VPN

Das VPN der Mirox-Plattform bietet sicheren Fernzugriff auf die internen Netzwerke einzelner Anlagen. Anstatt für jede Anlage ein eigenes VPN-Profil zu pflegen, erhält jeder Nutzer ein einziges, persönliches VPN-Profil, über das alle Anlagen erreichbar werden, für die der Nutzer berechtigt ist. Berechtigungsänderungen, neue Anlagen, neue Subnetze oder widerrufene Kooperationen werden automatisch im VPN-Profil abgebildet — ohne dass der Nutzer es neu installieren muss.

Konzept

Das VPN basiert auf WireGuard, einem modernen, schlanken, verschlüsselten VPN-Protokoll, und ist als persönlicher Single-Sign-On-Tunnel zu allen freigegebenen Anlagennetzen konzipiert:

Ein Profil pro Nutzer: Jeder authentifizierte Nutzer kann genau ein persönliches VPN-Profil ausstellen und auf seinem Endgerät installieren. Die Plattform nennt dieses Profil Ihr VPN-Zertifikat — das ist der Produktname für Ihr persönliches WireGuard-Schlüsselpaar; WireGuard selbst verwendet Schlüsselpaare statt X.509-Zertifikate.
Moderne Kryptografie: WireGuard nutzt einen Curve25519-(X25519-)Schlüsselaustausch und authentifizierte Verschlüsselung. Ihr privater Schlüssel wird auf Ihrem eigenen Gerät erzeugt und niemals von Mirox gespeichert — Mirox sieht stets nur Ihren öffentlichen Schlüssel.
Split-Tunnel: Nur Datenverkehr, der für private Anlagennetze bestimmt ist, gelangt in den Tunnel. Ihr normaler Internetverkehr — E-Mail, Web, Videokonferenzen — bleibt auf Ihrer eigenen Verbindung und läuft niemals über Mirox.
Automatisches Routen-Management: Die Menge der erreichbaren Anlagensubnetze ergibt sich dynamisch aus Ihren aktuellen Berechtigungen (Organisationsrolle, Funktion, Kooperationen). Jede Berechtigungsänderung aktualisiert den Routensatz automatisch.
Hochverfügbar: Der Tunnel terminiert auf hochverfügbarer Multi-Region-Infrastruktur und stellt sich automatisch gegen einen funktionsfähigen Eintrittspunkt wieder her, falls der aktuelle ausfällt.

Was das VPN leistet

Persönlicher Tunnel zu allen freigegebenen Anlagen

Sobald das VPN-Profil installiert ist, kann der Nutzer alle Anlagennetze adressieren, für die er berechtigt ist — ganz so, als wäre er physisch vor Ort. Das umfasst typischerweise:

Web-Oberflächen von Wechselrichtern, Tracker-Steuerungen, Datenloggern, Schaltschrank-PCs
SSH-Zugriff auf Servicegeräte
Modbus-/TCP-Diagnosewerkzeuge gegen Komponenten im Anlagennetz
Eigene Tools des Nutzers, die direkt mit der Anlageninfrastruktur kommunizieren

Mehrere Anlagen mit überlappenden lokalen Subnetzen (z. B. zwei Anlagen, die beide 192.168.1.0/24 verwenden) werden vom System automatisch eindeutig zugeordnet, sodass Verwechslungen ausgeschlossen sind.

Zertifikatslebenszyklus

Der Nutzer steuert sein Zertifikat direkt über die Plattform-Oberfläche:

Ausstellen: Erstellt ein neues VPN-Profil. Die vollständige Konfigurationsdatei mit dem privaten Schlüssel wird genau einmal im Browser angezeigt und niemals in der Cloud gespeichert.
Rotieren: Ersetzt den Schlüsselsatz, ohne das Zertifikat zu löschen. Sinnvoll z. B. beim Wechsel des Endgerätes oder bei Verdacht auf Kompromittierung. Auch hier wird der neue private Schlüssel nur einmalig angezeigt.
Widerrufen: Deaktiviert das Zertifikat sofort. Alle laufenden Verbindungen werden im nächsten Sync-Zyklus beendet. Die Audit-Spur des Zertifikats bleibt für den gesetzlich vorgeschriebenen Aufbewahrungszeitraum erhalten.

Routenkonflikte

Die erreichbaren Subnetze ergeben sich aus Ihren Berechtigungen und werden automatisch aktuell gehalten (siehe Wie Ihre Routen aktuell bleiben). Ein nutzerseitiger Stellhebel bleibt in Ihrer Hand: Konflikte zwischen zwei Anlagen, die dasselbe lokale Subnetz benutzen, werden in der Routenübersicht sichtbar markiert, und Sie entscheiden, welche der konkurrierenden Anlagen für Sie Vorrang hat — der Schalter Diesen Park verwenden auf der in Konflikt stehenden Route wechselt die Priorität jederzeit.

Sitzungsübersicht

Der Nutzer hat in der Plattform eine eigene Sitzungsübersicht für sein eigenes Zertifikat:

Aktuelle Verbindungen mit Verbindungszeitpunkt, Dauer, geografischer Quelle, IP-Adresse und übertragenem Datenvolumen
Historische Sitzungen für die Nachvollziehbarkeit

Diese Übersicht ist die Selbsttransparenz-Ansicht des Nutzers über sein eigenes Zertifikat. Die vollständige Compliance-Auditspur — darauf ausgelegt, die Anforderungen an die Fernzugriffs-Protokollierung von KRITIS und der EU-NIS2-Richtlinie zu erfüllen — wird separat vom Anlagenbetreiber geführt und ist nicht Teil dieser Übersicht — siehe Audit-Logging.

Sicherheit und Kontrolle

Wer darf ein Zertifikat ausstellen?

Jeder authentifizierte Nutzer kann sich ein eigenes Zertifikat ausstellen — doch das Zertifikat allein reicht nicht, um eine Anlage zu erreichen. Erst die über das Berechtigungssystem gewährten Berechtigungen (Organisationsrolle, Funktion, Kooperation) öffnen tatsächlich Routen.

Wer darf welche Anlage erreichen?

Netzwerkseitiger VPN-Zugriff ist die mächtigste Fernzugriffsfähigkeit der Plattform — und sie wird je Anlage entschieden. Die Subnetze einer Anlage werden Ihrem VPN-Profil nur dann hinzugefügt, wenn Sie auf dieser Anlage die Funktion Technische Betriebsführung — oder Betreiber — innehaben. Dies ist eine einzige, maßgebliche Regel — ein VPN-Profil zu besitzen oder eine Anlage einsehen zu können öffnet für sich genommen niemals eine Route.

Weil die Prüfung je Anlage läuft, kann die Vergabe genau so eng sein, wie es die Aufgabe erfordert: eine einzelne Anlage, ein Portfolio oder die gesamte Organisation. Wer die technische Betriebsführung für drei Ihrer zwanzig Anlagen übernimmt, erreicht genau diese drei Netzwerke und keine weiteren.

Sie halten eine qualifizierende Funktion auf einer Anlage, wenn sie auf eine der folgenden Weisen gewährt wird:

Direkt — die Funktion Technische Betriebsführung oder Betreiber ist Ihnen auf dieser konkreten Anlage oder diesem Portfolio zugewiesen.
Über Ihre Organisation vererbt — Administratoren und Moderatoren werden auf Betreiber abgebildet, Asset Manager (Technisch) auf Technische Betriebsführung — jeweils auf den eigenen Anlagen ihrer Organisation.
Über eine Kooperation — eine andere Organisation teilt eine Anlage mit Ihnen und die Kooperation gewährt Technische Betriebsführung oder Betreiber; ein externer Techniker erhält auf dieser Anlage dieselben Routen wie das eigene Personal der Anlage.

Die kaufmännischen und rein lesenden Rollen enden vor einer Netzwerk-Route — so ist es gewollt:

Rolle	Netzwerk-VPN-Route?	Was sie erhalten
Betreiber	Ja	Eine WireGuard-Route in die Netzwerke der Anlage sowie sämtliche technischen Steuerungsmöglichkeiten der Anlage
Technische Betriebsführung (Asset Manager – Technisch)	Ja	Eine WireGuard-Route in die Netzwerke der Anlage, den Browser-Proxy zu den Weboberflächen der Geräte, Einsicht in das Zugriffs-Audit-Log und die Verwaltung der VPN-Dienste der Organisation
Asset Manager (Kaufmännisch), Betrachter, einfache Mitglieder, Gäste, externe Nutzer ohne die Funktion	Nein	Überhaupt keinen Weg in das Anlagennetz

Das Ergebnis ist eine Trennung zwischen technisch und kaufmännisch statt einer einzelnen privilegierten Stufe: Wer technische Verantwortung für eine Anlage trägt, erreicht deren Netzwerk — Anlage für Anlage vergeben —, während die kaufmännische und rein lesende Seite keine Route dorthin hat.

Schlüsselverwahrung

Der private Schlüssel wird im Browser des Nutzers erzeugt und verlässt das Endgerät nie.
Mirox kennt ausschließlich den öffentlichen Schlüssel des Nutzers und die ihm zugewiesene Tunnel-IP.
Bei Rotation oder Widerruf werden alte Schlüssel serverseitig sofort invalidiert.

Wie Ihre Routen aktuell bleiben

Ihre Liste erreichbarer Anlagen ist nichts, was Sie von Hand pflegen. Sie wird aus Ihren aktuellen Berechtigungen abgeleitet, und Mirox hält beide automatisch im Gleichschritt:

Neuberechnung bei einer Berechtigungsänderung — meist innerhalb von Sekunden, spätestens innerhalb von 10 Minuten. Die meisten Berechtigungsänderungen lösen eine sofortige Neuberechnung Ihres Routensatzes aus. Manche Änderungen wirken zu breit, um das für jeden denkbaren Pfad zu tun — wird die Rolle einer Kooperation herabgestuft, betrifft das unter Umständen alle Nutzer auf beiden Seiten gleichzeitig. Statt jeden Pfad einzeln nachzuziehen, läuft deshalb eine fortlaufende Hintergrund-Synchronisation, die jede verbleibende Lücke schließt. Die garantierte Obergrenze liegt bei 10 Minuten; in der Praxis sind es Sekunden.
Neue Anlagen erscheinen, ohne dass Sie etwas neu herunterladen. Sie installieren Ihr VPN-Profil einmal. Neu berechtigte Anlagen tauchen von selbst in Ihrer Erreichbarkeitsliste auf — Sie importieren oder installieren die Konfiguration nie erneut, um eine Anlage freizuschalten. Wollen Sie den aktuellen Stand sofort, berechnet Aktualisieren im VPN-Tab Ihre Routen unmittelbar neu.
Entzogener Zugriff wird entfernt und der Pfad abgebaut. Wird eine Berechtigung entzogen — eine Kooperation endet, Ihre Funktion ändert sich, eine Anlage wird gelöscht — werden die entsprechenden Routen entfernt und der Netzwerkpfad in diese Anlage abgebaut, mit demselben Zeitverhalten: normalerweise innerhalb von Sekunden und nie später als der 10-Minuten-Synchronisationszyklus. Eine manuelle Aktion ist nicht erforderlich.
Die Hintergrund-Synchronisation ist zugleich das Sicherheitsnetz. Sie prüft in ihrem wiederkehrenden Zyklus jedes aktive Profil erneut gegen die aktuellen Berechtigungen und korrigiert jede Route, die aus dem Gleichschritt geraten ist — ein einzelnes verpasstes Ereignis kann also keine Route bestehen lassen, und Ihre Erreichbarkeitsmenge nähert sich stets Ihren tatsächlichen Berechtigungen an.

Mehrregionale Verfügbarkeit

Das persönliche VPN ist auf Hochverfügbarkeit ausgelegt. Es läuft über mehrere unabhängige Rechenzentrumsregionen hinweg, mit mehreren WireGuard-VPN-Servern in jeder Region, sodass es keinen Single Point of Failure gibt. Die Plattformarchitektur ist darauf ausgelegt, eine Verfügbarkeit von 99,999 % zu liefern.

Automatisches Failover. Ihr Tunnel hängt sich stets an einen funktionsfähigen Eintrittspunkt. Wird einer nicht verfügbar, wird Ihre Verbindung automatisch gegen einen anderen funktionsfähigen Server wiederhergestellt — Sie müssen nichts umkonfigurieren.
Auswahl der besten Region. Beim Verbinden werden Sie zu einem Eintrittspunkt geleitet, der für Ihren Standort eine gute Erreichbarkeit bietet, transparent vom System ausgewählt.
Überwachte Anlagen-Agenten. Der Monitoring-Agent jeder Anlage — die Komponente vor Ort oder in der Cloud, durch die der VPN-Verkehr fließt — wird von einer Orchestrierungsschicht überwacht, die laufend prüft, dass der Agent existiert und bereit ist. Fällt ein Agent aus, wird er automatisch neu bereitgestellt oder auf einen funktionsfähigen Host verlagert, sodass der Ausfall eines einzelnen Hosts eine Anlage nicht für lange offline nimmt.

Der Agent der Anlage ist der einzige Eintrittspunkt

Sämtlicher VPN-Verkehr zu einer Anlage fließt durch den eigenen Monitoring-Agenten dieser Anlage. Der Agent ist der Engpass zwischen Mirox und dem Anlagennetz, und das Design hält diese Grenze eng:

Der Agent wählt sich ausschließlich zu Mirox hinaus. Er öffnet eine ausgehende Verbindung zur Plattform; das Anlagennetz muss zum Internet hin keinen eingehenden Port öffnen, damit der VPN-Zugriff funktioniert.
Kein Agent, kein Zugriff. Eine Anlage ist über VPN schlicht nicht erreichbar, solange ihr Agent nicht online ist. Bis dahin erscheint die Anlage in Ihrer Routenliste als „noch nicht erreichbar“ und geht automatisch live, sobald der Agent sich verbindet.
Auf die eigene Anlage begrenzt. Jeder Agent ist auf das eigene Anlagennetz beschränkt. Er ist der einzige Weg in diese Anlage und überschreitet niemals die Grenze in das Netz einer anderen Anlage oder einer anderen Organisation.

Isolation zwischen Anlagen und Organisationen

Mirox betreibt das VPN als gemeinsame Plattforminfrastruktur, doch der Verkehr jedes Nutzers ist strikt eingegrenzt:

Ihr Tunnel führt nur Ihre eigenen Routen. Jede Verbindung wird mit einem eigenen, isolierten Satz von Routen bedient, der ausschließlich aus den Anlagen abgeleitet wird, auf denen Sie eine qualifizierende technische Funktion halten.
Nicht autorisierte Subnetze werden nie geroutet. Anlagennetze, für die Sie nicht berechtigt sind, werden nicht bloß blockiert — es existiert von vornherein keine Route zu ihnen, also gibt es keinen Pfad, um sie zu erreichen.
Organisationen können einander nicht sehen. Weil die Erreichbarkeit je Nutzer aus dessen eigenen Berechtigungen abgeleitet wird, können Organisationen, die sich die Plattform teilen, niemals die Anlagennetze der jeweils anderen sehen.
Tiefenstaffelung gegen Scanning. Zusätzlich zur Routenisolation je Nutzer wenden die VPN-Eintrittspunkte eine Ratenbegrenzung an, die vor Netzwerk-Scans und -Sondierungen schützt.

Audit und Compliance

Jeder Zugriff über das VPN wird vom Mirox-System vollständig auditiert. Die Auditspur erfasst:

Welcher Nutzer wann und von wo eine Verbindung aufgebaut hat
Welche Anlagensubnetze während der Sitzung erreicht wurden
Welche konkreten Geräte (IP, Protokoll, Port) wie oft angesprochen wurden
Wie viel Datenvolumen pro Sitzung und Subnetz übertragen wurde

Die Auditspur wird mindestens 730 Tage aufbewahrt und ist ausschließlich für die zuständige Betreiber-Organisation der jeweiligen Anlage einsehbar — nicht für den verbundenen Nutzer selbst. Sie ist darauf ausgelegt, die Anforderungen an die Fernzugriffs-Protokollierung der deutschen KRITIS-Regelungen und der EU-NIS2-Richtlinie zu erfüllen; Audit-Datensätze können von Nutzern nicht bearbeitet oder gelöscht werden. Details siehe Zugriffs-Audit-Logging.

Abgrenzung zu verwandten Funktionen

Mirox bietet mehrere Fernzugriffs-Varianten, die leicht zu verwechseln sind. Das auf dieser Seite beschriebene persönliche VPN ist eine von fünf; die Tabelle zeigt, wofür jede gedacht ist und wer sie steuert.

Variante	Zweck	Protokoll	Wer steuert sie?
Persönliches VPN (diese Seite)	Ein persönlicher Tunnel, der jedes Anlagennetz erreicht, für das Sie berechtigt sind	WireGuard	Sie selbst, im Rahmen Ihrer Berechtigungen
Organisations-VPN-Dienst	Ein gemeinsamer, organisationsverwalteter Tunnel zu einem Gateway in Ihrem Netzwerk, über den mehrere Anlagen für das gesamte Team geroutet werden	WireGuard	Organisations-Admin oder Moderator
Direktes Anlagen-VPN — ausgehend	Der Anlagen-Agent wählt sich in ein VPN ein, das der Anlagen-Router bereits hostet, sodass Mirox das Netz dieser Anlage erreichen kann	OpenVPN, WireGuard oder IPsec	Organisations-Admin oder Moderator
Direktes Anlagen-VPN — gehostet	Der Anlagen-Agent hostet einen VPN-Endpunkt, in den sich entfernte Peers einwählen — Site-Peers (Router, die Anlagen-Subnetze ankündigen, bei Bedarf mehrere pro Server) und Benutzer-Peers (einzelne Personen); Mirox stellt die Schlüssel und Zertifikate bereit	OpenVPN, WireGuard oder IPsec	Organisations-Admin oder Moderator
Browser-Proxy	Öffnet die Weboberfläche eines Geräts direkt aus dem Browser, ohne dass ein VPN-Client installiert werden muss	—	Anlagenbetreiber (konfiguriert die Web-Ziele)

Das persönliche VPN ist das richtige Werkzeug für technisches Personal, das produktiv mit beliebigen Werkzeugen auf Geräte mehrerer Anlagen zugreifen muss. Der Browser-Proxy ist die richtige Wahl, wenn nur die Weboberfläche eines Geräts aufgerufen werden soll — ohne VPN-Installation, direkt aus dem Browser. Die Organisations- und Direkt-Park-VPNs sind zentral verwaltete Tunnel auf Infrastrukturebene und kein persönliches Profil, das Sie mit sich führen.

IPv6

Mirox erreicht eine Anlage über IPv6 ebenso selbstverständlich wie über IPv4.

Reine IPv6-Anbindung von Anlagen. Der Tunnel zu einer Anlage kann als nur IPv6, nur IPv4 oder beides veröffentlicht werden — für alle drei Tunnelprotokolle (WireGuard, OpenVPN und IPsec). Eine Anlage, deren Anschluss kein nutzbares öffentliches IPv4 bietet — etwa ein DS-Lite- oder CGNAT-Anschluss —, wird allein über IPv6 erreicht, ohne dass an der Anlage über deren eigenen Router hinaus etwas einzurichten wäre. Die Einstellung ist unter VPN-Server je Agent konfigurieren beschrieben.
Dual-Stack als Standard. Verfügt eine Anlage über beides, werden beide Adresseinträge veröffentlicht und der Router der Anlage nutzt denjenigen, den er verwenden kann.
IPv6-bereit im Tunnelinneren. Die Anlagennetze, die Sie über das VPN erreichen, werden heute über IPv4 adressiert. Die Plattform ist bereits auf private IPv6-Bereiche auf Anlagenseite vorbereitet, sodass die Unterstützung für Anlagen aktiviert werden kann, die sie benötigen — sprechen Sie uns an, wenn Sie ein reines IPv6-Anlagennetz betreiben.