Sunrise-Hotspot: Wenn der Firmen-VPN plötzlich nicht mehr verbindet, liegt das Problem oft davor

Am Montag hatte derselbe Ablauf noch funktioniert: Laptop aufklappen, mit dem Sunrise-Hotspot meines Handys verbinden, Firmen-VPN starten, internes Projektlaufwerk öffnen. Am Donnerstag blieb der Firmenclient dagegen bei „Verbindung wird hergestellt“ hängen. Internet hatte ich. Teams funktionierte. Webseiten ebenfalls. Nur der Tunnel ins Firmennetz kam nicht zustande. Transparenz: OnlydogVPN^↗ hat diesen Beitrag beauftragt. Die Geschichte verbindet öffentliche Nutzerberichte mit Produkttests; getestet wurde ein mobiler Hotspot mit einem zusätzlichen persönlichen VPN vor dem Firmen-VPN.

Mein erster Verdacht fiel trotzdem auf den Arbeitsrechner.

Vielleicht hatte Windows nachts etwas aktualisiert. Vielleicht war ein Zertifikat abgelaufen. Also Neustart, Firmenclient erneut öffnen, noch einmal verbinden.

Nichts. Dann wechselte ich vom Sunrise-Hotspot in ein normales WLAN. Der Firmen-VPN verband sich sofort. Zurück zum Hotspot: wieder Stillstand.

Damit wurde die Sache deutlich interessanter. Der Firmenclient selbst war offenbar nicht das eigentliche Problem. Etwas auf dem Weg zwischen Laptop und Firmen-Gateway machte den Unterschied.

Der Hotspot kann funktionieren, obwohl der Firmen-VPN scheitert

Genau das macht solche Fehler so irritierend. Das Handy zeigt Empfang, Webseiten laden schnell, vielleicht sieht sogar ein Speedtest völlig normal aus. Trotzdem schafft es der Firmen-VPN nicht bis zu seinem Gateway.

Sunrise empfiehlt bei plötzlich auftretenden Mobilfunkproblemen zunächst, Verbindung, Softwarestand und mögliche Netzstörungen zu prüfen. Bei mir war das mobile Internet aber nicht ausgefallen. Nur eine bestimmte Verbindung funktionierte nicht.

Damit musste ich den Hotspot anders betrachten: nicht als „Internet an oder aus“, sondern als einen eigenen Netzwerkpfad.

Sunrise hat für mobile Datenverbindungen außerdem den Einsatz von CGNAT beschrieben. Vereinfacht gesagt hängt mein Laptop über den Hotspot nicht mit einer eigenen öffentlichen IPv4-Adresse direkt im Internet. Dazwischen sitzt zusätzliche Adressübersetzung.

Für normales Surfen merkt man davon meistens nichts. Firmen-VPNs können auf solche Unterschiede empfindlicher reagieren. Genau deshalb gibt es bei IPsec Mechanismen wie NAT Traversal.

Mehr Theorie brauchte ich nicht. Der entscheidende Test war praktischer.

Statt den Firmen-VPN neu zu installieren, änderte ich den Weg dorthin

Mein nächster Reflex wäre gewesen, den Firmenclient zu löschen und neu einzurichten.

Das hätte aber denselben Client anschließend wieder über denselben Sunrise-Hotspot geschickt.

Also änderte ich zuerst nur den äußeren Weg.

Ich öffnete OnlydogVPN, wählte das Profil für eine instabile beziehungsweise problematische Verbindung und verband mich. Keine Serverliste, durch die ich mich erst arbeiten musste, und keine Protokollauswahl, bei der ich raten musste.

Danach startete ich den Firmen-VPN erneut. Diesmal verschwand „Verbindung wird hergestellt“ nach wenigen Sekunden. Die Zwei-Faktor-Abfrage erschien. Ich bestätigte sie. Dann öffnete sich das interne Projektlaufwerk. Damit war meine eigentliche Aufgabe erledigt.

Und genau an diesem Punkt änderte sich auch meine Einschätzung: Ich brauchte keinen Ersatz für den Firmen-VPN. Ich brauchte einen besseren Weg zu ihm.

OnlydogVPN blieb außen. Der Unternehmens-VPN kümmerte sich weiterhin um den Zugang zum Firmennetz.

Das war in dieser Situation die sinnvollere Rollenverteilung.

Warum der zusätzliche Tunnel hier geholfen hat

OnlydogVPN nutzt einen HTTP/3-basierten Transport mit zusätzlicher Verkehrsverschleierung. Für mich war daran weniger das Protokoll interessant als das Ergebnis: Der Firmenclient wurde nicht mehr direkt über denselben problematischen mobilen Pfad geschickt.

HTTP/3 basiert auf QUIC, das unter anderem besser mit wechselnden Netzwerkpfaden umgehen kann.

Damit ist die technische Erklärung eigentlich schon ausreichend.

Die internen Filter-, NAT- und Routingentscheidungen bei Sunrise und am Firmen-Gateway konnte ich nicht beobachten. Sichtbar war nur der Unterschied:

Sunrise-Hotspot direkt → Firmen-VPN blieb hängen.

Sunrise-Hotspot über OnlydogVPN → Firmen-VPN verband sich.

Für die Fehlersuche war das wertvoller als jede weitere Einstellung im Firmenclient.

Andere Nutzer sind an genau derselben Stelle hängen geblieben

Das Muster ist nicht besonders exotisch. In der Sunrise-Community wurde bereits ein sehr ähnlicher Fall beschrieben: Internet über den Handy-Hotspot funktionierte, der VPN eines Geschäftslaptops dagegen nicht. In der Diskussion ging es anschließend um NAT und UDP.

Das war für mich der hilfreiche Teil solcher Nutzerberichte: nicht die Behauptung, jeder Fall habe dieselbe Ursache, sondern die Erinnerung daran, dass „Internet funktioniert“ und „mein Firmen-VPN funktioniert“ zwei verschiedene Tests sind.

Damit war auch klar, was ich als Nächstes beobachten wollte: nicht den Verbindungsaufbau, sondern ob die Verbindung mobil stabil blieb.

Der bessere Test kam fünf Minuten später

Nach dem Login musste ich noch eine Präsentation aus dem internen Laufwerk laden und danach direkt in ein Kundenmeeting.

Während des Downloads wurde das Mobilfunksignal schwächer. Der Fortschrittsbalken hielt kurz an. Dann lief er weiter. Keine neue Anmeldung. Kein erneuter Start des Firmenclients. Das war fast überzeugender als die erste erfolgreiche Verbindung.

Ein Hotspot ist schließlich kein Kabelanschluss. Im Zug, im Hotel oder unterwegs zwischen Gebäuden verändert sich die Funkverbindung ständig. Ein VPN, der nur unter idealen Bedingungen verbindet, hilft mir wenig.

QUIC ist genau für solche wechselnden Pfade robuster ausgelegt. Im Alltag zeigte sich das aber viel unspektakulärer:

Die Datei kam an. Das Meeting öffnete sich. Ich musste nicht mehr auf das VPN-Symbol starren.

Was ich beim nächsten Sunrise-Hotspot zuerst prüfen würde

Seitdem ist meine Reihenfolge einfacher.

Wenn mobiles Internet funktioniert, der Firmen-VPN über normales WLAN ebenfalls funktioniert und nur über den Handy-Hotspot scheitert, würde ich nicht sofort Windows, Zertifikate oder den Firmenclient zerlegen.

Ich würde zuerst den Netzwerkpfad ändern.

Genau darin lag der Vorteil der kleineren App. Sie verlangte keine Diagnose auf Netzwerkingenieur-Niveau und auch kein Herumprobieren mit einer langen Serverliste. Ich brauchte nur eine alternative äußere Verbindung, über die der Firmen-VPN wieder sein eigenes Gateway erreichen konnte.

Ein praktischer Haken bleibt: Auf vollständig verwalteten Firmenrechnern können Unternehmensrichtlinien zusätzliche VPN-Verbindungen untersagen. Dann entscheidet die IT, nicht die App.

Abgesehen davon war die Rollenverteilung in meinem Test erstaunlich sauber: Der Firmen-VPN blieb für die Firma zuständig. OnlydogVPN löste das Problem davor.

Ich hatte zunächst geglaubt, mein Unternehmens-VPN sei kaputt.

Am Ende musste ich ihn überhaupt nicht reparieren.

Bei einem Sunrise-Hotspot, auf dem alles außer dem Firmen-VPN funktioniert, würde ich deshalb heute zuerst den Weg zum Tunnel ändern – und erst danach den Tunnel selbst.