Zero Trust Network Access KMU: VPN sicher ablösen

Ein kompromittiertes VPN-Login öffnet nicht eine Anwendung, sondern meist das komplette Netzwerksegment dahinter – gerade in KMU-Netzen, die historisch gewachsen und selten sauber segmentiert sind. Wer sich einmal eingewählt hat, sieht Server, Freigaben und Dienste, die mit der eigentlichen Aufgabe nichts zu tun haben; Angreifer nutzen genau das für laterale Bewegung im Netz. Aus einem gestohlenen Passwort wird so ein Vorfall, der die ganze Infrastruktur betrifft statt nur einen einzigen Zugang. Zero Trust Network Access (ZTNA) für KMU setzt genau hier an: Zugriff wird nicht auf Netzwerkebene, sondern pro Anwendung vergeben.

Warum ein VPN-Login für Angreifer wie ein Generalschlüssel wirkt

Ein klassisches VPN stellt eine verschlüsselte Verbindung ins Firmennetz her – danach ist der Nutzer technisch „drin“. Firewalls und Segmentierung greifen zwar noch, aber viele KMU-Netze sind über Jahre gewachsen und nicht konsequent unterteilt. Ein Mitarbeiter aus dem Vertrieb, der nur das CRM braucht, kann im selben Netzwerksegment oft auch Fileserver oder interne Tools erreichen, die er nie sieht, aber technisch ansprechen könnte.

Genau dieses Prinzip macht gestohlene VPN-Zugangsdaten für Angreifer so wertvoll: Ein Login reicht, um sich im Netz umzusehen, Rechte zu erweitern und sich zu weiteren Systemen vorzuarbeiten. ZTNA kehrt das Modell um und vergibt Zugriff nicht für ein Netzwerksegment, sondern für eine einzelne Anwendung.

Zero Trust Network Access KMU: Was unterscheidet ZTNA vom klassischen VPN?

ZTNA vergibt Zugriff anwendungsbezogen statt netzwerkbezogen: Nutzer sehen und erreichen ausschließlich die freigegebene Anwendung, nie das dahinterliegende Netzwerksegment. Ein VPN prüft die Identität einmalig beim Verbindungsaufbau und öffnet danach den Tunnel; ZTNA bewertet stattdessen jede einzelne Anfrage neu und verkleinert damit die Angriffsfläche, falls ein Zugang doch kompromittiert wird.

Skyhigh Private Access: Anwendungsbezogener Zugriff statt Netzwerktunnel

Skyhigh Private Access setzt dieses Prinzip als ZTNA-Lösung um. Statt eines Tunnels ins gesamte Netzwerk baut die Software eine Verbindung ausschließlich zur freigegebenen Anwendung auf.

Für KMU mit gewachsenen, wenig segmentierten Netzen verkleinert das die Angriffsfläche spürbar, ohne dass eine komplette Netzwerk-Neusegmentierung nötig wird. Alle Zugriffs- und Cloud-Security-Lösungen des Herstellers sind im Skyhigh-Security-Sortiment gebündelt.

Agentenloser Zugriff für nicht verwaltete Geräte

Ein praktischer Unterschied zu vielen VPN-Lösungen: Skyhigh Private Access funktioniert auch ohne installierten Client. Für nicht verwaltete Geräte steht ein agentenloser Browserzugang bereit – etwa für den privaten Laptop im Homeoffice, das Tablet eines externen Dienstleisters oder den Rechner eines Wartungstechnikers, der nur kurzfristig auf eine einzelne Anwendung zugreifen muss. Das erspart IT-Teams die Softwareverteilung auf Geräte, die ohnehin nicht im eigenen Gerätemanagement liegen.

Zusätzlich prüft die Lösung den Zugriffsweg auf Malware und Datenabfluss über DLP (Data Loss Prevention – Schutz davor, dass sensible Daten unkontrolliert das Unternehmen verlassen):

• Anwendungsbezogener Zugriff statt Netzwerktunnel
• Agentenloser Browserzugang für BYOD und externe Partner
• DLP- und Malware-Prüfung direkt im Zugriffsweg
• Lizenzierung pro Nutzer, 12 Monate Laufzeit

Typische Einsatzszenarien: Wann ZTNA im Mittelstand den Unterschied macht

Nicht jedes KMU braucht ZTNA sofort für das gesamte Netz. In der Praxis lohnt sich der Einstieg meist zuerst dort, wo klassische VPN-Zugänge am größten Risiko ausgesetzt sind:

• Homeoffice und private Endgeräte: Mitarbeitende greifen von privaten PCs auf einzelne Fachanwendungen zu, ohne dass die IT das Gerät verwaltet.
• Externe Dienstleister und Wartungszugänge: Techniker oder Systemhäuser benötigen befristeten Zugriff auf genau ein System – nicht auf das komplette Netzwerksegment dahinter.
• Filialen und Mehrstandort-Betriebe: Standorte ohne eigene IT-Infrastruktur greifen direkt auf zentrale Anwendungen zu, statt über einen Site-to-Site-Tunnel geroutet zu werden.
• Integration nach Zukauf oder Fusion: Neue Teams brauchen schnellen Zugriff auf einzelne Systeme, bevor die Netzwerke vollständig zusammengeführt sind.

In all diesen Fällen reduziert ZTNA die Angriffsfläche im Vorfeld – und verkleinert damit auch den Aufwand, falls es doch zu einem Vorfall kommt. Wie ein solcher Ernstfall abläuft, beschreibt der Leitfaden Incident Response bei Cyberangriffen.

Zero Trust und NIS2: Warum Zugriffskontrolle jetzt Pflichtthema wird

Die NIS2-Richtlinie verlangt von betroffenen Unternehmen unter anderem Konzepte für Zugriffskontrolle und Netzwerksicherheit. In der Regel greift sie ab etwa 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in den definierten Sektoren – über Lieferketten-Anforderungen spüren aber auch kleinere Zulieferer betroffener Unternehmen die Vorgaben. Ein VPN, das jedem Nutzer pauschal Zugang zu weiten Teilen des Netzes gewährt, lässt sich in einem Zugriffskonzept schwer sauber begründen. ZTNA liefert die dazu passende technische Grundlage: nachvollziehbare, anwendungsbezogene Zugriffsregeln statt eines pauschalen Netzwerktunnels. Eine strukturierte Übersicht der Pflichten liefert die NIS2-Compliance-Checkliste. International beschreibt der NIST-Standard SP 800-207 die Zero-Trust-Architektur, auf der Lösungen wie Skyhigh Private Access aufbauen.

Skyhigh SSE Complete: Wenn aus ZTNA eine vollständige Security Service Edge wird

Wächst der Bedarf über reinen Anwendungszugriff hinaus, bündelt Skyhigh SSE Complete Private Access bereits mit Cloud Firewall und den weiteren SSE-Funktionen in einer Edition, ab rund 228 Euro pro Nutzer und 12 Monaten Laufzeit. Für Unternehmen, die zusätzlich Cloud- und SaaS-Zugriffe zentral absichern wollen, lässt sich ZTNA so ohne Anbieterwechsel zur vollständigen Security Service Edge ausbauen.

FAQ: Zero Trust Network Access KMU

Ersetzt ZTNA das VPN komplett?

Für die meisten Anwendungsfälle ja – ZTNA übernimmt die Zugriffsfunktion des VPN, oft mit weniger Verwaltungsaufwand. Einzelne Spezialfälle mit Layer-3-Anforderungen können weiterhin ein klassisches VPN nötig machen.

Brauchen Mitarbeiter einen Client für ZTNA?

Nicht zwingend. Skyhigh Private Access bietet neben der Client-Variante auch agentenlosen Browserzugang für Geräte, auf denen keine Software installiert werden soll oder kann.

Ist ZTNA nur für große Unternehmen sinnvoll?

Nein. Gerade KMU mit wenig segmentierten Netzen profitieren, weil ZTNA die Angriffsfläche reduziert, ohne dass eine aufwendige Netzwerk-Neusegmentierung vorausgesetzt wird.

Wie lange läuft die Lizenz?

Skyhigh Private Access und Skyhigh SSE Complete werden pro Nutzer mit 12 Monaten Laufzeit lizenziert.

Hilft ZTNA bei der NIS2-Umsetzung?

ZTNA liefert eine technische Grundlage für nachvollziehbare Zugriffskontrolle, wie sie NIS2 von betroffenen Unternehmen erwartet. Eine vollständige Bewertung der eigenen NIS2-Pflichten ersetzt das nicht.

Was kostet der Einstieg in ZTNA?

Skyhigh Private Access startet bei rund 71 Euro pro Nutzer zzgl. MwSt. für 12 Monate, abhängig von Lizenzstaffel und Konfiguration. Ob sich der direkte Einstieg oder gleich SSE Complete mehr lohnt, prüft der Produktberater unverbindlich anhand der eigenen Infrastruktur.

Fazit

VPN und ZTNA lösen dieselbe Aufgabe – Fernzugriff auf Unternehmensanwendungen – mit unterschiedlicher Angriffsfläche. Wer im Zugriffskonzept ohnehin nachschärfen muss, findet mit anwendungsbezogenem Zero-Trust-Zugriff einen Ansatz, der sich ohne kompletten VPN-Rückbau einführen lässt. Welches Einsatzszenario aus diesem Artikel am ehesten zur eigenen IT passt?