Ein offener Port und ein geteiltes Konto sind keine Fernzugriffslösung, sondern ein Risiko mit Login. Wer im KMU mobil arbeitet, braucht keine weitere Box auf der Einkaufsliste, sondern eine belastbare Fähigkeit: jede Verbindung gebunden an eine benannte Person, ein verwaltetes Gerät und einen kontrollierten Tunnel. Genau hier setzt die Analyse an. Sie erklärt, warum das Häkchen «VPN» nicht reicht, warum eine einmalige Anmeldung am Netzrand nicht mehr genügt und wie Identität, Gerät und Tunnel zusammenwirken. Dazu kommen Firewall-Regeln und Least Privilege, die Frage nach Verhältnismässigkeit im KMU sowie der Alltag von Homeoffice und Aussendienst. Prüffragen für das nächste Anbietergespräch und ein Weg von der Anforderung zur Umsetzung machen das Modell greifbar. Die Leitplanken folgen dem Zero-Trust-Denken des Bundes: kein implizites Vertrauen, minimale Rechte pro Aufgabe und wiederholte Autorisierung. Der Beitrag zeigt, wie KMU daraus eine nachvollziehbare Sitzung pro Person machen und provisorische Lösungen vermeiden. Am Ende steht eine klare Forderung: eine Fähigkeit einkaufen, nicht eine Box.
Warum das Häkchen «VPN» auf der Einkaufsliste nicht reicht
Auf der Einkaufsliste steht «VPN für Homeoffice und Aussendienst». Geliefert wird ein Gerät mit Fernzugriff. Selten definiert ist dabei, wer wann auf welche Anwendung zugreifen darf und wer das kontrolliert. Damit verschiebt sich die Netzgrenze, statt sich zu schliessen: Sobald ein Zugang von aussen möglich ist, muss die Prüfung dorthin wandern, wo Person und Gerät sitzen. Ein Produkt allein übernimmt diese Prüfung nicht.
Zwei Symptome begegnen uns dabei regelmässig. Erstens ein Sammelkonto «homeoffice» mit einem Passwort für mehrere Personen: Im Nachhinein ist nicht feststellbar, wer eine Freigabe geändert, Daten kopiert oder eine Sitzung geöffnet hat. Zweitens eine dauerhaft offene Portfreigabe in der Firewall auf einen Server im internen Netz, eingerichtet, damit der Zugriff «einfach funktioniert». Solche Regeln erzeugen ein falsches Sicherheitsgefühl; die typischen Fehlkonfigurationen haben wir in unserem Beitrag zur Firewall-Konfiguration für KMU zusammengestellt.
Unsere Position, ausdrücklich als Empfehlung und nicht als belegte Norm: Geteilte Konten und dauerhaft offene Ports gehören nicht in eine KMU-Umgebung, unabhängig von der Betriebsgrösse.
Eine einmalige Anmeldung am Netzrand genügt nicht mehr
Die Eckpunkte Zero Trust der Bundesverwaltung setzen an einem anderen Punkt an: Sie unterstellen, dass eine Kompromittierung eintreten kann. Statt sie auszuschliessen, soll der Schaden mit mehrstufigen Massnahmen begrenzt werden. Der zentrale Satz lautet, dass kein implizites Vertrauen existiert; eine einmalige Authentifizierung am Perimeter gilt nicht mehr als ausreichend. Zugriffe werden laufend geprüft, interne und externe Anfragen gleich behandelt. Ein Vertrauensvorschuss nur weil eine Sitzung im eigenen LAN startet, ist damit nicht vereinbar. Mehrfaktor-Authentisierung gilt für alle Identitäten, nicht nur für Administrationskonten; ein zweiter Faktor nur für die IT-Abteilung lässt die Mehrheit der Zugänge offen. Wichtig: Das Papier adressiert die IT des Bundes, nicht KMU. Übertragbar sind die Prinzipien, nicht der Umsetzungsgrad. Für die praktische Einordnung hilft unsere Erfahrung als externer IT-Partner für KMU.
Identität, verwaltetes Gerät und Tunnel: Fernzugriff ist eine Fähigkeit
Wenn eine einmalige Prüfung am Netzrand nicht mehr genügt, muss der Zugriff selbst auf belastbaren Grundlagen ruhen. Drei Bausteine bilden diese Grundlage.
Identität: Jeder Zugriff ist an eine benannte Person gebunden, mit eigenem Konto und eigenem zweiten Faktor. Geteilte Zugangsdaten machen eine Sitzung später unzurechenbar.
Verwaltetes Gerät: Das Gerät ist firmeneigen oder wird zentral kontrolliert. Der Betrieb kennt und steuert Betriebssystemstand, Verschlüsselung und Schutzsoftware, etwa über Geräteverwaltung und Patch-Management. Ohne diese Kontrolle bleibt der Zustand des Geräts unbekannt.
Tunnel: Die verschlüsselte Verbindung wird pro Sitzung aufgebaut und danach wieder geschlossen. Eine dauerhaft offene Freigabe ins interne Netz ist kein gleichwertiger Ersatz, sie bleibt bestehen, auch wenn niemand zugreift.
Erst die Kombination macht eine Sitzung prüfbar: die Identität sagt wer, das Gerät sagt womit, der Tunnel sagt wie und wie lange. Fällt ein Baustein weg, bleibt eine Lücke. Deshalb ist Fernzugriff kein Produkt. Die drei Bausteine müssen zusammen ausgelegt, überwacht und bei Personalwechsel angepasst werden. Das ist ein Betriebsprozess, kein Karton, den man einschaltet. Wie dieser Prozess mit wachsendem regulatorischem Druck zusammenhängt, zeigt der Leitfaden zu NIS2 und NISG 2026 für Schweizer KMU.
Firewall-Regeln und Least Privilege: wer darf worauf, in welche Richtung
Wenn Identität, Gerät und Tunnel stehen, entscheidet die Firewall, was durch darf. Eine Regel beantwortet vier Fragen: Quelle (wer greift zu), Ziel (worauf), Richtung (in welche Richtung der Verkehr laufen darf) und Prüfinstanz (welche Instanz entscheidet, prüft und protokolliert). Fehlt eine dieser Angaben, ist die Regel unvollständig. Die Richtung ist entscheidend: eingehender Verkehr von aussen nach innen bleibt die Ausnahme.
Das Prinzip minimaler Rechte folgt dem «need to know»: Jeder erhält nur die Berechtigungen, die seine Aufgabe verlangt, und diese werden bei jedem Zugriff erneut geprüft, nicht ein für alle Mal vergeben.
In der Praxis heisst das: nicht «Homeoffice darf ins ganze Servernetz», sondern «diese Person darf diese Anwendung nutzen». Eine Portfreigabe auf einen ganzen Server ist das Gegenteil davon. Unsere Empfehlung: Zugriffe aus Homeoffice und Aussendienst gehören in ein eigenes Netzsegment mit eigenen Firewall-Regeln, nicht direkt neben Server- und Backup-Netz. Eine Firewall für KMU: was die Standardkonfiguration nicht schützt erklärt, worauf es bei dieser Trennung ankommt.
Protokollierung ist keine Option: Regeln, die niemand auswertet, sind Dekoration. Wer einen Zugang freigibt, muss später sagen können, welche Person ihn wann genutzt hat. Konkrete Portnummern und fertige Regelwerke lassen wir bewusst offen. Sie hängen von Anwendung, Hersteller und Netzaufbau ab und gehören in eine Auslegung vor Ort.
Verhältnismässigkeit: wie sich die Prinzipien auf ein KMU übertragen
Die Eckpunkte Zero Trust des Bundes sehen eine modulare Reifegradbetrachtung und ein Proportionalitätsprinzip vor: Massnahmen sollen abgestuft und dem Risiko angemessen sein. Das Papier richtet sich an die Bundes-IT. Unsere Übertragung auf KMU, und nur das ist sie, ist keine Aussage des Dokuments: Ein Betrieb mit zehn Mitarbeitenden braucht kein Bundes-Architekturmodell, aber die Reihenfolge bleibt gleich.
Sinnvolle Stufen:
- Alle Zugänge auf benannte Konten mit zweitem Faktor umstellen.
- Verwaltete Geräte und aktuellen Patch-Stand sicherstellen.
- Dauerhaft offene Portfreigaben abbauen.
- Firewall-Regeln und Sitzungen protokollieren und regelmässig auswerten.
Verhältnismässigkeit heisst: nicht alles gleichzeitig, aber nichts dauerhaft aufschieben, was einem einzelnen Passwort den Weg in die ganze Infrastruktur öffnet. NIS2 und KRITIS sind 2026 als Kontext präsent; ob und in welchem Umfang daraus Pflichten entstehen, ist betriebsindividuell zu klären. Pauschale Aussagen wären unseriös. Die dabei entstehende Dokumentation zahlt sich auch bei einem IT-Provider-Wechsel für KMU aus.
Homeoffice und Aussendienst: Flexibilität ohne provisorische Lösungen
Die abgestufte Umsetzung entbindet nicht davon, den Zugang selbst standortunabhängig zu denken. Mobiles Arbeiten bringt Flexibilität, erhöht aber die Anforderungen an Datenschutz und IT-Sicherheit. Ziel sind pragmatische Lösungen, die Vertraulichkeit, Verfügbarkeit und Integrität erhalten; vor spontanen oder improvisierten Lösungen ist ausdrücklich zu warnen. Genau solche sind geteilte Konten, private Geräte ohne Verwaltung und kurzfristig eingerichtete Portfreigaben. Der Aussendienst unterscheidet sich vom Homeoffice: wechselnde Netze, fremde WLANs, Geräte auf Reisen. Tunnel und Geräteprüfung müssen unabhängig vom Standort greifen, nicht nur im heimischen Arbeitszimmer. Was zu Hause fehlt, fehlt überall: Ohne zentrale Geräteverwaltung lässt sich der Patch-Stand eines Laptops im Homeoffice nicht zuverlässig prüfen, und niemand merkt es, bis es darauf ankommt. Praktische Konsequenz: Homeoffice-Tauglichkeit ist eine Eigenschaft der Zugangsarchitektur, nicht eine Ausnahme, die man für einzelne Personen freischaltet. Wie ein solcher Arbeitsplatz eingerichtet wird, beschreibt Arbeitsplatz einrichten.
Prüffragen für das nächste Anbietergespräch
Wer diese Architektur beschafft, prüft keine Produkte, sondern Antworten. Fünf Punkte gehören auf die Agenda.
Identität: Ist jeder Zugriff an eine benannte Person gebunden? Lassen Sie bestehende Sammelkonten benennen und begründen. Entscheidend ist, ob der zweite Faktor technisch erzwungen wird, etwa per Richtlinie, und nicht nur als Empfehlung im Handbuch steht.
Gerät: Woran erkennt die Lösung, dass ein Gerät verwaltet, aktuell und verschlüsselt ist? Und was passiert konkret bei Abweichung: Quarantäne, Sperre, Meldung? Ein verwaltetes Gerät ohne wirksame Kontrolle bleibt eine Behauptung; Endpoint Security für KMU ohne falsches Sicherheitsgefühl zeigt, worauf die Prüfung zielen muss.
Tunnel und Firewall-Regeln: Wird pro Sitzung ein Tunnel aufgebaut und danach geschlossen, oder bleibt ein Kanal dauerhaft offen? Verlangen Sie eine Liste aller Portfreigaben ins interne Netz und einen Terminplan, in welcher Reihenfolge sie abgebaut werden.
Protokollierung: Wer belegt, welche Person wann worauf zugegriffen hat? Klären Sie Speicherort, Aufbewahrungsdauer und wer die Daten auswertet.
Offboarding: Wer entzieht Zugänge bei Austritt innert welcher Frist, wer passt Rechte bei Rollenwechsel an, und wer prüft Berechtigungen regelmässig gegen die tatsächlichen Aufgaben?
Von der Anforderung zur Umsetzung im eigenen Betrieb
Aus diesen Prüffragen folgt kein Projektplan, sondern eine Reihenfolge. Beginnen Sie mit dem Inventar: Welche Zugänge bestehen heute, welche sind geteilt, welche Firewall-Regeln erlauben dauerhaft Verkehr von aussen nach innen, und wer kann das beantworten? Danach ordnen Sie nach Risiko, nicht nach Aufwand. Zuerst gehören jene Zugänge bearbeitet, die von einem einzelnen Passwort bis in Server- oder Backup-Systeme führen; der Rest folgt. Der Betrieb muss mitlaufen: Rechteprüfung bei Eintritt, Rollenwechsel und Austritt, dazu eine wiederkehrende Kontrolle, ob die Firewall-Regeln noch dem Bedarf entsprechen. Wer diese Rolle abgeben will: Wir beraten und planen für KMU in der Zentralschweiz und übernehmen Betrieb, Geräteverwaltung, Patch-Management sowie Helpdesk und Vor-Ort-Support.
Häufige Fragen zu Firewall-Regeln und Fernzugriff
Für die Umsetzung bleiben fünf Fragen, die im Anbietergespräch und bei der eigenen Prüfung entscheidend sind.
Warum ist eine offene Portfreigabe in der Firewall kein Ersatz für einen identitätsgebundenen Tunnel? Weil sie einen Weg für jeden schafft, der die Adresse kennt und sich mit irgendeinem Passwort anmeldet. Der Bezug zu einer bestimmten Person und einem geprüften Gerät fehlt.
Reicht ein Zertifikat, das alle Geräte teilen? Nein. Es beschreibt eine Gruppe, keine Person, und taugt damit nicht zur Zurechenbarkeit.
Geht Homeoffice auch ohne Tunnel? Technisch gibt es mehrere Wege. Entscheidend ist, ob der Zugriff an Identität, verwaltetes Gerät und Sitzung gebunden bleibt und später belegbar ist.
Braucht es für Microsoft 365 immer einen Tunnel? In der Praxis gilt: Nicht zwingend, weil Anmeldung und Geräteprüfung über die Identitätsplattform laufen können. Der Grundsatz bleibt: kein Zugriff ohne benannte Identität und geprüftes Gerät.
Lohnt sich das für einen Betrieb mit zwölf Mitarbeitenden? Ja, oft sogar mehr als für einen grossen. Unsere Beobachtung: Kleine Teams kennen alle Zugangspasswörter und wechseln selten. Genau dort bleibt ein Sammelkonto jahrelang unentdeckt.
Fazit: Fordern Sie eine Fähigkeit, nicht eine Box
Aus den Fragen wird deutlich: Das Problem ist selten die fehlende Technik, sondern der fehlende Nachweis. Genau deshalb sollten Sie keinen Fernzugriff einkaufen, sondern eine überprüfbare Fähigkeit.
Die fünf Prüffragen oben geben die Richtung vor, hier sind die vier Forderungen, die daraus folgen.
Verlangen Sie eine Sitzung pro Person und Gerät mit benannter Identität, zweitem Faktor und einem Tunnel, der mit der Sitzung endet.
Verlangen Sie einen Abbauplan, in dem geteilte Konten und dauerhaft offene Portfreigaben namentlich benannt, mit Termin und Verantwortlichem versehen werden.
Verlangen Sie Belege statt Zusicherungen, also die Liste der heutigen Firewall-Regeln und die Antwort auf die Frage, wer wann worauf zugegriffen hat.
Verlangen Sie eine Reihenfolge: was zuerst, was später. Fünfzig Seiten Konzept helfen weniger als drei Massnahmen, die innert dreissig Tagen umgesetzt sind.
Wer diese vier Punkte im Anbietergespräch stellt, merkt rasch, ob eine Box verkauft wird oder eine Fähigkeit.
