VPN-Alternative für Unternehmen: Zero Trust in der Praxis
VPN-Alternative für Unternehmen: sieben Wege zum Fernzugriff im Vergleich – mit offenen Auswahlkriterien, echten Preisen und Stand-Datum August 2026.
- Ein VPN gewährt Zugriff auf ein Netzwerk, eine Zero-Trust-Lösung gewährt Zugriff auf eine einzelne Anwendung – das ist der eigentliche Unterschied, nicht die Verschlüsselung.
- Das BSI hält in seinem Positionspapier fest, dass Zero Trust keine Einmalinvestition ist, sondern dauerhaften finanziellen und personellen Aufwand erfordert.
- Die Schutzwirkung von Zero Trust bezieht sich laut BSI vorrangig auf Integrität und Vertraulichkeit – nicht auf Verfügbarkeit. Wer ein VPN wegen Ausfällen ersetzen will, löst damit das falsche Problem.
- Marktübliche ZTNA-Tarife für kleine Teams liegen zwischen 5 und 18 Euro bzw. US-Dollar je Nutzer und Monat, mehrere Anbieter sind bis 5 oder 6 Nutzer kostenlos (Stand: August 2026).
- Der teuerste Teil eines Umstiegs ist nicht die Lizenz, sondern die Vorarbeit: Ohne saubere Identitäten und ein vollständiges Geräteinventar lässt sich keine Zugriffsregel formulieren.
Das VPN im Mittelstand ist meist zehn Jahre alt, läuft auf der Firewall und wurde eingerichtet, als drei Leute gelegentlich von zu Hause arbeiteten. Heute arbeiten zwanzig hybrid, die Hälfte der Anwendungen liegt in der Cloud, und der Tunnel ins Firmennetz ist der letzte Ort, an dem noch alles mit allem verbunden ist. Deshalb steht die Frage nach einer VPN-Alternative für Unternehmen inzwischen auch bei 60 Arbeitsplätzen auf dem Tisch. Dieser Beitrag sortiert sieben realistische Wege ein und legt offen, nach welchen Kriterien.
Warum das klassische VPN an seine Grenze kommt
Ein VPN baut einen verschlüsselten Tunnel zwischen Gerät und Firmennetz. Wer im Tunnel ist, ist im Netz – und damit erst einmal potenziell an allem dran, was dort erreichbar ist. Die Verschlüsselung ist nicht das Problem. Die Reichweite ist es.
Genau hier setzt das Gegenmodell an. NIST SP 800-207, die Referenzdefinition für Zero-Trust-Architekturen, formuliert den Kern in einem Satz: Kein Gerät und kein Benutzerkonto erhält implizites Vertrauen allein aufgrund seines Standorts im Netzwerk oder seiner Eigentumsverhältnisse. Authentifizierung und Autorisierung sind eigenständige Schritte, die vor jeder Sitzung zu einer Ressource stattfinden – nicht einmalig beim Einwählen.
Die Grundlagen dazu stehen ausführlich im Glossareintrag zu Zero Trust und, für die Gegenseite, unter VPN.
Was das BSI vor dem Umstieg klarstellt
Bevor Sie Angebote einholen, lohnt ein Blick ins Positionspapier Zero Trust des BSI. Zwei Sätze daraus verändern die Erwartung mehr als jede Produktdemo.
Erstens: Die Schutzwirkung von Zero-Trust-Maßnahmen bezieht sich vorrangig auf die Schutzziele Integrität und Vertraulichkeit, ausdrücklich nicht auf Verfügbarkeit. Wer sein VPN ersetzen will, weil es zweimal im Quartal ausfällt, löst mit Zero Trust das falsche Problem.
Zweitens: Eine wirksame Umsetzung ist laut BSI keine Einmalinvestition, sondern ein langfristiges Vorhaben mit ebenso hohem wie dauerhaftem finanziellem und personellem Ressourcenaufwand. Das ist keine Warnung vor der Technik, sondern eine Ansage an die Planung.
Zero Trust ist ein Architekturprinzip, kein Produkt. Ein gekauftes ZTNA-Werkzeug ersetzt die Frage nicht, wer auf welche Anwendung zugreifen darf – es zwingt Sie nur endlich, sie zu beantworten.
Nach welchen Kriterien wir hier einsortieren
Ein Vergleich ist nur so ehrlich wie seine Kriterien. Diese fünf entscheiden im Mittelstand, nicht der Funktionsumfang der Datenblätter.
- Welche Identitätszentrale existiert schon? Wer Microsoft 365 einsetzt, hat eine – und sollte sie nicht zum zweiten Mal kaufen.
- Was liegt noch im eigenen Haus? Dateiserver, ERP, Warenwirtschaft, Maschinensteuerung. Diese Restliste bestimmt den nötigen Funktionsumfang.
- Wer betreibt es? Jede dieser Lösungen erzeugt Regeln, die gepflegt werden müssen. Ohne benannte Zuständigkeit veralten sie binnen Monaten.
- Wo werden Verbindungsdaten verarbeitet? Relevant für Datenschutzfolgenabschätzung und Betriebsrat, nicht erst beim Audit.
- Wie sieht der Rückweg aus? Was passiert, wenn der Anbieter ausfällt oder Sie ihn wechseln wollen.
Kriterium drei ist das, an dem Projekte im Mittelstand tatsächlich scheitern. Wie stark das wiegt, zeigt der Beitrag zum Berechtigungsmanagement im Mittelstand.
Sieben Wege im Vergleich
Alle Preisangaben stammen von den Preisseiten der Anbieter, abgerufen am 7. August 2026: Tailscale, NetBird und Twingate. Es sind Listenpreise je Nutzer und Monat, und sie ändern sich erfahrungsgemäß häufiger als die Produkte selbst.
| Weg | Prinzip | Preis (Stand 08/2026) | Passt, wenn … |
|---|---|---|---|
| Firewall-VPN weiterbetreiben | Tunnel ins Netz, Client vom Firewall-Hersteller | je nach Hersteller im Firewall-Vertrag enthalten oder je Nutzer lizenziert | wenige Fernzugriffe, alles im eigenen Haus, kurze Restlaufzeit der Hardware |
| Microsoft Entra Private Access | Zugriff pro Anwendung über die vorhandene Entra-Identität, per Client statt VPN-Tunnel | in der Entra Suite oder eigenständig; Entra ID P1 oder P2 vorausgesetzt | Microsoft 365 ist bereits die Identitätszentrale |
| Cloudflare One / Access | Zugriff pro Anwendung über das Anbieternetz | Free-Tarif und kostenpflichtige Stufen | Web-Anwendungen im Vordergrund, Zugriff soll über das Anbieternetz laufen |
| Tailscale | WireGuard-Mesh direkt zwischen Geräten | kostenlos bis 6 Nutzer · Standard 8 USD · Premium 18 USD | viele Server und technische Nutzer, Entwicklungsumgebungen |
| NetBird | WireGuard-Mesh, Cloud oder selbst gehostet | kostenlos bis 5 Nutzer · Team 6 € · Business 12 € | Selbsthosting oder ein Anbieter mit Sitz in Deutschland gewünscht |
| Twingate | ZTNA-Overlay vor bestehende Anwendungen | kostenlos bis 5 Nutzer · Teams 5 USD · Business 10 USD | ein Alt-VPN soll weg, ohne dass ein Netzwerkprojekt beginnt |
| Zscaler Private Access | ZTNA-Baustein einer größeren SSE-Plattform | keine öffentlichen Preise, Vertriebsweg | große, verteilte Organisation mit eigenem Security-Team |
Zwei Einordnungen dazu, die aus der Tabelle nicht hervorgehen.
Microsoft Entra Private Access ist für Microsoft-365-Häuser oft der kürzeste Weg. Microsoft beschreibt den Dienst in der Dokumentation zu Global Secure Access ausdrücklich so, dass Remote-Benutzer sich mit privaten Anwendungen verbinden, ohne dass ein VPN erforderlich ist – über Hybrid- und Multicloud-Umgebungen, private Netze und Rechenzentren hinweg. Der Dienst baut auf dem Anwendungsproxy auf und erweitert ihn auf alle privaten Ressourcen, Ports und Protokolle. Wer ohnehin mit Conditional Access arbeitet, verlängert damit eine Logik, die im Haus schon gilt.
Eine Zahl gehört dabei in jede Kalkulation: Laut derselben Dokumentation setzt Global Secure Access je Benutzer eine Lizenz Microsoft Entra ID P1 oder P2 voraus – zusätzlich zur Private-Access-Lizenz. In Häusern mit reinem Microsoft 365 Business Standard ist das ein zweiter Posten, der in Angeboten gern untergeht.
NetBird ist der einzige Anbieter in dieser Reihe mit Sitz in Deutschland – laut eigenem Impressum die NetBird GmbH in Berlin. Für Unternehmen, bei denen der Betriebsrat oder ein Datenschutzbeauftragter mitentscheidet, verkürzt das erfahrungsgemäß die Diskussion. Die Option, dieselbe Software im eigenen Rechenzentrum zu betreiben, gibt es zusätzlich.
Ich rate immer: nicht übertreiben, einfach anfangen. Die perfekte IT-Lösung gibt es nicht — aber eine, die in drei Monaten besser ist als heute.
Jens HagelGründer & Geschäftsführer
Wie ein Umstieg realistisch abläuft
Der teuerste Teil ist nie die Lizenz. Er liegt davor: Ohne saubere Identitäten und ein vollständiges Geräteinventar lässt sich keine einzige Zugriffsregel formulieren, die man später verteidigen kann.
- Restliste erstellen. Welche Anwendungen liegen wirklich noch im eigenen Netz – und welche davon nutzt jemand von außen? Meist sind es weniger als gedacht.
- Konten aufräumen. Verwaiste und doppelte Zugänge schließen, bevor sie in neue Regeln übernommen werden.
- Geräte erfassen. Ohne Inventar gibt es keine Gerätebedingung, und ohne Gerätebedingung bleibt vom Zero-Trust-Ansatz die Hälfte übrig.
- Eine Anwendung umstellen. Nicht das ERP. Etwas, dessen Ausfall am Freitagnachmittag niemanden ruiniert.
- VPN parallel laufen lassen. Vier bis acht Wochen, dann abschalten – mit angekündigtem Termin, sonst bleibt es für immer.
Schritt zwei überrascht regelmäßig: Wie viele Konten in einem gewachsenen Netz niemandem mehr gehören, zeigt der Beitrag verwaiste Konten finden. Für Schritt drei ist die zentrale Geräteverwaltung die Voraussetzung, in Microsoft-Umgebungen typischerweise über Intune.
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Wo kjello in dieser Liste steht – und wo nicht
kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004).
Damit ist kjello kein ZTNA-Produkt und steht nicht in Konkurrenz zu den sieben Wegen oben. Was kjello liefert, ist die Voraussetzung dafür und der Betrieb danach: Identitäten und Konten sauber über einen Prozess, ein gepflegtes Geräteinventar, dazu Firewall und Netzwerk als betreutes Plus-Modul.
Die Core-Flatrate liegt bei 29 € pro Nutzer und Monat, Antivirus und EDR kosten optional 10 € je Nutzer und Monat, Microsoft-365-Lizenzen kommen als Durchleitung hinzu. Netzwerk- und Firewall-Module werden nach Aufwand kalkuliert; die Übersicht dazu steht auf der Preisseite.
Die ehrliche Grenze: Der Zuschnitt sind 20 bis 250 Mitarbeitende. Ein Konzern mit eigenem Security-Team fährt mit einer Plattform wie Zscaler und eigenen Leuten besser. Ein reines Cloud-only-Startup ohne einen einzigen Server im Haus braucht diese Diskussion gar nicht – dort genügen Anmeldung, MFA und Zugriffsbedingungen.
Der häufigste Einwand an dieser Stelle lautet, das lasse sich intern lösen. Technisch stimmt das oft. Die Frage ist nur, was passiert, wenn die eine Person, die die Regeln kennt, kündigt, krank wird oder drei Wochen Urlaub hat. Zugriffsregeln, die niemand mehr versteht, werden nicht gepflegt, sondern umgangen – und dann ist die Lage schlechter als mit dem alten VPN. Wie man den eigenen Stand prüft, zeigt der IT-Sicherheits-Check, und den regulatorischen Rahmen sortiert der Beitrag zum NIS2-Check für den Mittelstand.
30 Minuten, kostenlos, ohne Vertriebsdruck – wir sehen uns Ihre Restliste an und sagen ehrlich, welcher Weg passt.
Gespräch vereinbarenFazit: erst die Restliste, dann das Produkt
Die Auswahl einer VPN-Alternative entscheidet sich nicht am Funktionsumfang, sondern an zwei Antworten: Welche Anwendungen liegen noch im eigenen Haus, und wer pflegt die Regeln in zwei Jahren. Wer beides beantworten kann, findet in der Tabelle oben meist innerhalb einer Sitzung den passenden Weg. Wer es nicht kann, kauft ein Werkzeug, das dieselbe Unschärfe verwaltet wie das alte VPN – nur teurer.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist die beste Alternative zu einem VPN für Unternehmen?
Ist Zero Trust ein Ersatz für ein VPN?
Was kostet ZTNA pro Mitarbeiter im Monat?
Was ist der Unterschied zwischen VPN, ZTNA und SASE?
Braucht man mit Microsoft 365 noch ein VPN?
Ist ein VPN unsicher?
Netzwerk und Fernzugriff als Modul
Fernzugriff ist selten ein Produktproblem und fast immer ein Betriebsproblem. Sehen Sie, wie kjello Firewall, Netzwerk und Zugriff als betreutes Modul führt.
