Viele Unternehmen stehen vor demselben Problem: Mitarbeitende, externe Partner und Dienstleister greifen von unterschiedlichen Standorten auf kritische Anwendungen zu. Ein klassisches VPN stellt dafür oft einen breiten Netzwerkzugang her, obwohl nur eine einzelne Anwendung benötigt wird. SASE und ZTNA in der Schweiz bieten einen moderneren Ansatz für sicheren Remote-Zugriff und können eine schrittweise VPN-Ablösung unterstützen.
Warum reicht ein klassisches VPN für Remote-Zugriff oft nicht mehr aus?
Ein klassisches VPN verbindet ein Gerät mit einem Netzwerk und gewährt dadurch häufig mehr Zugriff, als für die konkrete Aufgabe erforderlich ist. Das erhöht die Auswirkungen eines kompromittierten Kontos oder Endgeräts.
VPNs bleiben für bestimmte Szenarien sinnvoll. Dazu gehören ältere Anwendungen, administrative Zugänge oder Verbindungen zwischen Standorten. Problematisch wird das Modell, wenn alle Benutzer nach der Anmeldung wie interne Netzwerkbenutzer behandelt werden. Die Sicherheitskontrolle endet dann oft weitgehend am VPN-Gateway.
Typische Herausforderungen sind:
- breite Netzwerksegmente statt granularer Anwendungszugriffe
- schwer überschaubare Regeln für verschiedene Benutzergruppen
- zusätzlicher Aufwand für VPN-Clients und deren Support
- eingeschränkte Transparenz über Benutzer, Geräte und Sitzungen
- Umgehungsrisiken bei privaten Geräten oder nicht verwalteten Endpunkten
ZTNA setzt an einem anderen Prinzip an: Jeder Zugriff wird geprüft, unabhängig davon, ob sich ein Benutzer im Büro, im Homeoffice oder unterwegs befindet.
Was bedeutet Zero Trust Network Access?
Zero Trust Network Access, kurz ZTNA, ist ein Sicherheitsmodell, bei dem kein Benutzer und kein Gerät automatisch als vertrauenswürdig gilt. Der Zugriff wird für eine bestimmte Anwendung erlaubt, nachdem Identität, Gerätezustand, Kontext und Berechtigung geprüft wurden.
ZTNA ersetzt damit nicht einfach den VPN-Tunnel durch ein anderes technisches Produkt. Es verändert die Zugriffskontrolle. Zu den möglichen Prüfkriterien gehören:
- Identität und Mehrfaktor-Authentisierung
- Rolle und aktuelle Berechtigung
- Sicherheitsstatus des Geräts
- Standort, Uhrzeit und Verbindungsumgebung
- Sensibilität der Anwendung
- Risiko der laufenden Sitzung
Ein Benutzer erhält beispielsweise Zugriff auf ein internes Ticketsystem, aber nicht automatisch auf das gesamte Servernetz. Die Anwendung bleibt möglichst verborgen, solange keine berechtigte Sitzung besteht. Dieses Prinzip reduziert die Angriffsfläche und erschwert laterale Bewegungen innerhalb der Umgebung.
Was ist SASE und wie ergänzt es ZTNA?
SASE, kurz Secure Access Service Edge, verbindet Netzwerkfunktionen und Sicherheitskontrollen in einer cloudbasierten Architektur. ZTNA ist dabei eine wichtige Komponente, aber nicht das gesamte SASE-Modell.
Je nach Anbieter umfasst SASE unter anderem:
- ZTNA für anwendungsbezogene Zugriffe
- Secure Web Gateway für Webverkehr
- Cloud Access Security Broker für Cloud-Anwendungen
- Firewall as a Service für zentrale Sicherheitsregeln
- SD-WAN für die intelligente Standortanbindung
- zentrale Protokollierung und Richtlinienverwaltung
SASE und ZTNA in der Schweiz eignen sich besonders für Organisationen mit mehreren Standorten, Cloud-Diensten und mobilen Mitarbeitenden. Statt den gesamten Datenverkehr über das Unternehmensrechenzentrum zu führen, können Sicherheitskontrollen näher bei Benutzer, Gerät und Anwendung liegen.
SASE bedeutet jedoch nicht automatisch, dass Daten in der Schweiz verarbeitet werden. Der Standort von Kontrollinstanzen, Protokollen und Daten muss vertraglich und technisch geprüft werden. Relevant sind unter anderem Unterauftragsverarbeiter, Supportzugriffe, Verschlüsselung und Löschprozesse.
Wie unterscheiden sich SASE, ZTNA und VPN?
SASE und ZTNA verfolgen einen granulareren Ansatz als ein klassisches VPN, wobei SASE ein umfassenderes Architekturmodell und ZTNA eine konkrete Zugriffsfunktion ist.
| Kriterium | Klassisches VPN | ZTNA | SASE |
|---|---|---|---|
| Zugriff | Häufig auf Netzwerkebene | Pro Anwendung und Sitzung | Pro Anwendung plus weitere Sicherheitskontrollen |
| Vertrauensmodell | Nach Anmeldung oft relativ weitreichend | Keine implizite Vertrauensannahme | Zentral gesteuerte Zero-Trust-Richtlinien |
| Geeignet für | Legacy-Systeme, Standortkopplung | Remote-Zugriff auf definierte Anwendungen | Verteilte Cloud-, Standort- und Benutzerumgebungen |
| Transparenz | Abhängig von VPN- und Netzwerklogs | Identitäts- und sitzungsbezogen | Zentral über Netzwerk- und Sicherheitsfunktionen |
| Einführung | Häufig bereits vorhanden | Schrittweise pro Anwendung möglich | Meist umfassenderes Transformationsprojekt |
| Kosten | Lizenzen, Betrieb und Support in CHF | Benutzer-, Geräte- oder anwendungsbezogene Modelle | Abhängig von Modulen, Benutzern, Standorten und Datenverkehr |
Eine VPN-Ablösung muss nicht vollständig erfolgen. Viele Unternehmen kombinieren ZTNA für moderne Anwendungen mit bestehenden VPN-Verbindungen für Systeme, die noch nicht anders erreichbar sind.
Welche Vorteile bietet eine VPN-Ablösung mit ZTNA?
Eine VPN-Ablösung mit ZTNA kann den Remote-Zugriff auf einzelne Anwendungen begrenzen und die Kontrolle über Sitzungen verbessern. Sie ist besonders dann sinnvoll, wenn Benutzergruppen, Anwendungen und Zugriffsrechte klar modelliert werden können.
Mögliche Vorteile sind:
- Weniger Netzwerkzugriff: Benutzer erhalten nur die Berechtigung, die sie für ihre Aufgabe benötigen.
- Bessere Anpassung an Cloud-Anwendungen: Zugriffsregeln lassen sich auf SaaS- und webbasierte Anwendungen ausrichten.
- Geräteprüfung: Der Zugriff kann vom Sicherheitsstatus des Endgeräts abhängig gemacht werden.
- Granulare Richtlinien: Regeln können nach Identität, Rolle, Anwendung und Risiko differenzieren.
- Mehr Transparenz: Sitzungen, Richtlinienentscheidungen und Anmeldeereignisse lassen sich zentral auswerten.
Der Nutzen hängt von der Umsetzung ab. Unklare Gruppen, übermässige Berechtigungen oder fehlende Protokollauswertung führen auch bei ZTNA zu schwachen Kontrollen.
Was müssen Schweizer Unternehmen bei SASE und ZTNA beachten?
Schweizer Unternehmen müssen Datenschutz, Branchenvorgaben und die konkrete Datenverarbeitung bereits in der Architektur berücksichtigen. Das revidierte Datenschutzgesetz, der EDÖB und je nach Branche die FINMA sind wichtige Bezugspunkte.
Für die Planung sollten Sie insbesondere prüfen:
- Welche Personen- und Verbindungsdaten verarbeitet der Anbieter?
- Wo werden Identitätsdaten, Protokolle und Sicherheitsereignisse gespeichert?
- Welche Daten verlassen die Schweiz und in welche Länder?
- Welche Unterauftragsverarbeiter sind beteiligt?
- Wie werden Verschlüsselungsschlüssel verwaltet?
- Wie werden Support- und Administrationszugriffe kontrolliert?
- Welche Aufbewahrungs- und Löschfristen gelten?
- Wie unterstützt die Lösung interne Kontrollen und Audits?
Für Finanzunternehmen können FINMA-Anforderungen an operationelle Risiken, Auslagerungen und Informationssicherheit relevant sein. Der IKT-Minimalstandard des Bundes dient vielen Organisationen als strukturierende Orientierung für Schutz, Erkennung, Reaktion und Wiederherstellung. Das NCSC stellt weitere Informationen zu Cyberrisiken und Schutzmassnahmen bereit.
SASE- und ZTNA-Protokolle können sicherheitsrelevante Informationen enthalten. Deshalb gehören Logging, Zugriff auf Logs und deren Aufbewahrung in die Datenschutz- und Governance-Prüfung. Der Datenstandort Schweiz kann eine Anforderung sein, ist aber kein alleiniger Beleg für ausreichende Sicherheit.
Wie planen Sie eine VPN-Ablösung mit SASE und ZTNA?
Eine belastbare VPN-Ablösung beginnt mit einer Bestandsaufnahme und nicht mit der Auswahl eines Produkts. Der folgende Ablauf hat sich für viele Sicherheitsprojekte bewährt:
- Zugriffe erfassen: Dokumentieren Sie Benutzergruppen, Geräte, Anwendungen, Standorte und bestehende VPN-Regeln.
- Anwendungen klassifizieren: Bewerten Sie Schutzbedarf, Abhängigkeiten, Authentisierung und technische Eignung für ZTNA.
- Identitäten bereinigen: Entfernen Sie veraltete Konten, stärken Sie die Mehrfaktor-Authentisierung und definieren Sie Rollen.
- Gerätesicherheit festlegen: Bestimmen Sie Mindestanforderungen an Patchstand, Verschlüsselung, Endpoint-Schutz und Gerätemanagement.
- Pilot auswählen: Starten Sie mit einer begrenzten Benutzergruppe und wenigen Anwendungen mit überschaubarem Risiko.
- Richtlinien testen: Prüfen Sie erlaubte und verweigerte Zugriffe, Sitzungsabbruch, Protokollierung und Notfallprozesse.
- Betrieb definieren: Regeln Sie Verantwortlichkeiten, Änderungen, Rezertifizierungen, Support und Reaktion auf Sicherheitsereignisse.
- Schrittweise migrieren: Lösen Sie VPN-Zugänge erst ab, wenn Funktion, Sicherheit und Wiederherstellung nachweislich gewährleistet sind.
Budgetieren Sie Lizenzen, Implementierung, Identitätsintegration, Gerätemanagement, Schulung und laufenden Betrieb in CHF. Ein günstiger Lizenzpreis kann durch komplexe Migration oder hohe Integrationskosten relativiert werden.
Wie Sie am besten starten
Der beste Start für SASE und ZTNA in der Schweiz ist ein dokumentierter Pilot mit klaren Sicherheits- und Compliance-Zielen. Definieren Sie zunächst, welche VPN-Zugriffe reduziert werden sollen und welche Anwendungen dafür geeignet sind.
Erstellen Sie danach eine kurze Anforderungsliste:
- benötigte Anwendungen und Benutzergruppen
- Anforderungen an Mehrfaktor-Authentisierung und Geräteprüfung
- Protokollierung und Integration in SIEM oder SOC
- Datenstandort und Umgang mit Auslandübermittlungen
- Anforderungen aus revDSG, EDÖB, FINMA oder internen Richtlinien
- Exit-Strategie und Übertragbarkeit der Richtlinien
Vergleichen Sie anschliessend nicht nur Funktionslisten, sondern auch Referenzen, Betriebsmodell, Support, Sicherheitsnachweise und Verantwortlichkeiten. Im Verzeichnis von Cyberprovider können Sie geprüfte Schweizer Cybersecurity-Anbieter vergleichen und passende Unterstützung für Konzeption, Umsetzung oder Betrieb finden.
Häufige Fragen
Ist ZTNA eine vollständige VPN-Ablösung?
Nicht immer. ZTNA kann viele Remote-Zugriffe auf moderne Anwendungen ersetzen. Für Legacy-Systeme, spezielle Netzwerkprotokolle oder Standortverbindungen kann ein VPN vorerst weiterhin erforderlich sein.
Ist SASE dasselbe wie ZTNA?
Nein. ZTNA ist eine Zugriffstechnologie innerhalb eines Zero-Trust-Modells. SASE ist ein umfassenderes Architekturmodell, das ZTNA mit Netzwerk- und weiteren Sicherheitsfunktionen verbindet.
Braucht ZTNA weiterhin Mehrfaktor-Authentisierung?
Ja, in der Regel ist Mehrfaktor-Authentisierung ein zentraler Bestandteil. Sie sollte mit Rollen, Gerätezustand und risikobasierten Zugriffskontrollen kombiniert werden.
Werden bei SASE automatisch alle Daten in der Schweiz gespeichert?
Nein. Der Datenstandort hängt vom Anbieter, Vertrag, Dienst und technischen Setup ab. Prüfen Sie Identitätsdaten, Logs, Telemetrie, Supportzugriffe und Unterauftragsverarbeiter separat.
Wie lange dauert eine VPN-Ablösung?
Die Dauer hängt von Anzahl und Architektur der Anwendungen, Identitätsintegration, Legacy-Abhängigkeiten und Governance ab. Ein begrenzter Pilot lässt sich typischerweise schneller umsetzen als eine vollständige Migration.
