Bestes VPN für Hotel-WLAN und Firmen-VPN gleichzeitig: Die sauberste Lösung trennt Arbeit und Privatgeräte

Das Hotel-WLAN funktionierte.

Meine Firmen-VPN nicht.

Das war zehn Minuten vor einem Kundentermin eine erstaunlich schlechte Kombination.

Ich sass am Schreibtisch im Hotelzimmer, hatte die Präsentation geöffnet und wollte nur noch auf ein internes Laufwerk zugreifen. Weil ich mich in einem fremden WLAN befand, hatte ich zuerst meine private VPN eingeschaltet.

Internet: da.

Browser: da.

Dann startete ich den Firmen-Client.

Verbinden.

Warten.

Fehler.

Ich versuchte es noch einmal.

Gleicher Fehler.

Also begann die übliche hektische Fehlersuche: WLAN neu verbinden, private VPN neu starten, Firmen-VPN erneut öffnen.

Nichts.

Erst als ich die private VPN komplett beendete, stellte der Firmen-Client sofort die Verbindung her.

Das interne Laufwerk erschien.

Und damit änderte sich auch meine Frage.

Ich brauchte offenbar nicht zwei VPNs, die gleichzeitig auf demselben Firmen-Laptop liefen.

Ich brauchte eine Lösung, bei der Hotel-WLAN, Firmenzugang und meine privaten Geräte nebeneinander funktionierten, ohne sich gegenseitig in die Quere zu kommen.

Im Hotel beginnt die Verbindung oft schon vor der VPN

Hotel-WLAN ist selten einfach nur WLAN.

Viele Hotels verwenden ein Captive Portal: Das Gerät verbindet sich zunächst mit dem Netz, danach muss im Browser noch eine Seite geöffnet, eine Zimmernummer eingegeben oder den Nutzungsbedingungen zugestimmt werden. Erst dann gibt es normalen Internetzugang.

Das klingt nach einem kleinen Detail, kann für Firmen-VPNs aber entscheidend sein.

Ein Unternehmens-Client möchte möglicherweise sofort seinen Tunnel aufbauen. Das Hotel wiederum möchte zuerst seine Anmeldeseite zeigen. Cisco und Palo Alto dokumentieren genau diesen Konflikt und sehen spezielle Abläufe für öffentliche WLANs vor.

In öffentlichen Support-Diskussionen taucht deshalb immer wieder dieselbe praktische Frustration auf: Über den Telefon-Hotspot funktioniert die Firmen-VPN, im Hotel oder Flughafen scheitert sie zunächst am WLAN-Login.

Bei mir war dieser Teil allerdings schon erledigt.

Die Hotelseite war bestätigt.

Normales Internet funktionierte.

Der Fehler begann erst, als ich zusätzlich meine persönliche VPN auf demselben Rechner aktivierte.

Damit war der eigentliche Konflikt gefunden.

Zwei VPNs auf einem Laptop sind nicht automatisch doppelt sinnvoll

Meine ursprüngliche Logik klang zunächst vernünftig.

Hotel-WLAN ist fremd.

Also private VPN.

Firmenressourcen sind sensibel.

Also zusätzlich Firmen-VPN.

Nur entscheiden beide Anwendungen darüber, wie Daten den Rechner verlassen.

Eine Firmen-VPN kann etwa festlegen, dass fast der gesamte Verkehr durch das Unternehmensnetz läuft. Bei anderen Konfigurationen werden nur bestimmte Firmenziele durch den Tunnel geschickt. Microsoft beschreibt diese beiden Grundmodelle als Full beziehungsweise Force Tunnel und Split Tunneling.

Eine zweite VPN möchte ebenfalls ihren eigenen Weg für den Datenverkehr festlegen.

Und genau dort können sich die beiden Clients gegenseitig behindern.

Bei Cisco Secure Client ist der parallele Betrieb mit anderen Client-VPNs sogar ein bekanntes Konfliktszenario. Die aktuelle Fehlerbehebung verweist bei entsprechenden Problemen darauf, andere VPN-Anwendungen zu deaktivieren.

Damit war für mich die wichtigste Entscheidung gefallen.

Ich wollte nicht herausfinden, welche private VPN besonders geschickt neben die Sicherheitssoftware meines Arbeitgebers passt.

Ich wollte verhindern, dass sie überhaupt miteinander konkurrieren müssen.

Der Firmen-Laptop bekam danach nur noch eine Aufgabe

Ich trennte die Rollen.

Auf dem Arbeitsrechner:

Hotel-WLAN verbinden.

Portal abschliessen.

Firmen-VPN starten.

Mehr nicht.

Die Unternehmensverbindung stand sofort wieder. Die Präsentation synchronisierte, das interne Laufwerk war erreichbar und mein Termin konnte beginnen.

Damit war der dringende Teil erledigt.

Erst danach fiel mein Blick auf die beiden anderen Geräte im Zimmer: Telefon und privates Tablet.

Beide hingen ebenfalls im Hotel-WLAN.

Beide waren meine Geräte.

Und auf keinem von ihnen gab es irgendeinen Grund, den Firmen-Client zu verwenden.

Genau dort installierte ich OnlydogVPN^↗.

Auf dem Telefon wählte ich den passenden Modus für öffentliches WLAN und verband mich.

Der Browser öffnete normal.

Nachrichten funktionierten.

Meine Reisebuchungen ebenso.

Der Firmen-Laptop blieb währenddessen völlig unberührt.

Plötzlich hatte ich tatsächlich Hotel-WLAN und Firmen-VPN gleichzeitig im Einsatz.

Nur nicht auf die komplizierteste denkbare Weise.

Die kleinere App übernahm genau die Geräte, um die es eigentlich ging

Diese Trennung fühlte sich sofort sauberer an.

Der Arbeitsrechner blieb unter der Kontrolle der Unternehmenssoftware.

Mein Telefon bekam seine eigene Verbindung für das Hotelnetz.

Das Tablet konnte dasselbe tun.

Ich musste keine Routing-Regeln prüfen, keine virtuellen Adapter vergleichen und nicht herausfinden, welcher VPN-Client gerade Vorrang hatte.

OnlydogVPN passt gut zu diesem Szenario, weil die App auf Reisen und öffentliche Netze ausgerichtet ist und die Verbindung über einfache Nutzungssituationen statt über lange technische Menüs organisiert. (OnlydogVPN)

Für mich war das der entscheidende Vorteil:

Die App musste meine Firmen-VPN nicht ersetzen.

Sie musste ihr nur aus dem Weg bleiben.

Und genau dadurch löste sie das grössere Problem.

Das zweite Gerät dauerte nur einen Code

Nach dem Meeting nahm ich das Tablet mit in die Lobby.

Normalerweise beginnt dort die nächste kleine Verwaltungsaufgabe.

App installieren.

Login suchen.

Passwortmanager öffnen.

Anmelden.

Bestätigung erledigen.

Bei der kleineren App konnte ich das weitere Gerät stattdessen über einen Verifizierungscode anbinden.

Code eingeben.

Bestätigen.

Verbunden.

Das war nicht der Grund, weshalb die Firmen-VPN vorher funktioniert hatte.

Aber es löste die nächste Reibung sehr passend.

Ich wollte mein Arbeitsgerät der Firmen-IT überlassen und meine privaten Geräte schnell unter meine eigene Lösung bringen.

Dafür musste ich weder das Firmen-Notebook verändern noch auf jedem privaten Gerät einen neuen kleinen Einrichtungsprozess beginnen.

Am nächsten Morgen musste ich nicht mehr überlegen

Das Hotel-WLAN hatte meine Sitzung über Nacht vergessen.

Also erschien die Anmeldeseite erneut.

Diesmal war die Reihenfolge sofort klar.

Auf dem Firmen-Laptop:

WLAN.

Hotelportal.

Firmen-VPN.

Auf dem Telefon:

WLAN.

Hotelportal.

OnlydogVPN.

Auf dem Tablet genauso.

Fertig.

Ich musste nicht mehr versuchen, zwei Sicherheitsprodukte auf demselben Arbeitsgerät zu stapeln.

Jedes Gerät bekam die Verbindung, die zu seiner Aufgabe passte.

Das klingt fast banal.

Aber gerade auf Geschäftsreisen ist banal oft genau das, was man möchte.

Warum mir zusätzliche Profi-Funktionen hier wenig gebracht hätten

Vor der Reise hätte ich wahrscheinlich Funktionslisten verglichen.

Split Tunneling.

Manuelle Routen.

Spezialserver.

Mehrere Protokolle.

Vielleicht sogar irgendeine Form von VPN-over-VPN.

Nach dem ersten Abend war mein Interesse daran deutlich kleiner.

Der Firmen-Laptop gehört technisch nicht vollständig mir.

Die Sicherheitsrichtlinien legt mein Arbeitgeber fest.

Wenn dessen VPN-Client nicht dafür gedacht ist, parallel zu einer weiteren Client-VPN zu laufen, möchte ich einen wichtigen Termin nicht davon abhängig machen, dass ich diese Vorgabe mit genügend Einstellungen doch irgendwie austrickse.

Ich kann nicht beobachten, welche internen Filter-, Endpoint- oder Routing-Regeln der jeweilige Firmenclient auf einem verwalteten Rechner durchsetzt. Sichtbar war für mich aber das Entscheidende: Ohne die zusätzliche private VPN verband sich der Firmen-Client zuverlässig; meine persönlichen Geräte konnten währenddessen separat über OnlydogVPN laufen.

Mehr musste ich in diesem Hotelzimmer nicht beweisen.

Die technische Erklärung darf deshalb kurz bleiben

Eine Firmen-VPN bestimmt, welcher Datenverkehr durch den Firmentunnel läuft.

Eine zweite Client-VPN versucht ebenfalls, den Verkehr umzuleiten.

Je nach Unternehmenssoftware kann das zu Konflikten führen. Bei Cisco ist der parallele Betrieb mit einer anderen Client-VPN ausdrücklich ein problematisches beziehungsweise nicht unterstütztes Szenario.

Damit war die einfachere Architektur auch die bessere:

Firmen-VPN für den Firmen-Laptop. Persönliche VPN für die persönlichen Geräte.

Der Rest war nur noch Bedienung.

Eine kleinere VPN passte gerade deshalb besser zu meiner Reise

OnlydogVPN hat nicht die lange öffentliche Geschichte grosser VPN-Anbieter. Es gibt weniger unabhängige Bewertungen, und die aktuelle App-Store-Seite hat noch nicht genügend Rezensionen für eine zusammengefasste Wertung.

Für diese Reise war das jedoch nicht mein Engpass.

Ich suchte keinen Ersatz für Cisco, GlobalProtect oder irgendeine andere Unternehmenslösung.

Ich suchte etwas für die Geräte daneben.

Dort war Einfachheit wertvoller als eine riesige Funktionsliste.

Öffentliches WLAN auswählen.

Verbinden.

Zweites Gerät per Code hinzufügen.

Weiter.

Der Firmenrechner konnte unterdessen genau das tun, wofür er eingerichtet worden war.

Das machte die kleinere App für diesen speziellen Fall überzeugender als eine weitere VPN, die vor allem beweisen wollte, wie viel sie auf meinem Arbeitsrechner kontrollieren kann.

Also: Was ist das beste VPN für Hotel-WLAN und Firmen-VPN gleichzeitig?

Wenn „gleichzeitig“ bedeutet, zwei VPN-Clients auf einem verwalteten Firmen-Laptop übereinander zu starten, würde ich heute gar nicht mit einem Produktvergleich beginnen.

Ich würde zuerst akzeptieren, dass der Firmen-Client Vorrang hat.

Mein ursprünglicher Fehler war, ein Architekturproblem wie ein VPN-Ranking zu behandeln.

Sobald ich die Aufgaben getrennt hatte, verschwand fast die gesamte Komplexität.

Der Arbeitsrechner bekam das Hotel-WLAN und anschliessend die vorgeschriebene Firmen-VPN.

Mein Telefon und Tablet bekamen OnlydogVPN für dasselbe Hotelnetz.

Der Firmenzugang funktionierte.

Meine privaten Geräte hatten ihre eigene Verbindung.

Und ich musste weder Routingregeln umbauen noch die Sicherheitssoftware meines Arbeitgebers bekämpfen.

Für Geschäftsreisen war deshalb nicht die private VPN am hilfreichsten, die noch irgendwie in denselben Laptop-Tunnel passte.

Es war diejenige, die den Rest meiner Geräte so unkompliziert übernahm, dass die Firmen-VPN einfach Firmen-VPN bleiben konnte.