OpenVPN zu NetBird migrieren: MFA, Policies, Cutover

OpenVPN ablösen, ohne den Betrieb zu unterbrechen? WZ-IT plant und betreibt den Umstieg auf identitätsbasierten Zugriff - NetBird, IdP-Anbindung, Standorte und Maschinen, aus einer Hand. Managed Secure Access ansehen

OpenVPN läuft in vielen Unternehmen seit Jahren stabil - und genau das macht die Entscheidung schwer. Der Druck kommt selten von der Technik, sondern von fehlender Mehrfaktorauthentifizierung, fehlender Nutzerverwaltung und flachem Netzzugriff. Dieser Leitfaden zeigt den Umstieg auf NetBird als Ablauf: was mit Zertifikaten passiert, wie Identität und Richtlinien entstehen und wie der Cutover ohne Ausfall läuft. Stand Juli 2026.

Inhaltsverzeichnis

• Warum abgelöst wird
• Nachrüsten oder wechseln
• Was mit den Zertifikaten passiert
• Schritt für Schritt
• Standorte und Systeme ohne Client
• Cutover ohne Ausfall
• Fallstricke aus der Praxis

Warum abgelöst wird

OpenVPN ist ausgereift und quelloffen. Die Gründe für einen Wechsel liegen nicht in der Verschlüsselung, sondern in dem, was daneben fehlt:

• Keine zentrale Nutzerverwaltung. Identität ist das Zertifikat. Wer geht, dessen Zertifikat muss zurückgezogen werden - manuell, und über alle Server hinweg.
• MFA nur über Zusatzmodule. Möglich, aber angebaut: PAM-Plugin oder RADIUS mit OTP, jeweils mit eigenem Betrieb und eigenen Ausfallwegen.
• Flacher Zugriff nach der Einwahl. Wer im Tunnel ist, erreicht typischerweise ganze Netzsegmente. Die Trennung müsste die Firewall übernehmen und wird selten fein genug gepflegt.
• Ein exponierter Dienst. Der OpenVPN-Port ist von außen erreichbar und damit Teil der Angriffsfläche.

Dazu kommt der regulatorische Anlass: Das seit dem 6. Dezember 2025 geltende NIS2-Umsetzungsgesetz nennt Multi-Faktor-Authentifizierung ausdrücklich als Risikomanagementmaßnahme für wichtige und besonders wichtige Einrichtungen. Details in NIS2-konformer Fernzugriff.

Nachrüsten oder wechseln

Die ehrliche Antwort lautet: Es kommt darauf an, und beides ist legitim.

Nachrüsten reicht, wenn es wenige Zugänge gibt, alle Nutzer ohnehin dieselben Systeme brauchen und die Trennung über die Firewall überschaubar bleibt. Ein RADIUS mit OTP vor OpenVPN erfüllt die MFA-Anforderung.

Ein Wechsel lohnt, sobald mehrere Nutzergruppen unterschiedliche Ziele brauchen, externe Dienstleister und Maschinenzugänge dazukommen oder die Zertifikatsverwaltung anfängt, Zeit zu fressen. Dann löst das Overlay drei Probleme auf einmal statt eines.

Die Entscheidungsgrundlage zwischen den Protokollen liefert OpenVPN vs WireGuard; die Einordnung des Zielmodells Was ist ZTNA?.

Was mit den Zertifikaten passiert

Der häufigste Denkfehler ist, die PKI migrieren zu wollen. Sie wird abgelöst, nicht überführt:

Praktisch heißt das: Die bestehende PKI bleibt während der Parallelphase unangetastet in Betrieb und wird erst nach dem Cutover stillgelegt. Es gibt keinen Zwischenzustand, in dem beides gleichzeitig gepflegt werden müsste.

Schritt für Schritt

1. Bestandsaufnahme. Welche Zertifikate existieren, welchen Personen oder Systemen gehören sie, und worauf greift jedes zu? Erfahrungsgemäß taucht hier eine Reihe von Zertifikaten auf, die niemand mehr zuordnen kann - das sind die ersten Kandidaten für den Rückzug.

2. Control Plane und Identität. Die Steuerungsebene entsteht self-hosted oder als betriebener Dienst in der EU. Wichtiger ist der Identity Provider: NetBird bindet OIDC-fähige IdPs an, darunter die selbst hostbaren Authentik und Keycloak. Dort entstehen Nutzer, Gruppen und MFA.

3. Peers registrieren. Arbeitsplätze melden sich interaktiv über den IdP an. Alles Unbeaufsichtigte läuft über Setup Keys (Dokumentation): einmalig oder wiederverwendbar mit Limit, mit automatischer Gruppenzuweisung, auf Wunsch als ephemere Peers, die nach zehn Minuten Offline-Zeit automatisch verschwinden. Für Serverbestände gehört das in die Automatisierung.

4. Gruppen und Richtlinien. Jetzt entsteht die Trennung, die OpenVPN nicht hatte. Eine Policy definiert Quell- und Zielgruppe, Protokoll, Ports und Richtung (Dokumentation). Wichtig: Beim ersten Einrichten wird eine Default-Policy angelegt, die Verbindungen zwischen allen Peers erlaubt. Wer sie stehen lässt, hat den flachen Tunnel exakt nachgebaut. Sie gehört durch Regeln entlang der Tabelle aus Schritt 1 ersetzt.

Standorte und Systeme ohne Client

Wo bisher eine Route durch den Tunnel führte, übernimmt ein Routing Peer: ein NetBird-Peer im jeweiligen Subnetz, der zwischen Overlay und lokalem Netz vermittelt. Damit bleiben Legacy-Server, Drucker und Steuerungen erreichbar, ohne dass dort etwas installiert wird.

Ein Betriebsdetail: Das nötige ausgehende SNAT führt NetBird nur auf Linux-Routing-Peers selbst aus. Auf OPNsense oder pfSense muss es manuell konfiguriert werden - für Standortanbindungen ist ein Linux-Peer deshalb der ruhigere Weg.

Cutover ohne Ausfall

1. Pilot: eine unkritische Nutzergruppe, ein unkritisches Zielsystem - inklusive Prüfung, dass Richtlinien und Protokollierung greifen.
2. Gruppenweise umstellen. OpenVPN bleibt aktiv; wer Probleme hat, nutzt den alten Weg weiter.
3. Dienstleister und Maschinen zuletzt, weil sie die meiste Abstimmung brauchen.
4. Abschalten. Erst wenn über OpenVPN niemand mehr arbeitet, wird der Dienst deaktiviert und anschließend die PKI stillgelegt. Damit verschwindet der exponierte Port.

Ein sinnvoller Zwischenschritt: Vor dem Abschalten die OpenVPN-Verbindungen eine Woche lang protokollieren. Wer sich dann noch einwählt, wurde in der Bestandsaufnahme übersehen.

Fallstricke aus der Praxis

• Default-Policy stehen lassen. Der teuerste Fehler: Der Sicherheitsgewinn der Migration entsteht erst durch restriktive Regeln.
• Geteilte Zertifikate übernehmen. Sammelkonten lassen sich nicht mit MFA absichern und machen Protokollierung wertlos. Die Migration ist der Moment, sie aufzulösen.
• Push-Routen eins zu eins abbilden. Was OpenVPN als push route verteilt hat, war oft breiter als nötig. Statt es zu kopieren, gehört es entlang der tatsächlichen Zugriffe neu geschnitten.
• DNS vergessen. Interne Namensauflösung war im alten Tunnel oft mitgeliefert. Sie muss im neuen Netz bewusst gesetzt werden, sonst funktionieren IP-Zugriffe, aber keine Hostnamen.
• Zu früh abschalten. Der alte Zugang ist der Rückweg - bis die letzte Gruppe bestätigt migriert ist.

Wie die Zielarchitektur funktioniert, erklärt Was ist NetBird?. Steht statt OpenVPN eine Firewall-Appliance zur Ablösung an, führt FortiGate-SSL-VPN zu NetBird migrieren durch diesen Fall.