Verbindungen
bewusst erlauben.
Network Security bestimmt, welche Verbindungen erlaubt sind, und erkennt verdächtigen Verkehr. Das klassische Perimetermodell reicht für Cloud, Homeoffice und Partnerzugriffe nicht mehr. Die Werkzeugklassen unterscheiden sich darin, ob sie Verkehr filtern, Zugang vermitteln, Netze unterteilen oder Angriffe im Netz erkennen.
Drei Ebenen, 8 Werkzeugklassen.
Eine Plattform kann mehrere Ebenen abdecken. Für die Auswahl zählt, welche Aufgabe sie verlässlich erfüllt und wer die Ergebnisse verantwortet.
Nur nötige Verbindungen zulassen.
Firewalls, NAC und Microsegmentation setzen Zonen und Regeln durch und begrenzen seitliche Bewegung.
Zugang zu Anwendungen und Internet vermitteln und filtern.
ZTNA, VPN, Secure Web Gateway, DNS Security sowie SASE und SSE steuern den Zugriff von Nutzern auf Anwendungen und Internet.
Angriffe im Verkehr sehen.
IDS, IPS und NDR erkennen Muster und Anomalien. DDoS Protection hält Dienste unter Last erreichbar.
Alle Werkzeugklassen im Gebiet.
Firewalls und IPS
Firewalls und IPS im Vergleich: Regeln an Netzgrenzen, Anwendungskontrolle und Abwehr von Netzwerkangriffen im Überblick.
NDR
NDR-Werkzeuge im Vergleich: Network Detection and Response zur Erkennung von Angriffen im Netzwerkverkehr.
NAC
NAC entscheidet beim Eintritt ins Netzwerk, welches Gerät unter welchen Bedingungen welche Verbindung erhält.
DNS Security
DNS Security erkennt und blockiert verdächtige Zielnamen, bevor eine Verbindung zum Ziel aufgebaut wird.
ZTNA und VPN
ZTNA verbindet eine berechtigte Identität direkt mit einer freigegebenen Anwendung, ein VPN verbindet Benutzer und Standorte verschlüsselt mit ganzen Netzen.
SASE und SSE
Secure Access Service Edge verbindet Netz- und Sicherheitsfunktionen als Cloud-Service, mit Secure Web Gateway, CASB und ZTNA.
DDoS Protection
DDoS Protection hält öffentliche Dienste gegen volumetrische, protokollbasierte und anwendungsnahe Überlastungsangriffe erreichbar.
Microsegmentation
Microsegmentation begrenzt Kommunikation zwischen Workloads, Servern und Anwendungen. Sie reduziert erreichbare Angriffspfade, wenn ein Konto oder ein System bereits kompromittiert ist.
CIO und CISO entscheiden nicht dasselbe.
CISO: Schutzwirkung
Der CISO braucht nachvollziehbare Regeln und Sicht auf Verkehr, den niemand erwartet.
- Welche Regeln sind veraltet oder zu offen?
- Wo kann sich ein Angreifer seitlich bewegen?
- Wie wird verschlüsselter Verkehr bewertet?
CIO: Betriebsfähigkeit
Der CIO verantwortet Verfügbarkeit, Leistung und Architektur der Netze.
- Welche Standorte und Clouds hängen wie zusammen?
- Ersetzt SASE bestehende Komponenten oder kommt es hinzu?
- Wer betreibt Regeln und Changes?
Was dieses Gebiet nicht abdeckt.
Network Security regelt Erreichbarkeit. Identity Security liefert die Identität für Zugriffsentscheide, Cloud Security deckt Cloud-Konfigurationen ab, und OT-Netze haben eigene Anforderungen im Gebiet OT, IoT und Cyber-Physical Security.
Orientierung, keine Produktempfehlung.
Die Einordnung stützt sich auf Standards, Rahmenwerke und Rechtsgrundlagen. Produktangaben stehen auf den einzelnen Werkzeugseiten.
Stand: 10. Oktober 2026 · Nächste planmässige Prüfung: 10. Januar 2027 · Produktangaben und regulatorische Anwendbarkeit sind vor einer konkreten Entscheidung erneut zu prüfen.