ZTNA statt VPN: Warum Zero Trust Network Access die sicherere Anbindung für mobiles Arbeiten ist

Fast jedes Unternehmen mit Homeoffice oder Außendienst hat irgendwann ein VPN eingerichtet. Es war die naheliegende Lösung: eine verschlüsselte Leitung vom Laptop zuhause ins Firmennetz, und schon kann man auf Dateiserver, Branchensoftware und Drucker zugreifen, als säße man im Büro. Das funktioniert seit Jahren, und genau deshalb stellt kaum jemand die Frage, ob es noch die richtige Lösung ist.

Die Frage lohnt sich trotzdem. Denn das Prinzip hinter dem klassischen VPN, einem Gerät nach dem Login weitgehend zu vertrauen, passt nicht mehr zur heutigen Bedrohungslage. Zero Trust Network Access, kurz ZTNA, geht den umgekehrten Weg. Dieser Artikel erklärt den Unterschied, zeigt die konkreten Vor- und Nachteile und sagt ehrlich, wann sich der Umstieg für ein KMU lohnt und wann das alte VPN noch seinen Zweck erfüllt.

ZTNA statt VPN: der Kernunterschied in einem Satz

Ein VPN verbindet ein Gerät mit dem gesamten Firmennetz und vertraut ihm nach dem Login weitgehend. ZTNA verbindet niemanden mit dem Netz, sondern gibt jede einzelne Anwendung separat frei, nachdem bei jedem Zugriff Identität, Gerätezustand und Kontext geprüft wurden. VPN fragt einmal, ZTNA fragt immer.

Das klingt nach einer feinen Unterscheidung, hat aber große Folgen. Beim VPN entscheidet die eine Frage am Anfang: Darf dieses Gerät ins Netz? Danach ist der Zugang offen, und der Nutzer sieht potenziell deutlich mehr, als er für seine Arbeit braucht. Bei ZTNA gibt es diese eine Tür nicht. Jeder Zugriff auf jede Ressource läuft über eine eigene, einzeln geprüfte Freigabe. Der Nutzer sieht nur die Anwendungen, für die er berechtigt ist. Alles andere existiert für ihn schlicht nicht, es ist nicht einmal sichtbar.

Der Name ist Programm: Zero Trust bedeutet, dass kein Nutzer und kein Gerät automatisch als vertrauenswürdig gilt, auch nicht, wenn es sich schon einmal erfolgreich angemeldet hat.

Warum das klassische Firmen-VPN zum Risiko wird

Das klassische VPN hat zwei strukturelle Schwächen: Das Gateway ist öffentlich aus dem Internet erreichbar und damit ein dauerhaftes Angriffsziel, und wer einmal drin ist, kann sich oft breit im Netz bewegen. Beide Punkte sind keine Konfigurationsfehler, sondern liegen in der Bauweise. Genau hier setzen Angreifer an.

Ein VPN-Zugang muss von außen erreichbar sein, sonst könnte sich niemand von zuhause verbinden. Dieses öffentlich sichtbare Gateway wird rund um die Uhr automatisiert nach bekannten Lücken abgescannt. Das BSI zählt Schwachstellen in solchen Perimetersystemen, also VPN-Gateways und Firewalls am Netzrand, zu den bevorzugten Einfallstoren für Cyberangriffe. Im Berichtszeitraum registrierte das BSI im Schnitt 119 neue Sicherheitslücken pro Tag, rund 24 Prozent mehr als im Jahr davor. Das Kernproblem laut Lagebericht: Bekannte Lücken in Perimetersystemen werden zu spät oder gar nicht geschlossen.

Quelle: BSI: Die Lage der IT-Sicherheit in Deutschland 2025, Stand: 2026-10-26.

Das zweite Problem ist das Vertrauen nach dem Login. Übernimmt ein Angreifer einen VPN-Zugang, etwa über ein gestohlenes Passwort oder ein infiziertes Heimgerät, ist er nicht an einer einzelnen Anwendung, sondern im Netz. Von dort aus kann er sich seitlich weiterbewegen, diese sogenannte Lateral Movement ist der typische zweite Schritt eines Ransomware-Angriffs. Und Ransomware trifft längst nicht mehr nur Konzerne: Von den 950 Ransomware-Angriffen, die das BSI im Lagebericht 2025 verzeichnet, richteten sich rund 80 Prozent gegen kleine und mittlere Unternehmen.

Quelle: BSI-Lagebericht 2025: 950 Ransomware-Angriffe, rund 80 Prozent gegen KMU, Stand: 2026-10-26.

Das heißt nicht, dass jedes VPN akut gefährlich ist. Ein aktuell gepatchtes VPN mit Multi-Faktor-Authentifizierung und sauber begrenzten Berechtigungen ist ein solides Werkzeug. Aber die Richtung der Entwicklung ist eindeutig, und wer heute neu plant, sollte wissen, dass es einen moderneren Ansatz gibt.

Wie Zero Trust Network Access funktioniert

ZTNA gibt Zugriff nicht auf das Netz, sondern auf einzelne Anwendungen frei. Bei jedem Zugriff prüft der Dienst: Wer ist der Nutzer, ist seine Identität per MFA bestätigt, ist das Gerät bekannt und aktuell gepatcht, passt der Standort, hat der Nutzer die Berechtigung für genau diese Anwendung? Erst wenn alles stimmt, wird genau diese eine Verbindung geöffnet.

Technisch läuft das meist über einen Cloud-Dienst, nicht über ein Gerät im Serverraum. Auf einem internen Server installiert man einen kleinen Connector. Dieser baut von innen nach außen eine Verbindung zum ZTNA-Dienst auf. Das ist der entscheidende Unterschied zum VPN: Es muss kein Gateway mehr öffentlich ins Internet gestellt werden. Die internen Anwendungen bleiben für das offene Internet unsichtbar, nur der Connector spricht nach außen. Ein Angreifer findet im Port-Scan schlicht kein Ziel mehr.

Auf Seite der Mitarbeiter läuft entweder ein kleiner Client auf dem Gerät oder der Zugriff erfolgt direkt im Browser, je nach Anwendung. Für den Nutzer fühlt es sich einfacher an als ein VPN: kein Verbindungsaufbau, kein manuelles Einwählen, die freigegebenen Anwendungen sind einfach da. Im Hintergrund prüft der Dienst bei jedem Zugriff weiter, ob die Voraussetzungen noch stimmen.

Viele KMU setzen übrigens bereits Zero-Trust-Elemente ein, ohne es so zu nennen. Wer Microsoft 365 mit Conditional Access und MFA betreibt, also E-Mail-Zugriff nur von bekannten, verwalteten Geräten erlaubt, wendet das Prinzip bereits an. ZTNA überträgt dieselbe Logik auf die internen Anwendungen, die bisher nur über VPN erreichbar waren. Eine saubere Grundlage dafür sind gemanagte Firmengeräte, wie sie etwa über automatische Geräteeinrichtung mit Autopilot und Intune bereitgestellt werden.

ZTNA gegen VPN: der direkte Vergleich

ZTNA gewinnt bei Angriffsfläche, Schadensbegrenzung und Nachvollziehbarkeit. VPN punktet bei Einfachheit für sehr kleine Setups und bei Anwendungsfällen, in denen wirklich vollständiger Netzzugriff gebraucht wird. Die folgende Gegenüberstellung zeigt, worauf es im Alltag eines KMU ankommt.

Wann sich der Umstieg lohnt, und wann VPN reicht

Der Umstieg auf ZTNA lohnt sich besonders, wenn mehrere Standorte, regelmäßiges Homeoffice, Außendienst oder externe Dienstleister auf interne Anwendungen zugreifen. Je mehr unterschiedliche Geräte und Nutzergruppen von außen ins Netz wollen, desto größer der Sicherheitsgewinn. Bei einem einzelnen Standort mit wenigen Zugriffen auf einen alten Server ist die Rechnung weniger eindeutig.

Für ZTNA spricht es, wenn Sie ohnehin an einem Punkt stehen, an dem etwas entschieden werden muss: Das alte VPN-Gerät ist am Ende seines Lebenszyklus, die Zahl der Homeoffice-Arbeitsplätze ist gewachsen, ein externer Dienstleister braucht geregelten Zugriff auf genau eine Anwendung, oder Sie setzen sich wegen NIS2 ohnehin mit Ihrem Risikomanagement auseinander. In all diesen Fällen ist ein ZTNA-Projekt oft der direktere und zukunftssicherere Weg als ein weiteres VPN-Upgrade.

Ehrlich bleiben muss man beim Gegenfall. Wenn Ihr Betrieb fast vollständig in Microsoft 365 arbeitet und das VPN nur noch für einen einzigen alten Dateiserver läuft, ist ZTNA nicht automatisch die Antwort. Dann ist oft der Umzug dieser letzten Daten nach SharePoint oder OneDrive der sauberere Schritt, der das VPN für diesen Zweck komplett überflüssig macht. Welche Überlegungen dabei eine Rolle spielen, steht ausführlich im Artikel zur sicheren Homeoffice-Anbindung.

ZTNA mit Microsoft 365: Entra Private Access

Wer bereits Microsoft 365 nutzt, hat mit Entra Private Access einen naheliegenden Weg zu ZTNA. Der Dienst gehört zu Microsoft Global Secure Access und ersetzt den klassischen VPN-Zugriff auf interne Ressourcen durch identitätsbasierte Freigaben pro Anwendung. Er nutzt die vorhandene Microsoft-Identität inklusive MFA und Conditional Access, es entsteht also kein zweites, getrenntes Anmeldesystem.

Das Architekturprinzip entspricht dem oben beschriebenen: Ein Private-Network-Connector im Firmennetz baut eine ausgehende Verbindung zu Microsofts Cloud auf, ein Client auf den Geräten leitet den Verkehr für die definierten internen Anwendungen gezielt dorthin. Kein öffentlich erreichbares Gateway, kein voller Netzzugriff.

Quelle: Microsoft Learn: Was ist Global Secure Access (Entra Private Access), Stand: 2026-10-26.

Zwei Dinge gehören zur ehrlichen Einordnung. Erstens: Entra Private Access ist nicht in den gängigen Microsoft-365-Business-Plänen enthalten, es braucht zusätzliche Lizenzen, in der Regel über die Entra Suite. Wer schon überlegt, welcher Plan überhaupt passt, findet im Artikel zum Microsoft-365-Business-Plan die Grundlagen. Zweitens: Microsoft ist nicht die einzige Option. Es gibt herstellerunabhängige ZTNA-Dienste, die ebenfalls an Ihre vorhandene Identität andocken. Welche Lösung passt, hängt von Ihrer Lizenzierung, den abzusichernden Anwendungen und der Zahl der Standorte ab. Diese Abwägung gehört an den Anfang eines ZTNA-Projekts, nicht ans Ende.

In sechs Schritten zum ZTNA-Fernzugriff

Ein ZTNA-Projekt im KMU ist überschaubar, wenn die Grundlagen stimmen. Entscheidend ist die Vorarbeit: Man muss wissen, welche Anwendungen überhaupt von außen erreichbar sein sollen und wer sie braucht. Die folgende Reihenfolge hat sich in der Praxis bewährt.

1. 1
   Fernzugriff inventarisieren
   Auflisten, auf welche internen Anwendungen und Server tatsächlich von außen zugegriffen wird, und von wem. Oft stellt sich heraus, dass die Hälfte der VPN-Nutzung nur einem einzigen Zweck dient.
2. 2
   Identitäten und MFA sauber aufstellen
   ZTNA steht und fällt mit verlässlichen Identitäten. Microsoft Entra ID mit flächendeckender MFA und klaren Berechtigungsgruppen ist die Basis. Lücken hier schließen, bevor ZTNA kommt.
3. 3
   Gerätemanagement klären
   Festlegen, welche Geräte als vertrauenswürdig gelten. Gemanagte Firmengeräte über Intune sind die saubere Lösung, für private Geräte braucht es klare Regeln und mindestens Grundabsicherung.
4. 4
   ZTNA-Lösung auswählen
   Zwischen Entra Private Access und herstellerunabhängigen Diensten anhand von Lizenzierung, Anwendungen und Standorten entscheiden. Lieber mit wenigen, klar abgegrenzten Anwendungen starten.
5. 5
   Pilot mit einer Gruppe
   Connector installieren, die ersten Anwendungen freigeben und mit einer kleinen Testgruppe laufen lassen. Zugriffsregeln und Gerätekonformität im echten Alltag prüfen, bevor es auf alle ausgerollt wird.
6. 6
   Ausrollen und VPN schrittweise ablösen
   Nach erfolgreichem Pilot weitere Anwendungen und Nutzer aufnehmen. Das alte VPN erst abschalten, wenn wirklich alle nötigen Zugriffe über ZTNA laufen und protokolliert sind.

Was ZTNA ein KMU kostet

ZTNA verursacht laufende Kosten pro Nutzer und einen einmaligen Einführungsaufwand, dafür entfallen die Wartung und der Ersatz eines VPN-Gateways. Verlässliche Zahlen hängen von der gewählten Lösung, der Nutzerzahl und dem vorhandenen Zustand von Identitäten und Geräten ab. Die folgenden Werte sind Orientierung, keine Angebote.

Der Kostenvergleich mit dem VPN ist selten eins zu eins. Ein VPN-Gateway verursacht Anschaffung, Wartung, regelmäßige Patches und irgendwann Ersatz, dazu das Risiko eines erfolgreichen Angriffs über eine ungepatchte Lücke. ZTNA verlagert den Posten in eine planbare laufende Gebühr und senkt gleichzeitig die Angriffsfläche. Wie sich planbare IT-Kosten über eine Pauschale insgesamt rechnen, zeigt der Artikel zu Flatrate statt Stundensatz.

NIS2 und ZTNA: Pflicht oder Kür?

NIS2 schreibt keine konkrete Technik und damit auch kein ZTNA vor. Das NIS2-Umsetzungsgesetz verlangt angemessene Maßnahmen im Risikomanagement, dazu gehören Zugriffskontrolle, Multi-Faktor-Authentifizierung und die Absicherung des Fernzugriffs. ZTNA ist ein moderner Weg, diese Anforderungen zu erfüllen, aber kein Pflichtprodukt. Ein gut abgesichertes VPN kann denselben Zweck erfüllen.

Für die Einordnung des Zeitdrucks: Das deutsche NIS2-Umsetzungsgesetz ist Ende 2025 in Kraft getreten, und rund 29.500 Unternehmen fallen nach aktuellen Schätzungen in den Anwendungsbereich. Betroffen sind nicht nur große Betriebe, sondern je nach Sektor auch mittelständische Unternehmen ab bestimmten Schwellen. Wer dazugehört, muss sich beim BSI registrieren, Meldepflichten erfüllen und sein Risikomanagement nachweisbar umsetzen. Ob Ihr Betrieb betroffen ist und was konkret zu tun ist, klärt der Artikel zu den NIS2-Pflichten für KMU.

Quelle: BSI: NIS-2-regulierte Unternehmen

Unabhängig von der formalen Pflicht gilt: Der Fernzugriff muss kontrollierbar und protokollierbar sein. Genau das liefert ZTNA von Haus aus mit seinen detaillierten Protokollen pro Zugriff. Wer ohnehin sein Risikomanagement überarbeitet, sollte die Anbindung mitdenken, statt sie als isoliertes Technikthema zu behandeln. Wie Zugriffs- und Angriffserkennung zusammenspielen, vertieft der Artikel zu EDR, XDR, SIEM und SOC für KMU.

ITCC unterstützt beim Umstieg von VPN auf ZTNA

ZTNA ist kein Produkt, das man kauft und einschaltet, sondern eine saubere Konzeption aus Identitäten, Geräten und Anwendungsfreigaben. Genau dabei unterstützt ITCC als externe IT-Abteilung: Wir analysieren Ihren bestehenden Fernzugriff, zeigen ehrlich, ob ein ZTNA-Projekt oder zunächst ein Umzug in die Cloud der bessere Weg ist, und begleiten die Einführung vom Pilot bis zur Ablösung des alten VPN.