Reverse Proxy für KMU: Interne Dienste sicher ins Internet freigeben

In vielen Betrieben ist der Fernzugriff historisch gewachsen: Port 443 zeigt auf die Nextcloud, Port 8443 auf das Ticketsystem, ein weiterer Port auf die Weboberfläche der Zeiterfassung. Jede dieser Freigaben ist ein eigener Eingang ins Firmennetz – mit eigenem Zertifikat, eigener Anmeldung und eigenem Patch-Stand. Ein Reverse Proxy macht daraus einen einzigen, kontrollierten Eingang. Für KMU ist das eine der wirksamsten Maßnahmen, um Dienste erreichbar zu halten, ohne die Angriffsfläche unnötig zu vergrößern.

Anlass: Pangolin 1.24 und der Trend zum Tunnel

Laut heise online ist Anfang Oktober 2026 Version 1.24 von Pangolin erschienen. Das Werkzeug des New Yorker Start-ups Fossorial verbindet entfernte Standorte – ein NAS, einen Server, eine Filiale – über WireGuard-Tunnel mit einer zentralen Instanz, die typischerweise auf einer gemieteten VM bei einem Cloud-Anbieter läuft. Von dort aus veröffentlicht es ausgewählte Dienste als Reverse Proxy, wahlweise im Internet oder nur intern. Die Anmeldung ist per Benutzername und Passwort, Passkey oder OpenID Connect möglich.

Neu in Version 1.24 sind sogenannte Exit Nodes: Jeder angebundene Standort kann nun als VPN-Gateway dienen, über das Clients ihren Datenverkehr leiten. heise ordnet Pangolin als Alternative zu Tailscale und zu den WireGuard-Funktionen gängiger Router-Betriebssysteme ein.

Pangolin kommt aus der Homelab-Welt, das Muster dahinter ist aber für Unternehmen genauso relevant: Der interne Server öffnet keinen Port mehr nach außen, sondern baut selbst eine Verbindung zu einem vorgelagerten Proxy auf. Wer verstehen will, ob das für den eigenen Betrieb sinnvoll ist, muss zuerst das Grundprinzip kennen.

Was ein Reverse Proxy leistet

Ein Reverse Proxy nimmt Anfragen aus dem Internet entgegen und reicht sie an den passenden internen Dienst weiter. Der Besucher spricht nur mit dem Proxy; die Server dahinter sind von außen nicht direkt erreichbar.

Ein Eingang statt vieler Portfreigaben

Statt für jeden Dienst einen Port am Router zu öffnen, lauscht nur der Proxy auf Port 443. Anhand des Hostnamens – etwa cloud.firma.de oder tickets.firma.de – entscheidet er, wohin die Anfrage geht. Das macht die Firewall-Regeln überschaubar und verhindert, dass vergessene Freigaben jahrelang offen bleiben.

TLS an einer Stelle

Der Proxy terminiert die verschlüsselte Verbindung. Zertifikate werden zentral ausgestellt und automatisch erneuert, statt auf jedem Server einzeln gepflegt zu werden. Angesichts der sinkenden Zertifikatslaufzeiten ist das mehr als Komfort – siehe unseren Artikel zum Zertifikatsmanagement.

Anmeldung vor der Anwendung

Viele Webanwendungen haben eine schwache oder gar keine eigene Anmeldung. Ein Reverse Proxy kann eine Authentifizierung vorschalten, bevor die Anfrage die Anwendung überhaupt erreicht – idealerweise per Single Sign-on mit Mehrfaktor-Anmeldung. Eine Sicherheitslücke in der Login-Seite der Anwendung ist dann für anonyme Angreifer aus dem Internet nicht mehr erreichbar.

Filtern, begrenzen, protokollieren

Am Proxy lassen sich Zugriffe nach Herkunftsland oder IP-Bereich einschränken, Anfragen pro Minute begrenzen und Sicherheits-Header setzen. Außerdem entsteht ein zentrales Zugriffsprotokoll – wertvoll, wenn nach einem Vorfall geklärt werden muss, wer wann worauf zugegriffen hat. Wer öffentlich erreichbare Webanwendungen betreibt, kann hier zusätzlich eine Web Application Firewall einhängen.

Klassischer Proxy oder Tunnel-Proxy?

Variante 1: Reverse Proxy im eigenen Netz

Der Proxy steht in einer DMZ am Firmenstandort, die Firewall leitet Port 443 an ihn weiter. Verbreitete Open-Source-Lösungen sind nginx, HAProxy, Caddy und Traefik; für OPNsense gibt es passende Plugins, sodass der Proxy direkt auf der Firewall laufen kann. Das ist die richtige Wahl bei fester IP-Adresse, eigener Firewall und Diensten, die ohnehin am Standort betrieben werden.

Variante 2: Vorgelagerter Proxy mit Tunnel

Hier steht der Proxy auf einem Server im Rechenzentrum. Der Standort baut von innen einen WireGuard-Tunnel dorthin auf – eingehende Portfreigaben am Firmenanschluss entfallen komplett. Das ist das Modell von Pangolin und ähnlichen Werkzeugen. Es hilft bei Anschlüssen ohne feste oder öffentliche IPv4-Adresse, bei mehreren kleinen Standorten und überall dort, wo die IP-Adresse des Firmenanschlusses nicht öffentlich sichtbar sein soll.

Der Preis: Der vorgelagerte Server ist ein zusätzliches System, das gepflegt werden muss, und er sieht den entschlüsselten Datenverkehr. Er gehört deshalb zu einem Anbieter mit Auftragsverarbeitungsvertrag und Standort in der EU – und unter eigene Kontrolle, nicht in einen kostenlosen Fremddienst.

Wann ein VPN die bessere Antwort ist

Nicht jeder Dienst braucht einen Reverse Proxy. Was nur die eigenen Mitarbeiter nutzen – Administrationsoberflächen, Dateifreigaben, das ERP – ist hinter einem WireGuard-VPN besser aufgehoben. Der Proxy ist für Dienste gedacht, die ohne VPN-Client erreichbar sein müssen: Kundenportale, Freigabelinks der Nextcloud, Webhooks, Zugriff von Partnern.

Praxis: In sieben Schritten zum sauberen Zugang

Schritt 1: Bestandsaufnahme

Listen Sie alle Portweiterleitungen auf Router und Firewall auf und gleichen Sie sie mit einem Scan von außen ab. Erfahrungsgemäß tauchen dabei Freigaben auf, die niemand mehr zuordnen kann. Wie das systematisch geht, beschreibt unser Artikel zur externen Angriffsfläche.

Schritt 2: Dienste einteilen

Für jeden Dienst entscheiden: öffentlich über den Proxy, nur per VPN oder gar nicht von außen. Im Zweifel VPN.

Schritt 3: Architektur wählen

Feste IP und eigene Firewall vorhanden: Proxy in der DMZ oder auf der OPNsense. Kein öffentlicher Anschluss oder mehrere Standorte: vorgelagerter Proxy mit Tunnel.

Schritt 4: Proxy in ein eigenes Segment stellen

Der Proxy darf nur genau die internen Adressen und Ports erreichen, die er weiterleiten soll – nicht das gesamte Netz. Wird er kompromittiert, bleibt der Schaden begrenzt.

Schritt 5: TLS und Anmeldung zentral einrichten

Zertifikate automatisiert per ACME beziehen, veraltete TLS-Versionen abschalten, Authentifizierung mit zweitem Faktor vorschalten. Ausnahmen nur dort, wo sie technisch nötig sind, etwa für App-Synchronisation oder Webhooks – und dann auf einzelne Pfade begrenzt.

Schritt 6: Direkten Weg schließen

Nach der Umstellung alle alten Portweiterleitungen löschen. Der interne Dienst sollte Verbindungen nur noch vom Proxy annehmen. Dieser Schritt wird am häufigsten vergessen – dann existieren der abgesicherte und der ungesicherte Weg nebeneinander.

Schritt 7: Proxy patchen und überwachen

Der Reverse Proxy ist ab jetzt das exponierteste System im Unternehmen. Er braucht zeitnahe Updates, ein eigenes Monitoring und Logs, die zentral gesammelt werden. Die Verwaltungsoberfläche des Proxys selbst gehört nie ins Internet.

Typische Fehler

• Proxy als Allheilmittel. Er schützt die Anmeldung und den Transportweg, nicht vor Lücken in der Anwendung, die nach dem Login ausnutzbar sind. Patchen bleibt Pflicht.
• Falsche Client-IP. Wenn die Anwendung nur noch die Adresse des Proxys sieht, laufen Brute-Force-Schutz und Logs ins Leere. Die Weitergabe der echten Client-IP muss auf beiden Seiten korrekt eingerichtet sein.
• Ungeprüfte Werkzeuge im Produktivbetrieb. Junge Projekte wie Pangolin entwickeln sich schnell und liefern laut heise regelmäßig kurzfristig große Funktionen nach. Das ist attraktiv, verlangt aber Tests vor jedem Update und einen Plan für den Fall, dass ein Release Probleme macht.

Was das für KMU in Sachsen bedeutet

Viele ostdeutsche KMU arbeiten an Standorten mit einfachen Geschäftskundenanschlüssen, teils ohne feste IPv4-Adresse, und betreiben trotzdem eigene Server – oft aus guten Gründen der Datenhoheit. Gerade dort ist die Kombination aus eigener Nextcloud, WireGuard-Tunnel und einem Reverse Proxy in einem deutschen Rechenzentrum ein sauberer Weg: Die Daten bleiben im Betrieb, erreichbar sind sie trotzdem – das gilt für Betriebe in Dresden ebenso wie im ländlichen Sachsen.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU bei der sicheren Freigabe interner Dienste: Bestandsaufnahme der offenen Ports, Einrichtung eines Reverse Proxy auf OPNsense oder Linux-Server, WireGuard-Tunnel zwischen Standorten und vorgeschaltete Anmeldung mit zweitem Faktor. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Was ist der Unterschied zwischen Reverse Proxy und VPN?

Ein VPN verbindet ein Gerät mit dem Firmennetz und setzt einen Client voraus. Ein Reverse Proxy veröffentlicht einzelne Webdienste, die dann mit einem normalen Browser erreichbar sind. VPN eignet sich für Mitarbeiter und Administration, der Proxy für Dienste, die auch Kunden oder Partner nutzen.

Brauche ich für einen Reverse Proxy eine feste IP-Adresse?

Nicht zwingend. Bei einem vorgelagerten Proxy mit Tunnel baut der Standort die Verbindung von innen auf; eine feste oder öffentliche IP am Firmenanschluss ist dann nicht nötig. Die feste Adresse hat in diesem Fall der Server im Rechenzentrum.

Ist Pangolin für den Unternehmenseinsatz geeignet?

Das Konzept ist solide, das Projekt aber jung und entwickelt sich schnell. Für KMU kommt es vor allem darauf an, wer Updates testet und einspielt. Etablierte Bausteine wie nginx, HAProxy oder Caddy in Verbindung mit WireGuard erreichen dasselbe Ziel mit weniger Komfort, aber langer Betriebserfahrung.

Macht ein Reverse Proxy meine Anwendung sicher?

Er reduziert die Angriffsfläche deutlich, ersetzt aber keine Updates. Lücken, die erst nach der Anmeldung ausnutzbar sind, oder gestohlene Zugangsdaten bleiben ein Risiko. Proxy, Mehrfaktor-Anmeldung und Patch-Management gehören zusammen.