungen protokollieren häufig granularer auf Anwendungsebene, wer wann Zugang zu welcher Anwendung bekommen hat. Die tatsächliche Protokolltiefe hängt jedoch vom jeweiligen Produkt und dessen Konfiguration ab.

ZTNA oder VPN: Welcher Ansatz passt zu welchem Unternehmen?

Für kleinere Unternehmen mit überschaubarer IT-Infrastruktur kann ein gut abgesichertes VPN – ergänzt durch Multi-Faktor-Authentifizierung (MFA) und Netzwerksegmentierung – ausreichend sein. Darüber hinaus bleibt VPN das bewährte Mittel  

• für die sichere Vernetzung mehrerer Standorte über feste Verbindungen zwischen den Netzwerken (Site-to-Site),
• für ältere On-Premises-Systeme ohne moderne Authentifizierungsschnittstellen sowie
• als Übergangslösung während einer laufenden ZTNA-Migration.

Größere Unternehmen mit umfangreicher Cloud-Nutzung und regelmäßigem externen Zugriff sollten ZTNA zumindest prüfen. Viele Unternehmen kombinieren beides und nutzen ZTNA für Cloud-Anwendungen und sensible Systeme, während VPN für Site-to-Site-Verbindungen oder ältere Systeme weiterläuft.  

Ein weiterer praktischer Vorteil: Wer den VPN-Zugang über ein eigenes Gerät im Serverraum betreibt, stößt bei wachsender Nutzerzahl irgendwann an dessen Kapazitätsgrenze – und muss aufrüsten. ZTNA wird als Cloud-Dienst bereitgestellt und wächst ohne zusätzliche Hardware mit. Das macht es gerade für wachsende Unternehmen attraktiv.  

VPN, ZTNA und NIS2: Was Unternehmen regulatorisch beachten müssen

Das deutsche NIS2-Umsetzungsgesetz verlangt von vielen Unternehmen unter anderem klare Konzepte für Zugriffskontrolle sowie den Einsatz von Multi-Faktor-Authentifizierung. Sowohl VPN als auch ZTNA können dazu beitragen, diese Anforderungen zu erfüllen. ZTNA kann NIS2-pflichtigen Unternehmen dabei mit granularer Zugriffskontrolle und detaillierterer Protokollierung die Nachweisführung erleichtern.

Sobald personenbezogene Daten über Remote-Zugänge übertragen werden, spielt auch die DSGVO eine Rolle.  

• Nutzen Sie einen extern betriebenen VPN-Dienst, läuft Ihr Datenverkehr über die Infrastruktur des Anbieters. Bei einem selbst betriebenen Gateway bleibt er dagegen in Ihrer Hand. Im ersten Fall sollten Sie im Sinne der digitalen Souveränität auf EU-Serverstandorte und eine vertragliche Einbindung als Auftragsverarbeiter achten.
• Bei ZTNA ist entscheidend, wo Identitäts- und Zugriffsdaten gespeichert werden und ob der Anbieter die DSGVO-Anforderungen nachweislich erfüllt. Sitzt der Anbieter außerhalb der EU oder greift er von dort auf die Daten zu, brauchen Sie zusätzlich eine gültige Grundlage für den Datentransfer und sollten prüfen, welche Unterauftragnehmer beteiligt sind.

Was beim Logging zu beachten ist: Detaillierte Zugriffsprotokolle sind ein Compliance-Vorteil – und gleichzeitig eine Verarbeitung von Beschäftigtendaten. Weil sich damit theoretisch auch Arbeitsverhalten nachvollziehen ließe, ist die Einführung solcher Systeme in Unternehmen mit Betriebsrat mitbestimmungspflichtig.

In beiden Fällen gilt: Die gewählte Zugriffslösung sollte in der Datenschutz- und Sicherheitsdokumentation erfasst, Zugriffsrechte regelmäßig überprüft und Mitarbeitende geschult werden. Wer sich mit ISO 27001 oder TISAX® beschäftigt, profitiert davon, Informationssicherheit und Datenschutz von Anfang an gemeinsam zu denken.

ZTNA vs. VPN: Die wichtigsten Unterschiede im Überblick

Fazit: Ob VPN oder ZTNA – was zählt, ist nachhaltige Cybersicherheit

Wenn es um sichere Zugriffe auf ihre Daten und Systeme geht, müssen sich Unternehmen fragen, ob VPN, ZTNA oder eine Kombination zu Ihrer IT-Realität, Ihrem Risikoprofil und Ihren regulatorischen Pflichten passt.  

Das Team von Proliance hilft Ihnen, die richtigen Fragen zu stellen und die passenden Lösungen für sichere Prozesse zu finden, egal wer in Ihrem Unternehmen von wo aus auf welche Systeme zugreifen muss.