VPS für ein Firmen-VPN

Ein Firmen-VPN auf einem gemieteten Server verbindet Mitarbeiter, Büro und interne Systeme zu einem privaten Netz. Über ihn erreichen Mitarbeiter im Homeoffice die Buchhaltung, den Dateiserver und das CRM, Niederlassungen tauschen Daten über eine verschlüsselte Verbindung aus, und Administratoren greifen von innen auf Server zu statt über einen offen ins Internet gestellten SSH-Zugang. Außerdem verschlüsselt er die Verbindung von Laptops im WLAN von Hotel, Flughafen oder Café. Einen leistungsstarken Server braucht das nicht: Entscheidend sind Bandbreite, Traffic, die Art der Virtualisierung und die Vergabe der Zugänge.

Protokoll: WireGuard, OpenVPN oder IPsec

WireGuard ist am schnellsten und einfachsten: kurze Konfiguration, Schlüssel statt Passwörter, Clients für Windows, macOS, Linux, iOS und Android. Es passt für den Fernzugriff von Mitarbeitern und für die Kopplung von zwei oder drei Standorten. Anforderungen und Tarife finden Sie auf der Seite VPS für WireGuard.

OpenVPN ist langsamer, läuft aber auch über TCP, prüft Zertifikate aus der eigenen Zertifizierungsstelle und lässt sich an LDAP oder Active Directory anbinden – praktisch, wenn die Benutzerkonten ohnehin zentral verwaltet werden. Es verschlüsselt in einem Thread, daher zählt die Taktfrequenz mehr als die Zahl der Kerne: siehe VPS für OpenVPN.

IPsec (strongSwan, IKEv2) ist die übliche Wahl für Standortverbindungen: Büro-Router und Firewalls unterstützen es ab Werk, ebenso die eingebauten Clients von Windows und macOS, sodass Mitarbeiter keine zusätzliche Software brauchen.

Ressourcen nach Zahl der Mitarbeiter

• Bis 10–15 Personen: 1 Kern und 1 GB RAM reichen mit Reserve für WireGuard oder OpenVPN samt einfacher Benutzerverwaltung.
• 15–50 Personen: 2 Kerne und 2 GB, vor allem bei OpenVPN – wenn eine ganze Abteilung gleichzeitig arbeitet, wird ein einzelner Kern zum Engpass.
• Mehr als 50 Personen oder mehrere Niederlassungen: 2–4 Kerne, ein Port ab 1 Gbit/s und ein zweiter Server als Reserve. Fällt das einzige Gateway aus, steht die ganze Firma ohne interne Systeme da.
• Festplatte spielt kaum eine Rolle: 10–20 GB genügen für System, Konfiguration und die Protokolle mehrerer Monate.

Als Virtualisierung kommt nur KVM infrage. Unter OpenVZ und LXC lassen sich keine Kernelmodule laden und der Netzwerkstack nicht vollständig konfigurieren, deshalb starten WireGuard und IPsec dort gar nicht oder laufen langsam. Die Tabelle oben zeigt bereits nur KVM.

Bandbreite und Traffic

Durch ein Firmen-VPN laufen nicht nur Anfragen an interne Systeme, sondern auch Berichtsexporte, Backups, Dateisynchronisation und Videokonferenzen. Zehn Mitarbeiter mit gemeinsamen Dateien und Calls verbrauchen schnell einige hundert Gigabyte im Monat, die Replikation zwischen Niederlassungen bringt Terabytes dazu. Deshalb enthält diese Auswahl Tarife ohne Traffic-Limit; alle finden Sie auf der Seite VPS mit unbegrenztem Traffic. Achten Sie auch auf die Portgeschwindigkeit: 100 Mbit/s teilen sich alle gleichzeitig Verbundenen, für ein Team oder Büro sollten es 1 Gbit/s sein. «Unbegrenzt» heißt bei manchen Anbietern Fair Use – bei Dauerlast kann gedrosselt werden, lesen Sie die Bedingungen vor dem Kauf.

Wo der Server stehen sollte

Das Gateway gehört in die Nähe derer, die es nutzen: zum Büro, zum Großteil der Belegschaft oder zu den internen Systemen, auf die zugegriffen wird. Jede zusätzliche zehn Millisekunden merkt man im Remote-Desktop, in der Buchhaltungssoftware und bei Telefonaten. Ist das Team über mehrere Städte oder Länder verteilt, messen Sie den Ping von dort zur Test-IP oder zum Looking Glass des Anbieters – die Route zum selben Rechenzentrum unterscheidet sich je nach Provider. Eine Firma braucht eine eigene IPv4-Adresse: Tarife mit NAT und geteilter Adresse sind für eingehende Verbindungen der Mitarbeiter unpraktisch.

Protokolle, Zugriffsrechte und DSGVO

Jeder Mitarbeiter bekommt einen eigenen Schlüssel oder ein eigenes Zertifikat statt eines gemeinsamen Passworts – so lässt sich ein ausscheidender Kollege in einer Minute sperren, ohne die anderen zu stören. Führen Sie ein Verbindungsprotokoll (wer, wann, von welcher Adresse), erlauben Sie die Anmeldung am Server nur per SSH-Schlüssel und schließen Sie unnötige Ports per Firewall. Im Tunnel öffnen Sie nur die Subnetze, die eine Gruppe wirklich braucht: der Buchhaltung die Finanzsoftware, den Entwicklern die Testserver.

Laufen personenbezogene Daten von Kunden oder Mitarbeitern über den VPN, gilt die DSGVO. Der Anbieter wird zum Auftragsverarbeiter, Sie brauchen also einen Auftragsverarbeitungsvertrag (AVV), und ein Server in der EU oder im EWR hält die Sache einfach. Auch Verbindungsprotokolle mit IP-Adressen sind personenbezogene Daten: Legen Sie in der internen Richtlinie eine Speicherfrist fest und bewahren Sie sie nicht länger auf.