Compliance des Bundesgesetzes 152 und VPN im Jahr 2026: personenbezogene Daten, ISPDn, Anforderungen der RKN – Checkliste

Einleitung: Warum das Thema relevant ist und was Sie erwartet

Das Jahr 2026 hat klar gemacht: Unternehmensnetzwerke sind nicht nur verteilt, sondern wirklich perimetertlos geworden. Mitarbeiter arbeiten von zu Hause und Coworking-Spaces aus, Dienstleister sind sporadisch aktiv, Dienste sind teilweise in die Cloud gewandert, und der Datenaustausch erfolgt über zahlreiche verschlüsselte Tunnel. In diesem Umfeld ist die Einhaltung der Anforderungen an personenbezogene Daten kein bloßer „juristischer Haken“ mehr, sondern eine ingenieurtechnische Disziplin geworden. Jede unbedachte Änderung in der VPN-Policy kann das System aus der Lokalisierungszone herausführen, grenzüberschreitende Übertragungen beeinflussen oder die Datenminimierung verletzen.

Dieser Leitfaden ist Ihr Arbeitsinstrument für umfassende Compliance mit dem Bundesgesetz 152, mit Fokus auf Unternehmens-VPNs. Wir durchlaufen gemeinsam die Grundlagen bis hin zu fortgeschrittenen Architekturen und Prozessen: Wir klassifizieren ISPDn, erstellen Bedrohungsmodelle und Netzwerkkarten, wählen Protokolle und Konfigurationen aus, verbinden rechtliche Vorgaben mit technischen Maßnahmen. Sie erhalten Schritt-für-Schritt-Anleitungen, Audit-Checklisten, Tool-Empfehlungen, praktische Beispiele und Antworten auf komplexe Fragen, inklusive Datenlokalisierung, grenzüberschreitender Übertragung und Zusammenarbeit mit Aufsichtsbehörden. Das Ziel ist, Ihnen ein praxisorientiertes Framework an die Hand zu geben, mit dem Sie sicher Bewertungen, interne und externe Prüfungen meistern und schnell Sicherheits- und Compliance-Reifegrade skalieren können, ohne Geschäftsprozesse zu stören.

Grundlagen: fundamentale Konzepte (für Einsteiger)

Wichtige Begriffe des Bundesgesetzes 152 und ihre Bedeutung für VPN

• Personenbezogene Daten (PdD) – alle Informationen, die sich direkt oder indirekt auf eine identifizierte oder identifizierbare natürliche Person beziehen. In der IT-Praxis sind das nicht nur Name und Pass, sondern auch Geräte-IDs, Logins, Adressen, Sitzungsmetadaten, Ticketsystemeinträge.
• Spezielle Kategorien und biometrische PdD – sensible Daten, die erhöhte Schutzmaßnahmen und besondere Verarbeitungsgründe erfordern.
• Auftraggeber der PdD – die Stelle, die Zwecke und Mittel der Verarbeitung bestimmt. In Konzernen können mehrere Auftraggeber existieren. Davon hängen Meldepflichten, vertragliche Rahmenbedingungen und Architektur ab.
• Verarbeitungsbeauftragter – die Person oder Organisation, die im Auftrag des Auftraggebers handelt. Schlüssel zum Aufbau von Verträgen und Zugriffsbeschränkungen bei Outsourcing und Cloud-Nutzung.
• ISPDn – Informationssystem für personenbezogene Daten. Das ist nicht nur ein einzelner Server, sondern eine Gesamtheit von Subsystemen, Netzsegmenten, Software und Prozessen, in denen PdD verarbeitet werden.
• Lokalisierung – primäre Erfassung und Speicherung von PdD russischer Staatsbürger auf dem Gebiet Russlands. Beeinflusst, wo physisch und logisch Datenbanken, Backups und Exit-Punkte liegen.
• Grenzüberschreitende Übertragung – Übertragung von PdD auf das Gebiet eines fremden Staates oder an eine ausländische Organisation. Erfordert Meldungen, Schutzgerechtigkeitsbewertungen, vertragliche Verpflichtungen und technische Kanalüberwachung.

VPN als Kontrollinstrument, nicht als Allheilmittel

VPN ist eine Methode, um einen geschützten Kommunikationskanal über ein unsicheres Netzwerk zu erstellen. Es gewährleistet Vertraulichkeit und Integrität der Datenübertragung, löst aber nicht die Aufgaben der Identitätsverwaltung, Zugriffsrechte, Protokollierung, Minimierung und Lokalisierung. Ein Unternehmens-VPN muss in die Architektur des ISPDn eingebettet sein, mit Segmentierung verknüpft und die rechtlichen Verarbeitungsgrenzen berücksichtigen. Verschlüsselung allein macht die Verarbeitung nicht rechtmäßig, und falsche Routen können personenbezogene Daten unbewusst ins Ausland leiten.

Protokolle und ihre Eigenschaften (kurz)

• WireGuard – minimalistisch, leistungsstark, mit modernem Kryptografie-Stack; bestens für Automatisierung und DevOps-Umgebungen geeignet.
• OpenVPN – flexibel, erprobter De-facto-Standard mit großer Ökosystem-Unterstützung und hoher Kompatibilität.
• IPsec/IKEv2 – Industriestandard, oft erste Wahl für Site-to-Site-Verbindungen und Integration mit Netzwerkausrüstung.
• L2TP/SSTP – Einsatz bei Kompatibilitäts- und Policy-Einschränkungen; bei neuen Projekten sind modernere Alternativen zu bevorzugen.

Roskomnadsor, FSTEK, FSB: Rollen

• Roskomnadsor – Aufsicht über die Einhaltung des Datenschutzgesetzes, Betreiberregister, methodische Leitlinien, Überprüfungen.
• FSTEK Russland – Anforderungen an den Schutz vor unerlaubtem Zugriff (НСД) und Leitfäden zu Schutzstufen von ISPDn.
• FSB Russland – Regulierung von SKZI, Zertifizierung von Kryptografiemitteln, GOST-Algorithmen.

Zur Gestaltung der VPN-Architektur müssen diese Bereiche verbunden werden: wo PdD verarbeitet werden (operative und rechtliche Konturen), welches Schutzniveau das ISPDn hat und welche Maßnahmen greifen (organisatorisch, technisch, kryptografisch) sowie wie Aufsicht und Nachweisbarkeit der Compliance umgesetzt werden (Protokolle, Prozesse, Berichte).

Tiefere Einblicke: fortgeschrittene Aspekte

Mapping der Bundesgesetz-152-Anforderungen auf technische Maßnahmen

• Rechtmäßigkeit und Minimierung – Inventarisierung der Zwecke und Rechtsgrundlagen; auf technischer Ebene Segmentierung, ZTNA/SDP, Verbot überflüssiger Tunnel, Routensteuerung, Split-Tunneling mit Whitelists.
• Sicherheit bei der Verarbeitung – Verwaltung von Accounts und MFA, Kanalverschlüsselung, rollenbasierter Zugriffskontrolle, Ereignis- und Admin-Protokollierung, regelmäßige Rechteüberprüfung.
• Lokalisierung – Speicherung und primäre Verarbeitung in Russland; Netzwerkrichtlinien: Priorisierung russischer PoPs und Gateways, Verbot von Zugängen zu ausländischen Speichern für PdD-Ströme, DNS-Kontrolle.
• Grenzüberschreitende Übertragung – Empfängerinventar, Meldung, vertragliche Maßnahmen; technische Kontrollen: Routing über genehmigte Gateways, Tokenisierung/Pseudonymisierung vor Übertragung, Verschlüsselung mit Schlüsseln in Russland.
• Rechte der Betroffenen – Prozesse und SLA für Antworten; technische Umsetzung: Ursprungstracking, Verarbeitungsregister, eindeutige Systemverantwortliche.

ISPDn: Schutzstufen und Konturen

Das ISPDn hat Schutzstufen, bestimmt durch Schadensausmaß und aktuelle Bedrohungen. Je höher die Stufe, desto strenger die Maßnahmen: von Segmentierung und Protokollierung bis zu zertifizierten Schutzmitteln und verwalteten Kryptokisten. Praktisch ist es sinnvoll, in „Konturen“ zu denken: Nutzer, Perimeter, Dienste, Speicherung/Analyse, Administration. VPN fungiert als Gateway zwischen der Außenwelt und einem oder mehreren dieser Konturen. Wichtig zu beachten: Jede Kontur hat eigene Zugriffsregeln, Audits und Routensteuerungen.

Zero Trust und klassisches VPN

Das klassische Konzept „Vertraue nach Betreten des Perimeters“ reicht 2026 nicht mehr aus. Zero Trust verlangt kontinuierliche Verifikation des Subjekts und Geräts, eine „Least Privilege“-Policy, Mikrosegmentierung und kontextbasierte Entscheidungen. Das ersetzt VPN nicht, sondern wandelt seine Rolle: VPN wird zum Transportkanal, während Zugriffsmanagement auf Applikations- und Identitätsebene erfolgt. ZTNA/SDP ergänzen oder ersetzen dicke Tunnel, reduzieren das Risiko von Datenexfiltration und senken die Angriffsfläche.

Protokollierung und Nachweisbarkeit

Compliance bedeutet nicht nur richtig handeln, sondern es auch belegen zu können. Authentifizierungs-, Autorisierungs-, Tunnelstart/-ende-, Policyänderungs- und Zielservicezugriffs-Logs sind Ihre Grundlage für interne Kontrolle und Zusammenarbeit mit Roskomnadsor. Wichtig ist die durchgängige Korrelation von Identitäten (IdP), Netzaktivitäten (VPN/SDP) und Applikationsereignissen (SIEM). Bei PdD mit hohem Schutzbedarf empfiehlt sich die Ergänzung um unveränderbare Speicher und Integritätskontrollen der Logs.

Schlüssel, Zertifikate, Kryptografiealgorithmen

Schlüsselmanagement erfordert besondere Aufmerksamkeit: Rotation, sichere Speicherung, Admin-Zugriffsbegrenzung, Operationen-Audit, unabhängige Validierung. Für produktive Konturen mit hohen PdD-Anforderungen ist der Einsatz zertifizierter SKZI und GOST-Algorithmen gemäß ISPDn-Kategorie und aktueller Normen zu berücksichtigen.

Praxis 1: Inventarisierung von PdD und Klassifikation des ISPDn

Ziel der Methode

Ein vollständiges Bild der PdD-Flüsse erfassen, Auftraggeber und Beauftragte bestimmen, ISPDn identifizieren, Schutzstufen klassifizieren und architektonische Grenzen definieren, in denen das VPN agieren soll.

Schritt-für-Schritt-Anleitung

1. Asset-Scoping: Listen Sie Systeme mit potentiellen PdD auf: HR, CRM, Service Desk, Mail, Dateispeicher, Partnerportale, BI, Backups, Mobile Apps, Entwicklung/Testumgebungen.
2. Verarbeitungsverzeichnis: Für jedes System Ziele, PdD-Kategorien, Rechtsgrundlagen, Aufbewahrungsfristen, Rollen (Auftraggeber/Beauftragter), grenzüberschreitende Flüsse erfassen.
3. Flusskarte: Quellen und Empfänger, Protokolle, Ports, Verschlüsselungstypen, Ausstiegspunkte, Zwischendienstleistungen (Proxy, Broker, SASE) dokumentieren.
4. ISPDn-Definition: Subsysteme und Netze gruppieren, Eigentümer und Grenzen (L3/L7) sowie Administrationskontur bestimmen.
5. Klassifikation: Bedrohungen und Schäden für Betroffene und Auftraggeber bewerten, Schutzstufe zuweisen, verpflichtende Maßnahmen bündeln (organisatorisch + technisch + kryptografisch).
6. Vertragsaktualisierung: Verträge mit Beauftragten prüfen, PdD-Verpflichtungen, Schutzmaßnahmen, Vorfallmeldungen und Speicherort-Anforderungen einbauen.
7. Verantwortlichkeiten bestimmen: Rollen festlegen: ISPDn-Eigentümer, PdD-Verantwortlicher, Security-Admin, Protokollierungsbeauftragter, Kontakt zur Aufsicht.

Checkliste der Artefakte

• Verzeichnis der PdD-Verarbeitungen mit Rechtsgrundlagen und Aufbewahrungsfristen.
• Netzwerk- und VPN-Routingschema mit Markierung der Lokalisierungszonen.
• Memorandum zur Schutzstufenvergabe des ISPDn und Maßnahmenübersicht.
• Anordnungen zur Rollenbenennung und Zugriffsrichtlinien.
• Vorlagen für Betroffenen-Einwilligungen und deren Widerrufsverfahren.

Praxis 2: Bedrohungsmodell und Auswahl von Schutzmaßnahmen

Ziel der Methode

Aktuelle Bedrohungen für das ISPDn erkennen und VPN- sowie ergänzende Kontrollen so einstellen, dass Wahrscheinlichkeit und Schadensausmaß reduziert werden, unter Berücksichtigung des Bundesgesetzes 152 und seiner Durchführungsverordnungen.

Schritt-für-Schritt-Anleitung zur Bedrohungsmodellierung

1. Angriffsszenarien identifizieren: Kompromittierung von Zugangsdaten, Missbrauch von Privilegien, Man-in-the-Middle, Umgehung der Lokalisierung, Exfiltration über intransparente Tunnel, Angriffe auf Krypto-Protokolle, Supply Chain.
2. Angreiferziele bestimmen: Zugriff auf PdD, Massenabfluss von Daten, unbemerkte Änderung von Datensätzen, Denial of Service, Zurückhalten von Backups.
3. Angriffsfläche bewerten: VPN-Clients, Gateways, Zugriffsbörsen, IdP, Protokollierungs- und SIEM-Dienste, Admin-Oberflächen.
4. Maßnahmen zuordnen: Technische und organisatorische Maßnahmen für jedes Szenario definieren und auf Schutzstufen des ISPDn beziehen.
5. Metriken festlegen: mittlere Erkennungs-/Reaktionszeit, Anteil Admin-Zugänge mit MFA, Prozentsatz segmentierten Traffics, Authentifizierungsfehler, erfolgreiche/gebrochene Exfiltrationstests.

Maßnahmenmatrix (Auszug)

• Kompromittierung von Accounts: MFA, Passwortrichtlinien, Passwortmanager, Geräteauthentifizierung, SIEM-Alarme, Just-In-Time-Zugriffe.
• MITM/Tunnel-Schwachstellen: moderne Protokolle, strikte Kryptoprofile, Verbot schwacher Verschlüsselung, Zertifikatspinning, automatische Schlüsseldrehung.
• Exfiltration: Egress-Kontrolle, DLP, Proxy mit Kategorisierung, verbotener Full-Tunnel für PdD-Segmente oder strikt weiße Richtungen, DNS-Festlegung, Anomalieüberwachung.
• Privilegieneinteilung: Admin-Rollen trennen, PAM, Admin-Sessions aufnehmen, getrennte Admin- und Betriebs-Konturen.
• Logs und Nachweisbarkeit: zentralisierte, sichere Logsammlung, Integritätskontrolle, getrennte Logzugriffe, Aufbewahrungspolitik.

Praxis: Konfiguration von Unternehmens-VPNs gemäß Bundesgesetz 152

1. Protokollwahl: Für Fernzugriff WireGuard oder IKEv2/OpenVPN; für Site-to-Site IPsec/IKEv2. Kompatibilität, Performance, Hardware-Unterstützung berücksichtigen.
2. Verschlüsselung und Schlüssel: moderne Chiffren nutzen, veraltete ausschließen; automatisierte Schlüsselrotation einführen; Schlüsselzugriff regeln.
3. Authentifizierung: SSO via Unternehmens-IdP, verpflichtendes MFA, Geräte mit vertrauenswürdiger Attestation (MDM/EDR-Checks).
4. Routing: Liste von Subnetzen und Zielen definieren; uneingeschränkten Zugriff nach Verbindungsaufbau vermeiden; nach Rollen und Konturen segmentieren.
5. Split-Tunneling: Nur selektiv einsetzen. Für PdD-Ströme entweder Full-Tunnel ins russische Gateway oder strenge Whitelists für Routen und DNS.
6. DNS und Datenlecks: Unternehmens-Resolver festlegen, öffentliche Resolver am Client verbieten, DoH/DoT zu vertrauenswürdigen Servern einführen.
7. Kill-Switch: Policies nutzen, die bei Tunnelabbruch Netzwerkzugriff von Apps blockieren, insbesondere für PdD-Systeme.
8. Protokollierung: Logs zu Verbindungen, Policies, Authentifizierung und Zielsubnetzen aktivieren; SIEM-Integration sicherstellen; Aufbewahrung und Minimierung beachten.
9. Gerätekontrolle: MDM/EDR-Profile einführen, Betriebssystemversion prüfen, Festplattenverschlüsselung, Sperrbildschirm, kein Root oder Jailbreak erlauben.
10. Exfiltrationstests: Regelmäßig Datenausleitungen simulieren, Blockaden durch Proxy/DLP und Routing prüfen.

Praxis 3: Lokalisierung und grenzüberschreitende Übertragung

Was Lokalisierung im Netzwerk bedeutet

Lokalisierung ist mehr als nur der Standort eines Racks im Rechenzentrum. Es ist ein Netzwerk- und Prozessmodus, bei dem primäre Erfassung, Speicherung und die meisten Operationen mit PdD in Russland durchgeführt werden, während grenzüberschreitende Ströme entweder nicht existieren oder streng geregelt sind. VPN beeinflusst das direkt: Ausstiegspunkt, Routing, DNS-Auflösung, Proxy – alles muss der Lokalisierungspolitik folgen.

Schrittweises Framework für Lokalisierung

1. Inventarisierung von Speichersystemen: Hauptdatenbanken, Protokolldatenbanken, Backups, Queues, Caches, BI-Cubes – physische und logische Standorte erfassen.
2. Einstiegspunkte: Applikationen und APIs, von denen PdD eingehen; sicherstellen, dass die Primärspeicherung in Russland erfolgt.
3. Ausstiegspunkte und Spiegelungen: Replikationen und Reservekanäle bewerten; begrenzen oder mit Schlüsseln in Russland verschlüsseln; vor Export pseudonymisieren.
4. VPN-/Proxy-Policies: Für Nutzer und Dienste mit PdD – Gateways und PoPs in Russland; Whitelists für Adressen/Domains; Verbot beliebiger Egress-Verbindungen.
5. Dokumentation: In Verarbeitungsverzeichnissen, Netzwerkschemata und Lokalisierungsvorschriften festhalten; mit IT-Sicherheit und Rechtsabteilung abstimmen.

Grenzüberschreitende Übertragung: Kontrolle und Nachweisbarkeit

• Register der grenzüberschreitenden Flüsse: Empfänger, Land, Zwecke, Rechtsgrundlagen, Schutzmaßnahmen, Fristen, PdD-Kategorien, Kontakt beim Empfänger.
• Meldung und Verträge: Vorgaben zur Vorabmeldung einhalten; Verträge um Schutz- und Vorfallmeldepflichten sowie Anforderungen an Subunternehmer-Standorte erweitern.
• Technische Maßnahmen: Verschlüsselung während der Übertragung, Schlüssel mit Kontrolle in Russland, Pseudonymisierung, wo zulässig, sowie Routen-Audit.
• Monitoring: SIEM-Konfiguration zur Überwachung grenzüberschreitender Richtungen, Alarme bei unbekannten Ländern/ASN, regelmäßige Validierung der Geolokalisierung von Gateways.

Praxis 4: Operative Prozesse, Vorfälle und Zusammenarbeit mit der Aufsicht

Prozessuale Grundlage

• Zugangsmanagement: Anträge, Begründungen, regelmäßige Überprüfung, Widerruf von Rechten, Just-In-Time für Admin-Zugänge.
• Training: Regelmäßige Schulungen für Admins, DevOps und Nutzer mit Fokus auf Routing, Lokalisierung und PdD-Handling.
• Änderungen und Releases: Change Advisory für Netzwerkrichtlinien, Routing-Tests und Protokollprüfung vor und nach Änderungen.
• Audit und Kontrolle: Interne Prüfungen per Checkliste, Leak-Tests, Abgleich von Logs und Verzeichnissen.

Vorfallmanagement: von Klassifikation bis Forensik

1. Klassifizierung: Verdacht auf PdD-Lecks, bestätigte Lecks, Dienstverfügbarkeit, unautorisierter Zugriff.
2. Isolation: temporäre Sperren von Accounts/Tunneln, erzwungene Schlüssel-/Zertifikatsneuzuweisung, Segmentierung.
3. Dokumentation: Konfigurations-Fotos, exportierte Logs mit Integritätszertifikat, sichere externe Speicherung.
4. Kommunikation: Zuständige informieren, Rechtsabteilung involvieren, bei Bedarf Betroffene und Aufsicht fristgerecht und gemäß Vorgaben informieren.
5. Lernprozesse: Post-Mortem, Aktualisierung von Richtlinien, Team-Trainings, Policy-Anpassungen.

Vorbereitung auf Prüfungen

• Aktuelles Verarbeitungsverzeichnis und ISPDn.
• Netzwerk- und VPN-Schemata mit Lokalisierung und grenzüberschreitenden Pfaden.
• Authentifizierungs-, Policy- und Datenzugangsprotokolle.
• Vertragliche Rahmen mit Verarbeitern, Policies und Standards.
• Ergebnisse interner Audits und Maßnahmenpläne.

Typische Fehler: Was Sie vermeiden sollten

• Gemeinsames VPN ohne dedizierte IP: vermischte Logs und fehlender Nachweis von Routen beim Thema Lokalisierung und Audit.
• Unkontrollierter Full-Tunnel: ungehinderter Zugriff nach außen, Verlust der Lokalisierung und unkontrollierte grenzüberschreitende Übertragung.
• Kein MFA und keine Gerätekontrolle: Kompromittierte Accounts und einfache Privilegieneskalation.
• Fehlendes Verarbeitungsverzeichnis: Unklare Rechtmäßigkeit und Minimierung, Diskrepanz zwischen juristischen Dokumenten und Netzwerkrealität.
• Deaktivierte Logs: Keine Nachweisbarkeit der Compliance, erschwerte Forensik, hohes Haftungsrisiko.
• Einheitlicher Weg für Admins und Nutzer: Lecks von Admin-Schlüsseln und erhöhter Schaden.
• BYOD ohne MDM: Nicht vertrauenswürdige Geräte und Lecks durch unerlaubte Apps.
• Schwache Verschlüsselungen und veraltete Protokolle: Angriffe auf Kryptographie und Man-in-the-Middle.

Tools und Ressourcen: Empfehlungen

Netzwerk- und Zugriffsschicht

• VPN-Server: WireGuard, OpenVPN, IPsec/IKEv2 für flexible Szenarien; für hohe ISPDn-Schutzstufen zertifizierte GOST-Lösungen prüfen, wo nötig.
• ZTNA/SDP: Thin-Clients und Broker für applikations- und rollenbasierten Zugriff.
• Proxy und Egress-Kontrolle: Kategorisierung, Länder-/ASN-Policies, TLS-Inspektion mit Ausnahmen für sensible Dienste.

Identitäts- und Gerätekontrolle

• IAM/IdP und MFA: Single Sign-On mit strenger multifaktoriger Authentifizierung.
• MDM/EDR: Device Health Checks, Diskverschlüsselung, Root-Verbot, verpflichtende Security-Agenten.
• PAM: Kontrolle und Aufzeichnung von Admin-Sessions, zeitlich begrenzte Privilegienvergabe.

Observability und Nachweisbarkeit

• SIEM: Sammlung und Korrelation von Logs aus VPN/SDP, IdP, Applikationen und Netzwerkkomponenten.
• Log-Speicher: Unveränderliche Speicher, Integritätskontrolle, Zugriffsbeschränkungen.
• DLP: Verhinderung von Datenlecks, besonders an Egress-Grenzen und Mail-Gateways.

Praktischer Tipp für Pilotprojekte

Für schnelle Pilots und Proof of Concepts empfiehlt es sich, einen persönlichen Unternehmens-VPN-Server mit dedizierter IP zu deployen, um Routenlokalisierung, Egress-Policy und Protokollierung unmittelbar zu validieren. Der Service vpn.how eignet sich dafür: Er bietet keine Shared-, sondern persönliche VPN-Server mit separater IP, unterstützt WireGuard, OpenVPN, IKEv2, L2TP, SSTP, geografische Auswahl (Moskau, Sankt Petersburg, Amsterdam, Frankfurt, London, New York, San Jose, Chicago, Singapur, Sydney, Madrid, Helsinki, Stockholm, Warschau, Kopenhagen, Stavanger), akzeptiert russische Karten (inkl. Tinkoff, Ozon), SBP, USDT/BTC, Tarife ab 490 ₽ pro Tag und ab 2490 ₽ monatlich mit Rabatten für längere Laufzeiten, automatischen Serverstart ca. 5 Minuten nach Zahlung, Log-Free-Policy. In produktiven Umgebungen mit hohen PdD-Anforderungen empfiehlt sich die eigene Infrastruktur oder der Einsatz zertifizierter GOST-VPN-Lösungen, je nach Schutzstufe des ISPDn.

Praxisbeispiele und Ergebnisse: Reale Umsetzung

Fall 1: E-Commerce mit verteilter Mannschaft

Problem: Mitarbeiter und Auftragnehmer nutzten ein gemeinsames VPN mit Full-Tunnel, Egress über ausländische PoPs, ein Teil der BI-Pipelines replizierte in ausländische Clouds für Analysen. Risiken: Verletzung der Lokalisierung, unkontrollierte grenzüberschreitende Übertragung, geringe Nachweisbarkeit der Zugriffe.

Lösung: PdD-Inventarisierung und Flussmapping; separate Zugangspools für Nutzer und Admins; Umstieg auf WireGuard mit SSO und MFA; Egress-Kontrolle über russische Gateways; Tokenisierung persönlicher Identifikatoren vor Analytics; SIEM-Integration von VPN-, IdP- und Anwendungslogs; regelmäßige Exfiltrationstests.

Ergebnisse nach 90 Tagen: PdD-Verkehr, der Russland verlässt, auf 0 ohne berechtigte Ausnahmen gesenkt; durchschnittliche Zugriffsbereitstellung um 40 % verkürzt dank JIT; Vorfalluntersuchungszeit um 55 % reduziert durch Log-Korrelation; Aufsichtskontrolle ohne Beanstandungen bestanden, Anmerkungen binnen zwei Wochen umgesetzt.

Fall 2: Produktionsfirma mit Auftragnehmern

Problem: Auftragnehmer hatten Netzwerkzugang zu internen Buchhaltungssystemen; gemischte Geräte genutzt; fragmentierte Protokollierung; Admin-Kontur nicht getrennt.

Lösung: Einführung von ZTNA für Nutzerzugang (app-zentrischer Zugriff), IPsec-VPN-Tunnel für Site-to-Site; getrennte Administrationskontur mit PAM; MDM-Profile mit Geräteattestation; Protokollierung in unveränderbarem Speicher; Egress-Kategorisierung.

Ergebnisse: 100 % der administrativen Aktionen über aufgenommene PAM-Sessions; 0 kritische Vorfälle innerhalb 12 Monaten; Auftragnehmer-Onboarding um 60 % schneller; erfolgreiche interne Compliance-Prüfung und erhöhter Sicherheitsreifegrad.

Fall 3: Internationales F&E mit grenzüberschreitenden Flüssen

Problem: Austausch von PdD mit ausländischen Entwicklungzentren zur Nutzerbetreuung; komplexes Tunnelnetz, verstreute Protokolle, suboptimale Lokalisierung.

Lösung: Register grenzüberschreitender Flüsse mit vertragsseitigen Maßnahmen; Pseudonymisierung vor Versand; Verschlüsselung mit Schlüsseln in Russland; zentraler Broker für Ausgänge mit Länder-Kategorisierung; Überarbeitung der DNS-Policies; SIEM mit Geo-Alarme.

Ergebnisse: klare, nachweisbare Übertragungskarte; 20 % geringere Kosten für Kanäle durch Routingoptimierung; Abwehr von drei Exfiltrationsversuchen im Pilot-Test; erfolgreiche Zusammenarbeit mit Aufsichtsanfragen.

FAQ: 10 schwierige Fragen

1. Ist VPN für die Einhaltung des Bundesgesetzes 152 notwendig?

VPN selbst ist keine gesetzliche Pflicht, aber oft unerlässlich als Schutzmittel für Kommunikationskanäle bei Fernzugriff und Integration. Compliance wird durch ein Bündel aus Rechtsdokumenten, Prozessen und technischen Kontrollen erreicht, wobei VPN nur ein Baustein ist.

2. Reichen WireGuard/OpenVPN für Konturen mit hohen Anforderungen aus?

Für viele Szenarien ja, bei korrekter Konfiguration und Umgebung. Für ISPDn mit erhöhten Anforderungen an zertifizierte SKZI kann der Einsatz von GOST-basierten und zertifizierten Komponenten notwendig sein. Die Auswahl erfolgt nach ISPDn-Klassifikation und Bedrohungsmodell.

3. Wie verhält es sich mit Lokalisierung, wenn das Team aus dem Ausland arbeitet?

Primäre Speicherung und Verarbeitung der PdD russischer Bürger müssen in Russland erfolgen. Das entfernte Team verbindet sich über kontrollierte Gateways mit Egress-Politik, möglichst ohne Notwendigkeit, PdD ins Ausland zu transportieren. Für legitime grenzüberschreitende Szenarien gelten Register-, Melde-, vertragliche und technische Maßnahmen.

4. Darf man Logs mit persönlichen Identifikatoren speichern?

Ja, auch das ist PdD-Verarbeitung. Minimierung (Pseudonymisierung, Hashing), Zugriffsbeschränkung, Aufbewahrungsdauer, Zweckbindung und Rechtsgrundlagen sind zu beachten. Logs müssen geschützt und ihre Integrität nachweisbar sein.

5. Wann ist Split-Tunneling sinnvoll?

Nur mit klar definierten Whitelists für Routen und DNS. Für PdD-Ströme, die Lokalisierung erfordern, sollte ein Full-Tunnel ins russische Gateway oder streng kontrolliertes Split-Tunneling zum Einsatz kommen. Standardmäßig ist der Full-Tunnel zu ausländischen PoPs zu vermeiden.

6. Worin liegt der Vorteil von ZTNA gegenüber klassischem VPN?

ZTNA reduziert die Angriffsfläche: Der Zugang erfolgt gezielt zu Apps basierend auf Kontext und Rolle, nicht zum ganzen Netzwerk. Das unterstützt Datenminimierung, Nachweisbarkeit, vereinfacht Audits und senkt Exfiltrationsrisiken. ZTNA und VPN werden oft kombiniert genutzt.

7. Wie lange sollten VPN-Logs aufbewahrt werden?

Das hängt von internen Richtlinien, Untersuchungsbedarf und vertraglichen Verpflichtungen ab. Praxisorientiert sind 6 bis 24 Monate für Kernereignisse, unter Berücksichtigung von Minimierung und Zugriffskontrolle.

8. Braucht man für Compliance eine dedizierte VPN-IP?

Das erleichtert Nachweise der Routenführung, Separierung der Protokolle, Einrichtung der Egress-Policy und Zusammenarbeit mit externen Diensten anhand von Whitelists.

9. Wie geht man mit einem ausländischen Auftragnehmer-Verarbeiter um?

Land und Schutzmaßnahmen bewerten, Vertrag mit PdD- und Vorfallmeldepflichten abschließen, Übertragung registrieren, Verschlüsselung und Routenprotokolle sicherstellen, Pseudonymisierung vor Übertragung anwenden.

10. Wie misst man den Reifegrad der VPN-Compliance?

Metriken sind: Anteil der Zugriffe mit MFA, Prozent PdD-traffic, das Russland verlässt (Ziel: 0 oder dokumentierte Ausnahmen), Onboarding-/Widerrufszeiten, Abdeckung mit MDM/EDR-Geräten, Vollständigkeit der Logs und Anteil der korrelierten SIEM-Ereignisse, Erfolgsrate der Exfiltrationstests.

Fazit: Zusammenfassung und nächste Schritte

Die Compliance mit dem Bundesgesetz 152 im Jahr 2026 ist eine ingenieurtechnische Aufgabe an der Schnittstelle von Recht, Sicherheit und Betrieb. VPN spielt eine wichtige Rolle, doch gewinnen jene, die das System ganzheitlich aufbauen: Verarbeitungsverzeichnis, klare ISPDn-Konturen, Bedrohungsmodell, Trennung von Admin- und Nutzerzugängen, gesteuerte Routen, Observability und Prüfbereitschaft. Beginnen Sie mit Inventarisierung und Flusskarte, klassifizieren Sie das ISPDn und verbinden Sie Rechtsanforderungen mit technischen Maßnahmen. Ein schneller Pilot hilft, Hypothesen mit realen Routen und Logs zu testen. Anschließend treten Sie in die Standardisierung ein: ZTNA dort, wo es die Angriffsfläche minimiert, zertifizierte Kryptosysteme in anspruchsvollen ISPDn-Konturen und einen kontinuierlichen Audit- und Verbesserungszyklus.

30-60-90-Tage-Plan

• 30 Tage: Verarbeitungsverzeichnis, Netzwerk- und Routingschema, Basisrichtlinien für VPN, MFA, MDM, SIEM-Log-Integration.
• 60 Tage: Bedrohungsmodell, Egress-Kontrolle und DNS-Policies, Konturentrennung, ZTNA-Start für Prioritätsapplikationen, Incident-Management-Richtlinien.
• 90 Tage: Grenzüberschreitendes Register und Vertragsrahmen, Exfiltrationstests, unveränderliche Log-Speicher, interne Audits und Verbesserungspläne.

Das Fazit lautet: Behalten Sie Kontrolle über Daten, Routen und Nachweisbarkeit. So verlaufen sowohl Prüfungen als auch Geschäftswachstum reibungslos.