Senator Ron Wyden schickte am 27. Juli 2026 einen Brief an das Office of Management and Budget, die Cybersecurity and Infrastructure Security Agency und das National Institute of Standards and Technology, mit der Forderung nach einer verbindlichen Zwei-Jahres-Frist zur Abschaffung veralteter, öffentlich zugänglicher VPN-Appliances in der gesamten Bundesregierung. Es geht um Fernzugriffs-Infrastruktur für Unternehmen und Behörden, nicht um die VPN-App auf dem eigenen Handy, aber die Begründung dahinter lohnt sich trotzdem zu verstehen.

Was der Brief konkret fordert

Wydens Brief fordert die CISA auf, eine verbindliche operative Direktive (Binding Operational Directive) zu erlassen, die zivile Bundesbehörden verpflichtet, veraltete, öffentlich zugängliche VPN-Appliances binnen zwei Jahren abzuschaffen und stattdessen durch moderne Zero-Trust-Fernzugriffsarchitektur zu ersetzen. Er fordert außerdem, dass die National Security Agency dieselbe Zwei-Jahres-Frist mit ihrer bestehenden Befugnis auf Militär-, Geheimdienst- und andere Netzwerke der nationalen Sicherheit anwendet.

Nichts davon ist bereits beschlossene Politik. Es handelt sich um eine formale Empfehlung, keine bereits geltende Direktive, und Bundesbehörden haben bislang keinen Umsetzungsplan angekündigt (The Record, CyberScoop).

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Warum Wyden gezielt VPN-Appliances ins Visier nimmt

Das Kernargument ist einfach: Klassische VPN-Appliances sind schon vom Design her öffentlich im Internet erreichbar, sodass sie jeder finden, scannen und untersuchen kann. Diese offene „Vordertür" hat sich wiederholt genau als der Weg erwiesen, über den staatlich unterstützte Hacker aus China und Russland Behörden- und Auftragnehmer-Netzwerke kompromittiert haben. Wydens Brief stellt die anhaltende Abhängigkeit von veralteten VPN-Appliances als wiederkehrendes, vorhersehbares Versagensmuster dar, nicht als Einzelfall.

Diese Einordnung passt zu einem Muster, das wir dieses Jahr wiederholt speziell bei VPN-Infrastruktur im Unternehmensumfeld behandelt haben. Palo Altos GlobalProtect hatte erst letzte Woche eine Schwachstelle, die aktiv von der Ransomware Qilin ausgenutzt wurde (siehe Qilin-Ransomware nutzt eine VPN-Lücke bei Palo Alto aus), SonicWalls SMA-Appliances waren wochenlang Zero-Days ausgesetzt, bevor sie entdeckt wurden, und Fortinet-Zugangsdaten aus FortiBleed landeten am Ende bei der Ransomware Lynx. Keiner dieser Fälle steht für sich allein. Es ist genau die Kategorie öffentlich zugänglicher VPN-Hardware, von der Wydens Brief verlangt, dass Behörden sich nicht länger auf sie verlassen.

Zero Trust, nicht „kein VPN mehr"

Der Vorschlag lautet nicht „verschlüsselten Fernzugriff abschaffen". Es ist ein Vorstoß in Richtung Zero-Trust-Architektur, bei der Zugriff kontinuierlich und granular je Anfrage geprüft wird, statt beim klassischen VPN-Modell, das nach einer erfolgreichen Authentifizierung breiten Netzwerkzugriff gewährt. Wydens Brief argumentiert, dieses Modell sei veraltet gegenüber der Art, wie Angreifer heute wirklich vorgehen, und Behörden sollten aufhören, eine von Natur aus exponierte Appliance immer weiter zu flicken, und stattdessen diese offene Vordertür ganz entfernen.

Mehr zum genauen Unterschied dieser Architektur zu einem klassischen VPN gibt es unter VPN vs. Zero Trust (ZTNA) 2026: Was braucht Ihr Unternehmen wirklich?

Das betrifft nicht das eigene VPN

Es lohnt sich, hier klar zu sein, denn Schlagzeilen wie „Regierung will VPNs abschaffen" laden zu Missverständnissen ein. Wydens Brief zielt auf veraltete, öffentlich zugängliche VPN-Appliances, Unternehmenshardware von Herstellern wie den oben genannten, die von Bundesbehörden und ihren Auftragnehmern für Fernzugriff auf Netzwerke genutzt wird. Das hat nichts mit VPN-Diensten für Privatnutzer zu tun, wie sie auf dieser Seite behandelt werden, die den persönlichen Internetverkehr Einzelner verschlüsseln und kein Unternehmensnetzwerk dahinter offenlegen, wie es ein VPN-Gateway für Unternehmen tut. Nichts an diesem Vorschlag schränkt die private VPN-Nutzung ein, verbietet sie oder betrifft sie überhaupt.

Das baut auf Jahren föderaler Zero-Trust-Politik auf

Das ist nicht der erste Schritt der Regierung in Richtung Zero Trust. Executive Order 14028, unterzeichnet im Mai 2021, wies Bundesbehörden an, nach einer Reihe großer Sicherheitsvorfälle mit der Einführung von Zero-Trust-Prinzipien zu beginnen. Das OMB folgte im Januar 2022 mit dem Memo M-22-09, das behördenweite Zero-Trust-Ziele setzte, die bis zum Ende des Haushaltsjahres 2024 erreicht werden sollten. Die meisten Behörden haben diese Frist in der Praxis verpasst, was mit erklärt, warum Wydens Brief auf eine verbindliche Direktive mit echten Konsequenzen drängt statt auf ein weiteres freiwilliges Zielsetzungs-Memo.

Die CISA hat auch schon gezeigt, dass sie bereit ist, bei VPN-Appliances konkret Handeln zu erzwingen, wenn die Bedrohung ernst genug ist. Im Januar 2024 erließ sie die Notfalldirektive 24-01 und ordnete zivilen Behörden an, Ivanti-Connect-Secure- und Policy-Secure-VPN-Appliances sofort vom Netz zu nehmen, nachdem staatlich verbundene Hacker sie aktiv und breit ausgenutzt hatten. Diese Direktive betraf die Produkte eines einzelnen Herstellers unter Notfallbedingungen. Was Wyden jetzt fordert, ist umfassender und dauerhaft: keine Notfallreaktion auf ein einzelnes fehlerhaftes Produkt, sondern eine dauerhafte Politik, die veraltete, öffentlich zugängliche VPN-Appliances als ganze Kategorie auf einem festen Zwei-Jahres-Zeitplan ersetzt, unabhängig vom Hersteller.

Welche Behörden betroffen wären

Die Forderung des Briefs teilt sich in zwei Spuren. Zivile Bundesbehörden (der Großteil der Bundesregierung außerhalb von Verteidigung und Geheimdiensten) würden unter die von der CISA vorgeschlagene verbindliche operative Direktive fallen, denselben Mechanismus, den die CISA bereits nutzt, um behördenweit Patch-Fristen und Konfigurationsstandards vorzuschreiben. Militär-, Geheimdienst- und andere Netzwerke der nationalen Sicherheit würden unter eine parallele, von der NSA über ihre bestehende Befugnis durchgesetzte Frist fallen, da die Direktivbefugnis der CISA sich nicht auf diesen Teil der Regierung erstreckt. Auftragnehmer, die sich über dieselbe veraltete VPN-Infrastruktur mit Bundesnetzwerken verbinden, wären wahrscheinlich indirekt betroffen, da Behörden Compliance-Anforderungen üblicherweise an den Fernzugriff ihrer Zulieferer weitergeben.

Reaktionen aus der Sicherheitsbranche

Sicherheitsforscher, die seit Jahren vor genau diesem Risiko warnen, dürften den Vorstoß begrüßen, auch wenn Anbieter klassischer VPN-Appliances naturgemäß wenig Interesse an einem beschleunigten Wechsel zu Zero-Trust-Architektur haben, die ihr bestehendes Geschäftsmodell zumindest im Behördensegment infrage stellt.

Wie es weitergeht

Wydens Empfehlungen sind für sich genommen nicht bindend. Die CISA müsste die geforderte verbindliche operative Direktive tatsächlich erlassen, und die NSA müsste separat auf der Militär- und Geheimdienstseite handeln. Beides ist bislang nicht geschehen, und die Behörden haben sich öffentlich nicht auf einen Zeitplan festgelegt. Beim aktuellen Tempo föderaler Cybersicherheitspolitik würde eine vollständige Umstellung, sollte sie überhaupt kommen, wahrscheinlich eher über Jahre laufen als in dem von Wyden vorgeschlagenen Zwei-Jahres-Fenster, besonders angesichts der weitläufigen Vertrags- und Altsystemlandschaft, die betroffen ist.

Unmittelbar bedeutsamer ist das gesendete Signal: Die anhaltende, öffentlichkeitswirksame Ausnutzung von Unternehmens-VPN-Appliances (Palo Alto, SonicWall, Fortinet und weitere allein in den letzten Monaten) ist von einem Diskussionspunkt der Sicherheitsbranche zu einer Forderung nach architektonischem Wandel auf Senatsebene geworden. Allein dieser Druck beschleunigt tendenziell die Sicherheitsinvestitionen der Hersteller, noch bevor überhaupt eine formale Direktive erlassen wird.

Unser Fazit

Das ist eine echte, bemerkenswerte Eskalation dabei, wie ernst Washington das Problem der Unternehmens-VPN-Appliances nimmt, aber es ist ein Vorschlag, keine beschlossene Politik, und er betrifft die Infrastruktur der Bundesregierung, nicht die VPN-App auf dem eigenen Handy. Das zugrunde liegende Argument, dass öffentlich zugängliche VPN-Hardware eine wiederkehrende, vorhersehbare Angriffsfläche ist, wird durch die diesjährige Serie von Vorfällen bei Palo Alto, SonicWall und Fortinet gut gestützt. Wer VPN-Dienste privat nutzt, muss hier nichts unternehmen. Wer in der föderalen IT oder bei einem Auftragnehmer mit solchen Systemen arbeitet, bekommt hiermit das bislang klarste Signal, dass veraltete VPN-Appliances auf Abruf stehen.

Weiterlesen

Für die architektonische Unterscheidung hinter diesem Vorschlag siehe VPN vs. Zero Trust (ZTNA) 2026. Für die aktuellste Unternehmens-VPN-Schwachstelle hinter diesem Druck lesen Sie Qilin-Ransomware nutzt eine VPN-Lücke bei Palo Alto aus.