Glossar

Per-App-VPN

Per-App-VPN leitet nur den Netzwerkverkehr bestimmter Apps durch einen Tunnel, während der restliche Verkehr des Geräts direkt ins Internet geht. Für eine Flotte heißt das: Die Fachanwendung erreicht interne Server, und privates Surfen oder Videostreaming belastet Ihr Gateway nicht und taucht nicht in Ihren Protokollen auf.

So funktioniert es

Das Betriebssystem entscheidet anhand der Zuordnung im Profil, welche App tunnelt. Auf iOS und iPadOS gibt es das seit iOS 7 und es funktioniert nur für verwaltete Apps, also Apps, die das MDM installiert oder übernommen hat. Auf Android hängt die Zuordnung an der VPN-Konfiguration im Arbeitsprofil oder auf dem vollständig verwalteten Gerät, wobei Android Enterprise erlaubt, das VPN immer aktiv zu halten und Verkehr zu blockieren, wenn der Tunnel fehlt.

Die Authentifizierung läuft am besten über Zertifikate, die dasselbe MDM verteilt, statt über Nutzername und Passwort. Als Protokolle kommen IKEv2 oder herstellerspezifische Clients von Cisco, Fortinet, Palo Alto oder Zscaler zum Einsatz; auf iOS müssen diese Clients eine Netzwerkerweiterung mitbringen, die Apple für Per-App-Zuordnung unterstützt. Prüfen Sie das vor dem Kauf, denn nicht jeder Client kann es.

Die Grenzen sind handfest. Safari oder Chrome lassen sich auf iOS nicht sinnvoll zuordnen, weil der Browser privaten und geschäftlichen Verkehr mischt; Apple erlaubt über Safari-Domänenregeln eine begrenzte Ausnahme für bestimmte Adressen. Und der Tunnel sagt nichts über den Gerätezustand: Ein Per-App-VPN auf einem gerooteten Telefon schützt nichts.

Warum es für eine Flotte wichtig ist

Ein geräteweites VPN auf 500 Telefonen erzeugt zwei Probleme. Erstens Kosten und Last, weil privater Verkehr durch Ihre Leitung läuft. Zweitens Datenschutz: Sobald der private Datenverkehr eines Mitarbeiters in Ihren Protokollen landet, haben Sie eine Verarbeitung personenbezogener Daten, die Sie nicht wollten und in Deutschland mit dem Betriebsrat klären müssten.

Per-App-VPN löst beides, indem es die Trennung ins Betriebssystem verlagert, statt sich auf Disziplin der Nutzer zu verlassen. In BYOD-Szenarien ist es zusammen mit dem Arbeitsprofil oder der Benutzerregistrierung das Argument, mit dem Sie Zustimmung bekommen.

Praktisch gesehen ist Per-App-VPN auch der Übergang zu Zero Trust. Sie geben nicht dem Gerät Zugang zum Netz, sondern einer geprüften App den Weg zu einer Anwendung. Wer diesen Schritt gemacht hat, wechselt später leichter zu einem Zero-Trust-Zugangsdienst, weil die Denkweise dieselbe ist.

So handhabt es Appaloosa

Appaloosa verteilt VPN-Profile und die zugehörigen Zertifikate an registrierte iOS-, Android- und Windows-Geräte und bindet sie an einzelne verwaltete Apps, dazu Richtlinien für Sperrcode, Verschlüsselung und Systemstand sowie den Entzug von Zertifikaten beim Ausscheiden eines Geräts. Den Rahmen beschreibt die Seite Mobile Device Management.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Funktioniert Per-App-VPN mit jeder App?

Auf iOS nur mit verwalteten Apps, also solchen, die das MDM installiert oder übernommen hat. Eine vom Nutzer selbst geladene Kopie derselben App tunnelt nicht. Auf Android hängt die Zuordnung am Arbeitsprofil oder am vollständig verwalteten Gerät.

Kann ich den Browser zuordnen?

Nur eingeschränkt. Auf iOS mischt Safari privaten und geschäftlichen Verkehr, Apple erlaubt aber eine Zuordnung für bestimmte Domänen. Besser ist ein eigener verwalteter Browser für interne Webanwendungen, den Sie dem Tunnel zuweisen.

Braucht jeder VPN-Anbieter eine eigene App?

Für IKEv2 genügt der eingebaute Client des Betriebssystems. Für Lösungen von Cisco, Fortinet, Palo Alto oder Zscaler brauchen Sie deren App mit einer Netzwerkerweiterung, die Per-App-Zuordnung unterstützt. Prüfen Sie diesen Punkt in der Herstellerdokumentation, bevor Sie sich binden.