Zugang von außen, ohne den Server ins Internet zu stellen
Zuletzt aktualisiert: 2. November 2026 · Autor: Redaktion Local-IT-Firewall
Kurz gesagt
Ein Fernzugang gehört hinter einen VPN-Zugang oder ein Portal mit zweitem Faktor – nicht auf eine Portweiterleitung. Der Unterschied: Im ersten Fall muss sich jemand ausweisen, bevor er den Server überhaupt sieht.
Warum die Portweiterleitung der falsche Weg ist
Eine Weiterleitung von außen auf einen Server macht den Anmeldedialog für jeden erreichbar, der die Adresse kennt. Niemand muss etwas umgehen, um ihn zu finden – Scans nach offenen Zugängen laufen dauerhaft über das ganze Netz. Übrig bleibt als Schutz nur das Kennwort.
Die drei praktikablen Varianten
| Variante | Passt, wenn | Zu bedenken |
|---|---|---|
| VPN auf die Firewall | feste Mitarbeitende mit eigenen Geräten | Einrichtung je Gerät, Zugang ist benannt |
| Portal mit zweitem Faktor | wechselnde Geräte, auch Fremdgeräte | braucht Zertifikate und Pflege |
| Betreuter Sprungpunkt | externe Dienstleister mit Zeitfenster | Zugang nur auf Anfrage, mit Protokoll |
Der zweite Faktor ist der wichtigste Teil
Kennwörter wandern: in Notizen, in Mails, in Weitergaben beim Wechsel. Ein zweiter Faktor – App auf dem Telefon oder ein Stick – macht ein bekanntes Kennwort allein wertlos.
Was beim Ausscheiden passieren muss
Jeder Zugang gehört zu einer Person. Verlässt sie den Betrieb, wird der Zugang entzogen, nicht das gemeinsame Kennwort geändert. Das ist der eigentliche Grund für benannte Zugänge.
Was Sie jetzt tun können
Lassen Sie prüfen, welche Dienste von außen erreichbar sind. Steht ein Fernzugang direkt im Internet, ist das der erste Punkt – vor allen weiteren Themen.