Die Frage kommt in fast jedem Gespräch auf, das wir mit IT-Verantwortlichen mittelständischer Unternehmen führen: „Wir haben schon ein VPN, wozu brauchen wir zusätzlich eine Bastion?“
Das ist eine berechtigte Frage, und die Antwort passt nicht in eine Vergleichstabelle. Die beiden Werkzeuge lösen unterschiedliche Probleme. Wer sie verwechselt, landet in einer sehr verbreiteten Situation: Ein Unternehmen ist überzeugt, seine administrativen Zugriffe abgesichert zu haben, dabei hat es nur den Transport abgesichert.
Was ein VPN leistet
Ein VPN verschlüsselt die Verbindung zwischen einem Remote-Rechner und dem Unternehmensnetzwerk. Es beantwortet eine ganz bestimmte Frage: Wie kann ein Mitarbeiter oder Dienstleister von außen auf das interne Netzwerk zugreifen, ohne dass der Datenverkehr unverschlüsselt durchs Internet läuft?
In dieser Disziplin erfüllt es genau seine Aufgabe. Der Tunnel ist verschlüsselt, die Authentifizierung lässt sich verstärken, und der Remote-Rechner verhält sich, als wäre er im lokalen Netzwerk.
Genau hier liegt die Grenze: Der Remote-Rechner verhält sich, als wäre er im lokalen Netzwerk. Sobald der Tunnel steht, sieht der Benutzer, was das Netzwerk preisgibt. Nicht nur den Server, an dem er arbeiten muss, sondern auch alles andere, im Rahmen der vorhandenen Segmentierung, die selten so fein ist, wie man glaubt.
Was eine Bastion leistet
Ein Bastion-Host verbindet niemanden mit einem Netzwerk. Er öffnet eine Sitzung zu einer ganz bestimmten Maschine, für ein ganz bestimmtes Protokoll, und beobachtet, was dort geschieht.
In der Praxis läuft es so, wenn ein Administrator über eine Bastion arbeitet:
- Er authentifiziert sich zuerst an der Bastion, mit MFA;
- die Bastion prüft, ob er auf dieses Ziel, mit diesem Protokoll, zu diesem Zeitpunkt zugreifen darf;
- die Bastion öffnet die Sitzung und injiziert dabei Zugangsdaten aus einem Tresor, ohne sie anzuzeigen;
- die Sitzung wird von Anfang bis Ende aufgezeichnet.
Der Benutzer erhält zu keinem Zeitpunkt allgemeinen Netzwerkzugriff. Und er kennt zu keinem Zeitpunkt das Passwort des privilegierten Kontos, das er gerade benutzt hat.
Der Unterschied passt in einen Satz
Ein VPN gibt Ihnen Zugriff auf ein Netzwerk. Eine Bastion gibt Ihnen Zugriff auf eine Maschine und hält fest, was Sie dort getan haben.
Alles Weitere folgt daraus.
Das Szenario, das die Frage entscheidet: der Einsatz eines Drittanbieters
Nehmen wir eine ganz gewöhnliche Situation. Der Hersteller Ihrer Branchensoftware muss an einem Dienstagnachmittag am Anwendungsserver arbeiten, um einen Fehler zu beheben.
Nur mit einem VPN legen Sie ein Konto an, er verbindet sich und erreicht den Anwendungsserver. Er kann potenziell auch den Dateiserver, den Hypervisor und den Drucker der Buchhaltung erreichen. Sie schicken ihm das Administratorpasswort des Servers, das nun in seinem Passwortmanager existiert, in einer Datei auf seinem Rechner oder in dem Verlauf, über den Sie es gesendet haben. Wenn die Arbeit erledigt ist, müssen Sie daran denken, das Konto zu deaktivieren. Und Sie wissen nicht, was getan wurde, es sei denn, Sie durchforsten die Serverprotokolle, falls es sie gibt und falls sie verwertbar sind.
Mit einer Bastion gewähren Sie Zugriff auf diesen Server, per RDP, an diesem Dienstag. Er verbindet sich aus seinem Browser. Das Administratorpasswort wird injiziert, ohne ihm offengelegt zu werden. Die Sitzung wird aufgezeichnet. Wenn das Zeitfenster endet, endet auch der Zugriff. Und wenn drei Wochen später jemand die Ursache einer Störung verstehen muss, spielen Sie die Sitzung erneut ab.
Der Unterschied ist nicht theoretisch. Diese beiden Szenarien trennen ein Unternehmen, das ein Audit beantworten kann, von einem, das antwortet: „Wir glauben, dass …“.
Was ein VPN nicht aufzeichnet
Ein VPN-Verbindungsprotokoll sagt Ihnen, dass sich ein Konto von einer bestimmten IP-Adresse zu einer bestimmten Zeit mit dem Netzwerk verbunden und zu einer anderen Zeit wieder getrennt hat.
Es sagt Ihnen nicht, welche Maschinen erreicht, welche Befehle ausgeführt, welche Dateien geöffnet wurden oder ob das verwendete Konto tatsächlich der Person gehörte, die die Arbeit ausführen sollte.
Genau das verlangt Artikel 21 der NIS2-Richtlinie für privilegierte Zugriffe, und genau das fragen die meisten Fragebögen der Cyberversicherung ab: nicht den Nachweis, dass die Verbindung verschlüsselt war, sondern den Nachweis, dass der Zugriff kontrolliert wurde und dass Sie wissen, was damit getan wurde.
Muss man sich entscheiden?
Nein, und das ist der wichtigste Punkt dieses Artikels.
Eine Bastion ersetzt kein VPN, ebenso wenig wie sie eine Firewall ersetzt. Diese drei Bausteine beantworten drei verschiedene Fragen: welcher Netzwerkverkehr durchgelassen wird, wie man ins Netzwerk gelangt und wer mit welchen Rechten auf welche Maschine zugreift.
Viele Unternehmen behalten ihr VPN für die alltägliche Nutzung durch Mitarbeiter und verlagern die administrativen Zugriffe hinter eine Bastion. Das ist meist der einfachste Weg, und er erfordert keinen Neuanfang.
Das historische Hindernis ist verschwunden
Dass die Bastion so lange Großunternehmen vorbehalten blieb, lag nicht daran, dass sie anderswo nicht sinnvoll gewesen wäre. Es lag daran, dass der Einstieg abschreckend war: ein dedizierter Server, der gewartet werden muss, ein Thick Client, der auf jedem Arbeitsplatz auszurollen ist, auszuhandelnde Firewall-Regeln und ein mehrwöchiges Integrationsprojekt.
Heimlane Realm geht vom Gegenteil aus. SSH-, RDP- und VNC-Sitzungen öffnen sich im Browser, ohne Client-Software. Es wird kein Jump-Server exponiert und keine eingehende Regel angelegt: Ein schlanker Agent, der im Netzwerk installiert wird, baut einen ausgehenden Tunnel zur Plattform auf. Die Zugangsdaten stammen aus Vault und werden nie angezeigt. Und das Ganze wird in Frankreich und Deutschland gehostet.
Der Bedarf hat sich in zwanzig Jahren nicht verändert. Verändert hat sich, was nötig ist, um ihn zu decken.
Weiterlesen: Was ein Bastion-Host ist, wofür er dient und wie man ihn bereitstellt. Sie können auch eine Realm-Demo anfordern und in fünfzehn Minuten eine aufgezeichnete Sitzung öffnen.