← Alle Beiträge
· Claus Lindemann

PQC Quick Win 6: VPN und Remote-Access auf PQC-Fähigkeit prüfen

VPNRemote AccessIKEv2IPsecWireGuardHybrid-PQCQuick Win

PQC Quick Win 6: VPN und Remote-Access auf PQC-Fähigkeit prüfen

VPN-Tunnel sind die längsten Geheimnisse im Unternehmen: Sie tragen Authentifizierungsverkehr, Steuerdaten, Backups, ERP-Sitzungen – häufig über Jahre dieselbe Konfiguration. Genau diese Langlebigkeit macht sie zum bevorzugten Ziel von “harvest now, decrypt later”. Quick Win 6 räumt diesen blinden Fleck auf: Wir klären, was unser VPN heute kann, was der Hersteller plant und welche hybride Option wir sofort scharfschalten.

Drei Klassen, drei Realitäten

In KMU-Umgebungen dominieren drei Lösungstypen:

  • Klassische Firewall-VPNs (Fortinet, Sophos, Cisco, Palo Alto, Check Point, Watchguard, Lancom u. a.) mit IKEv2/IPsec oder SSL-VPN. Hier hängt PQC vollständig am Hersteller und an der Firmware.
  • Cloud-/Identity-basierte VPNs (Zscaler, Cloudflare WARP/Zero Trust, Microsoft Entra Private Access, Tailscale, NetSkope). Hier liegt PQC bei der Plattform – häufig schon weiter als bei Hardware-Boxen.
  • WireGuard-basierte Setups (offen, OPNsense, Mullvad-Style-Selfhosting). WireGuard hat heute keinen PQC-Schlüsselaustausch im Standard – Erweiterungen werden diskutiert, sind aber nicht produktiv breit ausgerollt.

Die richtige nächste Aktion hängt davon ab, in welcher Klasse Sie unterwegs sind.

Was die Standards heute hergeben

Auf der Protokoll-Ebene ist die PQC-Geschichte des VPN klar formuliert: RFC 9242 (“Intermediate Exchange” für IKEv2) und RFC 9370 (“Multiple Key Exchanges in IKEv2”) erlauben es, in einer IKEv2-Verhandlung neben dem klassischen Diffie-Hellman zusätzliche, post-quanten-resistente Schlüsselaustausche zu führen. Damit ist der hybride IPsec-Tunnel standardisiert – Hersteller müssen “nur noch” implementieren.

Mehrere große VPN-Anbieter haben das in den letzten Versionen produktiv gemacht; einige bieten Hybrid-PQC heute schon im Standard-Lizenzumfang, andere im Premium-Tier, dritte erst in Beta. Genau diese Karte gilt es jetzt für Ihr Haus zu zeichnen.

Die fünf Fragen an Ihren VPN-Anbieter

Wenn Sie nur eine Mail diese Woche schreiben, sollte sie diese fünf Fragen enthalten:

  • Unterstützt Ihr Produkt heute hybride PQC-Schlüsselaustausche gemäß RFC 9370 (IPsec/IKEv2) bzw. einen vergleichbaren Mechanismus für SSL-VPN?
  • Falls ja: ab welcher Firmware-Version, in welcher Lizenz, mit welchen Algorithmen (ML-KEM, sntrup761, FrodoKEM?)?
  • Falls nein: bis wann ist Hybrid-PQC verbindlich auf der Roadmap, gibt es einen Termin oder ein Zielquartal?
  • Welche Empfehlung geben Sie für die Übergangszeit – z. B. Verkürzung der IKE-Lifetimes, Forcing von PFS, Wechsel auf stärkere klassische DH-Gruppen?
  • Wie unterstützen Sie die Migration einer bestehenden Konfiguration – als In-Place-Update, als Parallelbetrieb, mit Zertifikatswechsel?

Notieren Sie Antworten wörtlich und mit Datum – Sie brauchen die Belege später für Audits und Compliance-Berichte.

Was Sie heute selbst tun können

Ohne auf die Hersteller-Antwort zu warten, gibt es Schritte, die das Risiko jetzt reduzieren:

  • IKE-/SA-Lifetimes verkürzen: Kürzere Schlüsselgültigkeit bedeutet, dass ein heute mitgeschnittener Schlüssel weniger Sitzungsdaten preisgibt. Übliche Default-Werte (8 oder 24 Stunden) lassen sich häufig deutlich kürzen, ohne dass es Anwender bemerken.
  • Klassische DH-Gruppen härten: Mindestens Gruppe 19/20/21 (ECP-256/384/521) verwenden, alte MODP-Gruppen (1, 2, 5) abschalten.
  • PFS verbindlich erzwingen: Wo “Perfect Forward Secrecy” nur als Default-Option läuft, in Policy zwingend aktivieren.
  • Klar dokumentieren, wer welche Tunnel terminiert: Welche Standort-zu-Standort-Tunnel, welche Hersteller, welche Endpunkte? Das war Teil von Quick Win 1 – jetzt schreiben Sie die VPN-Liste fort.
  • Cloud-VPN-Optionen prüfen: Bei Cloudflare Zero Trust, Microsoft Entra Private Access und vergleichbaren Plattformen aktiv prüfen, ob hybride Schlüsselaustausche bereits als Schalter verfügbar sind.

Was Sie diese Woche tun sollten

  • Hersteller- oder Plattformnachfrage mit den fünf Standardfragen versenden.
  • IKE-Lifetimes und DH-Gruppen in der eigenen Konfiguration prüfen und konservativ schärfen.
  • Falls Cloud-VPN: PQC-Schalter beim Anbieter suchen und aktivieren, dokumentieren.
  • Hersteller-Antworten zentral ablegen, in der Inventur-Tabelle mit Status und Datum eintragen.
  • Wenn der Hersteller in der Roadmap weit hinten liegt: das in der Risiko- und Lieferantenbewertung bewusst vermerken – Verlängerungsentscheidungen kommen früher als man denkt.

Fazit

VPN-Tunnel haben die längste Halbwertszeit aller alltäglichen Krypto-Verbindungen im Unternehmen. Sie sind das beste Ziel für “harvest now, decrypt later” – und gleichzeitig die undurchsichtigste Schicht für viele KMU. Quick Win 6 verschafft Klarheit: heute machbare Härtung, dokumentierte Hersteller-Roadmap, eine ehrliche Karte des Status. Wer das einmal sauber gemacht hat, hat seine wichtigste PQC-Hausaufgabe für die kommenden zwei Jahre stehen.

Quellen

pqconsult: Ihre Partner bei der PQC-Migration

Wir unterstützen Sie bei der herstellerübergreifenden Bewertung Ihrer VPN-Landschaft – mit standardisierten Anfrage-Templates, einer Roadmap-Vergleichsmatrix der wichtigsten Anbieter und einem belastbaren Risiko-Profil für die Übergangsphase. Sprechen Sie uns an.

Haben Sie Fragen zu diesem Thema?

Kontakt aufnehmen