Zwei Antworten auf zwei verschiedene Fragen
Die beiden Verfahren beantworten unterschiedliche Fragen. Beim privaten APN lautet sie: Wohin gehen die Daten, und wer kommt an sie heran? Beim VPN lautet sie: Kann jemand mitlesen oder verändern, was übertragen wird? Deshalb ist die Wahl keine Entweder-oder-Frage — in vielen Anlagen ist beides zusammen die richtige Antwort, in manchen keines von beiden.
Beide Verfahren arbeiten dabei auf verschiedenen Ebenen: das APN im Mobilfunknetz, das VPN als kryptografischer Schutz auf der IP-Ebene, unabhängig von der Anwendung darüber. Das ist auch der Grund, warum sich beide Verfahren nicht gegenseitig ersetzen — sie sind ein Grundbegriff der IoT-Sicherheit und Netzarchitektur und wirken an unterschiedlichen Stellen im Datenweg.
Was ein APN im Netz genau macht, erklärt der Artikel Privates APN erklärt im Detail.
- Privates APN Access Point Name
Ein Zugangspunkt im Mobilfunknetz, der nur für einen Kunden eingerichtet ist und dessen Datenverkehr in dessen eigenes Netz übergibt, statt ins offene Internet. Trennung des Wegs, keine Verschlüsselung.
- VPN Virtual Private Network
Ein kryptografisch gesicherter Tunnel zwischen zwei Endpunkten. Er schützt die Vertraulichkeit der Daten und sorgt dafür, dass sie unverändert ankommen — unabhängig davon, über welches Netz sie übertragen werden.
Was das private APN leistet — und wo es aufhört
Das private APN entscheidet, an welchem Übergang die Daten das Mobilfunknetz verlassen. Es hält den Verkehr von dem anderer Kunden getrennt und macht Geräte aus dem offenen Internet unerreichbar. Über die Vertraulichkeit der Übertragung selbst sagt es nichts aus — dafür ist es nicht gebaut, und genau diese Lücke wird im Markt regelmäßig überspielt.
Der Beleg dafür: Nach der Sicherheitsspezifikation für Mobilfunknetze ist die Verschlüsselung der Nutzdaten auf der Funkstrecke eine Option des Netzbetreibers — empfohlen, aber nicht vorgeschrieben. Auch für die Strecke zwischen Funkzelle und Kernnetz ist es die Entscheidung des Betreibers, ob der Schutz kryptografisch erfolgt. Für Sie als Kunde heißt „nicht verschlüsselt“ dabei nicht „offen im Internet“ — der Verkehr läuft weiterhin in getrennten Netzen. Es heißt: Sie haben darüber keine eigene Zusicherung.
Was ein VPN leistet — und was es kostet
Ein VPN schützt den Inhalt der Daten durch Verschlüsselung und sorgt dafür, dass die Daten unverändert ankommen — unabhängig davon, welchen Weg sie nehmen. Der Preis ist Aufwand: Schlüssel und Zertifikate müssen verwaltet, Endpunkte betrieben und Ausfälle behandelt werden — auf jedem Gerät oder auf einem Gerät davor. Dieser Aufwand fällt dauerhaft an, nicht einmalig bei der Einrichtung.
IPsec ist dafür die standardisierte Sicherheitsarchitektur auf der IP-Ebene und wirkt für alle Anwendungen darüber. Das BSI behandelt VPN als eigenen Baustein mit Planungspflicht, Anforderungsanalyse und Verweisen auf Fernwartung, Kryptokonzept und Berechtigungsverwaltung — bemerkenswert und zitierfähig ist dabei, dass dieser Baustein für erhöhten Schutzbedarf keine zusätzlichen Anforderungen definiert. Zwei Bauformen sind dabei üblich: ein Tunnel im Gerät, bei dem jedes Gerät eigene Rechenleistung und Schlüssel braucht, gegen einen Tunnel am Router davor, bei dem ein Endpunkt für viele Geräte genügt, die Strecke dahinter aber ungeschützt bleibt.
Fernzugriff wirft dabei fast immer auch die Adressfrage auf — mehr dazu in Feste IP-Adresse für IoT-Geräte.
Der Vergleich in einer Übersicht
Der Kern in einem Satz: Das APN entscheidet über Weg und Erreichbarkeit, das VPN darüber, dass die Daten vertraulich bleiben und unverändert ankommen. Aufwand und Betriebslast liegen beim VPN deutlich höher, die Wirkung reicht dafür über das Mobilfunknetz hinaus bis in die Anwendung hinein. Gegen ein Gerät, das selbst kompromittiert ist, hilft keines von beiden.
| Kriterium | Privates APN | VPN |
|---|---|---|
| Wirkt auf | Privates APN den Weg der Daten im Mobilfunknetz | VPN den Inhalt der Daten, unabhängig vom Weg |
| Verschlüsselung | Privates APN keine zugesicherte | VPN Kernfunktion |
| Erreichbarkeit des Geräts | Privates APN steuerbar über den Übergang | VPN möglich, wenn der Tunnel steht |
| Aufwand im Gerät | Privates APN nur Konfiguration des Zugangsnamens | VPN Schlüssel, Rechenleistung, Zertifikatspflege |
| Aufwand im Betrieb | Privates APN Einrichtung im Netz plus Übergabe | VPN laufender Betrieb der Endpunkte, BSI verlangt Planung und Anforderungsanalyse |
| Wirkung bei Anbieterwechsel | Privates APN Konfiguration im Feld betroffen | VPN unabhängig vom Mobilfunkanbieter |
| Schützt gegen kompromittiertes Gerät | Privates APN nein | VPN nein |
Vier Fälle, vier Empfehlungen
In der Praxis lassen sich die meisten Anwendungen auf vier Fälle zurückführen. Sie unterscheiden sich danach, ob jemand von außen auf das Gerät zugreifen muss und ob die übertragenen Daten selbst schutzbedürftig sind. Aus diesen zwei Fragen ergibt sich die Empfehlung fast von allein, und drei der vier Fälle brauchen kein VPN.
- Gerät sendet nur nach außen, Daten unkritisch: Der öffentliche Zugang genügt, eine gesicherte Verbindung auf Anwendungsebene reicht.
- Gerät soll aus dem Firmennetz erreichbar sein, etwa zur Fernwartung: ein privates APN klärt den Weg, ein Tunnel ist dafür nicht zwingend. Wer den Zugriff selbst — wer sich verbinden darf und was er darf — absichern will, findet das in Wie sichern Sie einen Fernwartungszugang ab?.
- Daten sind schutzbedürftig, Zugriff von außen nicht nötig: Verschlüsselung ist nötig, ein privates APN bleibt optional.
- Beides — Zugriff von außen und schutzbedürftige Daten: beides kombinieren, und den Endpunkt bewusst wählen.
Beschaffung: was Sie beim Anbieter erfragen müssen
Weil beide Verfahren im Detail vom Anbieter abhängen, entscheidet die richtige Frage über das Ergebnis. Fünf Punkte sollten vor der Bestellung geklärt sein, sonst stellt sich der Aufwand erst nach dem Ausrollen heraus — dann auf tausend Geräten statt auf einem Musteraufbau, und mit einem Einsatz vor Ort je Gerät.
Fünf Fragen, die sich jedem Anbieter stellen lassen — auch uns:
- Wer betreibt den Übergang?
- Wird eine feste Adresszuordnung unterstützt?
- Welche Tunnelverfahren werden am Übergang unterstützt?
- Wer ist im Störungsfall zuständig, und in welcher Zeit erreichbar?
- Was passiert bei einem Anbieterwechsel mit der Konfiguration im Feld?
Welche Kombination für Ihre Anlage die richtige ist, hängt an drei Dingen: was Ihre Geräte leisten können, wer den Fernzugriff braucht und wie schutzbedürftig die Daten selbst sind. Schildern Sie uns Ihren Aufbau — wir ordnen ein, welcher der vier Fälle bei Ihnen vorliegt.
Häufige Fragen
Brauche ich sowohl ein privates APN als auch ein VPN?
Das hängt vom Fall ab. Muss ein System von außen auf das Gerät zugreifen und sind die Daten schutzbedürftig, braucht es beides zusammen. Sendet das Gerät nur nach außen und sind die Daten unkritisch, genügt oft eine gesicherte Verbindung auf Anwendungsebene.
Verschlüsselt ein privates APN meine Daten?
Nein. Ein privates APN entscheidet über den Weg der Daten im Mobilfunknetz, nicht über deren Vertraulichkeit. Wer Verschlüsselung zusichern muss, braucht dafür zusätzlich einen VPN-Tunnel.
Was kostet ein VPN im laufenden Betrieb mehr als ein privates APN?
Vor allem Aufwand: Schlüssel und Zertifikate müssen verwaltet, Endpunkte betrieben und Ausfälle behandelt werden. Ein privates APN braucht dagegen im Gerät nur die Konfiguration des Zugangsnamens, der Rest liegt im Netz.
Schützt eines der beiden Verfahren gegen ein kompromittiertes Gerät?
Nein, keines von beiden. Privates APN und VPN wirken auf den Weg und die Vertraulichkeit der Daten — gegen ein Gerät, das selbst kompromittiert ist, hilft weder das eine noch das andere.
Aus dem Angebot