Ein VPN baut über ein öffentliches Netz eine verschlüsselte Verbindung zu einem anderen Netzwerk auf und lässt das Gerät so erscheinen, als befände es sich dort. Im Unternehmen dient es dem Zugriff auf interne Systeme aus dem Homeoffice oder von unterwegs sowie der Verbindung mehrerer Standorte.
Zu unterscheiden ist davon das kommerzielle Endkunden-VPN, dessen Zweck die Verschleierung der eigenen IP-Adresse und das Umgehen regionaler Sperren ist; es schützt den Weg zum Anbieter, verlagert das Vertrauen aber lediglich vom Internetanbieter dorthin. Die Grenze der Technik im Unternehmenseinsatz liegt in der Reichweite des Zugriffs, denn ein klassisches VPN öffnet häufig ein ganzes Netzsegment, sodass ein übernommener Zugang weitreichende Bewegungsfreiheit verschafft.
Aus dieser Schwäche ist Zero Trust Network Access entstanden, das je Anwendung und nach geprüfter Identität freigibt statt netzweit. Wo VPN weiterhin eingesetzt wird, sind Mehr-Faktor-Authentifizierung und zeitnahes Patchen der Zugangsgeräte entscheidend, weil deren Schwachstellen regelmäßig zu den ersten Zielen automatisierter Angriffe zählen.