Cisco VPN-Verbindung schlägt fehl: Ursachen und Lösung

Wenn die Cisco-VPN-Verbindung fehlschlägt, liegt es unter Windows fast immer an einem von drei Punkten: Die Windows-Funktion „Internetverbindung freigeben“ (ICS) blockiert den VPN-Agent, eine Firewall oder ein Virenscanner stoppt den Prozess vpnagent.exe, oder der Dienst „Routing und RAS“ (RRAS) belegt das Routing. Deaktiviere ICS und RRAS, erlaube vpnagent.exe in der Firewall und starte den VPN-Dienst neu – das behebt die meisten „Unable to establish VPN“-Fehler.

Erst kurz einordnen: Welcher Client ist das überhaupt?

Was lange als Cisco AnyConnect bekannt war, heißt seit 2023 Cisco Secure Client – die VPN-Funktion ist darin nur noch ein Modul namens „AnyConnect VPN“. Die Fehlermeldungen, die Dienstnamen und die Lösungswege sind aber praktisch gleich geblieben, egal ob du noch eine 4.x-Version oder den aktuellen Secure Client 5.1 nutzt. Wichtig zu wissen: Die Wartung der alten AnyConnect-4.x-Reihe ist im März 2024 ausgelaufen. Wer dort hängt, sollte vor langer Fehlersuche zuerst auf die aktuelle 5.1-Version aktualisieren – allein das räumt viele Treiber- und Kompatibilitätsprobleme unter Windows 11 ab.

Diagnose: Welche Fehlermeldung siehst du?

Cisco VPN „verbindet nicht“ ist kein einzelner Fehler. Anhand des genauen Wortlauts grenzt du die Ursache stark ein:

• „AnyConnect was not able to establish a connection to the specified secure gateway“ – der Client erreicht das Gateway nicht oder das Zertifikat wird abgelehnt. Meist Firewall, falsche Uhrzeit oder ein blockierter Agent.
• „Unable to establish VPN“ / „Verbindung kann nicht hergestellt werden“ – klassischer ICS- oder Firewall-Konflikt, oft direkt nach einem Windows-Update.
• „The VPN client agent was unable to create the interprocess communication depot“ – fast immer aktivierte Internetverbindungs-Freigabe (ICS) auf einem Netzwerkadapter.
• Verbindung bricht nach Sekunden wieder ab – Hinweis auf IPv6-Konflikt oder eine zu große Split-Tunnel-Liste am VPN-Server.

Notier dir den exakten Fehlertext, bevor du etwas änderst – damit triffst du die richtige Stelle und probierst nicht blind herum.

Lösung Schritt für Schritt

Arbeite die Schritte der Reihe nach ab und teste nach jedem, ob die Verbindung steht. So weißt du am Ende auch, woran es lag.

1. Internetverbindungs-Freigabe (ICS) abschalten. Drücke Windows + R, gib ncpa.cpl ein und bestätige. Rechtsklick auf deinen aktiven Netzwerkadapter → Eigenschaften → Reiter Freigabe. Entferne den Haken bei „Anderen Benutzern im Netzwerk gestatten, diese Verbindung zu nutzen“. Das gleiche für jeden weiteren Adapter prüfen. ICS ist die häufigste Ursache für den „interprocess communication depot“-Fehler.
2. Den VPN-Dienst neu starten. Windows + R → services.msc. Suche den Eintrag „Cisco Secure Client – AnyConnect VPN Agent“ (bei älteren Versionen „Cisco AnyConnect Secure Mobility Agent“). Rechtsklick → Neu starten. Hängt der Agent, kommt jeder Verbindungsversuch ins Leere.
3. Firewall und Virenscanner prüfen. Lege in deiner Sicherheitssoftware eine Ausnahme für vpnagent.exe an (Standardpfad C:\Program Files (x86)\Cisco\Cisco Secure Client\). Zum Test darfst du den Schutz kurz deaktivieren – verbindet es dann, war die Firewall die Bremse, und du trägst die Ausnahme dauerhaft ein, statt den Schutz aus zu lassen.
4. „Routing und RAS“ (RRAS) deaktivieren. In services.msc den Dienst „Routing und RAS“ suchen, Beenden und den Starttyp auf Deaktiviert setzen. Läuft RRAS, kollidiert es mit dem virtuellen VPN-Adapter und die Anmeldung scheitert trotz richtigem Passwort.
5. Client reparieren oder neu installieren. Hilft nichts davon, deinstalliere den Cisco Secure Client komplett, starte den Rechner neu und installiere die aktuelle Version, die dir deine Firma oder Hochschule bereitstellt. Eine saubere Neuinstallation ersetzt beschädigte Treiber des virtuellen Netzwerkadapters.

Wenn das nicht hilft: weitere Ursachen

Bleibt die Verbindung störrisch, lohnt der Blick auf diese drei Sonderfälle:

• IPv6-Konflikt. Windows-Updates schalten IPv6 manchmal eigenmächtig wieder ein, und der Client kommt mit gemischtem IPv4/IPv6-Routing nicht klar. Unter ncpa.cpl → Adapter-Eigenschaften den Haken bei „Internetprotokoll, Version 6 (TCP/IPv6)“ testweise entfernen.
• Zertifikats- oder Zeitfehler. Meldet der Client ein Problem mit dem Server-Zertifikat, prüfe zuerst Datum, Uhrzeit und Zeitzone des PCs – eine falsche Systemzeit lässt jedes Zertifikat ungültig wirken. Im Hochschul-/Firmenumfeld kann auch ein fehlendes Root-Zertifikat die Ursache sein; das liefert die IT-Abteilung.
• Abbruch mit „TLSPROTOCOL_ERROR_INSUFFICIENT_BUFFER“. Das ist kein Client-Fehler, sondern eine zu große Split-Tunnel-Liste am VPN-Gateway. Hier kann nur der Administrator die Liste kürzen – melde den genauen Fehlertext an deine IT.

Als letzter Schritt: Netzwerk zurücksetzen. Über Einstellungen → Netzwerk und Internet → Erweiterte Netzwerkeinstellungen → Netzwerkzurücksetzung setzt Windows alle Adapter neu auf. Achtung: Dabei verschwinden gespeicherte WLAN-Passwörter und VPN-Profile – notiere sie vorher, sonst richtest du sie anschließend von Hand neu ein.

Warum passiert das überhaupt?

Der Cisco-VPN-Client baut einen eigenen virtuellen Netzwerkadapter auf und reicht den gesamten Datenverkehr durch einen verschlüsselten Tunnel. Damit das klappt, muss die grafische Oberfläche sauber mit dem Hintergrunddienst (dem „Agent“) reden – genau diese interne Kommunikation meint die Meldung „interprocess communication depot“. Funktionen wie ICS oder RRAS greifen ebenfalls ins Routing ein und treten dem VPN-Adapter auf die Füße. Und weil Windows-Updates regelmäßig Netzwerktreiber, IPv6 oder Firewall-Regeln zurücksetzen, taucht ein VPN, das gestern noch lief, nach dem nächsten Patchday plötzlich mit Verbindungsfehler auf. Das ist auch der Grund, warum „erst Client aktualisieren, dann ICS/RRAS prüfen“ so zuverlässig hilft.

Quellen

• Cisco – AnyConnect VPN Client Troubleshooting Guide
• Cisco Secure Client (including AnyConnect) Administrator Guide 5.1 – Troubleshoot

Häufige Fragen

Heißt Cisco AnyConnect jetzt anders?

Ja. Seit 2023 läuft der Client unter dem Namen Cisco Secure Client. Die VPN-Funktion ist darin das Modul „AnyConnect VPN“. Dienstnamen und Fehlermeldungen sind weitgehend gleich geblieben.

Warum schlägt die Cisco-VPN-Verbindung trotz richtigem Passwort fehl?

Meist liegt es nicht an der Anmeldung, sondern am System: aktivierte Internetverbindungs-Freigabe (ICS), der Dienst „Routing und RAS“ oder eine blockierende Firewall verhindern den Tunnelaufbau, bevor das Passwort überhaupt zählt.

Was bedeutet „Unable to establish a connection to the specified secure gateway“?

Der Client erreicht das VPN-Gateway nicht oder das Server-Zertifikat wird abgelehnt. Prüfe Firewall und Virenscanner, kontrolliere Datum und Uhrzeit des PCs und stelle sicher, dass der VPN-Agent-Dienst läuft.

Wie starte ich den Cisco-VPN-Dienst neu?

Drücke Windows + R, gib services.msc ein und suche „Cisco Secure Client – AnyConnect VPN Agent“. Rechtsklick darauf und „Neu starten“. Danach den Verbindungsversuch wiederholen.

Hilft ein Netzwerk-Reset bei VPN-Problemen?

Oft ja, weil er beschädigte Adapter-Einstellungen bereinigt. Aber Vorsicht: Der Reset löscht gespeicherte WLAN-Passwörter und VPN-Profile. Notiere sie vorher, sonst musst du alles neu einrichten.