Ein VPN-Verbot würde die Sicherheitsarchitektur des Internets untergraben
In Brüssel kursieren Pläne, die auf ein weitgehendes VPN-Verbot hinauslaufen — begründet mit Jugendschutz. In der Sicherheitsbranche schlägt man die Hände über dem Kopf zusammen. Zu Recht: Hier wird ein legitimes Ziel für ein Mittel instrumentalisiert, das die Falschen trifft.
Vorweg, damit es keine Missverständnisse gibt: Ich setze mich seit über fünfzehn Jahren für Kinder- und Jugendschutz im Netz ein. Mein Buch „Die Internetfalle“ erschien 2010, lange bevor das Thema Konjunktur hatte. Das Ziel ist richtig.
Das Mittel ist es nicht.
Was ein VPN in Unternehmen tatsächlich tut
In der öffentlichen Debatte erscheint das VPN als Werkzeug zur Umgehung von Sperren. In der Realität ist es das Rückgrat sicherer Unternehmenskommunikation:
- Homeoffice und Außendienst greifen darüber auf interne Systeme zu — verschlüsselt, authentifiziert, protokolliert.
- Standortvernetzung zwischen Werken, Filialen und Rechenzentren läuft über verschlüsselte Tunnel.
- Wartungszugänge für Maschinen und Anlagen werden so abgesichert.
- Reisende Führungskräfte schützen damit ihre Verbindung in fremden Netzen — siehe das Dauerthema Hotel-WLAN.
Die Studienlage
Besonders bemerkenswert ist, dass eine Ausarbeitung des wissenschaftlichen Dienstes zu Schlüssen kommt, die dem Stand der Forschung widersprechen. Das ist kein Detail: Politik, die sich auf Expertise beruft, sollte die Expertise auch abbilden. Andernfalls entsteht der Eindruck, das Ergebnis habe vorher festgestanden.
Wer wirklich getroffen würde
Technisch versierte Nutzer weichen aus — auf Tor, auf selbst betriebene Tunnel, auf Protokolle, die sich als etwas anderes tarnen. Wer ein VPN zur Umgehung nutzen will, wird das weiterhin tun. Getroffen würden die, die es zur Absicherung nutzen: Mittelständler ohne eigenes Security-Team, Selbstständige, Beschäftigte im Homeoffice.
Was stattdessen wirken würde
Konsequente Durchsetzung bestehender Regeln gegenüber den großen Anbietern jugendgefährdender Inhalte. Altersverifikation, die Datenschutz nicht opfert. Und Medienkompetenz, die nicht bei der Schulstunde endet.
Für Unternehmen heißt das: Beobachten Sie diese Regulierung aufmerksam. Sollten Einschränkungen kommen, betreffen sie unmittelbar Ihre Architektur für Fernzugriff. Wer heute schon auf Zero-Trust-Modelle mit anwendungsbezogenem Zugriff statt auf pauschale Netzwerktunnel setzt, ist im Zweifel besser aufgestellt — technisch ohnehin.