Standorte sicher verbinden: VPN und softwaredefinierte Weitverkehrsnetze

Standorte verbinden, ohne alles freizugeben

Zwei Standorte sollen «einfach verbunden» werden. Schnell entsteht ein VPN-Tunnel, der technisch funktioniert, aber beinahe jedes Gerät an beiden Orten sichtbar macht. Sichere Standortvernetzung stellt die benötigten Datenflüsse bereit und begrenzt den Rest.

Zeichnen Sie zuerst die Arbeitsabläufe auf. Pro Dienst sollten Sie festhalten:

• welche Systeme tatsächlich miteinander sprechen müssen
• welche Qualität der Dienst benötigt
• was bei einer Störung weiter funktionieren muss

Dateien verzeihen kurze Schwankungen eher als Telefonie oder eine Remote-Desktop-Sitzung; für diese spielen Verzögerung, Schwankungen und Paketverlust eine Rolle. Nicht möglichst viel Verbindung schafft Sicherheit, sondern nachvollziehbar begrenzter Zugriff.

Ein Filialbetrieb kann zum Beispiel die Kasse mit einem zentralen System verbinden müssen, während Mitarbeitende vor Ort nur Cloud-Dienste und Internet brauchen. Beides gehört nicht zwangsläufig in dieselbe Regel. Zeichnen Sie auch Datenflüsse von Druckern, Zeiterfassung oder Türsystemen ein. Gerade diese wenig sichtbaren Geräte werden sonst aus Bequemlichkeit weitreichend freigeschaltet. Besprechen Sie die Karte mit den verantwortlichen Fachpersonen, bevor technische Regeln erstellt werden.

VPN als Grundlage, nicht als Freipass

Ein Site-to-Site-VPN verschlüsselt Datenverkehr zwischen Netzen über das Internet. Es entscheidet aber nicht von selbst, welche Systeme miteinander sprechen dürfen. Besser sind getrennte Netze und explizite Regeln: Das Buchhaltungsnetz darf beispielsweise den zentralen Anwendungsserver erreichen, nicht aber Verwaltungsoberflächen oder Drucker anderer Bereiche. Gäste und private Geräte bleiben getrennt. Netzwerksegmentierung für KMU erklärt, warum diese Grenzen wichtig sind.

Dokumentieren Sie jede Freigabe mit einem Zweck, einer verantwortlichen Person und einem Prüfdatum. Wenn eine neue Fachanwendung dazukommt, lässt sich damit nachvollziehen, welche Regel angepasst werden muss. Ein Test nach einer Änderung sollte nicht nur aus einem erfolgreichen Ping bestehen: Lassen Sie die Person am Standort den echten Auftrag erfassen, telefonieren oder die benötigte Datei öffnen.

Wann SD-WAN passt

Ein softwaredefiniertes Weitverkehrsnetz, kurz SD-WAN, kann mehrere Anschlüsse bündeln, Verkehr nach Anwendung steuern, bei Störungen umschalten und zentrale Regeln verteilen. Das kann für mehrere Filialen oder kritische Cloud-Anwendungen sinnvoll sein. Bei zwei kleinen Standorten mit klaren Diensten ist ein sauber gepflegtes VPN oft einfacher. Entscheidend ist, wer Alarme beobachtet und Änderungen freigibt.

Planen Sie den Ausfall auch für Router, Provider, Stromversorgung und Rechenzentrum. Mobilfunk kann überbrücken, ist aber je nach Gebäude und Datenmenge keine gleichwertige Ersatzleitung. Der Internetanschluss fürs Unternehmen hilft bei dieser Bewertung. Netzwerk und WLAN wird belastbar, wenn Verbindungen, Zuständigkeiten und Rückfallwege dokumentiert und mindestens einmal mit realen Anwendungen getestet werden.