Standortvernetzung: Leitung, VPN und wer was liefert

So fängt das Thema an. Vorher hieß es Umzug oder Anbau, und dass zwei Gebäude auch zwei Netze sind, hat vorher niemand gefragt.

Wer dann nach Standortvernetzung sucht, findet drei Wörter: VPN, Richtfunk, Standleitung. Sie klingen wie drei Möglichkeiten, aus denen man eine wählt. Sie sind aber zwei verschiedene Ebenen, und ein Betrieb mit zwei Standorten braucht von beiden Ebenen etwas. Dazu kommt eine dritte Ebene, die mit Technik nichts zu tun hat: wer was tut.

Standleitung und Richtfunk sind die Leitung. Das Telekommunikationsgesetz kennt beide unter einem Begriff, dem Übertragungsweg: „Kabel- oder Funkverbindungen mit ihren übertragungstechnischen Einrichtungen als Punkt-zu-Punkt- oder Punkt-zu-Mehrpunkt-Verbindungen mit einem bestimmten Informationsdurchsatzvermögen“. Die Wörter Standleitung und Mietleitung kommen in dieser Vorschrift nicht vor. Es ist dasselbe Ding in zwei Bauarten, einmal Kabel und einmal Funk.

Das VPN ist die Verschlüsselung darauf. Das BSI beschreibt es im IT-Grundschutz so: „Ein VPN ist ein virtuelles Netz, das innerhalb eines anderen Netzes betrieben wird, jedoch logisch von diesem Netz getrennt ist.“

Im selben Absatz steht der Satz, der die Frage nach der Standleitung beantwortet. VPNs ermöglichen die sichere Authentisierung auch dann, „wenn mehrere Netze oder IT-Systeme über gemietete Leitungen oder öffentliche Netze miteinander verbunden sind“.

Gemietete Leitungen, das ist die Standleitung. Das BSI legt das VPN also ausdrücklich auch darauf. Ein Betrieb mit zwei Standorten braucht deshalb eine Leitung, egal in welcher Bauart, und dazu das VPN. Das folgt aus den drei Definitionen zusammen; die Fundstellen stehen unten bei den Quellen.

Anbieter beschreiben eine Standleitung mit drei Merkmalen. Die Bandbreite ist für einen Betrieb reserviert, sie ist dauerhaft geschaltet, und Upload und Download sind gleich schnell. Was sie kostet, sagt derselbe Anbieter nicht als Zahl. Die Kosten seien „variabel“ und hingen von Standort, Länge der Leitung, Bandbreite und Optionen ab. Deshalb steht hier auch kein Preis.

Richtfunk beschreibt die Bundesnetzagentur als „hochbitratige Übertragungswege zur drahtlosen Verbindung in Kommunikationsnetzen“, von Punkt zu Punkt. Vier Dinge daraus, alle von dort. Die Frequenzen werden „zum größten Teil einzeln zugeteilt“, man beantragt sie also bei der Behörde. Daneben gibt es allgemein zugeteilte Bereiche, für die das nicht gilt; die Behörde nennt das Grundstücksrichtfunk. Je höher die Frequenz, desto kürzer die Strecke, die sich damit überbrücken lässt. Und für eine Zuteilung fallen einmalig Gebühren und jährliche Beiträge an. Wie hoch, steht auf den gelesenen Seiten der Behörde nicht, und deshalb steht es auch hier nicht.

Was das BSI zu beidem sagt, ist schnell erzählt. Das Wort Richtfunk kommt im IT-Grundschutz-Kompendium, Edition 2023, kein einziges Mal vor. Standleitung genau einmal, als etwas, das im Segmentierungskonzept festzulegen ist. Wer Ihnen sagt, das BSI empfehle Richtfunk oder eine Standleitung, hat die Fundstelle nicht.

Eine Vorgabe macht das BSI trotzdem, und die trifft die Funkstrecke direkt. In der Sicherheitsrichtlinie für das Netz muss festgelegt werden, welche standortübergreifende Kommunikation erlaubt ist und „welche Verschlüsselung im WAN, LAN oder auf Funkstrecken erforderlich ist“. Richtfunk ist also keine Frage von sicher oder unsicher. Es ist eine Leitung, und ob darauf verschlüsselt wird, legen Sie fest. Dann läuft das VPN darüber wie über ein Kabel.

Ja. Das BSI legt das VPN ausdrücklich auch auf „gemietete Leitungen“, so steht es in der Definition des Bausteins. Und der Baustein ist für einen kleinen Betrieb vollständig erfüllbar: fünf Muss-Anforderungen, acht Soll-Anforderungen und keine einzige für erhöhten Schutzbedarf. Das steht dort wörtlich: „Für diesen Baustein sind keine Anforderungen für einen erhöhten Schutzbedarf definiert.“

Die fünf Muss-Punkte sind keine Gerätefragen. Zuerst die Planung: Verantwortlichkeiten für den Betrieb, Benutzergruppen und ihre Berechtigungen, und wie erteilte und entzogene Zugriffe dokumentiert werden. Das ist dieselbe Frage wie beim Berechtigungskonzept, nur mit einem zweiten Gebäude davor. Dann der Vertrag. Wer einen Dienstleister für das VPN nimmt, muss mit ihm messbare Zusagen schriftlich aushandeln. Und er muss regelmäßig prüfen, ob der Dienstleister sie einhält. Das trifft den Fall, dass Leitung und Verschlüsselung vom selben Anbieter kommen.

Dann die Installation. Braucht das Gerät Wartung, muss es dafür einen gültigen Wartungsvertrag geben. Nur qualifiziertes Personal darf die Komponenten installieren, und vor der Inbetriebnahme müssen Funktion und Sicherheitsmechanismen geprüft werden. Viertens die Konfiguration: festlegen, und dann regelmäßig kontrollieren, ob sie noch sicher ist. Fünftens die Zugänge. Regelmäßig prüfen, wer zugreifen kann. Nicht mehr benötigte Zugänge „zeitnah deaktivieren“. Und den Zugriff auf die Zeiten begrenzen, in denen er gebraucht wird. Wenn jemand geht, steht das VPN deshalb auf unserer Liste der Zugänge.

Eine Gefährdung nennt das BSI beim VPN ausdrücklich, und Sie kennen sie vom WLAN: werksseitig voreingestellte Passwörter, die nicht geändert werden. Dann „könnte das gesamte VPN und damit das interne Netz der Institution angegriffen werden“. Derselbe Befund an einem anderen Gerät, und er steht bei uns schon unter WLAN im Büro.

Das ist der Satz, der beim Planen am meisten spart. Das BSI empfiehlt, dass „die Teilnetze definiert werden, die über das VPN erreichbar sind“. Ein Standort-VPN muss also nicht das ganze Netz durchreichen. Die Halle bekommt die Aufträge und den Drucker, aber nicht die Buchhaltung, wenn dort niemand Buchhaltung macht.

Der Baustein unterscheidet dabei zwei Einsatzfälle, und beide laufen über dasselbe Gerät: „die Vernetzung unterschiedlicher Standorte und die Anbindung von mobilen Mitarbeitenden oder Telearbeitsplätzen“. Diese Seite handelt vom ersten Fall, Standort zu Standort. Der zweite ist der Außendienstler mit dem Laptop und die Kollegin im Homeoffice. Dafür gilt beim BSI ein eigener Satz: Der Zugriff von außen ins interne Netz muss über einen sicheren Kanal laufen, beschränkt auf vertrauenswürdige Geräte und Benutzer. Wie das mit zweitem Faktor aussieht, steht bei uns unter IT-Sicherheit, und für Handys unter Diensthandy.

Zur Leitung selbst verlangt die Netzplanung des BSI zwei Dinge: „Dimensionierung und Redundanz“ der Übertragungsstrecken und Außenanbindungen. Dimensionierung heißt Bandbreite. Wie Sie Ihre heutige Leitung ausmessen, steht bei uns unter Server für kleine Unternehmen. Hier steht, welche Leitung Sie danach bestellen und was darauf läuft.

Redundanz heißt eine zweite Anbindung. Das BSI empfiehlt, sie „bedarfsabhängig mit unterschiedlicher Technik“ umzusetzen, also zum Beispiel Kabel und Funk nebeneinander. Das ist dort eine Anforderung bei erhöhtem Schutzbedarf, für einen Betrieb ohne diesen Bedarf also eine Möglichkeit und keine Pflicht. Was ein Tag ohne Verbindung bei Ihnen kostet, rechnet der IT-Ausfall-Rechner aus. Danach wissen Sie, ob Sie die zweite Leitung wollen.

Die Leitung buchen Sie beim Provider. Das machen wir nicht selbst. Wir bauen VPNs auf. Bei der Leitung können wir auch beraten, damit wir sicherstellen, dass die richtige Leitung angeschlossen wird. Und bei den ganzen Rahmenbedingungen, der Installation, der Planung und der Inbetriebnahme können wir helfen. Für Richtfunk haben wir Partner, die das übernehmen.

Damit ist die dritte Ebene von oben verteilt: der Provider für die Leitung, ein Partner für Richtfunk, wir für das VPN und für den Weg dorthin. Was sonst dazugehört, wenn Sie einen zweiten Standort aufmachen, steht bei unseren Leistungen.

Das BSI empfiehlt, das VPN in die Firewall zu legen: „Die VPN-Komponenten SOLLTEN in die Firewall integriert werden.“