Kurzfassung
Ein SSL-VPN ist ein Remote-Access-VPN, das den Nutzerverkehr in eine TLS-Verbindung zu einem zentralen Concentrator einbettet. In den 2000er- und 2010er-Jahren war es der dominante Ansatz für unternehmensweiten Remote-Zugang.
Was ist ein SSL-VPN?
Beim SSL-VPN baut jeder Remote-Nutzer eine TLS-Verbindung zu einem zentralen Concentrator (eine Hardware-Appliance oder ein virtuelles Gateway) auf und tunnelt seinen Verkehr durch diesen einen Punkt zu den internen Ressourcen. Zwei Varianten sind verbreitet: Full-Tunnel-Clients, die jeden Verkehr über den Concentrator leiten, und clientlose Web-Portale, die bestimmte Anwendungen über eine Browser-Session proxen.
Das Modell hat bekannte Schwächen. Der Concentrator ist ein hochwertiges Angriffsziel – mehrere kritische CVEs der letzten Jahre haben genau diese Produktklasse getroffen. Er ist außerdem ein Engpass für den Durchsatz und ein Single Point of Failure für die gesamte Belegschaft. Da der Tunnel als Vertrauensgrenze gilt, gelingen laterale Bewegungen nach einem kompromittierten Laptop oft viel zu leicht.
Moderne Alternativen – Mesh-VPNs auf WireGuard-Basis sowie Zero Trust Network Access – kehren das Modell um. Identität und Policy bleiben zentral, die Datenebene läuft direkt zwischen autorisierten Peers. In regulierten Umgebungen und hinter Legacy-Firewalls bleiben SSL-VPNs verbreitet, der Trend bewegt sich aber klar weg vom Concentrator-Modell.
Warum ist ein SSL-VPN relevant?
- Installierte Basis: In Unternehmen mit klassischer Remote-Access-Architektur weiterhin verbreitet
- Compliance-Basis: Häufig die unterstellte Kontrolle in älteren Richtlinien und Audits
- Migrationsziel: Das System, das Mesh-VPN- und Zero-Trust-Projekte typischerweise ablösen
- Risikoprofil: Wiederholte kritische Schwachstellen in großen Vendor-Appliances treiben die Evaluation
Verwandte Begriffe
- VPN: Übergeordnete Kategorie, der das SSL-VPN angehört
- Mesh VPN: Moderner Ansatz, der den zentralen Concentrator ablöst
- WireGuard: Protokoll der Wahl in der Nachfolgearchitektur
- Zero Trust: Sicherheitsmodell, das über die reine Tunnel-Vertrauensgrenze hinausgeht
- HTTP / HTTPS: HTTPS nutzt dieselbe TLS-Schicht, die dem SSL-VPN seinen Namen gibt