Warum die US-Regierung und Microsoft vor VPNs warnen

Die Cybersecurity and Infrastructure Security Agency (CISA) des US-Ministeriums für Innere Sicherheit hat kürzlich die Rahmenbedingungen für ein sicheres Work-from-Home(WFH)-Erlebnis für Bundesbeamte festgelegt. Damit hat es zu einem kritischen Zeitpunkt einen entscheidenden Schritt unternommen. In ihren neuen Richtlinien für Regierungsbehörden, die heute mehr Remote-Mitarbeiter beschäftigen als jemals zuvor, betont die Leitung der CISA die Bedeutung von Zero-Trust-Konzepten.

Wie Federal News Network berichtet, zielen die Richtlinien darauf ab, „die Latenz bei der Rückverbindung mit Behördennetzwerken über virtuelle private Netzwerke und der Verbindung mit von Regierungsbehörden genutzten Cloud-Services wie Office 365 zu verringern.“ Anders ausgedrückt: Die Regierung möchte Behörden eine Reihe neuer Best Practices zur Verfügung stellen, damit diese während der Corona-Pandemie eine überzeugende und sichere Anwendererfahrung bieten können.

Als Sicherheitsrichtlinie für Remote-Arbeitsumgebungen markiert diese Orientierungshilfe einen deutlichen und dringend notwendigen Wendepunkt. Es ist das erste Mal, dass Cybersicherheitsverantwortliche der Regierung sich für einen Zero-Trust-Ansatz zur sicheren Verbindung von Remote-Usern aussprechen. Mit Zero Trust lässt sich die Angriffsfläche erheblich reduzieren, da autorisierte Personen direkt mit der jeweiligen Unternehmensanwendung verbunden werden. Dabei erfolgt der Zugriff über einen Cloud-Service wie Zscaler Private Access (ZPA) ohne Umweg über das Netzwerk. Frühere staatliche Richtlinien sahen vor, dass Verbindungen durch das Netzwerk zurückgeleitet werden. Daraus ergaben sich deutliche Verzögerungen bei der User Experience und hohe Sicherheitsrisiken.
 

VPN als Sicherheitsrisiko für Regierung und Gesundheitsbehörden

Die neuen staatlichen Richtlinien weisen zudem erneut auf die Risiken hin, die von VPNs ausgehen und denen mit der gebotenen Vorsicht begegnet werden muss. Erst vor wenigen Wochen machte die CISA auf die Gefahren bei VPN-basierter Sicherheit aufmerksam und Microsoft Security warnte Krankenhäuser, die auf VPNs setzen, vor dem damit einhergehenden Risiko von Ransomware-Angriffen.

Es kann nicht genug betont werden, wie wichtig die Berücksichtigung solcher Expertenempfehlungen beim Einsatz von VPNs in Behörden und Unternehmen ist. Gleichzeitig erscheint dieser Fokus auf VPN in einer zunehmend Cloud-orientierten Welt kaum noch zeitgemäß. Die CISA gibt Anwendern umfangreiche Ratschläge zur VPN-Absicherung an die Hand, die unter anderem folgende Bereiche abdecken: Aktualisierung von Software-Patches und Sicherheitskonfigurationen aller VPNs und Geräte, die sich mit dem System verbinden, sowie der gesamten Netzwerkinfrastruktur; Gewährleistung schneller Überwachung, Erkennung, Reaktionen und Wiederherstellung im Zusammenhang mit Angriffen; Implementierung von Multifaktorauthentifizierung; Testen der Nutzungsbeschränkungen des Systems zur Festlegung von Ratenbegrenzungen für bevorzugte User.

Allein die Lektüre dieses Maßnahmenkatalogs würde die meisten von uns überfordern. Als CIO wäre man dafür verantwortlich, dass jedes einzelne mit dem VPN verbundene Gerät jederzeit aktualisiert und korrekt konfiguriert ist. Gleichzeitig müssten einige User trotzdem mit Einschränkungen bei der Geschwindigkeit zurechtkommen, damit die „wichtigen User“ von schnelleren Verbindungen profitieren können. Selbst bei Cisco kam man um die Rationierung von VPN-Kapazitäten für die Belegschaft nicht herum. Vor den Auswirkungen veralteter Technologie ist kein Unternehmen gefeit.
 

Homeoffice ja, aber sicher und schnell

Dabei geht es auch weniger kompliziert und zugleich wesentlich schneller und sicherer: Zscaler wurde vor mehr als zehn Jahren unter anderem mit dem Ziel gegründet, überholten VPNs und Legacy-Firewalls neue Sicherheitskonzepte zur Seite zu stellen. Damit soll es Unternehmensanwendern an jedem Ort problemlos möglich sein, sich auf schnelle, sichere und zuverlässige Weise mit dem Internet und in der Cloud sowie in Rechenzentren gehosteten Anwendungen zu verbinden.

Wir leben in einer Welt ständig geforderter Verfügbarkeit und Sicherheit. Warum sollten wir uns da auf Technologie verlassen, die selbst nur eingeschränkt verfügbar und selten sicher ist? Dass VPN-Technologie auch im Cloud-Zeitalter nach wie vor weit verbreitet ist, mag schwer nachvollziehbar sein. Mit der offiziellen Anerkennung von Zero Trust als zukunftsfähigem Ansatz gibt es jedoch Grund zur Hoffnung, dass eine neue Ära fortschrittlicher Sicherheitskonzepte anbricht.

Jay Chaudhry ist der Gründer und CEO von Zscaler