Zusammenfassung

Die nahtlose Verschmelzung von softwaredefinierter Konnektivität und cloudnativen Sicherheitsdiensten verstehen: Secure Access Service Edge (SASE). Tags: #Cyber Security | #SASE

Im Detail

Die nahtlose Verschmelzung von softwaredefinierter Konnektivität und cloudnativen Sicherheitsdiensten verstehen: Secure Access Service Edge (SASE).

Inhalt

Trennung von Netzwerk und SSE

Die vier funktionalen Kernkomponenten des SSE-Sicherheitsstacks

Systematischer Vergleich: Traditionelles Hub-and-Spoke vs. SASE

Single-Vendor vs. Multi-Vendor SASE: Das architektonische Dilemma

Wirtschaftliche Transformation: Von CapEx zu OpEx und Agenten-Konsolidierung

Regulatorische Compliance unter NIS2 und IT-Grundschutz-Standards

Fazit

Die architektonische Struktur von Unternehmensnetzwerken und deren Sicherheitsvorkehrungen hat sich in den vergangenen Jahren grundlegend verändert.

Früher basierte die Unternehmens-IT auf dem klassischen Hub-and-Spoke-Modell: Das Hauptrechenzentrum bildete das Zentrum (Hub), an das alle Außenstellen, Zweigstellen und über VPN eingewählte Remote-Mitarbeiter (Spokes) über starre Leitungen angebunden waren.

In diesem zentralen Rechenzentrum befand sich auch der gesamte Sicherheitsstack, bestehend aus physischen Firewalls, Web-Filtern und Intrusion-Detection-Systemen. Jedes Datenpaket musste zwingend diesen zentralen Punkt passieren, um überprüft zu werden, bevor es ins Internet oder zu einer Anwendung weitergeleitet wurde.

Durch die flächendeckende Migration zu Cloud-Diensten (SaaS, IaaS) und die Etablierung hybrider Arbeitsmodelle bricht dieses hardwarezentrierte Modell vollständig zusammen.

Wenn Mitarbeiter von zu Hause aus direkt auf Microsoft 365, Salesforce oder AWS zugreifen, erzeugt das Umleiten des Datenverkehrs über das firmeneigene Rechenzentrum massive Latenzprobleme, verstopft die teuren Leitungen und beeinträchtigt die Benutzererfahrung dramatisch. Dieses Phänomen wird in der Netzwerktechnik als Backhauling oder Hairpinning bezeichnet.

Secure Access Service Edge, universell als SASE (ausgesprochen „Sassy“) abgekürzt, löst diesen architektonischen Systemkonflikt auf. Geprägt wurde der Begriff ursprünglich vom Marktforschungsunternehmen Gartner im Jahr 2019.

SASE beschreibt kein einzelnes Softwareprodukt, sondern ein konvergentes Architekturmodell, das weitreichende Netzwerkfunktionen (wie SD-WAN) mit umfassenden, cloudnativen Sicherheitsdiensten in einer einzigen, global skalierbaren Cloud-Plattform zusammenführt.

Sicherheit und Konnektivität werden somit direkt an den logischen Rand des Netzwerks, also direkt zum Nutzer oder zum Gerät (dem Edge) – verlagert.

Trennung von Netzwerk und SSE

Das primäre Ziel einer SASE-Architektur ist es, den Datenverkehr nicht mehr an ein physisches Gebäude zu binden, sondern dynamisch und kontextbasiert über weltweit verteilte Einwahlpunkte, sogenannte Points of Presence (PoPs), in der Cloud abzusichern.

Der Datenverkehr wird direkt vom Endgerät des Nutzers zum nächstgelegenen PoP des SASE-Anbieters geleitet, dort im Millisekundentakt auf Viren, Datenabfluss und Berechtigungen geprüft und anschließend auf dem schnellsten Weg an das finale Ziel (SaaS, Internet oder internes System) übergeben.

Aus struktureller Sicht teilt sich SASE in zwei gleichwertige, technologische Hauptpfeiler auf. Führende Cloud-Sicherheitsanbieter dokumentieren diese funktionale Konvergenz detailliert in ihren technischen Spezifikationen, wie sie auf den Fachportalen von Zscaler und Palo Alto Networks nachgelesen werden können.

1. Die Netzwerk-Komponente: SD-WAN (Software-Defined Wide Area Network)

SD-WAN bildet das dynamische Transportsystem der SASE-Architektur. Es abstrahiert die physischen Leitungen (wie MPLS, Breitband-Internet, LTE oder 5G) und steuert den Datenverkehr intelligent auf Software-Ebene.

Erkennt das System, dass eine MPLS-Leitung überlastet ist, leitet es unkritischen Video-Traffic vollautomatisch über eine normale Internetverbindung um, während geschäftskritische ERP-Daten auf der priorisierten Leitung verbleiben.

2. Die Sicherheits-Komponente: SSE (Security Service Edge)

Da die Netzwerkkonstruktion über SD-WAN allein keine tiefe Inhaltsprüfung der Datenpakete vornimmt, wird sie mit der Security Service Edge (SSE) fusioniert. SSE fasst alle notwendigen Sicherheitsmechanismen in einem cloudbasierten Software-Stack zusammen. Ein Unternehmen benötigt somit keine physischen Firewalls oder dedizierten Proxy-Server mehr vor Ort in den Zweigstellen.

Die gesamte Überprüfung erfolgt virtualisiert in der SASE-Cloud.

Die vier funktionalen Kernkomponenten des SSE-Sicherheitsstacks

Innerhalb des SASE-Modells setzt sich die Sicherheitsarchitektur (SSE) aus vier elementaren und eng miteinander verzahnten Software-Diensten zusammen, die auf den globalen PoPs parallel ausgeführt werden:

Secure Web Gateway (SWG)

Das SWG fungiert als intelligenter, cloudbasierter Web-Proxy. Es überwacht den gesamten unverschlüsselten und verschlüsselten HTTP/HTTPS-Datenverkehr, den ein Benutzer ins öffentliche Internet sendet.

Das SWG filtert schadhafte URLs, blockiert bekannte Phishing-Websites, führt eine Echtzeit-Malware-Analyse durch und setzt die Internet-Nutzungsrichtlinien des Unternehmens durch, unabhängig davon, ob der Mitarbeiter im Büro oder im öffentlichen WLAN eines Cafés arbeitet.

Cloud Access Security Broker (CASB)

Der CASB ist die Kontrollinstanz für die Nutzung von Cloud-Anwendungen (SaaS). Er schließt die gefährlichen Lücken der sogenannten Schatten-IT. Der CASB erkennt, welche Cloud-Dienste Mitarbeiter nutzen, und kann gezielt steuern, dass Daten zwar in das firmeninterne OneDrive hochgeladen werden dürfen, das Hochladen vertraulicher Dokumente in ein privates Dropbox-Konto jedoch blockiert wird.

Zudem scannt er Cloud-Speicher kontinuierlich auf Fehlkonfigurationen und Schadsoftware im Ruhezustand.

Zero Trust Network Access (ZTNA)

ZTNA ersetzt das klassische, perimeterbasierte VPN. Während ein VPN einem Nutzer nach erfolgreicher Einwahl vollständigen Zugriff auf das gesamte IP-Netzwerk gewährt (was Angreifern die laterale Bewegung erlaubt), verfolgt ZTNA einen identitätszentrierten Ansatz. Dem Nutzer wird standardmäßig kein Vertrauen geschenkt.

ZTNA isoliert die Anwendungen vom öffentlichen Internet und gewährt dem verifizierten Benutzer exklusiv Zugriff auf eine spezifische, freigegebene Anwendung – niemals auf das dahinterliegende Netzwerk.

Firewall as a Service (FWaaS)

FWaaS verlagert die traditionelle Next-Generation-Firewall (NGFW) vollständig in die Cloud. Sie ist in der Lage, Datenverkehr über alle Netzwerk-Ports und Protokolle hinweg (nicht nur Web-Traffic) mittels Deep Packet Inspection zu analysieren.

Sie schützt Zweigstellen vor Direct-to-Internet-Angriffen, kontrolliert IP-Zugriffslisten und implementiert fortgeschrittene Schutzmechanismen wie Intrusion Prevention Systems (IPS) direkt auf Cloud-Ebene.

Systematischer Vergleich: Traditionelles Hub-and-Spoke vs. SASE

Die operativen, architektonischen und administrativen Unterschiede zwischen veralteten Infrastrukturen und dem konvergenten SASE-Modell lassen sich anhand zentraler Systemparameter direkt gegenüberstellen:

Kriterium Traditionelle Hub-and-Spoke-Architektur Secure Access Service Edge (SASE)

Topologie Zentrisch (Backhauling zum Hauptrechenzentrum) Dezentral (Cloud-native Points of Presence – PoPs)

Konnektivität Starre und teure Standleitungen (z. B. MPLS) Flexibles Routing über Internet, 5G und SD-WAN

Sicherheitsprüfung Physische Hardware-Appliances am Netzrand Softwaredefinierte Multi-Tenant-Cloud-Dienste

Zugriffsmodell Perimeterbasiert (Wer im Netzwerk ist, hat Zugriff) Identitätszentriert (Zero Trust Network Access – ZTNA)

Latenz & Performance Hoch bei Cloud-Diensten durch künstliche Schleifen Minimal durch lokale Einwahlpunkte nahe am Benutzer

Management Fragmentiert (Getrennte Konsolen für Router/Security) Unified (Zentrales Dashboard für Netzwerk und Sicherheit)

Skalierbarkeit Träge (Erfordert den Kauf neuer Hardware-Boxen) Nahezu unbegrenzt (Dynamische Cloud-Ressourcen)

Single-Vendor vs. Multi-Vendor SASE: Das architektonische Dilemma

In der informationstechnischen Praxis des Jahres 2026 stehen Unternehmen bei der Umsetzung einer SASE-Strategie vor einer grundlegenden Design-Entscheidung. Gartner unterscheidet in seinen Architekturmodellen primär zwischen zwei Implementierungsansätzen:

Single-Vendor SASE

Bei diesem Modell stammen sowohl die SD-WAN-Netzwerkkomponenten als auch der gesamte SSE-Sicherheitsstack aus der Hand eines einzigen Technologieanbieters.

Der Vorteil: Die Konvergenz ist absolut vollständig. Es existiert nur ein einziger Software-Agent auf dem Endgerät des Nutzers und das gesamte System wird über eine einzige, einheitliche Management-Konsole gesteuert (Single Pane of Glass). Datenflüsse und Richtlinien sind perfekt aufeinander abgestimmt, was Fehlkonfigurationen minimiert.

Der Nachteil: Es entsteht ein ausgeprägter Vendor Lock-in. Das Unternehmen bindet sich finanziell und technologisch vollständig an die Innovationsgeschwindigkeit und die Preisgestaltung eines einzelnen Anbieters.

Multi-Vendor SASE (Open SASE)

Hierbei kombiniert das Unternehmen die Netzwerkinfrastruktur eines spezialisierten SD-WAN-Herstellers mit der Sicherheitsplattform eines dedizierten SSE-Anbieters über offene Programmierschnittstellen (APIs) und strategische Technologie-Allianzen.

Der Vorteil: Unternehmen können die jeweils besten Einzellösungen am Markt (Best-of-Breed) wählen und bestehende Hardware-Investitionen in den Zweigstellen weiternutzen.

Der Nachteil: Die administrative Komplexität steigt. Das IT-Team muss zwei unterschiedliche Konsolen pflegen und im Fehlerfall (Troubleshooting) präzise analysieren, ob die Störung in der Routing-Schicht des Netzwerk-Herstellers oder in der Filter-Schicht des Sicherheits-Anbieters liegt.

Wirtschaftliche Transformation: Von CapEx zu OpEx und Agenten-Konsolidierung

Die Migration zu SASE verändert die Finanzplanung der Unternehmens-IT grundlegend.

Sie transformiert langfristige, kapitalintensive Investitionskosten (Capital Expenditures, CapEx) für den zyklischen Austausch von Firewall-Hardware und Routing-Appliances in allen weltweiten Niederlassungen in planbare, laufende Betriebskosten (Operating Expenditures, OpEx) auf Basis eines flexiblen, benutzerbasierten Abonnement-Modells (Subscription-Modell).

Darüber hinaus reduziert SASE den sogenannten Agent-Overhead auf den Endgeräten der Mitarbeiter. In traditionellen Umgebungen waren auf einem Laptop oft separate Software-Clients für das VPN, den Web-Filter, die Data-Loss-Prevention und den Endpunktschutz aktiv.

Diese Clients verbrauchten erhebliche CPU-Ressourcen, behinderten sich oft gegenseitig und erforderten einen hohen Patch-Aufwand durch die IT-Abteilung. SASE konsolidiert diese Anforderungen in einem einzigen, leichtgewichtigen Endpoint-Agenten, der den Datenverkehr verschlüsselt an den Cloud-PoP übergibt, wo die eigentliche rechenintensive Inhaltsprüfung stattfindet.

Regulatorische Compliance unter NIS2 und IT-Grundschutz-Standards

Der Aufbau einer SASE-Infrastruktur unterliegt insbesondere im europäischen Raum strengen rechtlichen und regulatorischen Rahmenbedingungen. Unter den Bedingungen der europäischen NIS2-Richtlinie sind Betreiber wichtiger und kritischer Sektoren zu einem lückenlosen Risikomanagement verpflichtet, das den aktuellen Stand der Technik widerspiegelt.

Ein unverschlüsselter Datentransfer oder das Fehlen proaktiver Zugriffskontrollen bei mobilen Arbeitsplätzen gilt bei offiziellen Audits als schwerwiegender Verstoß.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik stellt im IT-Grundschutz-Kompendium sowie in seinen spezifischen Publikationen zur sicheren Nutzung externer Cloud-Dienste klare Sicherheitsanforderungen auf, einsehbar auf dem offiziellen Behördenportal des BSI.

Bei der Implementierung von SASE müssen deutsche Unternehmen zwingend darauf achten, dass der gewählte Anbieter über Rechenzentren und PoPs innerhalb der Europäischen Union verfügt (Datensouveränität), um eine Verletzung der Datenschutz-Grundverordnung (DSGVO) beim Routing von personenbezogenen Datenströmen auszuschließen.

Zudem fordert der IT-Grundschutz im Rahmen des Bausteins NET.3.4 (Network Access Control) eine lückenlose Authentifizierung von Geräten vor dem Netzzugriff. Das ist eine Anforderung, die SASE über die integrierte ZTNA-Komponente und die kontinuierliche Überprüfung des Gerätestatus (Device Posture) vollständig automatisiert erfüllt.

Fazit

Secure Access Service Edge (SASE) ist keine temporäre Modeerscheinung der Tech-Industrie, sondern die zwingende technologische Antwort auf die Dekonstruktion des klassischen Netzwerkperimeters durch Cloud-Computing und hybride Arbeit.

Durch die konsequente Zusammenführung von Routing-Intelligenz und tiefgreifenden Cloud-Sicherheitsdiensten bricht das Modell mit den physischen Barrieren veralteter Hardware-Architekturen.

Es schenkt Unternehmen eine beispiellose administrative Agilität, senkt die Latenzzeiten für die Anwender im globalen Maßstab und etabliert ein lückenloses Zero-Trust-Schutzgefüge.

Für ein zukunftsorientiertes IT-Management ist das strategische Design und die schrittweise Migration hin zu einer SASE-Architektur eine fundamentale Kernaufgabe, um die informationelle Souveränität, die betriebliche Resilienz und die gesetzliche Compliance im digitalen Zeitalter dauerhaft abzusichern.

Tags: #Cyber Security | #SASE