VPN war gestern? Warum der Mittelstand beim sicheren Fernzugriff neu denken muss

Fortinet macht den Wandel beim SSL-VPN sichtbar

Ein besonders greifbares Beispiel liefert Fortinet. Seit FortiOS 7.6.3 ist der SSL-VPN-Tunnelmodus auf FortiGate-Systemen nicht mehr verfügbar. Fortinet empfiehlt für entsprechende Remote-Access-Szenarien die Migration auf IPsec VPN; der bisherige Webmodus wird auf unterstützten Plattformen als „Agentless VPN“ weitergeführt. Bei einzelnen kleineren FortiGate-Modellen gelten zusätzliche Einschränkungen für diesen agentenlosen Webzugriff.

Für Unternehmen, die bisher FortiClient und SSL-VPN-Tunnelzugänge eingesetzt haben, ist das zunächst eine technische Migrationsfrage. Für Kyvion ist es jedoch vor allem ein Anlass, eine grundlegendere Frage zu stellen: Muss ein Benutzer überhaupt in das Unternehmensnetz eingebunden werden, wenn er eigentlich nur eine bestimmte Anwendung, einen Server oder eine Administrationsoberfläche benötigt?

Nicht jedes Remote-Access-Problem braucht einen Netzwerktunnel

Ein VPN ist technisch sinnvoll, wenn ein Endgerät tatsächlich Netzwerkzugriff auf mehrere interne Dienste benötigt. In vielen typischen KMU-Szenarien ist der benötigte Zugriff jedoch wesentlich enger definiert. Ein Mitarbeiter benötigt beispielsweise seine Windows-Fachanwendung per RDP, ein Administrator eine SSH-Sitzung auf einem Linux-System oder ein externer Dienstleister den Zugriff auf eine einzelne interne Webanwendung.

Wird für einen solchen Anwendungsfall ein vollständiger Netzwerkzugang aufgebaut, muss dieser Zugriff anschließend durch Routing, Firewall-Regeln, Endgeräteschutz, Segmentierung und Berechtigungen wieder möglichst weit eingeschränkt werden. Ein anwendungsbezogener Ansatz dreht das Prinzip um: Nicht das Netz wird erreichbar gemacht, sondern ausschließlich die tatsächlich benötigte Ressource.

Browser statt VPN-Client

Kyvion Secure Access powered by SparkView verfolgt genau diesen Ansatz. Anwender greifen über einen HTML5-fähigen Browser auf freigegebene Systeme und Anwendungen zu. Unterstützt werden unter anderem RDP, VNC, SSH, Telnet sowie HTTP- und HTTPS-Anwendungen. Auf dem Arbeitsplatz ist dafür kein klassischer Remote-Access-Client erforderlich.

Damit lässt sich beispielsweise ein RDP-Zugriff auf einen Terminalserver bereitstellen, ohne dem Benutzer einen allgemeinen Netzwerkzugang einzuräumen. Dasselbe Prinzip gilt für SSH-Administration, interne Webanwendungen oder den Zugriff externer Dienstleister. Berechtigungen können auf die tatsächlich benötigten Ziele begrenzt werden.

Geschützte Netze müssen nicht von außen geöffnet werden

Für besonders geschützte Netzbereiche kann Kyvion Secure Access mit einem Reverse Agent arbeiten. Dieser baut die Verbindung aus dem internen beziehungsweise geschützten Netz zum Secure-Access-Gateway auf. Dadurch sind für den eigentlichen Zugriff keine eingehenden Verbindungen zum Zielnetz erforderlich. Das ist insbesondere für Administrationsnetze, getrennte Serverbereiche oder Tier-0-/Tier-1-Szenarien interessant, in denen zusätzliche eingehende Freigaben vermieden werden sollen.

FortiGate und Kyvion Secure Access sind kein Entweder-oder

Die Entwicklung bei Fortinet bedeutet nicht, dass eine FortiGate als Sicherheitsplattform infrage steht. Im Gegenteil: Firewall, Netzwerksegmentierung, Security Services und Perimeterschutz bleiben zentrale Aufgaben der FortiGate. Auch IPsec VPN ist für viele Anwendungsfälle weiterhin eine geeignete Remote-Access-Technologie.

Interessant wird die Kombination dort, wo ein Unternehmen keinen vollständigen Netzzugang benötigt. Die FortiGate schützt und segmentiert die Infrastruktur, während Kyvion Secure Access den gezielten browserbasierten Zugriff auf ausgewählte Anwendungen und Systeme bereitstellt. So entsteht kein „Fortinet oder Kyvion“, sondern eine Architektur, in der beide Lösungen unterschiedliche Aufgaben übernehmen.

Die eigentliche Frage lautet nicht: Was ersetzt SSL-VPN?

Gerade für kleine und mittelständische Unternehmen wäre es zu kurz gedacht, die aktuelle Entwicklung lediglich als Wechsel von SSL-VPN zu IPsec zu betrachten. Vor jeder Migration sollte geprüft werden, welche Benutzer tatsächlich einen Netzwerktunnel benötigen und für welche Benutzer ein gezielter Anwendungszugriff ausreicht.

Wer diese Unterscheidung konsequent trifft, kann Remote Access einfacher strukturieren. Mitarbeiter, Administratoren und externe Dienstleister erhalten nur den Zugang, den sie für ihre Aufgabe benötigen. Gleichzeitig muss nicht für jeden Anwendungsfall eine umfangreiche SASE- oder ZTNA-Plattform eingeführt werden. Für viele KMU kann eine Kombination aus vorhandener Firewall-Infrastruktur, klarer Segmentierung, starker Authentifizierung und browserbasiertem Anwendungszugriff eine pragmatische Alternative darstellen.

„Wenn sich eine etablierte Remote-Access-Technologie verändert, sollte man nicht automatisch nur nach dem nächsten Tunnel suchen. Entscheidend ist die Frage, welchen Zugriff der Benutzer wirklich braucht. Wer lediglich eine Anwendung benötigt, muss nicht zwangsläufig Zugang zum gesamten Netzwerk erhalten.“
Michael Hochgesang, Kyvion GmbH

Chance für IT-Systemhäuser und Fortinet-Partner

Für IT-Systemhäuser und Fortinet-Partner eröffnet die Veränderung beim SSL-VPN gleichzeitig die Möglichkeit, bestehende Remote-Access-Konzepte ihrer Kunden neu zu bewerten. Nicht jeder Kunde benötigt dieselbe Lösung. Während IPsec für klassische VPN-Szenarien sinnvoll bleibt, können anwendungsbezogene Zugriffe mit Kyvion Secure Access eine zusätzliche Option für RDP, SSH, VNC und interne Webanwendungen darstellen.

Kyvion setzt dabei ausdrücklich auf die Zusammenarbeit mit regionalen IT-Systemhäusern, Managed Service Providern und spezialisierten IT-Dienstleistern. Das Unternehmen versteht sich als Ergänzung zum betreuenden IT-Partner und unterstützt bei technischen Fragestellungen, Projekten und der Einführung sicherer Remote-Access-Lösungen bei mittelständischen Kunden. Interessierte Partner sind ausdrücklich zum Austausch eingeladen.

Quellen / Faktencheck

Fortinet, FortiOS Release Notes / Technical Documentation: Ab FortiOS 7.6.3 ist SSL-VPN Tunnel Mode nicht mehr verfügbar und wird für Remote-Access-Tunnel durch IPsec VPN ersetzt. Der frühere SSL-VPN-Webmodus wird auf unterstützten Plattformen als Agentless VPN bezeichnet. Modellabhängige Einschränkungen sind vor einer Migration anhand der jeweiligen FortiOS Release Notes zu prüfen.

Redaktioneller Hinweis: Die Fortinet-Aussagen wurden für diese Fassung im August 2026 anhand aktueller Fortinet-Dokumentation bzw. Fortinet Technical Tips überprüft.