Unternehmens-MDM und VPN: Intune, Kaspersky, heimische MDM und Always-on

1. Einführung: Warum dieses Thema relevant ist und was Sie erwartet

In den letzten Jahren ist Unternehmensmobilität längst keine Zusatzfunktion mehr: Mitarbeiter arbeiten aus Büros, Zuhause, Coworking-Spaces, Flughäfen und Mobilfunknetzen weltweit. Der Zugang zu internen Anwendungen muss nahtlos, sicher und transparent sein. Always-on VPN ist der Schlüsselmechanismus, der die dauerhafte gesicherte Verbindung der Geräte mit dem Firmennetzwerk zu jeder Zeit und jedem Ort gewährleistet. In diesem Artikel zeigen wir systematisch, wie man Always-on VPN auf Windows 10/11, Android Enterprise und iOS/iPadOS mit Microsoft Intune, Kaspersky Endpoint (über Kaspersky Security Center) und heimischen MDM/UEM-Lösungen (inklusive Unternehmensbetriebssysteme und Zertifizierungen nach FSTEK/FSB) plant und implementiert. Wir begleiten Sie vom Grundwissen bis hin zu fortgeschrittenen Architekturen, mit klaren Anleitungen, Checklisten, Implementierungs-Frameworks und echten Use Cases. Ziel ist es, dass Sie diesen Artikel jederzeit während Ihres Projekts zur Hand nehmen und präzise Antworten erhalten: Was zu tun ist, wie es geht und warum es richtig ist.

2. Grundlagen: Wesentliche Konzepte

2.1. Was ist Always-on VPN?

Always-on VPN ist ein Modus, bei dem ein gesicherter Tunnel automatisch bei jeglicher Netzwerkaktivität des Geräts oder nach definierten Richtlinien (Triggern) aufgebaut wird, ohne manuelles Zutun des Nutzers. Auf Desktops (Windows) unterscheidet man zwischen device tunnel (wird beim Systemstart im Namen des Computers aufgebaut) und user tunnel (nach der Nutzeranmeldung). Auf mobilen Plattformen (Android, iOS/iPadOS) existieren die Modi always-on und per-app VPN mit der Möglichkeit von on-demand-Verbindungen für bestimmte Domains/Apps.

2.2. Komponenten

• MDM/UEM: Zentrale Geräteverwaltungssysteme (Intune, Kaspersky Security Center mit mobilen Richtlinien, heimische MDM für Android Enterprise, iOS/iPadOS und spezialisierte Betriebssysteme).
• VPN-Gateway: IPsec/IKEv2-Hub, SSL VPN, WireGuard, L2TP, SSTP usw. Alternativ virtuelle Gateways in der Cloud.
• PKI/Zertifikate: EAP-TLS, Geräte-/Nutzerzertifikate, SCEP/PKCS für Massenbereitstellung.
• DNS/DHCP/Routing: Design von Split- und Full-Tunneling, Routen, NRPT (Windows), Ausnahmen und Einschlüsse.
• Identitäten und Zugriffspolitik: Entra ID (Azure AD) mit Conditional Access, lokales AD, MFA, Posture-Checks.

2.3. Typische Topologien

• Full-Tunnel: Gesamter Datenverkehr läuft durch das VPN. Höchste Kontrolle, aber auch erhöhte Last und Anforderungen an Gateway-Bandbreite.
• Split-Tunnel: Firmennetzwerke und FQDNs über VPN, Internetverbindungen direkt. Balance zwischen Sicherheit und Performance, erfordert präzises Routing und DNS-Policies.
• Per-App VPN: Nur ausgewählte Unternehmensanwendungen initiieren den Tunnel. Beste Lösung für Zero Trust und Minimierung der Angriffsfläche.

2.4. Warum Always-on heute kritisch ist

• Der Perimeter erweitert sich zu „überall und nirgends“. Klassische Perimeter-Sicherheiten greifen nicht mehr.
• Zunahme von Angriffen in öffentlichen Wi-Fi-Netzwerken, MITM und Phishing-Taktiken.
• Compliance-Vorgaben fordern gesicherte Kanäle und kontrollierten Zugriff aus Außendienst-Netzen.
• Integration in SASE/Zero Trust-Architekturen – VPN wird Kern oder Teil eines umfassenderen Sicherheitsstapels.

3. Vertiefung: Fortgeschrittene Aspekte

3.1. Device- vs. User-Tunnel unter Windows

Device-Tunnel ermöglicht frühen Zugriff: Domänenanmeldung, GPOs, Anmeldeskripte, Management vor Login. Verwendet Gerätezertifikate. User-Tunnel dient dem Zugriff auf Nutzerdaten und -apps, nutzt Nutzerzertifikate und Entra ID/SSO-Integration.

3.2. Protokolle und ihre Besonderheiten

• IKEv2/IPsec: Modern, robust bei Netzwerkwechseln (MOBIKE), ideal für Always-on, native Unterstützung unter Windows, iOS und Teilen von Android.
• SSL VPN/SSTP: Läuft über TLS, durchquert die meisten Proxys/Firewalls, kann aber ressourcenintensiver sein.
• WireGuard: Hohe Performance, einfache Schlüsselverwaltung, exzellent auf mobilen Geräten. Keine native Always-on-Integration unter Windows via MDM, benötigt Client-App und Management-Richtlinien.
• L2TP/IPsec: Veraltet, wird zur Abwärtskompatibilität unterstützt, jedoch vorsichtig in neuen Projekten einsetzen.

3.3. PKI und automatische Zertifikatsausgabe

Skalierbarkeit erreichen Sie mit SCEP via Intune Certificate Connector oder entsprechenden Lösungen in Kaspersky/heimischen MDM. Für besonders sichere Szenarien empfiehlt sich eine dedizierte CA-Infrastruktur, CRL/OCSP öffentlich erreichbar über DMZ, getrennte Templates für Geräte und Nutzer, kurze Zertifikatslaufzeiten und automatische Rotation.

3.4. DNS und NRPT

Windows nutzt NRPT – DNS-Auswahlregeln für Domains. Bei Split-Tunnel geben Sie interne Domains und DNS-Server über das VPN-Profil vor. Für iOS/Android verwenden Sie per-app DNS und FQDN-Routing, wo möglich.

3.5. Performance und Stabilität

• MTU/MSS: Achten Sie auf Fragmentierung. Für IPsec über UDP MTU um 40-60 Bytes unterhalb des Link-Limits einstellen. Bei SSL PMTU messen und MSS-Clamping am Gateway konfigurieren.
• DPD/Keepalive: Balance zwischen Tunnelstabilität und Akkuverbrauch auf mobilen Geräten.
• QoS/DSCP: Für Sprach- und Videoanwendungen über den Tunnel.
• HA/Scale-out: Aktiv-aktiv-Cluster, BGP für dynamisches Routing, GSLB/Anycast-IP für globale Szenarien.

4. Praxis: Always-on VPN für Windows 10/11 via Microsoft Intune

4.1. Architektur

• MDM: Microsoft Intune.
• Identitäten: Entra ID, hybride oder reine Cloud-Varianten, Conditional Access.
• PKI: Intune Certificate Connector, SCEP für Geräte- und Nutzerzertifikate.
• VPN-Gateway: IKEv2/SSTP auf spezialisierten Geräten oder Windows Server RRAS (POC). In Produktivumgebungen Hardware-/virtuelle Gateways Enterprise-Klasse bevorzugt.

4.2. Schritt-für-Schritt-Anleitung

1. PKI vorbereiten: NDES/SCEP ausrollen, CRL/OCSP veröffentlichen, DeviceAuth- und UserAuth-Templates (Client Authentication, IPsec IKEv2) anlegen.
2. Intune Certificate Connector auf Server mit CA-Zugang einrichten.
3. Zertifikatsprofile in Intune anlegen: SCEP Device und SCEP User, Gruppen zuweisen.
4. Tunnelmodell festlegen: Device Tunnel (minimale Routen zu AD/DC, KMS, Management) + User Tunnel (voller Zugriff auf Unternehmensnetzwerke).
5. VPN-Profil (Windows 10/11) in Intune erstellen: Typ IKEv2, EAP-TLS-Authentifizierung, FQDN des Gateways, Root-/Zwischen-CAs, NRPT-Profil, Split-/Full-Tunneling, Routingliste.
6. Always-on aktivieren: Automatisches Verbinden und Trigger (alle Netzwerke, vertrauenswürdige SSIDs optional) im Profil setzen.
7. Optional: Custom OMA-URI für Device Tunnel hinzufügen: ./Device/Vendor/MSFT/VPNv2/DeviceVPN/ProfileXML mit EAP-TLS und Routing-Einstellungen. UserVPN separat.
8. Compliance prüfen: Intune Compliance-Policy, Verschlüsselungsanforderungen, Mindest-OS-Version, Jailbreak/Root-Sperre.
9. Pilot und Rollout: Zuerst 10-20 Geräte, dann schrittweise ausrollen.

4.3. Praktische Tipps

• Routen sauber trennen: DeviceVPN nur für essenzielle Dienste (AD, PKI, Management), UserVPN für Geschäftsanwendungen.
• Microsoft 365 im Split-Tunneling ausnehmen: Offizielle FQDN- und IP-Bereiche zur Performance-Optimierung nutzen.
• Logs prüfen: Windows-Logs RasClient, DeviceManagement-Enterprise-Diagnostics-Provider, Sammlung via Intune.
• Fallback: SSTP als Backup, falls IKEv2 blockiert wird.

4.4. Mini-Checkliste Windows Intune Always-on

• CA/NDES und öffentlich zugänglicher CRL/OCSP sind vorhanden
• EAP-TLS für Gerät und Nutzer erfolgreich getestet
• NRPT und Routing validiert
• Device- und User-Profile getrennt
• Split-Tunneling mit Netzwerkteam abgestimmt
• HA-Gateway Failover getestet

5. Praxis: Android Enterprise Always-on mit Intune und heimischen MDM

5.1. Architektur

• Android-Modi: Work Profile (BYOD), Fully Managed (COPE/COBO), Dedicated Devices.
• VPN-Client: Systeminterner (IKEv2/IPsec) oder Anbieter-App. Für WireGuard/SSL VPN eigene Clients und Managed Config.
• MDM: Intune oder heimisches EMM/MDM mit Android Enterprise API, Always-on- und VPN-Lockdown-Unterstützung.

5.2. Schritte in Intune

1. Android Enterprise in Intune registrieren, Verwaltungsprofil definieren (Fully Managed empfohlen für Firmen-Geräte).
2. VPN-Client via Managed Google Play installieren und Gruppen zuweisen.
3. VPN-Konfiguration anlegen: Typ (IKEv2/IPsec, SSL oder App Config), Gateway-Parameter, Zertifikate (SCEP User/Device), Algorithmen, DPD.
4. Always-on aktivieren und falls nötig Block connections without VPN (Lockdown).
5. Per-App VPN konfigurieren: Apps im Work Profile VPN zuweisen.
6. Pilot und Kontrolle: Monitoring via Intune, Verbindungsdiagnose am Gerät (VPN-Status, Client-Logs).

5.3. Schritte in heimischen MDM

• VPN-Client importieren: APK über Firmenstore oder eingebautes Repository ausrollen.
• Managed Configuration: JSON-Parameter für Client (Server, Schlüssel, Zertifikate) ausfüllen, Gerätegruppen zuordnen.
• Always-on/Lockdown-Richtlinie: Plattformflag für Traffic-Blockade außerhalb des VPN aktivieren.
• Compliance: Root-Detection, Verbot unsicherer Quellen, Versionskontrolle OS und Agent.

5.4. Praktische Hinweise

• Akku: Keepalive-Intervalle dort verlängern, wo SLA es zulässt.
• Netzwerkwechsel: IKEv2 mit MOBIKE und WireGuard meistern Übergänge zwischen Wi-Fi und LTE besser.
• DNS: Unternehmens-DNS verwenden und FQDN-Splitting, sofern vom Client unterstützt.

5.5. Mini-Checkliste Android

• Verwaltungsmodus gewählt (vorzugsweise Fully Managed)
• VPN-Client zertifiziert und getestet
• Always-on und Lockdown bei Bedarf aktiviert
• Per-App VPN an Unternehmensapps gebunden
• Zertifikate werden automatisch ausgegeben und erneuert

6. Praxis: iOS/iPadOS – Per-App und On-Demand VPN

6.1. Architektur

iOS/iPadOS bietet einen ausgereiften Stack: IKEv2-Profile, Per-App VPN, On-Demand basierend auf Domains und Netzwerk, Blockade des Traffics außerhalb des VPN. Profile werden über Intune oder heimische MDM angelegt und Apps zugewiesen.

6.2. Schritte

1. Zertifizierung: SCEP/PKCS für Nutzerzertifikate EAP-TLS.
2. IKEv2-Profil erstellen: Server, Identifikatoren, Authentifizierung, Re-Negotiation, DPD, Algorithmen.
3. Per-App VPN: Bundle-IDs der Apps definieren, die VPN nutzen sollen.
4. On-Demand Regeln: Domains, Interfaces (Wi-Fi, Mobil), SSID-Trigger (z. B. alle unbekannten Wi-Fi-Netze via VPN).
5. Compliance: Jailbreak-Verbote, Mindestversionen iOS, Passcode-Regeln.

6.3. Praktische Tipps

• DNS-Szenarien testen: On-Demand per Domain erfordert korrekte Auflösung und FQDN-Listen.
• Per-App als Standard: Minimiert Datenlecks und steigert Benutzerfreundlichkeit.
• Proxy-Beachtung: In öffentlichen Netzen löst On-Demand via IKEv2 Probleme mit SSL-Inspection.

7. Praxis: Kaspersky Endpoint und mobile Richtlinien im KSC sowie heimische MDM für Unternehmens-Betriebssysteme

7.1. Kaspersky Security Center (KSC) und mobile Geräte

KSC ermöglicht die Verwaltung von VPN-Profilen für iOS und Android über integrierte MDM-Richtlinien, basierend auf nativen VPN-Stacks der Plattformen. Grundprinzip: Zertifikate verteilen, VPN-Profil erstellen, Always-on/Lockdown oder Per-App aktivieren, Geräte/Nutzer zuweisen.

7.2. Schritte im KSC

1. PKI-Integration: Root-Zertifikate importieren, Ausstellen von Nutzer-/Gerätezertifikaten konfigurieren (SCEP oder manuell via PKCS).
2. VPN-Richtlinie erstellen: Typ IKEv2/IPsec, Gateway-Parameter, Algorithmen, EAP-TLS, Routen-/Domains-Liste (Split vs. Full).
3. Always-on/Per-App: Profilparameter für die Plattform aktivieren. Bei Android Always-on und Traffic-Lockdown, bei iOS On-Demand und Per-App.
4. Zuweisung: Nach Gerätegruppen, Tags, Collections und Kontext (Rolle, Standort).
5. Monitoring: Berichte über Profilinstallation und Tunnelstatus, Integration in Client-Logs und SIEM möglich.

7.3. Heimische MDM und spezialisierte Betriebssysteme

In Unternehmensumgebungen werden häufig heimische MDM/UEM eingesetzt, insbesondere bei Zertifizierungsanforderungen und spezialisierten Plattformen (z. B. firmeneigene mobile Betriebssysteme). Typisches Szenario: IPsec/IKEv2-Richtlinien, verpflichtendes VPN, Routing nur zu Unternehmensnetzen, strikte Blockade von Drittanbieter-Stores und Kommunikationskanälen. Zertifikatsmanagement erfolgt über interne CA-Integration oder PKCS-Import.

7.4. Tipps zum Betrieb

• Einheitliche Profi-Nomenklatur: Gleiche Namen und Versionen für Konsistenz über MDM hinweg.
• Strikte Zugriffsabgrenzung: MDM-Gruppen stimmen mit VPN-Netzwerksegmentierung überein.
• Schlüsselrotation: Automatisch und fallweise erzwungen per MDM-Policy bei Sicherheitsvorfällen.

8. Häufige Fehler und wie man sie vermeidet

• Device- und User-Tunnel vermischen: Führt zu instabiler Authentifizierung und unerwartetem Routing. Profile und Ziele sauber trennen.
• Full-Tunnel für alles ohne Kapazitätsbewertung: Gateway-Überlastungen und Performance-Probleme. Kapazitäten ermitteln und wo möglich Split-/Per-App einsetzen.
• Kein NRPT/DNS-Design: Fehlende Namensauflösung, Timeouts. Regeln definieren und Auflösung testen.
• Lange Zertifikatslaufzeiten: Risiko von Kompromittierung. Laufzeiten verkürzen und Rotation automatisieren.
• Proxy und SSL-Inspection nicht berücksichtigen: Tunnelabbrüche. Ausnahmen und Fallback-Protokolle einrichten.
• Keine Roaming-Tests: Übergänge zerstören Sessions. Wi-Fi/LTE-Switches testen, VPN-Clients mit MOBIKE/UDP bevorzugen.
• Ein Profil für alle OS: Plattform-spezifische Einstellungen verloren oder fehlerhaft. Separate Profile anlegen.

9. Tools und Ressourcen

9.1. Management und Automatisierung

• Intune Graph API: Automatisierte Profile, Reports, Compliance-Verwaltung.
• MDM SDK/CLI heimischer Lösungen: Massendurchführung von Policy-Änderungen, Integration mit CMDB/ITSM.
• Ansible/Terraform: Für verwaltete VPN-Gateways und Netzwerk-Policies, IaC-Templates.

9.2. Monitoring und Diagnose

• Windows: RasClient, DeviceManagement-Enterprise-Diagnostics-Provider, IKE/AuthIP-Logs, Sammlung via Intune.
• Android/iOS: Diagnostik-Profile, VPN-Client-Logs, Export zu SIEM.
• Netzwerksensoren: Synthetische Tests bis zum Gateway, MTU-, Latenz- und Paketverlust-Checks.

9.3. Sicherheit

• OCSP/CRL Monitoring: Verfügbarkeit von Statusprüfstellen.
• Kryptoprofile-Validierung: Erfüllung von Unternehmens- und regulatorischen Anforderungen.
• Segmentierung: ACL/SGT/NAC synchronisiert mit MDM-Gruppen.

10. Anwendungsfälle und Ergebnisse

10.1. Globale Distribution mit Windows und Intune

Organisation in 8 Ländern, 4500 Laptops. Architektur: DeviceVPN (IKEv2) für frühe Authentifizierung, UserVPN mit Split-Tunnel für LOB, Microsoft 365-Ausnahmen. Ergebnis: Nahezu keine Domänenanmeldeprobleme außer Haus, 35–45% Traffic-Einsparung durch Split-Tunneling, gesteigerte Nutzerzufriedenheit.

10.2. Android Enterprise im Einsatz

1500 COBO-Terminals. Always-on mit Nicht-VPN-Traffic-Blockade, per-App-Routing für WMS und MES. Resultat: Keine Lecks durch Dritt-Apps, vorhersehbare Performance im Lager-Wi-Fi, reduzierte manuelle Sicherheitsprüfungen.

10.3. iOS Per-App im Vertrieb

700 iPads für Außendienst. On-Demand für CRM/ERP-Domains, Per-App VPN. Nutzer bemerken das VPN nicht, SLA für Apps bleibt selbst in gefilterten Netzen erhalten. Support-Anfragen wegen Netzproblemen um 30% gesunken nach Einführung von On-Demand.

10.4. Heimisches MDM und spezialisierte OS

Organisation mit erhöhten Compliance-Anforderungen. Verpflichtendes IPsec/IKEv2 für firmeneigenes mobiles Betriebssystem, zentrale Zertifikatsausgabe über interne CA. Ergebnis: Nachweisliche Compliance, kontrollierbarer und vorhersagbarer Traffic, erfolgreiche externe Audits.

11. FAQ: 10 wichtige Fragen

F1. Braucht man immer Full-Tunnel?

Nein. Full-Tunnel ist bei strengen regulatorischen Anforderungen oder umfassender Traffic-Kontrolle sinnvoll. Meistens bieten Split-Tunnel oder Per-App die bessere Balance aus Performance und Sicherheit.

F2. Wie wählt man das Protokoll aus?

Empfehlung: IKEv2/EAP-TLS für Windows und iOS, für Android Clients mit IKEv2 oder WireGuard. Bei Proxy- oder Filterproblemen SSTP/SSL als Fallback. MDM-Unterstützung für Always-on beachten.

F3. Zertifikate oder Passwörter?

Für Always-on sind ausschließlich Zertifikate (EAP-TLS) zu empfehlen. Sie reduzieren Phishing-Risiken und automatisieren Abläufe.

F4. Wie fügt sich das in Zero Trust ein?

Per-App VPN und Gateway-Segmentierung nutzen, Device Posture via MDM Compliance prüfen, Zugriff nach Least Privilege beschränken und Conditional Access anwenden.

F5. Wie sieht es mit Microsoft 365 und SaaS aus?

Meist vom Tunnel ausgenommen (Split), um Traffic und Performance zu sparen, während Kontrolle auf CASB/MDM App Protection-Ebene erhalten bleibt.

F6. Wie sorgt man für Ausfallsicherheit?

Gateways doppeln (Aktiv-Aktiv), GSLB/Anycast verwenden, Zustände synchronisieren, CRL/OCSP unabhängig sichern.

F7. Welche Erfolgs-Metriken zählen?

Erfolgreiche Verbindungen beim ersten Versuch, Latenz zu Kernanwendungen, Traffic-Anteile im Tunnel, Sessions-Dauer, Akkuverbrauch, Authentifizierungsfehler.

F8. Kann man verschiedene MDM mischen?

Ja, aber Verantwortlichkeiten klar trennen: Intune für Windows und Teile des Mobile Managements, heimisches MDM für Spezialsegmente. Einheitliche Profilnamen und PKI essenziell.

F9. Wie testet man MTU?

Synthetische Checks auf Anwendungs-Ebene, PMTU-Messung über ICMP/DF, MSS-Clamping am Gateway konfigurieren, Parameter in Profilen festlegen.

F10. Was bei sich überlappenden Netzen?

VPN-Segmentation mit NAT, getrennte Adresspools, Port-Weiterleitung und Adressübersetzung am Gateway nutzen, möglichst Überschneidungen an der Quelle vermeiden.

12. Fazit: Zusammenfassung und nächste Schritte

Always-on VPN ist mehr als ein Häkchen in der MDM-Konsole – es ist eine ingenieurtechnische Praxis an der Schnittstelle von Netzwerken, Sicherheit und Geräteverwaltung. Protokollwahl, Routing- und DNS-Design, Zertifikatautomatisierung, Trennung von Device- und User-Tunneln, per-App Strategien auf Mobilgeräten sowie Monitoring und Resilienz bestimmen die Qualität. Für Windows empfiehlt sich IKEv2 via Intune mit EAP-TLS und separaten Device/User-Profilen. Für Android Always-on und Lockdown im Fully Managed Modus mit netzwerkrobusten Clients. Für iOS/iPadOS Per-App und On-Demand nach Domains für beste User Experience. Kaspersky Security Center bildet vergleichbare Policies auf nativen Plattform-Stacks ab, heimische MDM berücksichtigt Zertifikats- und Betriebssystem-Anforderungen. Ein Praxis-Tipp für Pilotprojekte und POCs: Wenn Sie schnell starten wollen ohne lange Beschaffungszyklen und eine einfache Protokollwahl brauchen, hat sich der Service vpn.how bewährt – persönlicher VPN-Server mit dedizierter IP (kein Shared), Unterstützung für WireGuard, OpenVPN, IKEv2, L2TP, SSTP, Serverstandorte in Moskau, St. Petersburg, Amsterdam, Frankfurt, London, New York, San Jose, Chicago, Singapur, Sydney, Madrid, Helsinki, Stockholm, Warschau, Kopenhagen, Stavanger; Zahlung per russischer Karte, SBP und USDT/BTC; Tarife ab 490 ₽ pro Tag und 2490 ₽ pro Monat, automatische Aktivierung 5 Minuten nach Zahlung, kein Logging. So können Sie Always-on-Architektur-Hypothesen und Client-Parameter auf verschiedenen Plattformen zügig testen. Für den Produktivbetrieb empfiehlt sich anschließend der Übergang auf eigene Infrastruktur oder Branchenschnittstellen-Compliance-konforme Umgebungen. Die nächsten Schritte: Mindestanforderungen definieren (Segmente, Anwendungen, Compliance), Tunnelmodelle wählen, PKI aufbauen, POC mit 3-5 Szenariengruppen durchführen, Metriken erfassen, Profil-Templates finalisieren und schrittweise mit reversibler Migration ausrollen. Machen Sie Sicherheit zur Standardeinstellung – dann wird sie für Ihre Nutzer transparent und nicht zur Bürde.

Anhang: Implementierungs-Framework A-E-I-O-U

A — Assess (Bewerten)

• Anwendungs- und Netzwerk-Inventarisierung
• Sicherheits- und Regulierungsanforderungen
• Standorte und Bandbreiten verfügbarer Zugänge

E — Engineer (Entwickeln)

• Tunnel-Design (Device/User, Per-App)
• Protokoll- und Client-Auswahl
• PKI und Zertifikatsautomatisierung

I — Implement (Implementieren)

• MDM-Profile und Gateway-Konfiguration
• Pilotgruppen starten
• Observability und Telemetrie erfassen

O — Optimize (Optimieren)

• Routen, NRPT und Microsoft 365-Ausnahmen
• MTU/DPD/Keepalive-Parameter
• Per-App-Access-Policies

U — Uplift (Verbessern)

• HA/DR, Skalierung
• Integration in SIEM/SOAR
• Regelmäßige Penetrationstests und Schlüsselrotation