Zero-Knowledge Proofs für P2P-Privatsphäre in dVPNs

Was genau ist SASE und warum ist es so wichtig?

Haben Sie schon einmal versucht, in einem Café über ein träges VPN zu arbeiten, nur um festzustellen, dass die Verbindung im Schneckentempo kriecht, während Sie eigentlich nur eine einfache Tabelle öffnen wollen? Das ist zweifellos einer der frustrierendsten Aspekte des modernen „Work-from-Anywhere“-Lebensstils – und genau deshalb ist SASE momentan in aller Munde.

Früher glich IT-Sicherheit einer Burg mit Wassergraben: Man hatte eine massive Firewall im Büro, und solange man sich innerhalb der Mauern befand, war man „sicher“. Doch heute sind unsere Daten überall verteilt. Wir nutzen Salesforce in der Küche, greifen über Tablets auf Patientenakten zu oder prüfen den Lagerbestand direkt in der Logistikhalle.

Laut einem Leitfaden von IBM steht SASE (ausgesprochen wie das englische „sassy“) für Secure Access Service Edge. Im Grunde ist es ein Konzept, das Netzwerkfunktionen und Sicherheitsdienste in einem cloudbasierten Paket bündelt. So muss nicht mehr der gesamte Datenverkehr mühsam über einen verstaubten Serverraum in der Zentrale umgeleitet werden, nur um eine E-Mail abzurufen.

• SD-WAN (Networking): Das ist das „Gehirn“, das den schnellsten Pfad für Ihre Daten berechnet – egal, ob Sie 5G, das heimische WLAN oder Glasfaser im Büro nutzen.
• SSE (Security): Dies ist der „Türsteher“-Teil. Es steht für Security Service Edge und wurde später als spezialisierte Sicherheitskomponente innerhalb des SASE-Frameworks eingeführt, um den reinen Schutzaspekt abzudecken.
• The Edge: Anstatt eines zentralen Hubs findet die Sicherheit an sogenannten „Points of Presence“ (PoPs) statt – also dort, wo Sie sich tatsächlich befinden.

Ein Bericht von Gartner aus dem Jahr 2021 definierte die Sicherheitskomponente offiziell als SSE. Das ist deshalb so wichtig, weil es das sogenannte „Hairpinning“ verhindert – jene nervige Verzögerung, bei der Ihre Daten erst hunderte Kilometer zu einem Rechenzentrum reisen, nur um dann zu einer Website zurückzukehren, die eigentlich direkt um die Ecke gehostet wird.

Egal, ob Sie eine Einzelhandelskette leiten oder eine kleine Arztpraxis führen: Niemand möchte ein Dutzend verschiedene Sicherheits-Gadgets gleichzeitig verwalten. SASE vereinfacht die IT-Infrastruktur, indem die Regeln direkt in die Cloud verlagert werden. Wie Microsoft betont, lassen sich so dieselben Sicherheitsrichtlinien für den Mitarbeiter mit dem Laptop im Park durchsetzen wie für den CEO im Konferenzraum.

Dabei geht es nicht nur um Geschwindigkeit, sondern vor allem darum, die digitale Hintertür niemals unverschlossen zu lassen. Als Nächstes schauen wir uns die Kernkomponenten wie SD-WAN genauer an und erklären, wie die Sicherheitsseite in der Praxis funktioniert.

Die SASE-Komponenten im Detail

Haben Sie sich jemals gefragt, warum sich Ihr Unternehmensnetzwerk wie ein riesiges, verknotetes Wollknäuel anfühlt, das niemand anzufassen wagt? Ehrlich gesagt liegt es daran, dass wir immer noch versuchen, die Probleme von 2025 mit Werkzeugen aus dem Jahr 2010 zu lösen. SASE ist im Grunde die Schere, mit der wir dieses Chaos endlich durchtrennen können.

Stellen Sie sich SD-WAN als das intelligente GPS für Ihre Daten vor. Früher nutzten wir MPLS-Leitungen – das waren im Grunde teure, private Mautstraßen, die ausschließlich zu Ihrem Büro führten. Wenn Sie im Homeoffice saßen, mussten Sie erst den ganzen Weg bis ins Büro „fahren“, nur um auf die „sichere“ Straße ins Internet zu gelangen. Das war langsam und, offen gesagt, eine ziemliche Abzocke.

Laut einem Blogbeitrag von CodiLime entkoppelt SD-WAN die Netzwerkhardware von den Steuerungsfunktionen. Das bedeutet, dass Sie nicht mehr an den klobigen Router gebunden sind, der im Abstellraum steht; die Software entscheidet, ob Ihr Zoom-Call über die Glasfaserleitung im Büro, eine 5G-Verbindung oder Ihr privates Breitband läuft – je nachdem, welche Verbindung gerade die beste Performance bietet.

• Verzicht auf Hardware: Sie benötigen keine Millionen teuren Boxen mehr in jeder Niederlassung. Die „Intelligenz“ steckt in der Software.
• Statusbasiertes Routing: Wenn Ihre primäre Internetleitung Probleme macht (Jitter, Lag, die üblichen Verdächtigen), verlagert SD-WAN Ihren Datenverkehr automatisch auf ein Backup, ohne dass Sie es überhaupt merken.
• Kostensenkung: Sie können aufhören, für diese vergoldeten MPLS-Leitungen zu bezahlen, und einfach reguläres Internet nutzen, was die Finanzabteilung sehr freuen wird.

Wenn SD-WAN das GPS ist, dann ist SSE der gepanzerte Geldtransporter. Es ist die Sicherheitskomponente der SASE-Medaille. Wie bereits erwähnt, hat Gartner diesen Begriff geprägt, da einige Unternehmen ihr Networking bereits im Griff haben und lediglich den Sicherheitsteil benötigen.

SSE ist deshalb so bedeutend, weil es Funktionen wie SWG (Secure Web Gateway – ein Tool, das Web-Traffic filtert, um schädliche Seiten zu blockieren), CASB (Cloud Access Security Broker – ein Sicherheitsscheckpunkt zwischen Nutzern und Cloud-Apps) und FWaaS (Firewall as a Service – eine cloudbasierte Firewall, die mit Ihrem Traffic skaliert) auf einer einzigen Plattform bündelt. Ein Bericht von Zscaler aus dem Jahr 2024 stellt fest, dass SSE eine Teilmenge von SASE ist, die sich ausschließlich auf diese Sicherheitsdienste konzentriert. (Zscaler 2024 AI Security Report) Dies ist ideal für Unternehmen, die bereits „Cloud-First“ agieren und sich nicht um das Management großer physischer Filialnetze kümmern wollen.

SSE hilft Unternehmen dabei, das „Hairpinning“ zu überwinden – jenen nervigen Effekt, bei dem der Datenverkehr erst zu einem 500 Kilometer entfernten Rechenzentrum geleitet wird, nur um dort geprüft zu werden, bevor er endlich die Ziel-Website erreicht.

Vielleicht denken Sie jetzt: „Kann ich nicht einfach nur den Sicherheitsteil kaufen?“ Nun, ja, das können Sie. Aber SASE ist die „Zusammen-ist-man-stärker“-Version. Wenn Sie das Networking (SD-WAN) mit der Sicherheit (SSE) kombinieren, erhalten Sie eine zentrale Verwaltungsoberfläche (Single Pane of Glass).

Eine Einzelhandelskette könnte SASE nutzen, um 500 Filialen zu vernetzen. Anstatt in jedem Laden eine Firewall und einen Router zu installieren, gibt es nur eine einzige SASE-Richtlinie. Wenn ein Kassierer in Hamburg versucht, eine dubiose Seite aufzurufen, blockiert das SWG dies sofort, während das SD-WAN sicherstellt, dass die Kreditkartentransaktionen immer über den schnellsten Pfad laufen.

Im Gesundheitswesen ist dies noch kritischer. Ein Arzt, der von zu Hause aus eine Videosprechstunde abhält, benötigt eine geringe Latenz (dank SD-WAN), muss aber gleichzeitig DSGVO- bzw. HIPAA-konform arbeiten (dank SSE). Wenn Sie nur eine Hälfte des Puzzles haben, riskieren Sie entweder ein ruckelndes Video oder eine Sicherheitslücke.

Ich habe gesehen, wie sich das in der Praxis auszahlt:

1. Finanzwesen: Eine nationale Kreditgenossenschaft nutzte SASE, um ihre Sicherheitstools zu konsolidieren und so die Anzahl der verschiedenen Dashboards zu reduzieren, die ihr IT-Team überwachen musste.
2. Fertigung: Ein Unternehmen mit Werken auf der ganzen Welt nutzte es, um seine IoT-Sensoren zu sichern, ohne Ingenieure zu jedem Standort fliegen zu müssen, um Hardware zu konfigurieren.
3. Bildung: Universitäten nutzen es, um Studenten von überall Zugriff auf Bibliotheksressourcen zu ermöglichen, während das Campus-Netzwerk vor der Malware geschützt bleibt, die unweigerlich auf privaten Laptops landet.

Es geht nicht nur darum, modern zu sein – es geht darum, sicherzustellen, dass die Person am Küchentisch den gleichen Schutz genießt wie die Kollegen in der Zentrale. Als Nächstes schauen wir uns an, warum „Vertrauen“ bei SASE ein Schimpfwort ist.

Wie SASE bei der Bedrohungserkennung hilft

Haben Sie sich jemals gefragt, warum sich das „sichere“ Netzwerk Ihres Unternehmens anfühlt, als würde es nur durch Panzertape und gute Wünsche zusammengehalten? Meistens liegt es daran, dass wir immer noch versuchen, Menschen basierend auf ihrem Standort zu vertrauen – eine Strategie, die im Jahr 2025 schlichtweg nicht mehr zeitgemäß ist.

Das Herzstück der SASE-Architektur bei der Abwehr von Angreifern ist das sogenannte Zero Trust-Prinzip. Früher galt: Wer physisch im Büro saß, war automatisch ein „Guter“. Zero Trust stellt dieses Konzept auf den Kopf – jeder gilt als potenzielle Bedrohung, bis das Gegenteil bewiesen ist.

Wie bereits im Microsoft-Leitfaden erwähnt, handelt es sich hierbei nicht um einen einmaligen Login. Es geht um identitätsbasierten Zugriff. Das System prüft kontinuierlich: Ist das wirklich der CEO? Warum loggt er sich morgens um 3 Uhr über ein Tablet aus einem anderen Land ein?

• Kontext ist alles: Die SASE-Plattform analysiert den Zustand Ihres Geräts, Ihren Standort und die Zielressource, bevor der Zugriff gewährt wird.
• Mikrosegmentierung: Anstatt Ihnen den Generalschlüssel für das gesamte Schloss zu geben, erhalten Sie nur Zugriff auf die spezifische Anwendung, die Sie gerade benötigen. Sollte ein Hacker Ihr Passwort stehlen, sitzt er in einem einzelnen Raum fest, anstatt sich im ganzen Gebäude frei bewegen zu können.
• Geräte-Health-Check: Tools zum Endpunktschutz prüfen, ob die Firewall Ihres Laptops aktiviert und die Software auf dem neuesten Stand ist, noch bevor die API die Verbindung überhaupt zulässt.

Einer der innovativsten Aspekte der Bedrohungserkennung unter SASE ist das „Dark-App“-Konzept. In einem herkömmlichen Setup ist Ihr VPN-Gateway öffentlich im Internet sichtbar – fast so, als würden Sie Hackern eine Einladung schicken.

Laut einem Bericht von Trend Micro aus dem Jahr 2024 ersetzt ZTNA (Zero Trust Network Access) diese schwerfälligen VPNs und verbirgt Ihre Anwendungen vor dem öffentlichen Web. Wenn ein Hacker das Internet nach der Lohnbuchhaltungs-App Ihres Unternehmens scannt, wird er nichts finden. Für ihn existiert sie schlichtweg nicht, da der SASE-„Türsteher“ den Zugang nur verifizierten Nutzern zeigt.

Da Ihr gesamter Traffic durch die SASE-Cloud fließt, kann KI eingesetzt werden, um untypische Muster zu erkennen, die einem Menschen entgehen würden. Es ist wie ein Sicherheitsdienst, der den individuellen „Gang“ und die Sprache jedes einzelnen Mitarbeiters auswendig kennt.

Eine Analyse von Zscaler aus dem Jahr 2024 verdeutlicht, dass SSE (Security Service Edge) speziell für die Cloud entwickelt wurde. Dadurch kann eine Tiefenprüfung (Deep Inspection) von verschlüsseltem Datenverkehr durchgeführt werden, ohne dass die Internetgeschwindigkeit auf das Niveau einer alten Modemverbindung sinkt.

Der Großteil moderner Malware versteckt sich heute in verschlüsseltem Traffic. Klassische Firewalls stoßen bei der Analyse dieser Pakete an ihre Grenzen, da die Rechenleistung oft nicht ausreicht. Da SASE jedoch direkt am Edge agiert, können diese Pakete geöffnet, mittels Machine Learning auf Viren geprüft und in Millisekunden wieder versiegelt werden.

Ich habe miterlebt, wie dies verschiedenen Branchen geholfen hat:

1. Gesundheitswesen: Ein Arzt nutzt ein privates iPad, um Patientenakten einzusehen. Das SASE-System erkennt, dass das Gerät nicht verschlüsselt ist, und blockiert den Zugriff auf die Akten, erlaubt aber weiterhin den Abruf der geschäftlichen E-Mails.
2. Einzelhandel: Ein Filialleiter in einem Einkaufszentrum versucht, einen verdächtigen Anhang herunterzuladen. Das SWG (Secure Web Gateway) erkennt die Malware-Signatur in der Cloud, noch bevor sie das lokale Netzwerk der Filiale erreicht.
3. Finanzwesen: Eine Genossenschaftsbank nutzt SASE, um sicherzustellen, dass Daten selbst bei einer Kompromittierung des physischen Internetanschlusses einer Filiale verschlüsselt bleiben. Durch „Inside-Out“-Verbindungen wird verhindert, dass sich Angreifer lateral im Netzwerk bewegen können.

Letztlich geht es darum, die Angriffsfläche drastisch zu minimieren. Wenn Angreifer Ihre Anwendungen nicht einmal sehen können und eine KI jede verdächtige Bewegung überwacht, sind Sie deutlich sicherer aufgestellt.

Als Nächstes schauen wir uns an, wie dieses gesamte SASE-Setup nicht nur Ihre Sicherheit erhöht, sondern auch die Verwaltung vereinfacht und Kosten senkt.

Echte geschäftliche Vorteile für Ihr Unternehmen

Seien wir ehrlich: Niemand wacht morgens auf und freut sich darauf, eine Netzwerk-Firewall zu verwalten. Es ist meist ein undankbarer Job, bei dem man nur dann von den Kollegen hört, wenn das Internet langsam ist oder die VPN-Verbindung mal wieder abbricht. SASE (Secure Access Service Edge) ändert das jedoch grundlegend, indem es das gesamte Chaos bändigt und gleichzeitig massiv Kosten einspart.

Eines der größten Probleme in der IT ist die sogenannte „Konsolen-Müdigkeit“. Man hat einen Bildschirm für die Router, einen weiteren für die Firewall und vielleicht noch einen dritten für die Cloud-Sicherheit. Das ist extrem anstrengend. Laut Zscaler ermöglicht SSE (die Sicherheitskomponente von SASE) die Konsolidierung all dieser Einzelprodukte auf einer einzigen Plattform. Das senkt natürlich die Betriebskosten und sorgt dafür, dass die Finanzabteilung Ihnen nicht mehr ständig im Nacken sitzt.

• Abschied von der „Hardware-Mentalität“: Sie müssen nicht mehr jedes Mal teure Hardware kaufen, wenn Sie eine neue Zweigstelle eröffnen. Da die Sicherheit in der Cloud angesiedelt ist, reicht ein einfacher Internetanschluss aus – und schon sind Sie startklar.
• Senkung der MPLS-Kosten: Wie bereits erwähnt, können Sie aufhören, für überteuerte Privatleitungen zu bezahlen. SASE nutzt das reguläre Internet, lässt es aber wie ein privates Netzwerk agieren. Für das Budget ist das ein absoluter Gamechanger.
• Skalieren ohne Drama: Wenn Sie morgen 50 neue Mitarbeiter einstellen, müssen Sie keine 50 neuen Hardware-Token oder einen größeren VPN-Konzentrator bestellen. Sie aktualisieren einfach Ihre Cloud-Lizenz und machen weiter.

Wir alle kennen das: Man versucht, an einem Zoom-Call teilzunehmen, während das VPN den Datenverkehr per „Hairpinning“ durch ein Rechenzentrum am anderen Ende des Landes schleust. Es ruckelt, verzögert sich und man möchte den Laptop am liebsten aus dem Fenster werfen. Da SASE die bereits erwähnten „Points of Presence“ (PoPs) nutzt, findet die Sicherheitsprüfung ganz nah am Nutzer statt.

Eine Analyse von Zscaler aus dem Jahr 2024 verdeutlicht, dass diese verteilte Architektur dazu führt, dass Mitarbeiter im Café die gleiche Geschwindigkeit genießen wie die Kollegen im Hauptbüro.

In der Praxis zeigt sich dieser Vorteil in verschiedenen Szenarien:

1. Einzelhandel: Ein Filialleiter muss den Lagerbestand auf einem Tablet prüfen. Statt auf eine langsame Back-Office-Verbindung zu warten, leitet SASE ihn direkt und sicher zur Cloud-App weiter.
2. Finanzwesen: Ein Kreditsachbearbeiter im Homeoffice kann auf sensible Datenbanken zugreifen, ohne dass bei jedem Speichervorgang das „VPN-Rädchen des Todes“ erscheint.
3. Fertigung: Entlegene Werke können ihre IoT-Sensoren mit der Cloud verbinden, ohne dass vor Ort ständig ein IT-Experte eine physische Firewall reparieren muss, wenn diese mal wieder hakt.

Im Grunde geht es darum, Sicherheit unsichtbar zu machen. Wenn alles richtig funktioniert, merken die Mitarbeiter gar nicht, dass sie da ist – sie wissen nur, dass ihre Anwendungen schnell laufen. Als Nächstes schauen wir uns an, wie Sie den Weg in diese moderne Netzwerk-Zukunft einschlagen, ohne dabei Ihre bestehende Infrastruktur lahmzulegen.

SASE-Implementierung ohne Kopfschmerzen

Sie haben sich also entschieden, auf SASE (Secure Access Service Edge) umzusatteln, haben aber Sorge, dabei Ihre bestehende Infrastruktur lahmzulegen? Ganz ehrlich: Das geht den meisten so. Niemand möchte die Person sein, die an einem Dienstagmorgen versehentlich das gesamte Firmennetzwerk offline nimmt.

Die gute Nachricht ist: Die Implementierung von SASE muss kein „Rip-and-Replace“-Albtraum sein, bei dem alles Bestehende herausgerissen wird. Sie können das Ganze schrittweise angehen – was nicht nur Ihre Nerven schont, sondern auch das Budget.

Der cleverste Weg für den Start ist, das größte Problem zuerst anzupacken – meistens ist das dieses klobige, veraltete VPN. Wie bereits erwähnt, ist der Ersatz des VPN durch ZTNA (Zero Trust Network Access) der ideale erste Schritt. Ihre Remote-Mitarbeiter profitieren sofort von höherer Geschwindigkeit und deutlich mehr Sicherheit, ohne dass Sie die Hardware in der Zentrale anrühren müssen.

• Identifizieren Sie Ihre „Kronjuwelen“: Schützen Sie Ihre sensibelsten Anwendungen zuerst durch den SASE-Türsteher.
• Wählen Sie eine Pilotgruppe: Lassen Sie ein paar technikaffine Kollegen aus dem Marketing oder Vertrieb den neuen Zugang testen, bevor Sie ihn unternehmensweit ausrollen.
• Räumen Sie Ihre Richtlinien auf: Nutzen Sie den Umstieg als Vorwand, um alte Benutzerkonten zu löschen, die seit drei Jahren ungenutzt im System schlummern.

Ein Bericht von Zscaler aus dem Jahr 2024 hebt hervor, dass das Monitoring der digitalen Nutzererfahrung (Digital Experience Monitoring) zunehmend in SASE-Plattformen integriert wird. Das ist ein riesiger Vorteil: Da SASE direkt zwischen dem Nutzer und der Anwendung sitzt, liefert es Performance-Daten aus der ersten Reihe. Sie sehen genau, warum eine Verbindung langsam ist – ob es am schwachen Heim-WLAN des Nutzers liegt oder an einem echten Netzwerkproblem –, noch bevor das Helpdesk-Telefon klingelt.

Dabei müssen Sie nicht alles von einem einzigen Anbieter kaufen. Einige Unternehmen bevorzugen den „Single-Vendor“-Ansatz wegen der Einfachheit, während andere auf ein „Dual-Vendor“-Modell setzen. Dabei behalten sie ihr bestehendes Networking bei und ergänzen es um eine neue Cloud-Security-Ebene.

Ein Leitfaden von Microsoft empfiehlt zudem, dass Ihr SASE-Rollout direkt an Ihre vorhandenen Identity Provider anknüpfen sollte. Wenn Sie bereits Single Sign-On (SSO) nutzen, stellen Sie sicher, dass Ihr SASE-Tool nahtlos damit kommuniziert. So müssen sich Ihre Mitarbeiter nicht noch ein weiteres Passwort merken.

Ich habe diesen phasenweisen Ansatz bereits in verschiedenen Branchen erfolgreich im Einsatz gesehen:

1. Bildungswesen: Ein Universitätssystem sicherte zuerst seine Forschungsdatenbanken der Bibliothek per ZTNA ab und verlagerte dann schrittweise die Sicherheit des Campus-WLANs in die Cloud.
2. Fertigung: Ein global agierendes Unternehmen behielt seine Fabrik-Hardware bei, verlagerte aber den gesamten Zugriff für externe Dienstleister auf eine SASE-Plattform, um das Hauptnetzwerk für Außenstehende „unsichtbar“ zu machen.
3. Einzelhandel: Eine Kette stattete neue Filialen direkt mit Cloud-Firewalls (FWaaS) aus, während die alten Standorte mit traditioneller Technik weiterliefen, bis die Wartungsverträge für die Hardware ausliefen.

Am Ende des Tages ist SASE eine Reise und kein Wochenendprojekt. Fangen Sie klein an, beweisen Sie, dass es funktioniert, und skalieren Sie dann hoch. Ihr Netzwerk – und Ihr Schlafrhythmus – werden es Ihnen danken.