Anwendungen laufen in der Cloud, Beschäftigte melden sich aus dem Homeoffice und von unterwegs an, und Standorte, Rechenzentren und mobile Geräte müssen dabei dauerhaft sicher verbunden bleiben. Netzwerkmodelle, die sämtlichen Datenverkehr durch ein zentrales Rechenzentrum schleusen, stoßen in dieser Umgebung an ihre Grenzen. SASE zieht daraus die Konsequenz: Netzwerk und Sicherheit verschmelzen zu einem einzigen Dienst aus der Cloud.
Zum Thema gibt es anschauliche Einführungen von Anbietern und Analysten. Dieser Beitrag fasst die Kernpunkte auf Deutsch zusammen und ordnet ein, was SASE/SSE für verteilte Unternehmen bedeutet.
Begriff und Grundidee von SASE
SASE steht für „Secure Access Service Edge“, gesprochen „sässi“. Geprägt hat den Begriff das Analystenhaus Gartner im Jahr 2019. Die Grundidee: Funktionen für Netzwerk und Sicherheit, traditionell auf viele Einzelprodukte verteilt, wandern in einen gemeinsamen Dienst aus der Cloud, der nah am Nutzer arbeitet, egal von wo dieser gerade zugreift.
Formuliert wurde der Ansatz im Gartner-Report „The Future of Network Security Is in the Cloud“ vom August 2019, verfasst von den Analysten Neil MacDonald, Lawrence Orans und Joe Skorupa. Ihre These: Netzwerk- und Sicherheitsfunktionen, bislang getrennt und als einzelne Appliances betrieben, konvergieren zu einem cloud-nativen Gesamtdienst. Maßgeblich für Zugriffsentscheidungen ist dann nicht mehr die Netzwerktopologie, sondern die Identität von Nutzern, Geräten und Diensten, ergänzt um Kontext wie Standort, Gerätezustand und Risikolage sowie um die geltenden Sicherheits- und Compliance-Vorgaben. Gartner rechnete früh mit schneller Verbreitung und sah SASE auf dem Weg vom Nischenbegriff zur prägenden Architektur für Netzwerk und Sicherheit.
Praktisch verlagert SASE Prüfung und Absicherung des Datenverkehrs an den Rand des Netzes, den sogenannten „Edge“, statt ihn aufwendig zu einer Zentrale und wieder zurück zu führen. Über den Zugriff entscheidet die Identität von Nutzer und Gerät, nicht der Standort. Das passt zu einer Arbeitswelt, in der das Büro nur noch einer von vielen Zugangspunkten ist.
Die Bausteine im Überblick
SASE ist kein Einzelprodukt, sondern ein Verbund mehrerer Technologien, die in einer Plattform zusammenspielen. Die wichtigsten Komponenten:
SD-WAN (Software-Defined WAN)
Das Software-Defined WAN ist die Netzwerkbasis von SASE. Statt Standorte über starre, teure MPLS-Standleitungen zu koppeln, steuert SD-WAN den Verkehr per Software über beliebige Zugänge (Breitband, Glasfaser oder Mobilfunk per LTE/5G) und wählt je Anwendung dynamisch die beste Route. Sprache und Videokonferenzen erhalten Vorrang, unkritische Datenströme nehmen günstigere Wege. Das senkt Leitungskosten, erhöht die Ausfallsicherheit und verkürzt die Anbindung neuer Standorte von Wochen auf Stunden. Wer den Betrieb nicht selbst übernehmen möchte, findet SD-WAN auch als Managed Service.
Secure Web Gateway (SWG)
Das Secure Web Gateway kontrolliert ausgehenden Web-Verkehr, bevor er das offene Internet erreicht: Es sperrt bekannte Schad- und Phishing-Seiten, filtert Malware aus Downloads, setzt Nutzungsrichtlinien wie erlaubte Website-Kategorien durch und kann verschlüsselte Verbindungen zur Sicherheitsprüfung aufbrechen. Der Schutz vor webbasierten Bedrohungen gilt damit ortsunabhängig, im Büro genauso wie im Homeoffice.
Remote Browser Isolation (RBI)
Bei Remote Browser Isolation findet das eigentliche Surfen nicht mehr auf dem Endgerät statt, sondern in einer isolierten Cloud-Umgebung. Auf dem Gerät erscheint lediglich ein sicherer, interaktiver Bildstrom der Website; aktive Inhalte, Skripte und etwaige Schadsoftware bleiben in der abgeschotteten Remote-Sitzung. Web-Schadcode erreicht den Endpunkt so gar nicht erst, was vor allem bei riskanten oder unbekannten Seiten, bei Links aus E-Mails und im Umgang mit sensiblen Daten zählt.
Cloud Access Security Broker (CASB)
Der Cloud Access Security Broker verschafft Transparenz und Kontrolle über die Nutzung von Cloud-Diensten wie Microsoft 365, Google Workspace oder Salesforce. Er zeigt, welche Anwendungen tatsächlich im Einsatz sind, einschließlich nicht freigegebener „Schatten-IT“, und regelt, wer welche Daten hoch- oder herunterladen darf. Die SaaS-Nutzung bleibt steuerbar, statt unbemerkt zu wuchern.
Zero Trust Network Access (ZTNA)
ZTNA löst das klassische VPN ab und folgt dem Grundsatz „niemals vertrauen, immer prüfen“. Nach dem Login steht nicht mehr pauschal das ganze Netz offen. Stattdessen wird jeder Zugriff einzeln bewertet, pro Nutzer und Anwendung und unter Einbeziehung von Gerätezustand und Kontext. Anwendungen sind von außen unsichtbar und werden erst nach bestandener Prüfung erreichbar. Im Ernstfall begrenzt das die laterale Ausbreitung erheblich.
Firewall-as-a-Service (FWaaS)
FWaaS bringt vollständige Firewall-Funktionalität in die Cloud, von der Paketfilterung über Intrusion Prevention bis zur Anwendungskontrolle auf Layer 7. Weil die Firewall zentral als Dienst läuft, braucht kein Standort mehr eigene Hardware, und Regeln gelten einheitlich für alle Nutzer und Orte. Pflege, Updates und Skalierung übernimmt der Dienst selbst, ohne Eingriffe vor Ort.
Data Loss Prevention (DLP)
DLP verhindert, dass sensible Informationen das Unternehmen ungewollt verlassen. Richtlinien erkennen etwa Kreditkarten- und Personaldaten oder vertrauliche Dokumente und blockieren deren Abfluss über Web-Uploads, nicht freigegebene Cloud-Dienste und andere Kanäle. Innerhalb einer SASE/SSE-Plattform gilt dafür über alle Kanäle hinweg ein einheitliches Regelwerk.
Den eigentlichen Charakter von SASE macht erst dieses Zusammenspiel aus: Netzwerk und Sicherheit werden über eine gemeinsame Plattform gesteuert, nicht länger getrennt verwaltet.
Die Funktionsweise: Prüfung am nächstgelegenen PoP
Der Kern einer SASE-Plattform ist ein weltweit verteiltes Netz von Präsenzpunkten, sogenannten Points of Presence (PoPs). Greift ein Nutzer auf eine Anwendung zu, übernimmt der nächstgelegene PoP Prüfung, Absicherung und Weiterleitung des Verkehrs. Der Umweg über ein zentrales Rechenzentrum entfällt.
Das hat zwei Effekte. Erstens sinkt die Latenz, weil die Wege kürzer werden; Anwendungen reagieren spürbar schneller. Zweitens greifen die Sicherheitskontrollen an jedem Ort identisch, ob im Büro, im Homeoffice oder unterwegs. Die Sicherheit hängt nicht mehr am Standort, sondern begleitet den Nutzer.
Bruch mit dem klassischen Netzwerkmodell
Traditionelle Unternehmensnetze folgen häufig dem Nabe-Speiche-Prinzip: Der Verkehr aller Standorte läuft über teure Standleitungen zu einer zentralen Drehscheibe, wird dort geprüft und wieder zurückgeschickt. Solange die meisten Anwendungen im eigenen Rechenzentrum lagen, war das tragfähig. Mit der Cloud kehrt sich das Bild um: Der Umweg erzeugt Latenz, verursacht Kosten und macht die Zentrale zum Engpass, der mit jedem weiteren Standort und Cloud-Dienst wächst.
SASE stellt dieses Prinzip auf den Kopf: Kontrolle und Sicherheit ziehen in die Cloud und an den Netzwerkrand. Der Umweg entfällt. Neue Standorte und Nutzer lassen sich anbinden, ohne vor Ort Hardware aufzubauen.
Der Unterschied zwischen SASE und SSE
Neben SASE taucht regelmäßig die Abkürzung SSE auf, „Security Service Edge“. Gemeint ist der reine Sicherheitsanteil von SASE, im Wesentlichen Secure Web Gateway, CASB und Zero Trust Network Access. Es fehlt die Netzwerkseite, allen voran SD-WAN. Gartner etablierte SSE 2021 als eigenständige Kategorie.
Die Faustregel: SSE ist Sicherheit aus der Cloud, SASE ist Sicherheit plus Netzwerk aus der Cloud. Viele Unternehmen starten mit dem Sicherheitsteil und ergänzen die Netzwerkkomponenten Schritt für Schritt. Deshalb stehen beide Begriffe oft im Doppel als „SASE/SSE“ nebeneinander.
Was SASE/SSE in der Praxis bringt
Der Umstieg auf eine SASE/SSE-Architektur zahlt sich an mehreren Stellen aus:
- Weniger Komplexität: eine einheitlich verwaltete Plattform statt vieler Einzelprodukte unterschiedlicher Hersteller.
- Niedrigere Kosten: weniger Hardware an den Standorten und der Verzicht auf teure Standleitungen entlasten das Budget.
- Bessere Performance: Die Prüfung am nächstgelegenen Edge-Punkt statt des Umwegs über die Zentrale senkt die Latenz.
- Konsequentes Zero Trust: Zugriffe werden je Nutzer und Anwendung geprüft; pauschales Vertrauen ins interne Netz entfällt.
- Kleinere Angriffsfläche: Dienste sind von außen nicht auffindbar und erst nach bestandener Prüfung erreichbar.
- Einfache Skalierung: Neue Standorte, Nutzer und Cloud-Dienste lassen sich ohne Vor-Ort-Hardware aufnehmen.
Vom Konzept zum Betrieb
Die Architektur ist schlüssig. Ihr Nutzen entsteht trotzdem erst mit einer passenden Einführung und einem verlässlichen Betrieb: Welche Bausteine tatsächlich gebraucht werden, wie sie sich in die bestehende Umgebung integrieren und wer Monitoring, Härtung und Weiterentwicklung übernimmt, entscheidet über das Ergebnis. Unternehmen, die dafür kein eigenes Team aufbauen wollen, können SASE/SSE als Managed Service beziehen, mit laufender Betreuung statt reiner Produktlieferung.
Grundlage dieses Beitrags ist der Lernartikel von Cloudflare: „What is SASE?“.
Passende Managed Services
- Secure Access Service Edge (SASE/SSE) – ZTNA, Secure Web Gateway, CASB, DLP und Remote Browser Isolation als betreuter Cloud-Dienst.
- Managed SD-WAN – software-gesteuerte, sichere Standortvernetzung als Netzwerkfundament einer SASE-Architektur.