Der Zweck eines VPN ist schnell erklärt: Mit einem Virtuellen Privaten Netz (VPN) lassen sich schutzbedürftige Daten über nicht vertrauenswürdige Netze wie das Internet übertragen. Anwendungsfälle für VPN gibt es viele, sei es die Nutzung öffentlicher WLAN-Hotspots in Hotels oder am Bahnhof, sei es der Zugriff auf das Unternehmensnetzwerk vom Homeoffice aus.
Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die Aufsichtsbehörden für den Datenschutz nennen VPNs regelmäßig unter ihren Sicherheitsempfehlungen, zum Beispiel für die Arbeit im Homeoffice.
Sicherheits-Hinweise für das Homeoffice und den VPN-Einsatz
Wer sich die Tipps genau ansieht, stellt fest, dass die Behörden den Verantwortlichen nicht einfach VPN ans Herz legen, sondern eine sichere VPN-Lösung. Offensichtlich garantiert VPN allein nicht ohne Weiteres Datensicherheit. Die Empfehlungen der Aufsichtsbehörden und des BSI für Datensicherheit und Datenschutz im Homeoffice geben daher weitere Hinweise für einen sicheren VPN-Einsatz. Hier finden Sie einige Beispiele:
- Empfehlungen zum sicheren mobilen Arbeiten im Homeoffice des BSI: https://ogy.de/bsi-empfehlungen-homeoffice
- Datenschutzrechtliche Regelungen bei Homeoffice, Bayerisches Landesamt für Datenschutzaufsicht (BayLDA): https://ogy.de/baylda-checkliste-homeoffice
- Good Practice bei technischen und organisatorischen Maßnahmen, BayLDA: https://ogy.de/baylda-checkliste-tom
Sicherheit hängt auch vom VPN-Betreiber selbst ab
Doch als Verantwortlicher eine VPN-Lösung richtig einzusetzen, reicht leider immer noch nicht. Denn die VPN-Lösung an sich kann bereits ein Risiko darstellen.
Warum es auch auf die jeweiligen VPN-Lösungen und ihre Betreiber ankommt, ist schnell verständlich, sieht man sich die Funktion von VPNs genauer an. Erläutern Sie in einer Datenschutzunterweisung deshalb, wie VPNs genau arbeiten. Das macht deutlicher, warum ein Unternehmen nicht einfach jeden VPN-Dienst nutzen sollte, der sich im Internet anpreist.
So arbeiten VPN-Lösungen
VPNs bilden verschlüsselte „Tunnelverbindungen“ zwischen dem Endgerät des Nutzers und dem Ziel der digitalen Kommunikation, so heißt es.
Doch tatsächlich handelt es sich gar nicht um einen durchgehenden Tunnel:
- Das Endgerät, also z.B. der Laptop im Homeoffice, stellt eine Verbindung zum VPN-Server her. Das ist der erste Abschnitt des Tunnels.
- Dann verbindet der VPN-Server zum Ziel der Datenübertragung, also z.B. ins Unternehmensnetzwerk. Das ist der zweite Teil.
- Die Verschlüsselung übernimmt der VPN-Dienst. Das schottet die übertragenen Daten vom restlichen, offenen Internet ab.
- Die Daten sind allerdings nicht gegen den Betreiber des VPN-Dienstes abgeschottet. Denn der Betreiber hat ja in aller Regel die Hoheit über die Verschlüsselung. Das ist entscheidend für das Verständnis.
VPN-Nutzung ist Vertrauenssache
Zentral ist also, einen vertrauenswürdigen VPN-Betreiber zu finden. Dazu schreibt das BSI: „Zu beachten ist dabei allerdings, dass für ausländische Server kein deutsches Datenschutzrecht gilt. In vielen Ländern außerhalb der Europäischen Union haben Datenschutz und informationelle Selbstbestimmung bei weitem nicht den Stellenwert wie hierzulande. Generell ist die Auswahl eines VPN-Anbieters Vertrauenssache. Denn Ihr gesamter Datenverkehr läuft über dessen Server und könnte dort theoretisch überwacht und manipuliert werden.“
Unternehmen müssen damit genau prüfen, welchen VPN-Dienst sie betrieblich nutzen und freigeben. Auch jeder Nutzer sollte dies beachten, sofern die Wahl der VPN-Lösung in den eigenen Händen liegt. Wie weit das Spektrum bei VPN-Lösungen reichen kann, zeigen diese Beispiele.
Schlechtes Beispiel: VPN-Dienst für Cyberkriminelle
Strafverfolgungs- und Justizbehörden in Europa, den USA und Kanada hatten Ende Juni 2021 die Webdomains und die Server-Infrastruktur von DoubleVPN beschlagnahmt. DoubleVPN war ein virtueller privater Netzwerkdienst, der Cyberkriminellen einen sicheren Hafen bot, um ihre Opfer anzugreifen, so Europol.
Die Behörden beschlagnahmten auf der ganzen Welt Server, auf denen DoubleVPN Inhalte gehostet hatte, und ersetzten die Webdomains durch eine Seite der Strafverfolgungsbehörden.
DoubleVPN wurde sowohl in russisch- als auch in englischsprachigen Untergrundforen zur Cyberkriminalität stark beworben, um den Standort und die Identität von Ransomware-Betreibern und Phishing-Betrügern zu verschleiern. Der Dienst behauptete, ein hohes Maß an Anonymität zu bieten, indem er seinen Kunden einfache, doppelte, dreifache und sogar vierfache VPN-Verbindungen anbot.
DoubleVPN hatten Internetkriminelle verwendet, um Netzwerke auf der ganzen Welt zu kompromittieren. Die günstigste VPN-Verbindung kostete nur 22 Euro.
Gutes Beispiel: Hochsicherheits-VPN
Am anderen Ende agieren abhörsichere Hochsicherheits-VPN-Router. Sie sind speziell geeignet für die VPN-Anbindung von Behörden, Dezernaten und weiteren kritischen Infrastrukturen. Der Anbieter Lancom wirbt beispielsweise damit, standortübergreifenden Netzen und kritischen Infrastrukturen BSI-zertifizierten Schutz vor Cyber-Kriminalität und Webangriffen zu bieten.
Die Hochsicherheit der Lancom-CC-Router hat das BSI im Rahmen eines Prüfverfahrens mit der Stufe CC EAL 4+ zertifiziert (https://www.lancom-systems.de/pdf/techpapers/LANCOM_Techpaper__CC-gepruefte_Router.pdf). Bei Common Criteria (CC) handelt es sich um einen international anerkannten Standard zur Zertifizierung von Hard- und Software im Bereich Datensicherheit.
Weiteres Beispiel: VPN mit Zusatzfunktionen
Der Anbieter Atlas VPN zum Beispiel hat eine Datenschutzfunktion namens SafeSwap, die die Anonymität seiner Benutzer weiter verbessern soll. Die Funktionalität ermöglicht es Benutzern, viele rotierende IP-Adressen zu verwenden, ohne zwischen verschiedenen VPN-Servern wechseln zu müssen.
Rotierende IP-Adressen
Im Gegensatz zu regulären Servern verfügen die SafeSwap-Server über einen Pool unterschiedlicher IP-Adressen. Sobald sich ein Benutzer mit einem dieser Server verbindet, wird sein ausgehender Datenverkehr über mehrere IP-Adressen geleitet, die ständig und automatisch ohne Geschwindigkeitsverlust für seine Online-Sitzungen wechseln, so der Anbieter. Das erschwert es „Schnüfflern“, die Online-Aktivitäten der Benutzerinnen und Benutzer auszuspionieren.
Tracker Blocker
Ebenso hat Atlas VPN eine Funktion namens Tracker Blocker eingeführt, um seinen Nutzern noch mehr Kontrolle über ihre Online-Privatsphäre zu geben. Die Funktion will Datenbroker davon abhalten, Tracker von Drittanbietern zu verwenden, um Erkenntnisse über die Online-Aktivitäten der Benutzer und Benutzerinnen zu sammeln.
Dadurch, dass die Lösung Drittanbieter-Tracker blockiert und verhindert, dass Anzeigen und Pop-ups geladen werden, verbessert Tracker Blocker auch die Ladezeit der Seite und schont die Akkulaufzeit des Geräts sowie die mobilen Daten, so verspricht der Anbieter.
VPN-Anbieter können zur Sicherheits-Lücke werden
Das BSI warnt ausdrücklich vor unsicheren VPN-Dienstleistern: Hat eine Institution einen VPN-Dienstleister nicht sorgfältig ausgewählt, könnte das das gesamte Netz der Institution unsicher machen. So könnten Angreifer etwa einen VPN-Zugang, den ein Dienstleister unsicher anbietet, nutzen, um gezielt Informationen zu stehlen.
Zum anderen gilt es, dem Betreiber so manche Vertrauensfrage zu stellen: Welchem Datenschutzrecht unterliegt er? Hat er anerkannte Sicherheits- und Datenschutzzertifizierungen? Wie sieht die Datenschutzerklärung aus, wie die Vertragsbedingungen? Welche Service Level Agreements bietet er an? Gibt es positive Referenzen?
