SASE undSSE.
Secure Access Service Edge verbindet Netz- und Sicherheitsfunktionen als Cloud-Service. Security Service Edge ist der Sicherheitsanteil: Web-, SaaS- und Private-Access-Schutz ohne eigenes Netzwerk-Backhaul.
Ein Zugangspunkt für verteilte Arbeit.
Diese Plattformen bündeln oft Secure Web Gateway, CASB, ZTNA, Firewall as a Service und Datenkontrollen. Ihr Nutzen hängt weniger von der Funktionsliste als von sauberer Identität, Traffic-Steuerung und Betriebsverantwortung ab.
SSE schützt primär den Zugriff. SASE ergänzt die Netzseite, häufig mit SD-WAN. Kein Produkt ersetzt die Entscheidungen über Anwendungen, Daten, Identitäten und Ausnahmen.
Die Kontrolle reist mit.
Ein Secure Web Gateway (SWG) ist ein Proxy zwischen Benutzer und Internet. Es prüft jede Webanfrage gegen URL-Kategorien, Reputation und Malware-Scans und entschlüsselt dazu den TLS-Verkehr: Das Gateway beendet die verschlüsselte Verbindung, prüft den Inhalt und baut eine neue Verbindung zum Ziel auf. Damit das funktioniert, vertrauen die Endgeräte einem Zertifikat der Organisation. Früher stand das SWG als Appliance im Rechenzentrum, und der Verkehr aus Filialen und von unterwegs lief über die Zentrale. Heute wird es meist als Cloud-Dienst betrieben, oft parallel oder hybrid zu bestehenden Appliances.[1,2]
Security Service Edge (SSE) bündelt um das SWG weitere Dienste in einer Cloud: Ein CASB (Cloud Access Security Broker) erkennt und steuert SaaS-Nutzung, inline im Datenstrom oder per API direkt im SaaS-Konto. ZTNA (Zero Trust Network Access) vermittelt den Zugriff auf private Anwendungen: Ein Connector beim Unternehmen baut die Verbindung nach aussen auf, die Anwendung bleibt aus dem Internet unsichtbar. FWaaS (Firewall as a Service) filtert übrige Ports und Protokolle, DLP prüft Inhalte auf schützenswerte Daten, und Remote Browser Isolation (RBI) führt riskante Webseiten in einem entfernten Browser aus und überträgt nur die Darstellung.[3,4,5,6]
SASE (Secure Access Service Edge) verbindet SSE mit der Netzseite, meist SD-WAN: Standorte schicken ihren Verkehr über lokale Internetanschlüsse an den nächsten Point of Presence (PoP), wo dieselben Richtlinien greifen wie für mobile Benutzer. Benutzer gelangen über einen Agenten, Standorte über Tunnel oder SD-WAN-Geräte in den Dienst; für Dritte gibt es agentenlosen Zugriff über den Browser. Viele Plattformen prüfen in einem einzigen Durchgang (Single Pass), statt den Verkehr nacheinander durch getrennte Module zu leiten.[7,8,9]
Architektonisch wichtig ist die Trennung von Control Plane (Richtlinien, Identität, Verwaltung), Data Plane (Inspektion des Verkehrs) und Management Plane (Konfiguration, Protokolle). Bei den meisten Diensten liegen alle drei beim Anbieter. Souveräne Varianten lassen sie im eigenen Rechenzentrum oder in einer abgegrenzten Region laufen.[10,3]
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Ausnahmen von der TLS-Inspektion | Anwendungen mit Zertifikats-Pinning oder mTLS scheitern an der Inspektion. Ausnahmen gezielt je Ziel setzen, im Test zuerst prüfen und dokumentieren, dass für ausgenommenen Verkehr weder Protokollierung noch DLP noch Malware-Scan wirken.[13,14] |
| Abhängigkeit vom Cloud-Dienst | Läuft die Durchsetzung der Richtlinien in der Cloud, kann ein Ausfall oder ein Bedienfehler beim Anbieter Anmeldungen und Zugriffe der ganzen Organisation blockieren; NIST SP 800-207 nennt solche Störungen als eigene Bedrohung für Zero-Trust-Architekturen. Notfallzugang ohne den Dienst definieren und halbjährlich testen.[15] |
| Unvollständige Abdeckung | Server, IoT-Geräte und Gastnetze ohne Agent laufen am Gateway vorbei. Neben dem Agenten auch Standorttunnel oder SD-WAN-Anbindung vorsehen und den Anteil inspizierten Verkehrs messen.[16] |
| Lizenzpakete statt Funktionen | DLP, Browser Isolation oder Layer-7-Firewall sind oft Zusatzoptionen. Im Angebot je Baustein festhalten, was enthalten ist.[5] |
| Flaches Netz hinter ZTNA | Wer private Anwendungen über ZTNA anbindet, intern aber keine Segmentierung hat, verlegt nur den Eingang. Connectoren in eigene Segmente stellen und Freigaben je Anwendung statt je Netz erteilen.[4] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Wo laufen Control, Data und Management Plane, und in welchen Ländern? | Die Antwort sollte Regionen, Protokollablage und Schlüsselverwaltung je Plane nennen, nicht nur den Datenstandort. |
| Welche Bausteine sind im angebotenen Paket enthalten? | Gefragt ist eine Liste je Baustein (SWG, CASB inline und API, ZTNA, FWaaS, DLP, RBI, SD-WAN) mit Lizenzstufe. |
| Wie wird ausgenommener Verkehr sichtbar? | Gute Antworten zeigen, wie TLS-Ausnahmen protokolliert, befristet und überprüft werden. |
| Was passiert bei einem Ausfall des Dienstes? | Erwartet werden ein beschriebenes Fehlerverhalten (offen oder geschlossen), ein Notfallzugang und Belege früherer Störungsberichte. |
| Wie kommen Standorte, Server und Geräte ohne Agent in den Dienst? | Die Antwort sollte Tunnel, SD-WAN-Integration und agentenlosen Zugriff für Dritte mit Grenzen nennen. |
| Wie gelangen Protokolle ins eigene SIEM? | Erwartet werden Format, Verzögerung, Aufbewahrung und Kosten des Exports. |
Betrieb und Verantwortung
Netzwerk und Security teilen sich die Plattform; es braucht einen gemeinsamen Owner für Richtlinien und Changes. Anwendungsverantwortliche legen fest, wer welche private Anwendung erreicht, das SOC bearbeitet Ereignisse aus Web, SaaS und DLP. Sinnvolle Kennzahlen sind der Anteil inspizierten Webverkehrs, die Zahl der TLS-Ausnahmen ohne Ablaufdatum, der Anteil privater Anwendungen hinter ZTNA und die Zeit bis zur Bearbeitung von DLP-Ereignissen.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A über 8.20 «Networks security», 8.22 «Segregation of networks», 8.23 «Web filtering» und 6.7 «Remote working»; für den Cloud-Dienst selbst gilt 5.23 «Information security for use of cloud services». NIS2 nennt in Art. 21 Abs. 2 lit. i Konzepte für die Zugriffskontrolle und in lit. h Kryptografie und Verschlüsselung; DORA verlangt in Art. 9 Abs. 4 lit. c, den logischen Zugang auf das Erforderliche zu beschränken. TLS-Inspektion macht Inhalte lesbar: In der Schweiz verbietet Art. 26 Abs. 1 ArGV 3 Systeme, die das Verhalten am Arbeitsplatz überwachen sollen, und in Deutschland bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mit.[17,18,19,20,21,22,23,24,25]
Quellen: [1] zscaler.com · [2] skyhighsecurity.com · [3] fortinet.com · [4] zscaler.com · [5] cisco.com · [6] cloudflare.com · [7] catonetworks.com · [8] catonetworks.com · [9] hpe.com · [10] versa-networks.com · [11] netskope.com · [12] learn.microsoft.com · [13] learn.microsoft.com · [14] developers.cloudflare.com · [15] csrc.nist.gov · [16] zscaler.com · [17] isms.online · [18] isms.online · [19] isms.online · [20] hightable.io · [21] isms.online · [22] nis-2-directive.com · [23] digital-operational-resilience-act.com · [24] seco.admin.ch · [25] gesetze-im-internet.de
Fünfzehn Werkzeuge im Vergleich.
Der Markt bietet drei Produktformen: SASE-Plattformen, die Sicherheitsdienste aus der Cloud mit eigenem SD-WAN verbinden, SSE-Dienste, die Web-, SaaS- und Private-Access-Verkehr ohne eigenes WAN absichern, und Managed-SASE-Angebote, bei denen der Anbieter Netz und Sicherheit rund um die Uhr betreibt. Die meisten Plattformen setzen auf ein eigenes globales Netz von Points of Presence; daneben gibt es Varianten zum Betrieb im eigenen Rechenzentrum, etwa FortiSASE Sovereign oder Versa Sovereign SASE, und Web-Gateways als Appliance oder Hybridbetrieb. Der Markt ist in Bewegung: Check Point hat die Übernahme von Perimeter 81 am 13.09.2023 abgeschlossen, Netskope ist seit dem Börsengang im September 2025 an der Nasdaq kotiert, HPE hat die Übernahme von Juniper Networks am 02.07.2025 abgeschlossen, und die Schweizerische Post hat Open Systems am 21.10.2024 übernommen.
SWG: Secure Web Gateway · CASB: CASB · ZTNA: ZTNA · FWaaS: Firewall as a Service · DLP: DLP · SD-WAN: SD-WAN · RBI: Remote Browser Isolation. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Zscaler Zero Trust Exchange (ZIA, ZPA, Zero Trust SD-WAN)
Zscaler
Zscaler Internet Access deckt Internet- und SaaS-Zugriff ab (SWG, CASB, Zero Trust Firewall, Cloud-Sandbox), Zscaler Private Access den Zugriff auf private Anwendungen, Zero Trust SD-WAN die Standorte.
Die Proxy-Architektur vermittelt Verbindungen je Benutzer und Anwendung; bei ZPA greifen Benutzer nicht auf das Firmennetz zu, und die Anwendungen sind aus dem Internet nicht erreichbar.
Inspektion des TLS-Verkehrs mit einer «Single Scan, Multi-Action»-Engine, Cloud-Sandbox und Browser-Isolation, die Websitzungen getrennt vom Endgerät ausführt.
Zscaler Data Security verbindet Inline-DLP für Web, E-Mail, Endpunkt und SaaS mit Klassifikation und DSPM; die Browser-Isolation arbeitet mit ZIA und ZPA zusammen.
Cloud-Dienst; an Standorten leitet eine physische oder virtuelle Zscaler-Edge-Appliance den Verkehr an die Zero Trust Exchange weiter.
Ablösung von Remote-Access-VPN und Standort-Firewalls, einschliesslich clientlosem Zugriff von Dritten auf RDP-, SSH- und VNC-Systeme.
Internet-, SaaS- und Private-Access-Kontrollen laufen über eine Proxy-Plattform mit gemeinsamer Richtlinie.
Die Durchsetzung läuft über die Zscaler-Cloud; einen selbst betriebenen Betrieb der Durchsetzungspunkte beschreiben die geprüften Produktseiten nicht.
Netskope One (SSE und SASE)
Netskope
Next Gen SWG, CASB, Private Access (ZTNA), Firewall as a Service, DLP, Remote Browser Isolation und SD-WAN auf einer Plattform, ergänzt um Sicherheitsfunktionen für KI-Anwendungen und -Agenten.
Eine Zero Trust Engine prüft den Verkehr in einem Durchgang; der Gateway dekodiert SaaS-Verkehr bis auf Instanz und Aktivität, etwa den Upload in einen privaten Cloud-Speicher.
Cloud-DLP mit über 3000 Datenidentifikatoren; Benutzer werden bei riskanten Aktionen in Echtzeit gecoacht und können Ausnahmen begründen.
Ein Client für SASE, Daten- und KI-Sicherheit; die Konsole Netskope One Orchestrator verwaltet SSE, SD-WAN und Datensicherheit mit eingebautem SD-WAN-Controller.
Cloud-Dienst auf dem eigenen Netz NewEdge mit Rechenkapazität in über 80 Regionen.
Organisationen mit hohem SaaS- und Datenanteil, die Web, SaaS und private Anwendungen mit denselben Datenrichtlinien steuern.
Instanzbezogene SaaS-Kontrolle und DLP sind direkt in den Webverkehr eingebunden.
Konsole und Durchsetzung sind Cloud-Dienste («100% cloud-based console»); einen Betrieb im eigenen Rechenzentrum beschreibt die Plattformseite nicht.
Prisma SASE (Prisma Access, Prisma SD-WAN, Prisma Browser)
Palo Alto Networks
Prisma Access liefert ZTNA, SWG, CASB, FWaaS und Remote Browser Isolation aus der Cloud; Prisma SD-WAN und Prisma Browser ergänzen Standorte und Endgeräte.
Sicherheitsdienste laufen in der Cloud und werden mit SD-WAN am Standort verbunden; die Browser-Isolation baut einen isolierten Kanal zwischen Benutzer und entferntem Browser auf.
Enterprise DLP als Plattformdienst; Prisma Browser sichert die Arbeit im Browser auch auf nicht verwalteten Geräten.
Netz und Sicherheit werden in einer Oberfläche verwaltet; SD-WAN ist auch als Funktion bestehender Palo-Alto-NGFW verfügbar.
Cloud-Dienst; Autonomous Digital Experience Management (ADEM) misst die Nutzererfahrung über den ganzen Pfad.
Unternehmen mit Palo-Alto-Firewalls, die Fernzugriff und Standortsicherheit auf eine Cloud-Plattform verlagern.
SWG, CASB, ZTNA, FWaaS, DLP, SD-WAN und Browser Isolation stammen aus einem Portfolio mit gemeinsamer Verwaltung.
Der Umfang verteilt sich auf mehrere Produkte (Prisma Access, Prisma SD-WAN, Prisma Browser, Enterprise DLP), deren Lizenzierung vor dem Pilot zu klären ist.
Cisco Secure Access
Cisco
Cloud-SSE für Internet-, SaaS- und private Anwendungen mit DNS-Sicherheit, SWG, CASB, Cloud-Firewall, ZTNA und VPN as a Service.
Mobile Benutzer werden über Cisco Secure Client (Roaming-, VPN- und ZTNA-Modul) angebunden, Standorte über ein standortbasiertes Paket; ZTNA funktioniert mit oder ohne Client.
DNS-Filter gegen Malware- und Phishing-Domains, Proxy-Inspektion des Webverkehrs, Layer-7-Firewall mit IPS und Sandbox über Secure Malware Analytics.
Identitätskontext aus Duo fliesst in die Richtlinien ein; die Integration mit Meraki SD-WAN verbindet Standorte mit dem SSE-Dienst.
Cloud-Dienst, aktiviert über Cisco Security Cloud Control; Berichte und Protokolle im Overview-Dashboard und im Security Activity Report.
Organisationen, die vom DNS-Schutz ausgehend schrittweise zu Web-, SaaS- und Private-Access-Kontrollen ausbauen.
VPN as a Service und ZTNA laufen im selben Dienst, sodass auch Anwendungen ohne ZTNA-Eignung abgedeckt bleiben.
DLP, Remote Browser Isolation und Layer-7-Firewall mit IPS sind in den Essentials-Paketen Zusatzoptionen; der Umfang hängt stark vom gewählten Paket ab.
FortiSASE (Fortinet Unified SASE)
Fortinet
SWG, ZTNA, CASB (inline und per API), FWaaS, DLP, SSPM, Secure Browser und Secure SD-WAN mit Digital Experience Monitoring.
Alle Funktionen laufen auf einem Betriebssystem (FortiOS) mit einem Agenten und einer Konsole; Zugriff ist agentenbasiert und agentenlos möglich.
FortiGuard Labs aktualisiert die Dienste laufend mit Bedrohungsdaten; der Verkehr wird lokal am PoP geprüft.
Bestehende Fortinet-Secure-SD-WAN-Standorte, WLAN/LAN und FortiExtender werden angebunden; Access Points leiten Verkehr zur Prüfung an einen SASE-Standort weiter.
Über 200 PoPs auf Fortinet-eigener Infrastruktur; FortiSASE Sovereign mit SWG, FWaaS, ZTNA und CASB wird im eigenen Rechenzentrum betrieben.
Fortinet-Umgebungen mit Secure SD-WAN, die Sicherheit für mobile Benutzer und Kleinststandorte als Dienst ergänzen.
Eine Sovereign-Variante erlaubt den Betrieb der Kernfunktionen im eigenen Rechenzentrum.
Remote Browser Isolation nennt die Produktseite nicht (dort: Secure Browser); die beschriebenen Integrationen betreffen vor allem Fortinet-Komponenten.
Cato SASE Cloud Platform
Cato Networks
Firewall as a Service, SWG, IPS, Anti-Malware, Remote Browser Isolation, CASB, DLP, ZTNA und SD-WAN als Teile einer Cloud-Plattform.
Die Single Pass Cloud Engine (SPACE) fasst NGFW, Bedrohungsabwehr und CASB/DLP/ZTNA in einem Stack zusammen; SPACE-Instanzen laufen auf Bare-Metal-Servern in weltweiten PoPs.
SWG, IPS, Next-Generation Anti-Malware und Remote Browser Isolation laufen in derselben Engine; NGFW-Flusskontrolle segmentiert das Netz.
Standorte werden über Zero-Touch-SD-WAN angebunden, Benutzer über Clients aus Self-Service oder MDM.
Cloud-Dienst mit globalem privatem Backbone und einer Self-Service-Konsole für Netz und Sicherheit.
Organisationen, die Standortvernetzung und Sicherheit gemeinsam in einen Cloud-Dienst überführen.
Netz- und Sicherheitsfunktionen teilen eine Engine und eine Konsole.
Netz und Sicherheit hängen am Cato-Backbone und an dessen PoPs; eine selbst betriebene Variante nennen die geprüften Seiten nicht.
Versa SASE (VersaONE Universal SASE)
Versa Networks
SWG, CASB, ZTNA, NGFW und FWaaS, DLP, Remote Browser Isolation und Secure SD-WAN.
Bereitstellung aus der Cloud oder vor Ort, mit Mandantenfähigkeit und Analytik; Sovereign SASE trennt Control, Data und Management Plane innerhalb der souveränen Umgebung.
Rechenintensive Funktionen wie Advanced Threat Protection lassen sich vor Ort betreiben, bis hin zu abgeschotteten (air-gapped) Umgebungen.
Schlüsselverwaltung mit BYOK und externem KMS/HSM, je Mandant im Land durchsetzbar.
Sovereign SASE vor Ort oder als Dienst; Daten, Inspektion, Logging und Telemetrie bleiben innerhalb definierter Grenzen.
Unternehmen, Service Provider und Behörden mit Souveränitätsanforderungen, etwa im Kontext von NIS2 und DORA.
Dieselbe Plattform ist in der Cloud, beim Provider und vollständig im eigenen Betrieb verfügbar.
Die Wahl zwischen Cloud-, Provider-, Vor-Ort- und souveränem Modell bestimmt, wer welche Plane betreibt, und muss früh festgelegt werden.
Check Point SASE (vormals Harmony SASE)
Check Point
Internet Access, Zero Trust Private Access und SaaS-Sicherheit in einer Plattform, ergänzt um SD-WAN.
Hybrid Internet Access kombiniert Schutz auf dem Gerät, im Browser und in der Cloud; Private Access verbindet Benutzer, Standorte und Ressourcen als Full Mesh.
Web- und DNS-Filterung, Malware-Schutz und Threat Prevention aus ThreatCloud AI.
SaaS-Schutz inline und per API mit Application Control für über 10 000 Cloud-Apps, Tenant Restrictions, DLP und Erkennung von Schatten-SaaS.
Cloud-Dienst mit globalem Backbone; SD-WAN-Routing mit Failover im Subsekundenbereich.
Hybride Belegschaften und Standorte, die Internet-, Private- und SaaS-Zugriff in einer Plattform bündeln.
Schutz auf Gerät, im Browser und in der Cloud lässt sich je Nutzergruppe kombinieren.
Firewall as a Service und Remote Browser Isolation sind auf der SASE-Produktseite nicht als Bestandteile beschrieben.
HPE Aruba Networking SSE und SASE (mit EdgeConnect SD-WAN)
HPE (Aruba Networking)
ZTNA, SWG, CASB und Cloud-Firewall (FWaaS) mit DLP-Profilen; zusammen mit EdgeConnect SD-WAN als Single-Vendor-SASE.
Zugriff auf private Anwendungen agentenbasiert oder agentenlos über den Browser, etwa für RDP, SSH, VNC, Git, MS SQL und Webanwendungen.
SWG mit SSL-Inspektion, URL- und DNS-Filterung und Sandbox; DLP mit Datenprofilen und Regex-Mustern, auch für private Anwendungen.
SD-WAN anderer Hersteller wird per IPsec-Tunnel angebunden; Digital Experience Monitoring zeigt den Netzpfad Hop für Hop.
Über 500 Edge-Standorte bei AWS, Azure und GCP.
Organisationen mit HPE-Aruba-Netzen, die Drittzugriffe und BYOD-Geräte ohne Agent erschliessen.
Agentenloser Zugriff auf Protokolle wie RDP, SSH und Datenbanken eignet sich für Dritte und BYOD.
Funktionen sind in Stufen lizenziert (CASB ab Advanced, FWaaS ab Advanced Plus); Remote Browser Isolation ist nicht beschrieben.
Forcepoint Data Security Cloud (Web Security, CASB, ZTNA)
Forcepoint
Web Security (SWG), CASB, ZTNA und Remote Browser Isolation, eingebettet in die Forcepoint Data Security Cloud mit DLP, DSPM und Data Detection and Response; SD-WAN als eigenes Produkt.
Web Security wendet DLP inline an, mit denselben Klassifikatoren und Richtlinien wie auf Endpunkt und E-Mail.
Remote Browser Isolation rendert riskante Websites in einem Container; Richtlinien greifen bis auf URL-Verzeichnisebene, etwa um Uploads in KI-Werkzeuge zu sperren.
CASB prüft inline und per API und deckt Schatten-IT auf; ZTNA arbeitet agentenlos für verwaltete und nicht verwaltete Geräte, mit dem SmartEdge-Agenten für Nicht-Web-Protokolle.
Hyperscaler-Plattform auf AWS mit angegebener Verfügbarkeit von 99,99 Prozent.
Organisationen mit Datenschwerpunkt, die eine DLP-Richtlinie über Web, Cloud, private Anwendungen, E-Mail und Endpunkt durchsetzen.
Dieselben DLP-Richtlinien gelten im Web, in SaaS, in privaten Anwendungen, in der E-Mail und auf dem Endpunkt.
Firewall as a Service ist im SSE-Angebot nicht beschrieben; SD-WAN kommt als separates Produkt (Secure SD-WAN) hinzu.
iboss Zero Trust SASE
iboss
SWG, CASB, ZTNA, DLP, Browser Isolation, DNS Security, Malware-Abwehr und SD-WAN auf einer Plattform.
Jeder Kunde läuft auf eigenen, containerisierten Gateways mit getrennten SSL-Schlüsseln und dedizierten IP-Adressen.
Malware-Abwehr, DNS Security und Browser Isolation sind Teil der Durchsetzungspunkte, DLP und KI-Sicherheit Teil der Plattform.
Zero Trust SD-WAN ist in jede cloudverwaltete Firewall- und Proxy-Appliance von iboss integriert.
Policy Enforcement Points laufen in der iboss-Cloud, in Filialen oder im Rechenzentrum.
Organisationen, die mandantengetrennte Gateways und dedizierte Ausgangs-IP-Adressen benötigen.
Getrennte, containerisierte Gateways je Kunde mit eigenen Schlüsseln und IP-Adressen.
Die Plattformseite nennt «Firewall» ohne Beschreibung und verlinkt auf eine On-Prem-Gateway-Seite; ein Firewall-Dienst aus der Cloud ist dort nicht belegt.
Cloudflare One
Cloudflare
ZTNA, SWG, CASB, Firewall as a Service und Network as a Service, dazu Remote Browser Isolation, DLP, E-Mail-Sicherheit und Digital Experience Monitoring.
Die Dienste laufen auf dem Cloudflare-Netz in über 335 Städten; Cloudflare WAN (vormals Magic WAN) verbindet Rechenzentren, Büros und Clouds, die Richtlinien greifen im nächstgelegenen Rechenzentrum.
Zero-Trust- und DLP-Prüfung bei jeder Anfrage; Browser Isolation führt Webcode am Netzrand aus und öffnet verdächtige E-Mail-Links in einem isolierten Browser.
CASB für Daten in Ruhe und in Bewegung mit API-Integrationen; Software-Connectoren und private Interconnects zu Clouds und Rechenzentren.
Cloud-Dienst; WAN-Bandbreite wird aus den Benutzerlizenzen gepoolt.
Organisationen, die MPLS und Hub-and-Spoke-Routing durch Cloud-Vernetzung ersetzen und Benutzer- und Standortverkehr über dasselbe Netz absichern.
SSE, WAN-Dienst und Browser Isolation laufen auf demselben globalen Netz.
Standorte werden als WAN-Dienst über das Cloudflare-Netz angebunden, bestehende Router und Firewalls über GRE- oder IPsec-Tunnel; ein eigenes SD-WAN-Produkt beschreiben die geprüften Seiten nicht.
Microsoft Entra Global Secure Access (Internet Access, Private Access)
Microsoft
Entra Internet Access (identitätsbasierter SWG für Internet und SaaS) und Entra Private Access (ZTNA) bilden das SSE von Microsoft; Defender for Cloud Apps ergänzt als CASB.
Verkehr gelangt über den Client oder über Remote Networks (Standorte) in den Dienst; Weiterleitungsprofile trennen Microsoft-, Internet- und Private-Access-Verkehr.
Web-Content-Filter nach Kategorien und FQDN, TLS-Inspektion und Universal Tenant Restrictions gegen Datenabfluss in fremde Tenants oder private Konten.
Conditional Access gilt auch für Internetziele ohne Entra-Föderation; Private Access erweitert den Application Proxy auf beliebige Ports und Protokolle.
Cloud-Dienst im Entra Admin Center; lizenziert über die Entra Suite oder einzeln, der Teil für Microsoft-Dienste ist in Entra ID P1/P2 enthalten.
Microsoft-zentrierte Organisationen, die Zugriffskontrolle an die Identität binden; der Betrieb neben einem SSE anderer Anbieter ist vorgesehen.
Zugriffsentscheidungen im Netz nutzen direkt Conditional Access und Identitätssignale.
Die Standortanbindung (Remote Network) setzt mindestens 50 Lizenzen voraus; FWaaS, DLP, Browser Isolation und SD-WAN beschreibt die Übersicht nicht.
Skyhigh Security Service Edge (Secure Web Gateway)
Skyhigh Security
SSE aus Secure Web Gateway, CASB, Private Access (ZTNA), DLP und Remote Browser Isolation.
Der SWG ist als Cloud-Dienst, als On-Premises-Appliance oder hybrid verfügbar; der Hybridbetrieb verbindet Appliances mit der Cloud für einen schrittweisen Wechsel.
Integrierte Remote Browser Isolation ohne Zusatzkosten; DLP-Engine für Web- und Cloud-Zugriffe.
Die CASB-Cloud-Registry dient als Grundlage, um Websites nach Kategorie, Reputation oder Risiko zu sperren.
Alle Skyhigh-Lösungen sind über eine Cloud-Plattform zugänglich; Appliances bleiben für Kunden mit regulatorischen Anforderungen im eigenen Netz.
Organisationen mit bestehenden Web-Proxy-Appliances, die schrittweise in die Cloud wechseln.
Cloud-, Appliance- und Hybridbetrieb des Web-Gateways sind gleichwertig beschrieben.
Firewall as a Service und SD-WAN beschreiben die geprüften Seiten nicht.
Open Systems SASE (Managed Service)
Open Systems
SD-WAN mit privatem globalem Backbone, SWG mit SSL-Inspektion, CASB und ZTNA, betrieben als Managed Service.
Web-Filterung und SSL-Inspektion an jedem PoP; der Zugriff erfolgt auf Anwendungsebene statt auf das Netz.
Sichtbarkeit und Kontrolle über genehmigte und nicht genehmigte SaaS-Nutzung.
App-bewusstes Routing im SD-WAN, auch für Verbindungen nach China.
Plattform als 24×7-Managed-Service, betrieben von Level-3-Ingenieuren; Hauptsitz in Zürich.
Organisationen, die Netz und Sicherheit als Dienst beziehen und den Betrieb an den Anbieter übertragen.
Netz- und Sicherheitsbetrieb kommen aus einer Hand, mit Sitz in der Schweiz.
Firewall-, DLP- und Isolationsfunktionen sind auf der SASE-Seite nur als Navigationspunkte oder gar nicht beschrieben; der Umfang gehört ins Angebot.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Broadcom Symantec Edge SWG und Cloud SWG: auf der Produktseite nur als On-Premises-Appliance beschrieben; Cloud-, CASB- und Isolationsumfang dort nicht belegt
- Akamai Secure Internet Access und Enterprise Application Access: SWG- und ZTNA-Bausteine von Akamai
- Menlo Security: Schwerpunkt Browser-Sicherheit und Isolation
- HPE Juniper Networking Secure Edge: seit 02.07.2025 bei HPE, im selben Portfolio wie HPE Aruba Networking SSE (oben verglichen)
- Squid: Open-Source-Proxy (GPL), Grundlage vieler Web-Filter; keine SSE-Plattform mit CASB, ZTNA und DLP
Verkehr umlenken,
Regeln nachziehen.
- Verkehrsströme erheben: welche Anwendungen intern, als SaaS oder im Internet liegen und welche Standorte heute über die Zentrale ins Internet gehen.
- Webschutz für mobile Nutzer zuerst einführen, danach den Fernzugriff von Netzwerk-VPN auf anwendungsbezogenen Zugriff (ZTNA) umstellen, Anwendung für Anwendung.
- Ausnahmen von der TLS-Inspection festlegen (z. B. Banking, Gesundheit, Anwendungen mit Zertifikats-Pinning) und mit Datenschutz und Personalvertretung abstimmen.
- Das VPN erst abschalten, wenn alle privaten Anwendungen migriert sind und ein Notfallzugang ohne den Cloud-Dienst geregelt ist.
- Anteil Fernzugriffe über anwendungsbezogenen Zugriff statt Netzwerk-VPN
- Anteil inspizierter Webverkehr, mit begründeten und dokumentierten Ausnahmen
- Anzahl Richtlinienausnahmen ohne Ablaufdatum
Netzwerk und Security teilen sich die Plattform; deshalb braucht es einen gemeinsamen Owner für Richtlinien und Change. Anwendungsverantwortliche legen fest, wer welche private Anwendung erreichen darf.
ISO/IEC 27001:2022 Annex A 8.20 bis 8.23 (Netzwerksicherheit, Netzwerkdienste, Netztrennung, Webfilterung) und 6.7 (Telearbeit); für den Cloud-Dienst selbst zusätzlich 5.23.
TLS-Inspection macht Inhalte von Mitarbeitenden lesbar: In der Schweiz verbietet Art. 26 ArGV 3 Systeme, die das Verhalten der Mitarbeitenden überwachen sollen, und verlangt für andere Kontrollsysteme eine verhältnismässige Gestaltung; in Deutschland hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen.
SSE ersetzt keine Segmentierung. Wer private Anwendungen über ZTNA anbindet, intern aber ein flaches Netz behält, hat nur den Eingang verlegt; seitliche Bewegung bleibt möglich.
Mit einem Standort und einer Anwendung.
Ein brauchbarer Pilot bildet einen Standort, eine mobile Nutzergruppe und eine private Anwendung ab. Entscheidend sind Latenz, Richtlinienkonflikte, der Nachweis der Entscheidung und der Rückweg bei einer Störung.
- Internet-, SaaS- und Private-Access-Verkehr getrennt nachweisen
- TLS-Inspection und Datenrichtlinien mit echten Anwendungen testen
- Ausnahmen, Release-Prozess und Rückfall dokumentieren
- Logs und Störungen bis zum zuständigen Team verfolgen
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.