{"id":246,"date":"2026-08-06T09:00:00","date_gmt":"2026-08-06T07:00:00","guid":{"rendered":"https:\/\/doranurban.de\/portfolio\/?p=246"},"modified":"2026-07-27T17:48:07","modified_gmt":"2026-07-27T15:48:07","slug":"google-beyondcorp-vpn-abschaffen","status":"publish","type":"post","link":"https:\/\/doranurban.de\/portfolio\/fachliches\/google-beyondcorp-vpn-abschaffen\/","title":{"rendered":"Was Google gelernt hat, als es das VPN abschaffte"},"content":{"rendered":"

Wenn \u00fcber Zero Trust in der Praxis gesprochen wird, f\u00e4llt schnell der Name BeyondCorp. Google hat ab 2014 in mehreren Aufs\u00e4tzen beschrieben, wie das Unternehmen den Zugriff auf interne Anwendungen vom Netzwerkstandort entkoppelt hat. Die technische Seite ist gut dokumentiert. H\u00e4ngen geblieben sind bei mir die Stellen, an denen es nicht um Technik geht.<\/p>

Die erste: Das Team ging davon aus, dass sich das VPN von selbst erledigen w\u00fcrde, sobald die Alternative bereitsteht. Das passierte nicht. Das VPN erwies sich als tief in der Arbeitskultur verankert \u2013 Leute nutzten es aus Gewohnheit weiter, auch wo es nichts mehr beitrug. Am Ende brauchte es eine Regel: Wer seinen Zugang 45 Tage nicht nutzt, wird gewarnt; nach weiteren 30 Tagen wird er entzogen. Ein Zero-Trust-Projekt ist damit mindestens genauso ein Change-Management-Projekt.<\/p>

Die zweite Stelle finde ich handwerklich elegant: Fehlermeldungen sind abgestuft. Wer als vertrauensw\u00fcrdig eingestuft ist, bekommt eine hilfreiche Meldung, die erkl\u00e4rt, woran der Zugriff scheiterte. Wer es nicht ist, bekommt eine nichtssagende. Das ist unbequem f\u00fcr den Support, aber es verhindert, dass die Fehlermeldung selbst zum Aufkl\u00e4rungswerkzeug f\u00fcr Angreifer wird.<\/p>

Die dritte: Zugriff setzt ein verwaltetes Ger\u00e4t mit hinterlegtem Zertifikat voraus. Private Ger\u00e4te sind ausgeschlossen, und zwar nicht als \u00dcbergangsregel, sondern als Konstruktionsprinzip. Das ist eine Konsequenz, die viele Organisationen nicht ziehen wollen \u2013 und ohne die der Rest des Modells wackelt.<\/p>

Bemerkenswert ist zuletzt, wie weit die Praxis von der Lehrbucharchitektur abweicht. In der Referenzarchitektur sind Entscheidungspunkt und Durchsetzungspunkt sauber getrennt, ebenso Steuerungs- und Datenebene. Bei BeyondCorp verschwimmt das: Die Zugriffsentscheidung sitzt im Proxy, der die Metadaten gleich als HTTP-Header weiterreicht. Die Grundhaltung bleibt gewahrt, das Diagramm nicht. Das fand ich beruhigend zu lesen \u2013 saubere Modelle \u00fcberleben den Kontakt mit einer gewachsenen Infrastruktur selten unver\u00e4ndert.<\/p>

Leseempfehlungen<\/h3>