Das Lager liegt zwei Straßen weiter. Die Werkstatt steht im Nachbarort. Der zweite Laden ist in der Kreisstadt dazugekommen.
Irgendwann fällt der Satz: „Die beiden müssen verbunden werden." Gemeint ist fast immer ein VPN — ein verschlüsselter Tunnel, der die zwei Netze zu einem macht.
Das ist nicht falsch. Es ist nur selten die erste Frage. Wird es trotzdem zur ersten Frage gemacht, entsteht ein Aufbau, der teurer ist als nötig und unsicherer als vorher.
Die erste Frage lautet, ob überhaupt gekoppelt werden muss
Schreib auf, was die Leute am zweiten Standort tatsächlich brauchen. Nicht „Zugriff aufs Netz", sondern: welche Datei, welches Programm, welcher Drucker.
Bei den meisten kleinen Betrieben steht auf dieser Liste: E-Mail, Dateien, Warenwirtschaft oder Rechnungsprogramm, Zeiterfassung. Liegt das alles bei einem Anbieter oder auf einem Server im Rechenzentrum, ist die Antwort unbequem einfach — es braucht keine Kopplung. Es braucht am zweiten Standort einen Internetanschluss, Zugangsdaten und zwei Faktoren bei der Anmeldung. Zwei Netze zu verbinden, die beide nur ins Internet wollen, ist Arbeit ohne Ertrag.
Nötig wird die Kopplung, wenn am Hauptstandort etwas steht, das nur im örtlichen Netz erreichbar ist: eine Fachsoftware mit eigenem Server, ein NAS, eine Zeiterfassung mit Terminal, eine Maschinensteuerung, ein zentraler Druckserver. Dann geht es nicht ohne — und dann lohnt es sich, den Tunnel richtig zu bauen.
Ein Tunnel verbindet keine Büros, sondern Netze
Das ist der Satz, an dem die meisten Standortverbünde scheitern. Wer zwei flache Netze mit einem Tunnel zusammenschaltet, hat danach ein flaches Netz. Alles, was an Standort A erreichbar ist, ist es auch von B aus — und umgekehrt.
Für den Alltag fühlt sich das praktisch an. Im Schadensfall ist es der Unterschied zwischen einem betroffenen Standort und zwei. Verschlüsselnde Schadsoftware sucht aktiv nach erreichbaren Freigaben. Was im Netz steht, steht auf ihrer Liste. Was das für einen kleinen Betrieb bedeutet, steht in Ransomware im Kleinbetrieb.
Das BSI formuliert dieselbe Forderung nüchtern. Im IT-Grundschutz-Baustein NET.3.3 verlangt Anforderung A7, bei der technischen Planung die Teilnetze zu definieren, die über das VPN überhaupt erreichbar sein sollen. A11 geht einen Schritt weiter: Es soll sichergestellt werden, dass VPN-Verbindungen nur zwischen den dafür vorgesehenen IT-Systemen und Diensten aufgebaut werden.
Was das BSI an einem Standortverbund sonst noch verlangt
Der Baustein NET.3.3 ist kein Gesetz. Er ist der Maßstab, an dem sich ein ordentlich gebautes VPN messen lassen muss, und er ist kurz genug, um ihn einmal durchzugehen. Die Basis-Anforderungen lesen sich für einen kleinen Betrieb so:
- A1 Planung. Festlegen, wer den Betrieb verantwortet, welche Benutzergruppen es gibt und wie erteilte oder entzogene Berechtigungen dokumentiert werden.
- A2 Dienstleister. Wenn jemand anderes das VPN betreibt, gehören Leistungen schriftlich vereinbart und regelmäßig kontrolliert.
- A3 Installation. Eine Appliance, die Wartung braucht, braucht einen gültigen Wartungsvertrag. Vor der Inbetriebnahme wird geprüft, ob die Sicherheitsmechanismen auch greifen.
- A5 Aufräumen. Regelmäßig prüfen, wer zugreifen kann. Nicht mehr benötigte Zugänge zeitnah abschalten.
A5 ist der Punkt, der in der Praxis am häufigsten liegen bleibt. Ein Standortverbund wird einmal eingerichtet und danach nicht mehr angefasst — samt der Zugänge für Leute und Geräte, die es längst nicht mehr gibt. Dieselbe Regel gilt für Zugänge von zu Hause, siehe Homeoffice sicher anbinden.
Am zweiten Standort entscheidet der Upload
Zwei Standorte teilen sich Daten in beide Richtungen. Wer am Lager Fotos, Aufmaße oder Lieferscheine in die zentrale Ablage schiebt, lädt hoch. Genau dafür ist ein normaler Privatkundenanschluss am schwächsten ausgelegt.
Vor dem Vertrag lohnt deshalb der Blick auf die zugesicherte Upload-Rate, nicht auf die große Zahl in der Werbung. Und auf die Frage, was der Anbieter zusichert, wenn die Leitung ausfällt.
Bei einem Ausfall steht mehr im Gesetz, als die meisten wissen
Fällt die Leitung am zweiten Standort aus, gilt § 58 TKG. Der Anbieter muss die Störung unverzüglich und unentgeltlich beseitigen. Kann er sie nicht innerhalb eines Kalendertages nach Eingang der Störungsmeldung beheben, muss er spätestens am Folgetag mitteilen, welche Maßnahmen er eingeleitet hat und wann die Störung voraussichtlich behoben ist.
Dauert es länger als zwei Kalendertage, entsteht ab dem Folgetag für jeden Tag des vollständigen Ausfalls ein Entschädigungsanspruch: am dritten und vierten Tag 5 Euro oder 10 Prozent des vereinbarten Monatsentgelts, ab dem fünften Tag 10 Euro oder 20 Prozent — je nachdem, welcher Betrag höher ist. Für einen versäumten Kundendienst- oder Installationstermin sind es 10 Euro oder 20 Prozent.
Der Paragraf spricht von Verbrauchern. Das ist der Punkt, an dem die meisten Betriebe abwinken — zu früh. § 71 Absatz 3 TKG erklärt § 58 ausdrücklich auch für Kleinstunternehmen, kleine Unternehmen und Organisationen ohne Gewinnerzielungsabsicht für anwendbar. Die Ausnahme: wenn sie dem Verzicht auf diese Bestimmungen ausdrücklich zugestimmt haben. Lohnt sich also, im Geschäftskundenvertrag nachzusehen.
Was ein kleines Unternehmen ist, definiert das TKG nicht selbst. Die EU bestimmt es in der Empfehlung 2003/361/EG: weniger als 50 Beschäftigte und ein Jahresumsatz oder eine Jahresbilanz von höchstens 10 Millionen Euro. Ein Kleinstunternehmen hat weniger als 10 Beschäftigte und höchstens 2 Millionen Euro.
Zwei Einschränkungen gehören dazu. Die Bundesnetzagentur weist darauf hin, dass die Entschädigung einen vollständigen Ausfall voraussetzt und entfällt, wenn der Anbieter eine Ersatzlösung bereitstellt. Und sie setzt Geldansprüche nicht selbst durch; dafür bleiben die Zivilgerichte oder die Schlichtung.
Zwei Leitungen sind billiger als ein zweiter Server
Wenn der zweite Standort arbeitsfähig bleiben muss, ist die wirksamste Maßnahme kein zweiter Server vor Ort, sondern ein zweiter Weg ins Internet. Ein Mobilfunk-Router als Rückfallebene kostet wenig und übernimmt genau das, was in den ersten Stunden zählt: Kasse, Mail, Warenwirtschaft.
Wichtig ist, dass der zweite Weg wirklich ein anderer ist — anderes Netz, andere Einführung ins Gebäude. Zwei Verträge über dieselbe Leitung sind keine Redundanz.
Die Telefonie macht den Verbund nicht komplizierter
Ein verbreiteter Irrtum: Weil beide Standorte dieselbe Rufnummer nach außen zeigen sollen, müsse zuerst das Netz gekoppelt werden. Das stimmt nicht. Bei heutiger Telefonie hängt jeder Standort für sich am Internet und meldet sich beim selben Anbieter an. Was das praktisch bedeutet, steht in SIP-Trunk statt Telefonanlage.
Was jetzt zu tun ist
- Liste schreiben, was am zweiten Standort gebraucht wird — Programm für Programm.
- Prüfen, was davon zentral liegt. Bleibt nichts übrig, ist der Tunnel gespart.
- Bleibt etwas übrig: nur diese Systeme freigeben, nicht das ganze Netz.
- Upload-Rate und Entstörbedingungen des zweiten Anschlusses ansehen, bevor unterschrieben wird.
- Im Geschäftskundenvertrag nachsehen, ob dem Verzicht auf die Kundenschutzvorschriften zugestimmt wurde.
- Eine zweite Leitung einplanen und sie regelmäßig testen.
Beim Aufbau und beim Absichern eines Standortverbunds helfen wir unter IT-Infrastruktur und Security.
Die Angaben zum TKG geben den Gesetzestext wieder und keine Prüfung deines Vertrags. Ob eine Verzichtsklausel wirksam ist und was dir im Einzelfall zusteht, gehört zu einem Anwalt.