Studie: : Alte VPN- und NAC-Systeme werden zum Sicherheitsrisiko

IT-Verantwortliche stehen vor der Herausforderung, sicheren Zugriff in einer cloudzentrierten, hybriden Arbeitswelt zu gewährleisten – ohne Abstriche bei Leistung oder Agilität. Für viele Unternehmen stellen veraltete Remote Access VPNs und Network Access Control (NAC) immer noch die scheinbare Lösung dar – vertraute Tools aus einer vergangenen Ära. Doch was, wenn diese bewährten Systeme nicht nur unzureichenden Schutz bieten, sondern sich zu einer der größten Belastungen entwickeln?

Um diesen technologischen Umbruch genauer zu analysieren, haben sich Netskope und Cybersecurity Insiders – eine auf CISOs und Cybersicherheit spezialisierte Research-Plattform – zusammengetan. Ziel der Kooperation war es, die realen Risiken im Zusammenhang mit dem Einsatz veralteter Zugriffstechnologien zu untersuchen. Der daraus hervorgegangene „VPNs Under Siege Report 2025“ liefert eine datengestützte Analyse mit einem klaren Ergebnis: VPNs bieten keinen ausreichenden Schutz, und die Umstellung auf einen modernen Zero-Trust-Zugriffsansatz nimmt spürbar an Fahrt auf. Unternehmen sind daher gut beraten, ihre Zugriffskonzepte zeitnah neu zu bewerten.

Legacy-Zugriff gefährdet Unternehmen

Der Bericht enthüllt, dass VPNs zu einem primären Angriffsvektor avanciert sind. Mehr als die Hälfte der befragten Organisationen (56 %) erlebte im vergangenen Jahr mindestens einen RAS VPN-bezogenen Sicherheitsvorfall, viele sogar mehrere Attacken. Praxisbeispiele wie die Ivanti-Sicherheitslücke CVE-2025-0282, die Angreifern seit mindestens Dezember 2024 die Ausführung von Remote-Code ohne Authentifizierung ermöglicht, unterstreichen diese Bedrohung. Das Kernproblem? VPNs wurden für eine Netzwerkarchitektur konzipiert, die in der heutigen cloudzentrierten Landschaft nicht mehr existiert. Sie gewähren einen umfassenden, impliziten Vertrauenszugriff auf das gesamte Netzwerk – ein ideales Einfallstor für Angreifer. Die Konsequenzen sind gravierend: Datenlecks, Ransomware-Infektionen und erhebliche Betriebsunterbrechungen.

NAC, einst für lokale, perimeterbasierte Netzwerke entwickelt, schneidet im VPNs Under Siege Report 2025 nicht wesentlich besser ab. Über die Hälfte (53 %) der Befragten zweifelt an der Fähigkeit von NACs, ausreichenden Schutz vor modernen Bedrohungen zu bieten, und fast ein Drittel (31 %) gibt an, dass diese Lösungen die Zero-Trust-Prinzipien nicht unterstützen. In Unternehmen mit hybriden Arbeitsmodellen und einer dezentralisierten Cloud-Infrastruktur kann NAC schlichtweg nicht mithalten. Auch die menschliche Komponente darf nicht unterschätzt werden. Der Bericht beschreibt die anhaltenden Frustrationen der User mit VPNs: 22 % klagen über langsame Verbindungsgeschwindigkeiten, und 19 % sind frustriert über komplexe, umständliche Authentifizierungsprozesse. Diese Probleme beeinträchtigen die Produktivität, generieren eine hohe Anzahl an Helpdesk-Anfragen und führen nicht selten dazu, dass User Sicherheitsmaßnahmen umgehen, um ihre Arbeit erledigen zu können.

IT-Teams sind ebenfalls stark betroffen: Der Ausgleich von Leistung (21 %) und die konstante Fehlerbehebung (18 %) dominieren die Liste der VPN-bezogenen Probleme. Und wenn es auf Agilität ankommt, zeigen VPNs deutliche Schwächen: 91 % der Befragten geben an, dass der Zugriff von Drittanbietern und die M&A-Integration mittels VPNs eine erhebliche Herausforderung darstellen.

Zero Trust setzt sich durch

Angesichts dieser Probleme setzen viele Unternehmen auf Zero Trust Network Access (ZTNA). ZTNA ist nicht länger ein Konzept der Zukunft, sondern bereits eine etablierte Realität. Laut Bericht haben 26 % der Unternehmen ZTNA bereits implementiert, weitere 37 % planen die Implementierung innerhalb des nächsten Jahres. Dies bedeutet, dass über die Hälfte aller Befragten ihre Strategie für sicheren Zugriff rasch modernisiert.

Der Bericht identifiziert drei Hauptgründe für diese Dringlichkeit:

• Verstärkte Sicherheit (78 %): Die Risikominderung ist der primäre Motivator, da Unternehmen eine intelligentere und agilere Zugriffskontrolle anstreben.
• Vereinfachtes Infrastrukturmanagement (63 %): IT-Teams möchten sich von der Komplexität und dem Betriebsaufwand veralteter Systeme wie VPNs und NAC lösen.
• Verbesserte Anwendungsleistung (51 %): User erwarten schnellen, nahtlosen Zugriff, um produktiv zu bleiben. ZTNA liefert diese ohne die Verlangsamungen und Frustrationen herkömmlicher Tools.

Komplettumstieg statt Teillösungen

Die Relevanz von ZTNA geht über die anfänglichen Treiber hinaus. Da ZTNA sich rasch zum Kern einer modernen Zugriffsstrategie entwickelt, suchen Unternehmen nicht mehr nach Teillösungen, sondern fordern eine umfassende Transformation. Tatsächlich halten 75 % der Befragten es für essenziell, dass ZTNA VPN und NAC vollständig durch anwendungsorientiertere Lösungen ersetzen kann, die konsistenten und sicheren Zugriff auf lokale sowie Cloud-Anwendungen ermöglichen und alle wichtigen Legacy-Anwendungen unterstützen. Das Ziel ist es, dass anfällige und veraltete Infrastrukturen für spezifische Anwendungsfälle nicht mehr gewartet werden müssen. Wartungen erhöhen neben der Komplexität auch Sicherheitslücken und Ineffizienzen, die ZTNA beheben soll.

Die Erwartungen sind hoch:

• 86 % erachten Echtzeittransparenz für eine schnellere Bedrohungserkennung, Richtliniendurchsetzung und Reaktion als entscheidend.
• 75 % legen Wert auf eine nahtlose Richtliniendurchsetzung in hybriden Umgebungen, da fragmentierte Zugriffskontrollen nicht skalierbar sind.
• 60 % wünschen sich eine enge Integration von ZTNA in eine umfassendere Secure Service Edge (SSE)-Plattform, um einheitlichen Zugriff, Datenschutz und Bedrohungsabwehr für den gesamten Datenverkehr zu gewährleisten.

Fazit: ZTNA als neuer Standard

ZTNA muss mehr leisten als nur ersetzen. Dies erfordert ein neues Denken hinsichtlich der Zugriffssicherheit. Der VPNs Under Siege Report 2025 lässt keinen Zweifel: Beim Übergang zu ZTNA geht es nicht nur darum, veraltete Tools zu ersetzen, sondern um einen intelligenteren, agileren Ansatz für die Zugriffssicherheit, der unserer heutigen Arbeitsweise entspricht: Cloud-First, Hybrid und Always-On. ZTNA bietet Lösungen, die Legacy-Systeme nicht bieten können. Es erzwingt den Zugriff mit den geringsten Berechtigungen (Least Privilege), überprüft kontinuierlich den User- und Gerätekontext und bietet Echtzeittransparenz für die gesamte Umgebung – von Cloud-Anwendungen über lokale Systeme bis hin zu OT- und IoT-Netzwerken.

Neben zahlreichen relevanten Insights ist der Bericht ein praktischer Leitfaden für führende Sicherheitsexperten. Er liefert die Daten, Erkenntnisse und Best Practices, die erforderlich sind, um die Einschränkungen der Vergangenheit zu überwinden und ein zukunftsfähiges Zugriffsmodell zu entwickeln. ZTNA ist nicht nur der nächste Schritt, sondern der neue Standard.

Autor

Mathias Widler ist Vice President Central & Eastern Europe bei Netskope.