Standortvernetzung für Unternehmen: Mehrere Standorte sicher verbinden

Was bedeutet Standortvernetzung?

Standortvernetzung verbindet lokale Netzwerke an verschiedenen Orten so, dass berechtigte Nutzer und Systeme standortübergreifend kommunizieren können. Dazu gehören beispielsweise eine Zentrale, Filialen, Produktionsstätten, Lager, Rechenzentren und Cloud-Umgebungen.

Die Verbindung kann über das öffentliche Internet, über ein logisch getrenntes Netz eines Dienstanbieters oder über direkte Leitungen erfolgen. Häufig werden mehrere Ansätze kombiniert. So kann ein Unternehmen ein MPLS- oder Ethernet-Netz für zentrale Standorte einsetzen und kleinere Filialen über verschlüsselte Internet-VPNs anbinden.

Externe Arbeitsplätze sind keine klassischen Standorte mit eigenem Standortnetz. Sie benötigen meist einen sicheren individuellen Zugang, etwa über Remote-Access-VPN oder einen anderen kontrollierten Zugriffsdienst. Dieser Benutzerzugang sollte getrennt von der Verbindung ganzer Standortnetze geplant werden.

Ziel ist eine Architektur, in der Anwendungen erreichbar sind, Daten nur auf vorgesehenen Wegen fließen und Störungen beherrschbar bleiben. Die technische Umsetzung muss dabei zu den betrieblichen Prioritäten passen.

Welche Daten und Anwendungen werden zwischen Standorten übertragen?

Vor der Auswahl einer Vernetzungstechnik sollten Unternehmen ihre tatsächlichen Datenflüsse erfassen. Nicht jede Anwendung hat dieselben Anforderungen.

Typische Beispiele sind:

• Zugriffe auf ERP-, Warenwirtschafts- oder Produktionssysteme,
• Dateiablagen und Dokumentenmanagement,
• Telefonie, Videokonferenzen und Zusammenarbeit in Echtzeit,
• Datensicherung und Replikation zwischen Standorten,
• Zugriffe auf Cloud-Anwendungen und Rechenzentren,
• Kassensysteme, Logistik und Maschinenkommunikation,
• zentrale Softwareverteilung und Sicherheitsupdates,
• Kameras, Gebäudeautomation und technische Fernwartung.

Große Dateiübertragungen und Backups benötigen vor allem ausreichend Kapazität. Sprach- und Videoanwendungen reagieren häufig empfindlicher auf Verzögerungen, Schwankungen und Paketverluste. Kritische Transaktionen können geringe Datenmengen übertragen und dennoch hohe Anforderungen an Verfügbarkeit und Sicherheit haben.

Dokumentieren Sie deshalb Quelle, Ziel, Richtung, Datenmenge, zeitliche Lastspitzen und Kritikalität jeder wichtigen Anwendung. Diese Übersicht zeigt, ob der Datenverkehr überwiegend zwischen Standorten, zu einem Rechenzentrum oder direkt in die Cloud läuft.

Site-to-Site-VPN verständlich erklärt

Ein Site-to-Site-VPN verbindet zwei oder mehr Standortnetze über einen verschlüsselten Tunnel. Häufig übernehmen Router oder Firewalls an den Standorten den Aufbau. Anwendungen können dann auf freigegebene entfernte Netze zugreifen, ohne dass jeder Nutzer einzeln eine VPN-Verbindung starten muss.

Bei IPsec werden Daten auf Netzwerkebene geschützt. Dafür müssen Verschlüsselung, Authentisierung, Schlüsselverwaltung und erlaubte Netzbereiche korrekt konfiguriert sein. Ein VPN schützt die übertragenen Daten auf dem Tunnelweg, macht die angeschlossenen Netze aber nicht automatisch insgesamt sicher.

Site-to-Site-VPNs können über vorhandene Internetanschlüsse wirtschaftlich umsetzbar sein. Leistung und Verfügbarkeit hängen jedoch auch von diesen Anschlüssen und den beteiligten Netzen ab. Bei vielen Standorten steigen Aufwand für Routing, Schlüssel, Regeln, Überwachung und Fehleranalyse.

Eine feste öffentliche IP-Adresse kann die Konfiguration der Gegenstellen vereinfachen, ist aber nicht in jeder VPN-Architektur zwingend. Mehr dazu finden Sie unter Feste IP-Adresse für Unternehmen.

MPLS verständlich erklärt

MPLS steht für Multiprotocol Label Switching. In Unternehmensnetzen wird der Begriff häufig für providerseitig betriebene IP-VPNs verwendet. Der Dienstanbieter transportiert den Datenverkehr zwischen angeschlossenen Standorten über sein Netz und trennt die Routen verschiedener Kundennetze logisch voneinander.

Ein Unternehmen erhält dabei definierte Übergaben an seinen Standorten. Routing und Qualitätsklassen können Teil des Dienstes sein. Das kann eine einheitliche Vernetzung und priorisierte Behandlung bestimmter Verkehrsarten ermöglichen. Die konkreten Eigenschaften ergeben sich jedoch aus dem jeweiligen Vertrag und der technischen Umsetzung.

MPLS ist nicht dasselbe wie Verschlüsselung. Die logische Trennung im Anbieternetz schützt Verkehrsbereiche gegeneinander, ersetzt bei entsprechenden Sicherheitsanforderungen aber keine zusätzliche Ende-zu-Ende-Verschlüsselung.

Auch MPLS ist nicht pauschal besser oder schlechter als ein Internet-VPN. Es kann zu Unternehmen passen, die eine zentral betriebene Standortkopplung mit definierten Serviceeigenschaften benötigen. Kosten, Ausbauzeit, Cloud-Verkehr, Flexibilität und Redundanz müssen gemeinsam betrachtet werden.

SD-WAN verständlich erklärt

SD-WAN steht für Software-Defined Wide Area Networking. Der Ansatz trennt die zentrale Steuerung und Richtlinienlogik stärker von den einzelnen Übertragungswegen. SD-WAN-Komponenten an den Standorten können Anwendungen erkennen, Verbindungen aufbauen und Daten anhand definierter Regeln über geeignete Wege leiten.

Wichtig: SD-WAN ist keine bestimmte Internetleitung. Es kann unterschiedliche sogenannte Underlays nutzen, beispielsweise Internetanschlüsse, Mobilfunk, MPLS oder Ethernet-Verbindungen. Die Qualität des Gesamtsystems hängt daher weiterhin von den zugrunde liegenden Anschlüssen, der Konfiguration und dem Betrieb ab.

Mögliche Funktionen sind:

• zentrale Verwaltung vieler Standorte,
• anwendungsbezogene Pfadauswahl,
• Nutzung mehrerer Leitungen,
• automatische Umschaltung bei erkannten Störungen,
• Priorisierung wichtiger Anwendungen,
• verschlüsselte Overlays, sofern entsprechend umgesetzt.

Welche Funktionen tatsächlich vorhanden sind, unterscheidet sich je nach Lösung. SD-WAN garantiert weder automatisch unterbrechungsfreie Umschaltung noch absolute Sicherheit. Richtlinien, Messwerte, Sicherheitsfunktionen und Betriebsprozesse müssen passend konfiguriert und getestet werden.

Direkte Glasfaser- und Ethernet-Verbindungen

Bei einer direkten Standortverbindung werden zwei Übergabepunkte über einen dafür bereitgestellten Übertragungsdienst gekoppelt. Je nach Ausführung kann dies beispielsweise eine Punkt-zu-Punkt-Ethernet-Verbindung oder ein anderer Layer-2- beziehungsweise Layer-3-Dienst sein. Glasfaser kann dabei das physische Übertragungsmedium bilden.

Solche Verbindungen können sinnvoll sein, wenn zwischen wenigen wichtigen Standorten regelmäßig große Datenmengen übertragen werden oder eine klar definierte direkte Kopplung gewünscht ist. Typische Anwendungsfälle sind Rechenzentrumsanbindungen, Datenspiegelung oder die Verbindung nahe gelegener Betriebsstätten.

Eine direkte Verbindung ist nicht automatisch exklusiv, verschlüsselt oder vollständig unabhängig. Diese Eigenschaften müssen technisch und vertraglich geklärt werden. Auch bei einem bereitgestellten Ethernet-Dienst sollten Unternehmen überlegen, ob sensible Daten zusätzlich verschlüsselt werden müssen.

Bei der Planung sind Übergabepunkte, Bandbreite, Latenz, Leitungsweg, Redundanz, Erweiterbarkeit und Entstörung zu prüfen. Grundlagen zum Übertragungsmedium bietet Wie funktioniert Glasfaser?.

Cloud-Anbindung und Rechenzentren berücksichtigen

Viele Anwendungen befinden sich heute nicht mehr in der Unternehmenszentrale. Datenverkehr läuft stattdessen zu Cloud-Plattformen, Softwarediensten oder mehreren Rechenzentren. Eine rein sternförmige Architektur, bei der jede Verbindung zuerst durch die Zentrale geführt wird, kann dann unnötige Umwege erzeugen.

Mögliche Modelle sind:

• direkter Internetzugang an jedem Standort mit zentralen Sicherheitsrichtlinien,
• gebündelter Zugang über ein Rechenzentrum,
• private oder dedizierte Cloud-Anbindungen,
• SD-WAN mit anwendungsabhängiger Pfadauswahl,
• Kombinationen aus privaten Netzen und verschlüsseltem Internetzugang.

Entscheidend ist, wo Anwendungen tatsächlich betrieben werden und welche Kontrollpunkte erforderlich sind. Berücksichtigen Sie Identitätsverwaltung, DNS, Firewalls, Protokollierung und die Verantwortung zwischen Unternehmen, Netzbetreiber, Rechenzentrum und Cloud-Anbieter.

Auch die Rückwege des Datenverkehrs müssen geplant werden. Asymmetrisches Routing kann Sicherheitsprüfungen oder zustandsbehaftete Firewalls erschweren. Änderungen an Cloud-Umgebungen sollten deshalb in Netzwerk- und Sicherheitskonzepte einfließen.

Standortvernetzung im Vergleich

Die Tabelle dient der Orientierung. Hybride Architekturen sind üblich: Eine Organisation kann beispielsweise direkte Verbindungen für Rechenzentren, MPLS für Kernstandorte und Internet-VPN oder SD-WAN für Filialen kombinieren. Ausschlaggebend sind Anwendungen, Risiko und Betrieb – nicht ein einzelnes Schlagwort.

Bandbreite, Upload, Latenz und feste IP-Adressen

Bandbreite bestimmt, wie viele Daten pro Zeit übertragen werden können. Für Standortvernetzung reicht eine Betrachtung des Downloads nicht aus: Backups, Cloud-Synchronisation, Videokonferenzen und Daten aus Filialen belasten auch den Upload. Orientierung geben Welche Bandbreite braucht mein Unternehmen? und Symmetrisch vs. asymmetrisch.

Latenz beschreibt die Verzögerung auf dem Übertragungsweg. Zusätzlich können Schwankungen der Verzögerung und Paketverluste wichtig sein. Echtzeitanwendungen reagieren darauf anders als Dateiübertragungen. Ein hoher nomineller Durchsatz gleicht ungünstige Laufzeiten nicht automatisch aus.

Feste öffentliche IP-Adressen erleichtern in klassischen VPN-Szenarien die dauerhafte Adressierung. SD-WAN- oder vermittelte Lösungen können je nach Architektur auch mit dynamischen Adressen arbeiten. Hinter CGNAT sind eingehende Verbindungen über eine eigene öffentliche IPv4-Adresse häufig nicht direkt möglich.

Planen Sie außerdem Reserven für Lastspitzen, Verschlüsselungsaufwand und Wachstum ein. Router und Firewalls müssen den erforderlichen Durchsatz mit aktivierten Sicherheitsfunktionen verarbeiten können.

Sicherheit: Verschlüsselung, Firewall und Zugriffsrechte

Standortvernetzung verbindet nicht nur Systeme, sondern erweitert auch mögliche Angriffs- und Fehlerpfade. Ein kompromittierter Standort darf nicht automatisch uneingeschränkten Zugriff auf alle anderen Bereiche erhalten.

Wichtige Maßnahmen sind:

• Daten auf nicht ausreichend vertrauenswürdigen Wegen angemessen verschlüsseln,
• VPN-Verfahren und kryptografische Einstellungen aktuell halten,
• Standorte, Benutzer, Server, Produktion und technische Geräte segmentieren,
• Firewall-Regeln nach dem Prinzip der minimal erforderlichen Freigabe gestalten,
• administrative Zugänge besonders schützen und protokollieren,
• Identitäten und Berechtigungen regelmäßig überprüfen,
• Konfigurationsänderungen dokumentieren und kontrollieren,
• Netzwerkkomponenten aktuell halten,
• Ereignisse zentral überwachen und auf Auffälligkeiten reagieren.

Verschlüsselung schützt Daten auf dem Übertragungsweg, verhindert aber keine Schadsoftware oder unberechtigten Zugriffe innerhalb eines freigegebenen Netzes. Firewalls ersetzen wiederum keine sichere Identitäts- und Endgeräteverwaltung. Sicherheit entsteht aus mehreren abgestimmten Kontrollen.

Absolute Sicherheit kann keine der beschriebenen Technologien garantieren. Die Maßnahmen müssen zum Schutzbedarf und zu geltenden betrieblichen beziehungsweise regulatorischen Anforderungen passen.

Ausfallschutz durch Redundanz und Backup-Verbindungen

Wenn ein Standort für zentrale Prozesse erreichbar bleiben muss, sollte die Vernetzung nicht von einem einzigen ungeschützten Übertragungsweg abhängen. Mögliche Backup-Wege sind ein zweiter Festnetzanschluss, Mobilfunk oder eine Verbindung über eine andere Technik.

Echte Redundanz verlangt mehr als zwei Verträge. Beide Anschlüsse können dieselbe Kabeltrasse, Gebäudeeinführung, Vermittlungstechnik, Stromversorgung oder Vorleistung nutzen. Prüfen Sie daher, wie unabhängig die Wege tatsächlich sind und welche Abhängigkeiten dokumentiert werden können.

Die Umschaltung kann manuell oder automatisch erfolgen. Automatik muss erkennen, ob nicht nur die lokale Leitung, sondern auch das relevante Ziel erreichbar ist. Zudem ist zu klären, welche Anwendungen über den Ersatzweg priorisiert werden und ob dessen Bandbreite ausreicht.

Testen Sie den Ausfall regelmäßig. Dabei sollten VPNs, Routing, DNS, Telefonie, Cloud-Zugriffe und die Rückschaltung geprüft werden. Servicezeiten und vertragliche Entstörung bleiben ebenfalls relevant; dazu informiert Entstörungszeit und SLA bei Business-Internet.

Checkliste für die Planung

• Welche Standorte, Rechenzentren, Cloud-Umgebungen und externen Arbeitsplätze sollen angebunden werden?
• Welche Anwendungen kommunizieren zwischen welchen Quellen und Zielen?
• Wie hoch sind Datenmengen, gleichzeitige Nutzung und Lastspitzen?
• Welche Anforderungen bestehen an Upload, Latenz, Schwankungen und Paketverlust?
• Welche Prozesse sind kritisch, und wie lange darf eine Unterbrechung dauern?
• Wird eine feste öffentliche IP-Adresse benötigt?
• Sind eingehende Verbindungen oder CGNAT zu berücksichtigen?
• Welche Daten müssen auf dem Übertragungsweg verschlüsselt werden?
• Wie werden Netze segmentiert und Zugriffsrechte begrenzt?
• Wer verwaltet Routing, Firewalls, VPNs und SD-WAN-Richtlinien?
• Welche Überwachung, Protokollierung und Alarmierung ist erforderlich?
• Wie werden neue Standorte und wachsende Bandbreiten eingebunden?
• Welche Haupt- und Backup-Wege sind verfügbar?
• Sind diese Wege technisch ausreichend unabhängig?
• Wie erfolgt die Umschaltung, und wurde sie praktisch getestet?
• Welche Servicezeiten, Eskalationswege und Entstörungsbedingungen gelten?
• Wie werden Konfigurationen, Abhängigkeiten und Notfallverfahren dokumentiert?
• Welche laufenden Betriebs- und Sicherheitsaufgaben entstehen?

Bewerten Sie nicht nur Anschaffung und Monatskosten, sondern auch Planung, Migration, Betrieb, Überwachung, Support und mögliche Ausfallfolgen. Unterschiede zwischen Anschlussarten erläutert außerdem Internet für Privat- und Geschäftskunden.

Häufige Fragen

Was ist der Unterschied zwischen Site-to-Site-VPN und MPLS?

Ein Site-to-Site-VPN stellt üblicherweise einen verschlüsselten Tunnel zwischen Standortnetzen her, häufig über das öffentliche Internet. Ein MPLS-basiertes IP-VPN wird im Netz eines Dienstanbieters betrieben und trennt Kundennetze logisch. MPLS bedeutet nicht automatisch Ende-zu-Ende-Verschlüsselung.

Ist SD-WAN eine eigene Internetleitung?

Nein. SD-WAN steuert Datenverkehr über vorhandene Underlay-Verbindungen. Das können Internet-, Mobilfunk-, MPLS- oder Ethernet-Anschlüsse sein. Ihre technischen und vertraglichen Eigenschaften bleiben für die Gesamtleistung entscheidend.

Welche Lösung ist für Unternehmen am besten?

Das lässt sich nicht pauschal beantworten. Zahl und Lage der Standorte, Anwendungen, Sicherheitsbedarf, Verfügbarkeitsziele, Betriebsmodell und Budget bestimmen die passende Architektur. Häufig ist eine Kombination mehrerer Ansätze sinnvoll.

Muss Standortverkehr immer verschlüsselt werden?

Der Bedarf hängt vom Übertragungsweg, den Daten und den Sicherheitsanforderungen ab. Bei Verbindungen über öffentliche oder nicht ausreichend vertrauenswürdige Netze ist angemessene Verschlüsselung besonders wichtig. Auch bei privaten Diensten kann zusätzliche Ende-zu-Ende-Verschlüsselung erforderlich sein.

Benötigt ein Site-to-Site-VPN feste IP-Adressen?

Feste öffentliche IP-Adressen vereinfachen klassische VPN-Gegenstellen. Einige Lösungen können jedoch dynamische Adressen, ausgehende Tunnel oder Vermittlungsdienste verwenden. Maßgeblich ist die konkrete Architektur.

Reicht ein Mobilfunkanschluss als Backup?

Er kann für bestimmte Szenarien ausreichen. Vorher müssen Empfang, Kapazität, Datenvolumen, öffentliche Adressierung, Router-Unterstützung und die Anforderungen der kritischen Anwendungen geprüft werden. Regelmäßige Tests sind notwendig.

Kann eine Standortvernetzung Cloud-Dienste einbeziehen?

Ja. Cloud-Umgebungen und Rechenzentren sollten als eigene Ziele in Routing, Sicherheit und Redundanz eingeplant werden. Je nach Architektur kommen Internetzugänge, verschlüsselte Tunnel oder private Cloud-Anbindungen infrage.

Standortvernetzung passend zu Ihren Geschäftsprozessen planen

Eine tragfähige Lösung beginnt mit den Anwendungen und Risiken, nicht mit einem einzelnen Produktnamen. Erfassen Sie Datenflüsse, Sicherheitsanforderungen und zulässige Ausfallzeiten. Vergleichen Sie anschließend VPN, MPLS, SD-WAN, direkte Verbindungen und hybride Modelle anhand derselben Kriterien.

Wenn Sie die Anforderungen Ihrer Standorte mit GFU besprechen möchten, können Sie über die Kontaktseite eine Anfrage stellen. Welche Anschluss- und Vernetzungsoptionen an den jeweiligen Adressen verfügbar sind und wie sie sich kombinieren lassen, muss anschließend für den konkreten Fall geprüft werden.