VPN ablösen: vom klassischen VPN zu Zero Trust und Mesh-VPN

Sie wollen Ihr Firmen-VPN ablösen, aber das Zielmodell steht noch nicht fest? Der Secure-Access-Check von WZ-IT nimmt Ihren heutigen Fernzugriff auf und liefert Zielmodell, Produktwahl, Migrationspfad und ein Festpreisangebot für die Umstellung, ab 1.490 € netto. Der Betrag wird auf die Umstellung angerechnet. Kostenloses Erstgespräch vereinbaren

Das klassische Firmen-VPN stammt aus einer Zeit, in der Mitarbeitende, Server und Anwendungen in einem gemeinsamen Netz standen. Ein Gateway am Rand des Netzes prüft die Anmeldung und öffnet danach den Zugang zu einem ganzen Segment. Heute arbeiten Mitarbeitende von unterwegs, Anwendungen laufen in mehreren Rechenzentren, und externe Dienstleister brauchen Zugang zu einzelnen Systemen. Gleichzeitig gehören die VPN-Gateways selbst zu den am häufigsten angegriffenen Systemen.

Dieser Leitfaden ordnet ein, wann sich die Ablösung lohnt, welche Zielmodelle es gibt, wie sich selbst betriebene und Cloud-Lösungen unterscheiden und in welcher Reihenfolge die Umstellung gelingt, ohne den Betrieb zu unterbrechen. Stand Oktober 2026.

Das Wichtigste in Kürze:

1. Zero Trust ist ein Architekturprinzip, kein Produkt. Zugriff wird je Anwendung oder Ziel und nach Identität vergeben, nicht nach Netzwerkstandort.
2. VPN-Gateways mehrerer großer Hersteller standen seit 2023 wiederholt im CISA-Katalog aktiv ausgenutzter Schwachstellen.
3. Es gibt vier Zielmodelle: Cloud-ZTNA, selbst betriebenes Mesh-VPN, reines WireGuard für Standorte und das Veröffentlichen einzelner Anwendungen.
4. Die Ablösung läuft gruppenweise im Parallelbetrieb. Das alte Gateway wird zuletzt abgeschaltet.
5. Die Bestandsaufnahme entscheidet über den Erfolg, nicht die Produktwahl.

Inhaltsverzeichnis

1. Warum Unternehmen ihr VPN ablösen
2. Schwachstellen in VPN-Gateways seit 2023
3. Zero Trust: was das Prinzip verlangt
4. Die vier Zielmodelle im Vergleich
5. Produktwahl: selbst betrieben oder als Cloud-Dienst
6. Bestandsaufnahme: was vor der Ablösung geklärt sein muss
7. Migrationspfad: vom Parallelbetrieb zur Abschaltung
8. NIS2 und Zugriffskontrolle
9. Verbreitete Irrtümer
10. Unser Vorgehen bei WZ-IT
11. Weiterführende Guides

Warum Unternehmen ihr VPN ablösen

Die Gründe lassen sich in vier Gruppen ordnen. Meist kommen zwei oder drei zusammen.

Eine Herstelleränderung erzwingt ohnehin eine Umstellung. Wer dann neu konfigurieren muss, prüft sinnvollerweise zuerst, ob das bisherige Modell noch das richtige ist.

Schwachstellen in VPN-Gateways seit 2023

Die folgende Auswahl zeigt Lücken in Remote-Access-Gateways, die die US-Cybersicherheitsbehörde CISA in ihren Katalog aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen hat. Die CVSS-Werte stammen aus der NVD, abweichende Herstellerwerte stehen dabei.

Für zwei dieser Fälle hat CISA Notfallanweisungen an US-Bundesbehörden erlassen: ED 24-01 vom 19.01.2024 zu Ivanti und ED 25-03 vom 25.09.2025 zu Cisco. Den Ablauf der Cisco-Kampagne beschreibt der Beitrag Cisco ASA, ArcaneDoor und CVE-2025-20362, die Lage bei Fortinet der Beitrag FortiGate-SSL-VPN-Risiko 2026.

Die Tabelle ist keine Aussage über einen einzelnen Hersteller. Sie zeigt ein Muster: Ein Gerät, das am Internet-Rand Verbindungen ohne vorherige Anmeldung annimmt und komplexe Protokolle verarbeitet, ist ein lohnendes Ziel, unabhängig vom Hersteller.

Zero Trust: was das Prinzip verlangt

Das US-Normungsinstitut NIST beschreibt Zero Trust in SP 800-207 (August 2020) mit einem Satz: Es wird kein implizites Vertrauen gewährt, das allein auf dem physischen oder Netzwerkstandort beruht. Wer im Firmennetz sitzt, ist damit nicht automatisch berechtigt.

Das Zero Trust Maturity Model 2.0 der CISA (April 2023) gliedert die Umsetzung in fünf Säulen: Identität, Geräte, Netzwerke, Anwendungen und Workloads sowie Daten. Das BSI hält in seinem Positionspapier Zero Trust 2023 fest, dass Zero-Trust-Ansätze Anwendungszugriffe präventiv besser absichern und das Schadensausmaß von Angriffen reduzieren.

Für den Fernzugriff übersetzt sich das in vier Anforderungen:

• Identität vor Zugriff: Anmeldung über einen zentralen Identitätsdienst mit Mehrfaktor, etwa Keycloak oder authentik.
• Zugriff je Ziel: Richtlinien legen fest, welche Gruppe welche Anwendung oder welches System erreicht, nicht welches Netz.
• Gerätezustand: Zugriff nur von Geräten, die festgelegte Bedingungen erfüllen, etwa Betriebssystemversion oder aktiver Virenschutz.
• Protokollierung: Nachvollziehbar, wer wann worauf zugegriffen hat.

Eine ausführliche Begriffsklärung steht im Wissensartikel Was ist ZTNA?.

Die vier Zielmodelle im Vergleich

In der Praxis werden die Modelle kombiniert. Häufig ist ein Mesh-VPN für Mitarbeitende, Administratoren und Dienstleister, ergänzt um WireGuard-Tunnel zwischen Rechenzentren und um einzelne veröffentlichte Webanwendungen. Wie interne Dienste ohne VPN-Client erreichbar werden, beschreibt der Beitrag NetBird Reverse Proxy.

Produktwahl: selbst betrieben oder als Cloud-Dienst

Die Grundsatzfrage lautet: Wo laufen Steuerungsebene und Verbindungsdaten? Bei Cloud-ZTNA liegen beide beim Anbieter, bei selbst betriebenen Lösungen auf eigener Infrastruktur oder bei einem Betreiber Ihrer Wahl.

Quellen: GitHub, NetBird, NetBird Pricing, Self-Hosted, GitHub, Headscale, Tailscale Pricing, WireGuard, WireGuard 1.0.0 für Linux 5.6, OpenVPN Access Server Pricing. Stand Oktober 2026.

Einige Punkte, die in Vergleichen oft untergehen:

• NetBird Community Edition ist laut Hersteller ohne Begrenzung bei Nutzern und Geräten nutzbar. Der Commercial Starter ergänzt Hochverfügbarkeit, Provisionierung über SCIM, Gerätefreigaben und E-Mail-Support. Was das in Zahlen bedeutet, beschreibt der Beitrag NetBird Self-Hosting-Lizenz. Aktuell ist NetBird v0.80.0 vom 01.10.2026.
• Headscale bildet laut README genau ein Tailnet ab und richtet sich an private Nutzung oder kleine Open-Source-Organisationen. Aktuell ist v0.29.4 vom 23.09.2026.
• Kosten je Nutzer steigen mit jeder Person und jedem Dienstleister. Ab welcher Größe sich ein Fixpreis rechnet, zeigt der Beitrag Tailscale-Preise 2026.

Sechs Mesh-VPN-Lösungen mit Bauart, Lizenz und Preisen vergleicht der Beitrag Mesh-VPN im Vergleich 2026.

Bestandsaufnahme: was vor der Ablösung geklärt sein muss

Die meisten Probleme bei einer VPN-Ablösung entstehen nicht im neuen Produkt, sondern durch Zugriffe, die niemand auf dem Zettel hatte. Die Bestandsaufnahme klärt deshalb zuerst, was das heutige VPN tatsächlich leistet.

Aus der Bestandsaufnahme entsteht eine Zugriffsmatrix: Gruppe, Ziel, Protokoll, Bedingung. Sie ist die Vorlage für die Richtlinien im neuen System und zugleich die Dokumentation für Nachweise.

Migrationspfad: vom Parallelbetrieb zur Abschaltung

Die Umstellung folgt einem festen Ablauf. Altes VPN und neues Modell laufen parallel, bis die letzte Gruppe umgezogen ist.

1. Identitätsdienst vorbereiten. Gruppen anlegen oder aus dem Verzeichnis übernehmen, Mehrfaktor für alle Gruppen aktivieren.
2. Steuerungsebene aufbauen. Selbst betrieben auf eigener Infrastruktur oder beim Betreiber, mit Sicherung und Überwachung. Bei Bedarf hochverfügbar.
3. Richtlinien aus der Zugriffsmatrix übertragen. Je Gruppe nur die Ziele freigeben, die sie braucht. Gerätebedingungen ergänzen.
4. Pilotgruppe umstellen. Meist die IT selbst. Erfahrungen mit Clients, Namensauflösung und Anwendungen fließen in die Anleitung für alle.
5. Gruppen nacheinander umziehen. Mitarbeitende, Administratoren, Dienstleister, jeweils mit kurzer Anleitung. Bei Problemen bleibt das alte VPN als Rückfallebene.
6. Standorte anbinden. Site-to-Site-Tunnel auf WireGuard oder auf das Mesh-VPN umstellen, die Anleitung dazu steht im Wissensartikel zur WireGuard-Standortanbindung.
7. Altes Gateway abschalten. Wenn die Protokolle keine Verbindungen mehr zeigen, werden die Zugänge deaktiviert, die Portfreigaben am Internet-Rand geschlossen und die Lizenzen gekündigt.

Für die häufigsten Ausgangslagen gibt es Schritt-für-Schritt-Anleitungen: OpenVPN zu NetBird migrieren und FortiGate SSL-VPN zu NetBird migrieren.

NIS2 und Zugriffskontrolle

Die NIS2-Richtlinie verlangt in Art. 21 Abs. 2 unter anderem Konzepte für die Zugriffskontrolle (Buchstabe i) und die "Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung" (Buchstabe j). In Deutschland ist das NIS2-Umsetzungsgesetz vom 02.12.2025 am 06.12.2025 in Kraft getreten (BGBl. 2025 I Nr. 301), die Anforderung aus Buchstabe j findet sich in § 30 Abs. 2 Nr. 10 BSIG.

NIS2 schreibt kein Produkt und kein Zugriffsmodell vor. Ein identitätsbasiertes Modell mit Richtlinien je Gruppe, Mehrfaktor und Protokollierung liefert aber genau die Nachweise, nach denen gefragt wird: wer Zugang hat, auf welcher Grundlage, und wer wann worauf zugegriffen hat.

Kein Rechtsrat. Ob und wie NIS2 für Ihr Unternehmen gilt, klären Sie mit Ihrer Rechts- oder Compliance-Beratung. Markennamen gehören ihren Inhabern.

Verbreitete Irrtümer

Unser Vorgehen bei WZ-IT

WZ-IT begleitet die Ablösung von der Bestandsaufnahme bis zum Betrieb. Jeder Schritt hat ein festes Ergebnis.

1. Secure-Access-Check. Der Secure-Access-Check kostet ab 1.490 € netto. Ergebnis sind die Bestandsaufnahme mit Zugriffsmatrix, das Zielmodell, die Produktwahl mit Begründung, der Migrationspfad und ein Festpreisangebot für den VPN-Migrations-Sprint. Wenn ein Cloud-Dienst oder ein anderes Produkt besser passt, steht das in der Empfehlung. Der Betrag wird auf die Umstellung angerechnet, wenn Sie diese innerhalb von 6 Monaten zum selben Thema beauftragen.
2. VPN-Migrations-Sprint. Im VPN-Migrations-Sprint ab 2.490 € netto setzen wir Identitätsanbindung, Steuerungsebene und Richtlinien um, stellen Pilotgruppe, Gruppen, Dienstleister und Standorte um und schalten das alte Gateway ab.
3. Betrieb. Mit Managed NetBird ab 349,90 € netto im Monat übernehmen wir Updates, Sicherung, Überwachung und Support der Steuerungsebene. Alle Leistungen rund um den Fernzugriff stehen unter VPN-Services.

WZ-IT ist offizieller NetBird-Reseller. Lizenzen für Commercial Starter und Enterprise beziehen Sie über WZ-IT. Im Betrieb durch WZ-IT kommt Unterstützung über den E-Mail-Support des Herstellers hinaus dazu.

Weiterführende Guides

• FortiGate-SSL-VPN-Risiko 2026, warum exponierte VPN-Appliances zur Belastung werden.
• Cisco ASA, ArcaneDoor und CVE-2025-20362, der Ablauf einer Kampagne gegen VPN-Gateways.
• Mesh-VPN im Vergleich 2026, sechs Lösungen mit Bauart, Lizenz und Preisen.
• NetBird Self-Hosting-Lizenz, was der Commercial Starter freischaltet.
• Tailscale-Preise 2026, wann Selbstbetrieb günstiger ist.
• Was ist ZTNA?, die Begriffe im Wissensbereich.
• VPN-Services, alle Leistungen von WZ-IT zum Fernzugriff.

VPN ablösen, ohne den Betrieb zu unterbrechen. Wir nehmen Ihren Fernzugriff auf, empfehlen Zielmodell und Produkt und stellen Gruppe für Gruppe um, bis das alte Gateway abgeschaltet ist. Kostenloses Erstgespräch vereinbaren

Quellen

• NIST SP 800-207, Zero Trust Architecture
• CISA, Zero Trust Maturity Model
• BSI, Zero Trust
• NVD, CVE-2023-4966
• NVD, CVE-2023-46805
• NVD, CVE-2024-21887
• NVD, CVE-2024-21762
• NVD, CVE-2024-3400
• NVD, CVE-2025-0282
• NVD, CVE-2025-5777
• NVD, CVE-2025-20362
• NVD, CVE-2025-20333
• CISA, Advisory AA23-325A
• CISA, Emergency Directive 24-01
• CISA, Emergency Directive 25-03
• Fortinet, FortiOS 7.6.3 Release Notes: SSL VPN tunnel mode replaced with IPsec VPN
• Microsoft Learn, Deprecated features for Windows client
• GitHub, NetBird
• NetBird Pricing, Self-Hosted
• GitHub, Headscale
• Tailscale Pricing
• WireGuard
• WireGuard 1.0.0 für Linux 5.6
• OpenVPN Access Server Pricing
• Richtlinie (EU) 2022/2555 (NIS2)
• BGBl. 2025 I Nr. 301, NIS2-Umsetzungsgesetz