Standorte über VPN verbinden und sicher arbeiten

Ein neuer Standort soll auf das ERP zugreifen, die Mitarbeitenden sollen dieselben Dateien sehen und die Telefonanlage soll standortübergreifend funktionieren. Genau dafür lassen sich Standorte über VPN verbinden. Entscheidend ist jedoch nicht allein der verschlüsselte Tunnel. Erst eine saubere Planung von Internetanschlüssen, Sicherheitsrichtlinien, Telefonie und Betrieb macht aus einzelnen Niederlassungen eine verlässlich arbeitende Unternehmensinfrastruktur.

Für Schweizer KMU ist die Standortvernetzung häufig ein konkretes Wachstumsprojekt: ein zusätzliches Lager, ein Verkaufsbüro, die Integration einer übernommenen Firma oder hybride Arbeitsplätze. Wer dabei nur zwei Router miteinander verbindet, schafft oft zunächst Zugang – und später neue Fehlerquellen. Die bessere Frage lautet deshalb: Welche Systeme müssen zwischen welchen Standorten erreichbar sein, mit welcher Priorität und unter welchen Sicherheitsvorgaben?

Was eine Standortvernetzung per VPN leistet

Ein Virtual Private Network verbindet Netzwerke über öffentliche Internetanschlüsse hinweg verschlüsselt. Der Datenverkehr zwischen Hauptsitz, Filiale, Lager oder Rechenzentrum läuft dabei durch einen abgesicherten Tunnel. Mitarbeitende können so beispielsweise auf zentrale Server, Druckdienste, ERP-Anwendungen oder eine lokale Telefonanlage zugreifen, ohne diese Dienste offen ins Internet stellen zu müssen.

Im Geschäftsumfeld kommt meist ein Site-to-Site-VPN zum Einsatz. Die Firewalls oder VPN-Gateways der jeweiligen Standorte bauen die Verbindung automatisch auf und halten sie aktiv. Das unterscheidet sich vom Remote-Access-VPN, über das sich einzelne Mitarbeitende von zu Hause oder unterwegs anmelden. Beide Varianten können sinnvoll sein, sie lösen aber unterschiedliche Aufgaben.

Ein VPN ersetzt keine durchdachte Netzwerkkonzeption. Es verschlüsselt die Verbindung, bewertet aber nicht automatisch, welcher Datenverkehr erlaubt sein soll. Eine Buchhaltungsapplikation, ein Gast-WLAN und die Administration von Netzwerkkomponenten brauchen unterschiedliche Regeln. Genau diese Trennung entscheidet darüber, ob die Umgebung im Alltag übersichtlich und im Ernstfall kontrollierbar bleibt.

Standorte über VPN verbinden: Die passende Architektur wählen

Bei zwei oder drei Niederlassungen ist ein direkter Tunnel zwischen den Standorten oft wirtschaftlich und gut administrierbar. Wächst das Netz, steigt die Zahl der notwendigen Verbindungen jedoch schnell. Bei fünf Standorten entstehen bereits zehn mögliche Direktverbindungen. Änderungen an IP-Adressierung, Firewall-Regeln oder Zugriffsrechten werden dann unnötig aufwendig.

Für grössere Umgebungen bietet sich eine zentrale Architektur an. Die Standorte verbinden sich mit dem Hauptsitz oder einem zentralen Sicherheitsstandort. Das vereinfacht Richtlinien, Protokollierung und Zugriffskontrolle. Der Nachteil: Fällt die zentrale Anbindung aus oder ist sie zu knapp dimensioniert, betrifft das mehrere Niederlassungen. Eine zweite Internetleitung, ein Mobilfunk-Backup oder eine redundante Firewall können deshalb sinnvoll sein.

Eine weitere Option ist eine cloudbasierte Architektur, bei der Anwendungen ohnehin in Microsoft 365, einer Cloud-PBX oder einem Rechenzentrum betrieben werden. Dann muss nicht jeder Datenstrom durch den Hauptsitz laufen. Lokaler Internetzugang kann die Leistung für Cloud-Dienste verbessern, während das VPN gezielt für interne Systeme genutzt wird. Das senkt Latenzen und entlastet zentrale Anschlüsse, verlangt aber klar definierte Sicherheitsrichtlinien an jedem Standort.

Welche Variante passt, hängt von der Zahl der Standorte, den eingesetzten Anwendungen, Compliance-Vorgaben und dem erwarteten Wachstum ab. Für ein kleines Büro mit zentralem Fileserver gelten andere Anforderungen als für eine Organisation mit Produktion, Aussendienst, Microsoft Teams und mehreren kritischen Geschäftssystemen.

Internetanschluss und Redundanz realistisch bewerten

Die Qualität einer VPN-Verbindung ist immer auch von den Internetanschlüssen abhängig. Entscheidend sind nicht nur Download-Werte. Für Cloud-Backups, Videokonferenzen, VoIP und Datenreplikation zählt insbesondere der Upload. Ebenso relevant sind Latenz, Paketverluste und die Stabilität zu Spitzenzeiten.

Ein günstiger Breitbandanschluss kann für einen kleinen Standort ausreichend sein. Bei geschäftskritischer Telefonie oder einem Kassen-, Produktions- oder ERP-System sollte die Anschlussqualität gezielt geprüft werden. Ein zweiter Zugang über eine andere Technologie oder einen anderen Provider schafft Ausfallsicherheit, wenn die Primärleitung gestört ist. Dabei muss auch das Failover getestet werden: Ein vorhandenes Backup hilft wenig, wenn die Umschaltung nur auf dem Papier funktioniert.

Telefonie und Microsoft Teams richtig einbinden

Für viele Unternehmen ist nicht der Dateizugriff, sondern die Erreichbarkeit der wichtigste Grund für die Standortvernetzung. Eine zentrale Cloud-PBX oder eine standortübergreifende Ayrix-Telefonanlage ermöglicht einheitliche Durchwahlen, Gruppen, IVR-Menüs und Stellvertretungen. Ein Anruf kann in Zürich eintreffen, in Bern beantwortet und bei Bedarf an einen mobilen Mitarbeitenden weitergegeben werden – ohne dass Kunden die interne Struktur kennen müssen.

VoIP stellt besondere Anforderungen an das Netz. Sprache benötigt wenig Bandbreite, reagiert aber empfindlich auf Verzögerungen, Jitter und Paketverluste. Wenn ein grosses Backup gleichzeitig die Leitung auslastet, wird das Gespräch hörbar schlechter. Quality of Service priorisiert deshalb Sprachpakete gegenüber weniger zeitkritischem Datenverkehr. Diese Priorisierung muss an den beteiligten Firewalls, Switches und gegebenenfalls am Internetanschluss sinnvoll umgesetzt werden.

Microsoft Teams ergänzt diese Kommunikation, ersetzt aber nicht in jedem Szenario eine vollständige Telefoniearchitektur. Unternehmen benötigen häufig weiterhin zentrale Rufnummern, Warteschlangen, Öffnungszeiten, Kontaktcenter-Funktionen, Notrufkonzepte oder CTI-Anbindungen an CRM und ERP. Eine native Teams-Integration verbindet Collaboration und Geschäftstelefonie, ohne dass Mitarbeitende zwischen getrennten Werkzeugen wechseln müssen. Wichtig ist, dass Rufnummernführung, SIP-Trunk, Session Border Controller und Sicherheitsvorgaben zusammen geplant werden.

Sicherheit beginnt mit klaren Segmenten

Ein VPN schützt Daten auf dem Übertragungsweg. Es verhindert nicht, dass sich ein Angreifer innerhalb eines flachen Netzwerks weiterbewegt, wenn ein Endgerät kompromittiert wurde. Daher sollten Standorte nicht einfach vollständig gegenseitig freigeschaltet werden.

In der Praxis bewährt sich die Trennung von Büroarbeitsplätzen, Servern, VoIP, Gästen, IoT-Geräten und Administration. Eine Kameraanlage benötigt beispielsweise keinen Zugriff auf die Finanzbuchhaltung. Ein Gast-WLAN darf niemals über das Standort-VPN auf interne Systeme gelangen. Firewall-Regeln sollten dem Prinzip folgen: nur die benötigten Verbindungen erlauben, alles andere gezielt sperren und nachvollziehbar dokumentieren.

Zur Grundabsicherung gehören moderne Verschlüsselungsverfahren, starke Authentisierung für administrative Zugänge, regelmässige Firmware-Updates und zentrale Protokollierung. Auch DNS-Schutz, Malware-Filter und Überwachung von auffälligem Datenverkehr können Teil des Sicherheitskonzepts sein. Bei besonders schützenswerten Daten lohnt sich zusätzlich eine Prüfung, wo Daten verarbeitet werden und wer administrativen Zugriff erhält.

Sicherheit hat dabei eine betriebliche Seite. Wenn niemand weiss, wer bei einer Störung zuständig ist, wie ein Standort isoliert wird oder wo aktuelle Zugangsdaten und Netzpläne liegen, verzögert sich die Wiederherstellung. Managed Firewall- und Monitoring-Services schaffen hier Transparenz, sofern Verantwortlichkeiten und Reaktionszeiten klar vereinbart sind.

Planung vor der Inbetriebnahme spart Unterbrüche

Eine belastbare Umsetzung beginnt mit einer Bestandsaufnahme. Welche Netze, Anwendungen, Telefonnummern und Geräte existieren an jedem Standort? Welche Dienste müssen zwingend erreichbar sein? Welche Datenströme sind zeitkritisch, und welche dürfen bei einer Störung warten? Daraus entsteht ein Netzwerkdesign mit IP-Adressierung, VLANs, Firewall-Regeln, Prioritäten und Redundanzkonzept.

Danach sollte die Einführung stufenweise erfolgen. Zuerst wird ein Standort mit repräsentativen Anwendungen verbunden und unter Last getestet. Neben dem Zugriff auf Dateien und Systeme gehören dazu Telefonie, Teams-Anrufe, Failover, Druckdienste, Rechteprüfungen und die Überwachung von Latenz und Paketverlust. Erst wenn diese Abläufe nachvollziehbar funktionieren, folgt der nächste Standort.

Dokumentation ist kein Nebenprodukt. Sie umfasst Netzpläne, Geräteinformationen, Konfigurationen, Zuständigkeiten und einen klaren Ablauf für Störungen. Besonders bei späteren Erweiterungen verhindert eine aktuelle Dokumentation, dass Änderungen zu unerwarteten Ausfällen führen. Ein fester Ansprechpartner, der Netzwerk, Internet und Telefonie im Zusammenhang betrachtet, reduziert zudem Abstimmungsaufwand zwischen mehreren Lieferanten.

Winet plant Standortvernetzungen so, dass Internetzugang, Firewall, VPN, SIP-Telefonie und Teams-Integration nicht als getrennte Baustellen behandelt werden. Das ist vor allem dann hilfreich, wenn ein Standort schnell produktiv werden muss, bestehende Rufnummern erhalten bleiben sollen oder die Telefonie parallel modernisiert wird.

Kosten nicht nur am VPN-Tunnel messen

Die Lizenz oder Hardware für einen VPN-Tunnel ist selten der grösste Kostenblock. Massgeblich sind Anschlussqualität, Firewall-Leistung, Redundanz, Konfiguration, Betrieb und der Aufwand bei Störungen. Wer beim Sicherheitsgerät spart, riskiert bei aktivierten Sicherheitsdiensten oder mehreren gleichzeitigen VPN-Verbindungen Engpässe.

Planbare monatliche Kosten sind häufig sinnvoll, wenn Überwachung, Updates und Support enthalten sind. Eigenbetrieb kann dagegen passen, wenn ein Unternehmen internes Know-how, klare Prozesse und genügend Kapazität für Patch-Management und Incident Response besitzt. Es gibt keine pauschal bessere Variante – entscheidend ist, wer die Verantwortung im Alltag tatsächlich wahrnimmt.

Eine gute Standortvernetzung bleibt bewusst einfach: Mitarbeitende erreichen die Systeme, die sie für ihre Arbeit benötigen, Gespräche kommen zuverlässig an, und Änderungen lassen sich ohne nächtliche Improvisation umsetzen. Wer vor dem nächsten Standortprojekt Anforderungen, Ausfallszenarien und Kommunikationswege gemeinsam prüft, schafft eine Infrastruktur, die mit dem Unternehmen wachsen kann.