Unternehmen müssen das Risiko von VPN-Diensten verstehen

Wie Sie unserer jüngsten Übersicht über VPN-Dienste (Virtual Private Network) entnehmen können, gibt es diese Produkte aus einer Vielzahl von Gründen, von denen nicht alle für die geschäftliche Nutzung relevant sind. Beispielsweise ist es unwahrscheinlich, dass Ihre IT-Mitarbeiter einen geschäftlichen Grund haben, Filme anzusehen, die in einer bestimmten geografischen Region wie beispielsweise China aktiv gesperrt sind.

Die typischen Gründe, aus denen ein Unternehmen ein VPN-Service-Center einsetzen sollte, sind Sicherheitsaspekte. Schutz des Geräts mithilfe des VPN, Schutz der übertragenen Daten und Schutz des Unternehmensnetzwerks, zu dem das VPN eine Verbindung herstellt - das sind viele Grundlagen. Möglicherweise benötigen Sie auch ein VPN, um die Compliance-Anforderungen für die Übertragung gesundheitsbezogener Informationen oder Finanzdaten zu erfüllen. Vielleicht möchten Sie sicherstellen, dass Ihre Konkurrenten nicht sehen können, was Sie vorhaben. Oder was in letzter Zeit üblicher ist: Sie möchten nicht, dass eine ausländische Regierung Ihr geistiges Eigentum (Intellectual Property, IP) aushebt.

Ein richtig konfiguriertes VPN sollte alle diese Tricks verwalten. Ihre Verbindung zwischen zwei verschiedenen Punkten im Internet wird mithilfe leistungsfähiger Algorithmen verschlüsselt, die verhindern sollen, dass andere - egal ob sie von Ihrer Konkurrenzfirma auf der anderen Straßenseite stammen oder für Kim Jong-Un arbeiten - Ihre Kommunikation abfangen. Oder werden sie?

Was macht Ihr VPN wirklich?

Das ist die Frage, die das US-Department of Homeland Security (DHS) im Auftrag der Senatoren Ron Wyden (D-OR) und Marco Rubio (R-FL) stellt. In einem Brief an Christopher C. Krebs, Direktor der neu gegründeten "Cybersecurity and Infrastructure Security Agency", stellten die beiden Senatoren fest, dass viele VPN - Dienste im Besitz von Unternehmen außerhalb der USA sind und möglicherweise Informationen extrahieren können (z dieselben Daten, von denen Benutzer dachten, dass sie geschützt waren) und teilen Sie sie dann mit anderen.

Ist es also möglich, dass ein skrupelloser VPN-Anbieter die Kommunikation in entschlüsselter Form mit anderen teilt? Und zweitens, ist es wahrscheinlich, dass ein solches Teilen tatsächlich stattfindet?

Die Antwort auf die erste Frage ist ein eindeutiges "Ja". Aus rein technischer Sicht ist es für einen Anbieter durchaus möglich, alle privaten Informationen, die Sie über seine VPN-Pipes übertragen, gemeinsam zu nutzen. Die Antwort auf die zweite Frage lautet natürlich "vielleicht", da es vom Anbieter abhängt, wer diese Organisation verwaltet, wo sie sich möglicherweise befindet und wie ihre Ethik letztendlich lautet. Das sind die Fragen, die das DHS ermitteln soll.

Der Grund dafür ist, dass die meisten VPN-Anbieter so arbeiten. Wenn Sie die VPN-Sitzung einrichten, erstellen Sie einen verschlüsselten Tunnel zwischen Ihrem Computer oder Netzwerk und einem Server am Standort des VPN-Anbieters. Ab diesem Zeitpunkt wird Ihre Verbindung an das endgültige Ziel gesendet. Während Ihre Daten die Server des VPN-Anbieters durchlaufen, befinden sie sich möglicherweise in einem unverschlüsselten Zustand und werden möglicherweise erneut verschlüsselt, wenn sie an das andere Ende Ihrer Verbindung gesendet werden.

Während einige VPN-Anbieter Ihre Daten während des gesamten Vorgangs verschlüsselt halten, ist dies bei anderen möglicherweise nicht der Fall. Und jeder von ihnen kann Ihre Daten entschlüsseln, wenn er dies wünscht. Das Risiko liegt in der Zeit, in der sich Ihre Daten auf den Servern des VPN-Anbieters befinden. Ein skrupelloser Anbieter könnte eine unverschlüsselte Version Ihrer Daten an eine andere Person senden, während sich diese in deren Besitz befindet. Wie schützen Sie angesichts dieses Szenarios Ihre Geschäftsdaten?

(Bildnachweis: Statista)

So schützen Sie sich vor Datenverlust

Erstens, kennen Sie Ihren VPN-Anbieter. Wenn Sie ein in den USA ansässiges Unternehmen sind, müssen Sie sich darüber im Klaren sein, dass ein in den USA ansässiger VPN-Anbieter den US-Gesetzen zum Datenschutz unterliegt. ein an anderer Stelle ansässiger Anbieter darf dies nicht. Wenn Sie sich in Europa oder einem anderen Land befinden, möchten Sie ebenfalls wissen, dass Ihre Daten auch in Übereinstimmung mit Ihren örtlichen Gesetzen behandelt werden.

Francis Dinha, Gründer und CEO von OpenVPN, sagte, dass Sie es als rote Fahne betrachten sollten, wenn sich ein VPN-Anbieter in Übersee befindet. "Wenn Sie ein Unternehmen außerhalb des Landes betreiben, setzen Sie sich Sicherheitsrisiken aus", sagte er. "Wer weiß, ob die Daten auf Ihrem Gerät an eine andere Person weitergegeben werden?"

Dinha weist darauf hin, dass es andere rote Fahnen gibt, insbesondere, ob ein VPN kostenlos angeboten wird. Mit einem kostenlosen VPN-Service seien Sie das Produkt, erklärt er. Dies kann bedeuten, dass Sie aufgrund Ihrer VPN-Nutzung Werbung ausgesetzt sind, Ihre Aktivitäten für Marketingzwecke mit anderen geteilt werden oder dass Ihre Daten an Stellen weitergegeben werden, die nicht im besten Interesse von Ihnen sind.

"Sie sollten kein VPN verwenden, das Torrenting oder Peer-to-Peer-Verbindungen ermöglicht", sagte Dinha. "Es könnte sich um einen Dritten handeln, der schädliche Inhalte installieren kann."

Diese Peer-to-Peer-Verbindungen von Drittanbietern können auch Daten aus Ihrem Netzwerk extrahieren. Sie können ihren Kunden erlauben, Hintertüren für die spätere Verwendung zu installieren, und sie können ihnen während der gesamten Zeit, in der das VPN aktiv ist, Zugriff auf Netzwerkressourcen gewähren. Während viele Verbraucher und Power-User der VPN-Technologie sich über diese Ratschläge lustig machen - oftmals verwenden sie ein bestimmtes VPN, weil es Torrenting und Peer-to-Peer-Nutzung ermöglicht -, sind sich diese Benutzer auch dieser potenziellen Sicherheitsrisiken bewusst. Sie sind dazu bereit und haben wahrscheinlich eine Menge Endpoint Protection-Software installiert, um dies auszugleichen. Andererseits sind die meisten Unternehmen wahrscheinlich nur an der Datenübertragung und sicheren Remoteverbindungen beteiligt, was bedeutet, dass sich zusätzliche Endpunktrisiken für sie einfach nicht lohnen.

Laut Dinha kann jedes VPN, einschließlich der in den USA ansässigen, missbraucht werden. Daher ist es wichtig, dass Sie Ihren VPN-Anbieter überprüfen, um sicherzustellen, dass er den Dienst bereitstellt, den Sie zu erhalten glauben. Er sagte, dass eine gute Möglichkeit, um sicherzustellen, dass Sie mit einem seriösen VPN-Anbieter zu tun haben, darin besteht, zu bestätigen, dass das Unternehmen auf andere Weise seriös ist. Suchen Sie zum Beispiel nach Unternehmen mit Sicherheitserfahrung, z. B. nach Firewall- oder Sicherheitssoftwareunternehmen.

Ein wichtiger Punkt, so Dinha, sei, dass Sie niemals ein VPN verwenden sollten, bei dem Sie den Server nicht kontrollieren können. Er schlägt außerdem vor, dass Sie sicherstellen sollten, dass Sie die volle Kontrolle über die Schlüsselverwaltung haben. Auch aus geschäftlicher Sicht ist dies eine gute Idee. Die meisten Kunden werden jedoch keine eigenen VPN-Server einrichten. Tatsächlich steckt die ganze Idee hinter Consumer-VPNs, dass sie dies nicht tun müssen. Hauptbenutzer und Verbraucher müssen ihre Zeit und Ressourcen mit den Vorteilen abwägen, die durch die durchgängige Kontrolle ihrer VPNs erzielt werden. Unternehmen können es sich leisten, härter zu sein, insbesondere solche mit fest angestelltem IT-Personal - und das sollten sie wahrscheinlich auch.

Welche Art von VPN-Lösung zu verwenden

Inzwischen denken Sie wahrscheinlich, dass die Verwendung eines Consumer-VPN-Dienstes, bei dem Sie auf einen Server in einem anderen Land tunneln, der Sie dann mit einer anderen Site verbindet, keine bewährte Geschäftsmethode ist. Dinha stimmt dem zu und betont, dass diese Dienste wirklich nicht als Geschäftslösungen entwickelt wurden.

• Die besten VPN-Dienste für 2019 Die besten VPN-Dienste für 2019
• Die besten Linux-VPNs für 2019 Die besten Linux-VPNs für 2019
• US-Senatoren fordern Untersuchung ausländischer VPNs über Spionagerisiko US-Senatoren fordern Untersuchung ausländischer VPNs über Spionagerisiko

Die meisten Unternehmen sollten stattdessen eine VPN-Lösung verwenden, die Benutzer mit dem eigenen Server des Unternehmens verbindet, ohne dass ein Zwischenschritt über den Server eines anderen Benutzers erforderlich ist. Es gibt viele solcher Lösungen, einige von Unternehmen, von denen Sie noch nie gehört haben, und einige von Unternehmen, die so bekannt sind wie Cisco. Alle diese, aber nicht alle, sind mit OpenVPNs Open-Source-Software kompatibel, die auch von anderen Anbietern weit verbreitet und weiterverkauft wird, da sie sich zu einem De-facto-Standard im VPN-Bereich entwickelt hat.

Dies ist sicherlich schwieriger zu konfigurieren und zu implementieren, als sich lediglich für einen VPN-Cloud-Dienst anzumelden. Der Unterschied besteht jedoch darin, dass Sie eine direkte Verbindung zu einem von Ihnen kontrollierten VPN-Server herstellen, der sich normalerweise am Rand Ihres eigenen Netzwerks befindet. Auf diese Weise werden Ihre Daten geschützt und gelangen niemals in die Hände Dritter.