Reines WireGuard® erwartet, dass, wer es ausführt, bereits erhöhte Rechte besitzt. Das bedeutet normalerweise: entweder erhält jeder Mitarbeitende lokale Admin-Rechte, oder die IT verbindet jeden Tunnel von Hand. Valenius löst diesen Zielkonflikt auf: eine privilegierte Installation durch die IT, danach verbindet sich jeder Nutzer mit einem einzigen Klick — und braucht nie wieder Admin-Rechte.
Das Protokoll selbst kennt kein Konzept eines Clients mit niedrigen Rechten — jedes offizielle Tool geht davon aus, dass, wer es aufruft, bereits berechtigt ist, eine Netzwerkschnittstelle anzulegen.
wireguard.exe /installtunnelservice benötigt Admin-Rechte, und der offizielle Windows-Client fragt bei jedem Start per UAC nach. Die IT vergibt entweder auf jedem Laptop lokale Admin-Rechte oder verbindet jeden einzeln von Hand. Der Valenius-Windows-Client →
wg-quick benötigt Root-Rechte, um die Schnittstelle anzulegen und Routen zu schreiben. Unter macOS ist bereits das Durchreichen einer Netzwerk-Extension durch System Integrity Protection ein eigener, admin-pflichtiger Schritt.
Geteilte lokale Admin-Rechte, Einzel-Fernwartungssitzungen nur um einen neuen Laptop zu verbinden, und keine Aufzeichnung, wer wann erhöhte Rechte erhalten hat — Least Privilege erodiert so schleichend.
Valenius trennt die Berechtigung von der Person. Ein Hintergrunddienst hält die erhöhten Rechte dauerhaft; alle anderen klicken einfach auf Verbinden.
Die IT installiert den Windows-Dienst, den Linux-Daemon oder den macOS-Hintergrundprozess einmalig mit Admin- oder Root-Rechten beim Rollout — von Hand oder still über Ihr gewohntes Deployment-Tooling. Dieser privilegierte Prozess ist ab dann das Einzige auf dem Gerät, das je mit der WireGuard®-Schnittstelle in Berührung kommt.
Alle anderen — auch die installierende Person selbst — sprechen mit diesem Dienst über einen lokalen IPC-Kanal (eine Named Pipe unter Windows, ein Unix-Socket unter Linux und macOS), der die Identität des aufrufenden Nutzers auf Betriebssystemebene prüft. Verbinden, Trennen und Profilverwaltung laufen ausschließlich über diesen Kanal. Keine UAC-Abfrage, kein sudo, kein geteiltes Admin-Passwort — nie wieder.
Endnutzer besitzen nie Rechte, die sie für ihre eigentliche Arbeit nicht brauchen. Ein gestohlener Laptop oder eine kompromittierte Sitzung kann nicht genutzt werden, um den VPN-Client selbst umzukonfigurieren.
Rollen Sie den Client einmalig still über Ihr bestehendes Deployment-Tooling aus. Keine Fernwartungssitzung, um dem Laptop einer neuen Mitarbeiterin Admin-Rechte zu geben, kein Helpdesk-Ticket, wenn der Tunnel neu installiert werden muss.
Client-Zugriff nach dem Least-Privilege-Prinzip ist Teil dessen, was Rahmenwerke wie NIS2 von Zugriffskontroll-Maßnahmen erwarten. So bildet Valenius NIS2 ab →
Jeder Plan — auch die kostenlose Community-Edition — liefert diese Client-Architektur für Windows, Linux, macOS, Android und iOS.
