Sobald ein Unternehmen mehr als einen Standort betreibt, etwa eine Zweigstelle, ein Lager oder ein zweites Büro, stellt sich eine andere Frage als beim einzelnen Homeoffice-Arbeitsplatz: Wie werden diese Standorte dauerhaft und sicher miteinander verbunden, statt jeden Mitarbeiter einzeln anzubinden. Die Antwort darauf ist eine Standortvernetzung über Site-to-Site-VPN, eine Technik, die sich deutlich von der einfachen VPN-Verbindung für einen einzelnen Homeoffice-Platz unterscheidet.
Der Unterschied zur Einzelplatz-Anbindung
Bei einer klassischen VPN-Verbindung meldet sich ein einzelnes Gerät, etwa ein Notebook im Homeoffice, aktiv am Firmennetz an, meist ausgelöst durch den Mitarbeiter selbst. Bei einer Site-to-Site-Verbindung verbinden sich dagegen zwei komplette Netzwerke dauerhaft miteinander, ohne dass einzelne Mitarbeiter etwas dafür tun müssen.
Für die Mitarbeiter am zweiten Standort fühlt sich das an, als säßen sie im selben Netzwerk wie ihre Kollegen in der Zentrale. Sie greifen auf denselben Server, dieselben freigegebenen Ordner und dieselbe interne Telefonanlage zu, ohne dafür eine separate VPN-Software auf jedem einzelnen Gerät einrichten zu müssen.
Warum eine ungeplante Standortanbindung riskant ist
Ohne eine durchdachte Site-to-Site-Lösung behelfen sich manche Betriebe mit provisorischen Konstruktionen: einzelne freigegebene Ports auf einen internen Server, damit die Zweigstelle irgendwie zugreifen kann. Genau solche offenen Ports gehören zu den häufigsten Funden bei der Prüfung fremder Netzwerke und stellen ein erhebliches Sicherheitsrisiko dar.
Eine sauber eingerichtete Site-to-Site-Verbindung verschlüsselt den gesamten Datenverkehr zwischen den Standorten und ersetzt diese einzelnen offenen Ports durch einen einzigen, kontrollierten und überwachten Tunnel zwischen den beiden Netzwerken.
Was für eine sichere Standortvernetzung nötig ist
Eine belastbare Verbindung zwischen zwei oder mehr Unternehmensstandorten braucht mehr als nur zwei Router, die sich verbinden können. Damit sie im Alltag zuverlässig funktioniert und im Ernstfall nicht zum eigenen Risiko wird, gehören mehrere Punkte dazu:
- Verschlüsselte Verbindung zwischen den Standorten, statt einzelner offener Ports
- Ausreichend stabile Internetanbindung an beiden Standorten für den laufenden Datenverkehr
- Eine klare Regelung, welche internen Systeme vom jeweils anderen Standort aus erreichbar sein sollen
- Redundanz oder zumindest eine schnelle Wiederherstellung, falls die Verbindung ausfällt
- Eine laufende Dokumentation, welche Standorte wie miteinander verbunden sind
Wann sich eine Standortvernetzung lohnt
Nicht jedes Unternehmen mit einer zweiten Adresse braucht sofort eine vollständige Site-to-Site-Anbindung. Wird der zweite Standort nur gelegentlich genutzt oder greift dort niemand auf zentrale Systeme zu, reicht oft eine einfachere Lösung aus. Sobald aber regelmäßig auf denselben Server, dieselbe Kundenverwaltung oder dieselbe interne Telefonanlage zugegriffen werden muss, wird eine dauerhafte, sichere Verbindung schnell zur Grundvoraussetzung für einen reibungslosen Betrieb.
Auch bei einem Lager oder einer Produktionsstätte, die getrennt vom Bürostandort liegt, aber dieselbe Warenwirtschaft nutzt, ist eine feste Standortanbindung meist sinnvoller als einzelne, provisorische Zugänge für jeden Mitarbeiter dort.
Die Rolle des Netzwerks an beiden Enden
Eine Site-to-Site-Verbindung ist immer nur so zuverlässig wie das Netzwerk an ihren beiden Enden. Ist die interne Struktur an einem der Standorte unklar dokumentiert oder ungeordnet gewachsen, überträgt sich diese Unordnung auf die gesamte Verbindung, auch wenn der eigentliche Tunnel zwischen den Standorten technisch sauber eingerichtet ist.
Vor der Einrichtung einer Standortvernetzung lohnt sich deshalb ein Blick auf beide beteiligten Netzwerke, nicht nur auf die Verbindung dazwischen. Häufig zeigt genau diese Prüfung, dass an einem der Standorte ohnehin grundlegende Netzwerkarbeiten anstehen.
Zugriffsrechte auch über Standorte hinweg klar regeln
Sind zwei Standorte einmal verbunden, sollte trotzdem nicht automatisch jeder Mitarbeiter am zweiten Standort auf alles zugreifen können, was am ersten Standort liegt. Eine Site-to-Site-Verbindung schafft die technische Möglichkeit zum Zugriff, ersetzt aber nicht die Frage, wer diesen Zugriff tatsächlich braucht.
Sinnvoll ist deshalb, Zugriffsrechte weiterhin nach Aufgabe statt nach Standort zu vergeben, etwa über dieselbe Rechtestruktur, die auch innerhalb eines einzelnen Standorts gilt. So bleibt die Verbindung zwischen den Standorten ein reines Werkzeug, ohne dass sie versehentlich weitreichendere Zugriffe eröffnet als beabsichtigt.
Fazit
Eine Site-to-Site-VPN-Verbindung verbindet mehrere Unternehmensstandorte dauerhaft und sicher zu einem gemeinsamen Netzwerk, ganz anders als die einzelne VPN-Verbindung für einen Homeoffice-Arbeitsplatz. Wer mehrere Standorte betreibt und regelmäßig auf dieselben zentralen Systeme zugreift, kommt an einer solchen Lösung kaum vorbei, wenn offene Ports und provisorische Zugänge kein Dauerzustand bleiben sollen. Wie eine solche Anbindung technisch aufgebaut wird, zeigt die Seite zur Netzwerktechnik für Unternehmen in Wien.