Von VPN zu Zero Trust mit Citrix Secure Private Access

Geschätzte Lesezeit: 6 Minuten

Viele Unternehmen haben ein VPN. Aber ehrlich gesagt, funktioniert dieses Ding schon seit Jahren wie eine offene Tür: Jeder, der hindurchkommt, erhält Zugang zum gesamten Netzwerk. Früher war das akzeptabel. Jetzt ist es das nicht mehr. Ransomware, Datenschutzverletzungen und Heimarbeiter mit unbeaufsichtigten Laptops haben die Spielregeln geändert. Und doch arbeitet ein großer Teil der KMU immer noch mit der gleichen alten VPN-Infrastruktur.

Citrix hat eine konkrete Antwort darauf: Citrix Secure Private Access (SPA). Und vor kurzem wurde die Berechtigung für UHMC (Universal Hybrid Multi-Cloud) Kunden erheblich erweitert. Was das für Ihr Unternehmen bedeutet, erklären wir Ihnen hier ganz genau.

Was ist Citrix Secure Private Access?

Citrix Secure Private Access ist eine Sicherheitslösung, die auf der Grundlage von Zero Trust Network Access (ZTNA) arbeitet. Im Klartext: Die Benutzer erhalten nur Zugang zu der spezifischen Anwendung, die sie benötigen, und nicht zu dem größeren Netzwerk dahinter.

Vergleichen Sie das mit einem Bürogebäude, in dem Besucher nicht einfach durch alle Flure gehen dürfen. Sie erhalten einen Ausweis für genau diesen einen Besprechungsraum. Das ist das Prinzip des Least-Privilege-Zugangs: minimaler Zugang, maximale Kontrolle.

SPA eignet sich für Umgebungen mit einer Mischung aus lokalen Anwendungen, Cloud-Anwendungen und SaaS-Diensten. Und auch für Mitarbeiter, die sich von nicht verwalteten Geräten aus anmelden, z. B. von privaten Laptops oder Geräten von entfernten Partnern.

VPN versus Zero Trust: was ist der Unterschied?

Diese Frage hören wir am häufigsten von IT-Managern. Hier ist die Quintessenz:

• VPN bietet Netzwerkzugang. Sobald Sie verbunden sind, können Sie auf alles in diesem Netzwerk zugreifen.
• ZTNA bietet Zugang zu Anwendungen. Sie erhalten nur Zugriff auf das, was Sie gerade brauchen.
• VPN vertraut jedem, der eine Verbindung herstellt. ZTNA prüft ständig: Wer sind Sie, von welchem Gerät aus loggen Sie sich ein und was dürfen Sie sehen?
• Eine VPN-Verletzung ermöglicht es einem Angreifer, sich seitlich durch das Netzwerk zu bewegen. Mit ZTNA ist der Angriffsradius auf die Anwendung beschränkt, auf die der kompromittierte Benutzer Zugriff hatte.

Dieser letzte Punkt ist entscheidend. Untersuchungen von IBM haben ergeben, dass ein durchschnittlicher DataBreach Unternehmen bis 2024 mehr als 4,8 Millionen Dollar kosten wird. Ein Großteil dieses Schadens entsteht, weil sich Angreifer ungehindert durch das Netzwerk bewegen können, wenn sie erst einmal drin sind.

Was hat sich für UHMC-Kunden geändert?

Anfang März 2026 kündigte Citrix an, dass UHMC-Kunden nun vollen Zugang zu Citrix Secure Private Access haben werden. Bisher war die Nutzung von SPA im Rahmen der UHMC-Lizenz auf Windows 365-Szenarien beschränkt. Dies wurde nun auf einen breiteren ZTNA- und VPN-Ersatz ausgeweitet.

Konkret können UHMC-Kunden jetzt Folgendes tun:

• Erweitern Sie den ZTNA-Zugriff auf private Anwendungen, so dass Benutzer nur auf der Anwendungsebene und nicht auf der Netzwerkebene zugreifen können.
• Externen Partnern und Auftragnehmern Zugriff mit fein abgestuften, kontrollierten Zugriffsmustern gewähren.
• Wenden Sie einen konsistenten Sicherheitsansatz in hybriden Umgebungen an, einschließlich lokaler Datenpfade und Cloud-Dienste.
• Schaffen Sie die VPN-Abhängigkeit schrittweise ab, ohne die Kontinuität von Legacy-Anwendungen zu unterbrechen, die noch VPN-ähnliche Verbindungen benötigen.

Der Kunde muss nichts unternehmen: Die erweiterten Rechte sind sofort im Rahmen der bestehenden UHMC-Lizenz verfügbar.

Die Risiken des Nichtstuns

Viele Unternehmen wissen, dass ihre VPN-Infrastruktur nicht mehr zu ihrer aktuellen Arbeitsweise passt. Dennoch arbeiten sie weiter damit, weil sich der Wechsel zu etwas Neuem unsicher anfühlt. Wir verstehen das. Aber die Risiken des Nichtstuns sind heute größer als die Risiken des Wechsels.

• Größere Angriffsfläche: Ein VPN bietet direkten Zugriff auf das gesamte Netzwerk, wenn es missbraucht wird.
• Geringe Transparenz: Bei herkömmlichen VPNs ist es schwierig zu erkennen, wer wann auf welche Systeme zugegriffen hat.
• Compliance-Risiko: Immer mehr Vorschriften (NIS2, ISO 27001, AVG) verlangen eine nachweisbare Verwaltung der Zugriffsrechte.
• Schlechte Benutzererfahrung: VPNs sind langsamer, fehleranfälliger und schwieriger zu verwalten als moderne ZTNA-Lösungen.

Was funktioniert: ein stufenweiser Ansatz

Das Schöne an Citrix Secure Private Access ist, dass es keine groß angelegte Migration erfordert. Sie können die Umstellung in Phasen vornehmen. In der Praxis sieht das oft so aus:

1. Beginnen Sie mit neuen Anwendungsfällen: Geben Sie externen Mitarbeitern oder Auftragnehmern ZTNA-Zugang, während bestehende interne Benutzer weiterhin über VPN arbeiten.
2. Erweitern Sie auf kritische Anwendungen: Migrieren Sie die am meisten gefährdeten Anwendungen zuerst auf ZTNA.
3. Halten Sie Legacy in der Luft: Für Legacy-Systeme, die noch VPN-ähnliche Verbindungen benötigen, unterstützt SPA auch VPN-Ersatzszenarien.
4. Schalten Sie VPN vollständig ab: Sobald alle Anwendungen migriert sind, schalten Sie die VPN-Infrastruktur ab.

Das ist genau das, was Citrix unter einem ZTNA-first-Ansatz versteht, der dennoch Kontinuität für bestehende Umgebungen bietet. Sie müssen nichts kaputt machen, um loszulegen.

Häufige Einwände, ehrlich beantwortet

"Wir haben keine Kapazitäten für eine solche Migration."

Verständlich. Aber da SPA parallel zu Ihrem bestehenden VPN laufen kann, müssen Sie nicht alles auf einmal ändern. Sie können klein anfangen, mit einer bestimmten Gruppe von Benutzern oder einer Reihe von Anwendungen.

"Unsere Mitarbeiter beschweren sich bereits über Citrix, warum sollte dies besser sein?"

Das hören wir immer öfter. Und offen gesagt, liegt das Problem selten bei Citrix selbst. Langsame Anmeldung? Das ist in der Regel ein Problem mit den Profilen, dem Speicher oder einem Antivirenpaket, das alles im Hintergrund scannt. Citrix ist der Endpunkt, an dem Probleme sichtbar werden, und nicht der, von dem sie ausgehen. SPA löst die Sicherheitsseite; die Leistungsanalyse führen Sie separat durch.

"Wir wollen zu AVD wechseln, das brauchen wir doch nicht, oder?"

AVD und ZTNA sind keine Alternativen zueinander. AVD ersetzt Ihre virtuelle Desktop-Plattform, aber die Frage, wie Sie den Zugriff sicher kontrollieren können, bleibt bestehen. In einer AVD-Umgebung benötigen Sie ZTNA genau deshalb, um zu verhindern, dass nicht verwaltete Geräte einen breiten Netzwerkzugang erhalten.

"Das klingt kompliziert und teuer."

Für UHMC-Kunden ist die Erweiterung sofort und ohne zusätzliche Kosten verfügbar. Und die Komplexität ist gar nicht so schlimm, wenn Sie mit einem Partner, der die Umgebung kennt, einen schrittweisen Ansatz wählen.

Praktische Checkliste: Sind Sie bereit für ZTNA?

• Prüfen Sie, ob Sie eine aktive UHMC-Lizenz haben. Wenn ja, ist SPA bereits verfügbar.
• Ermitteln Sie, welche Benutzergruppen am stärksten gefährdet sind (Remote-Mitarbeiter, Auftragnehmer, Benutzer auf unbeaufsichtigten Geräten).
• Machen Sie eine Bestandsaufnahme, welche Anwendungen jetzt über VPN zugänglich sind und welche zuerst auf ZTNA gehen können.
• Schauen Sie sich Ihre aktuelle Zugriffsrichtlinie an: Gibt es Rollen, die mehr Zugriff als nötig haben?
• Überprüfen Sie, ob Ihre Umgebung die Mindestanforderungen für SPA erfüllt (siehe Citrix-Dokumentation).
• Planen Sie eine Pilotgruppe und setzen Sie messbare Ziele für das Pilotprojekt (weniger VPN-Zwischenfälle, schnellere Bereitstellung von Zugängen, bessere Compliance-Berichte).

Von VPN zu Zero Trust: wie New Yard das Problem angeht

Bei New Yard betrachten wir immer den gesamten digitalen Arbeitsplatz, nicht einzelne Produkte. Dabei ist die Sicherheit keine Abteilung für sich, sondern ein Merkmal Ihrer gesamten Umgebung. Von der Identität bis zur Anwendung, vom Netzwerk bis zum Endpunkt.

Wir helfen Unternehmen bei der Umstellung von herkömmlichem VPN auf Zero Trust, und zwar auf eine Weise, die ihrem Tempo und ihrer Infrastruktur entspricht. Keine erzwungenen Big-Bang-Migrationen, sondern ein Ansatz, der in der realen Welt funktioniert: mit Altsystemen, begrenzten IT-Kapazitäten und Benutzern, die einfach nur arbeiten wollen.

Möchten Sie wissen, was das für Ihr Gebiet bedeutet?

Gerne vereinbaren wir mit Ihnen ein unverbindliches Einführungsgespräch. Kein Verkaufsgespräch, sondern ein ehrliches Gespräch darüber, wo Sie jetzt stehen und welcher Schritt zuerst sinnvoll ist. Kontaktieren Sie uns über newyard.nl.