Sicherheitslösungen für Hybrid-Clouds: So vergleichen Sie Anbieter

Sicherheitslösungen für Hybrid-Clouds schützen Nutzer, Anwendungen und Daten sowohl in der lokalen Infrastruktur als auch in Cloud-Diensten. Ein Vergleich der Anbieter ist schwierig, da diese für sehr unterschiedliche Produkte dieselbe Fachsprache verwenden. Dieser Leitfaden erläutert die Lösungskategorien, die wichtigsten Anforderungen sowie eine Bewertungsmethode, mit der sich Anbieter von Hybrid-Cloud-Sicherheitslösungen direkt miteinander vergleichen lassen.

Dieser Artikel ist Teil des Leitfadens zur Hybrid-Cloud-Sicherheit.

Arten von Sicherheitslösungen für Hybrid-Clouds

Sicherheitslösungen für Hybrid-Clouds lassen sich in sechs Hauptkategorien einteilen, und die meisten Hybrid-Cloud-Umgebungen benötigen mehrere davon.

Wenn man weiß, in welcher Kategorie ein Anbieter tatsächlich verkauft, lassen sich unpassende Vergleiche vermeiden.

Dieser Leitfaden konzentriert sich auf die erste und die vierte Kategorie: Lösungen, die den Austausch von Benutzern und Daten zwischen Cloud- und lokalen Umgebungen absichern. Genau hier haben Entscheidungen zur hybriden Architektur den größten Einfluss auf das tägliche Risiko. Informationen zur Gesamtarchitektur finden Sie unter „Hybrid-Cloud-Sicherheit: Architektur und bewährte Verfahren“.

Die fünf zu vergleichenden Kriterien

Vergleichen Sie Anbieter von Hybrid-Cloud-Sicherheitslösungen anhand von fünf Kriterien: Flexibilität bei der Bereitstellung, Datenschutz, Richtlinienverwaltung, Integration und Migration.

1. Flexibilität bei der Bereitstellung

„Hybrid“ ist kein einfaches Auswahlkästchen. Erkundigen Sie sich genau, wo die Durchsetzung erfolgen kann und was von der Cloud des Anbieters abhängt.

• Welche Funktionen stehen in den einzelnen Modi zur Verfügung, und welche werden unabhängig davon, wo der Datenverkehr überprüft wird, aus der Cloud des Anbieters bereitgestellt?
• Handelt es sich bei den lokalen Komponenten um physische Geräte, virtuelle Maschinen, Container oder um alle drei?
• Welche Funktionen erfordern auch bei einer lokalen Bereitstellung weiterhin eine Verbindung zur Cloud des Anbieters (Lizenzierung, Updates, Bedrohungsinformationen, Verwaltung)?
• Wird ein Air-Gap-Betrieb oder ein von Netzwerken getrennter Betrieb unterstützt?
• Können Remote-Benutzer auf private Anwendungen zugreifen, ohne dass ein Hairpinning über ein Rechenzentrum erforderlich ist, und können Benutzer vor Ort auf diese zugreifen, ohne dass ein Hairpinning über die Cloud erforderlich ist?

Die Definition im Gartner-Glossar von security service edge wird darauf hingewiesen, dass SSE in erster Linie über die Cloud bereitgestellt wird, jedoch auch lokale oder agentenbasierte Komponenten umfassen kann. Inwieweit ein Anbieter diese Komponenten unterstützt, ist sehr unterschiedlich.

2. Datenschutz

Im Bereich des Datenschutzes unterscheiden sich Hybridlösungen am stärksten.

• Deckt eine einzige DLP-Richtlinien-Engine das Web, SaaS (Inline und API), private Anwendungen, Endgeräte, E-Mail und generative KI-Tools ab?
• Gilt die Klassifizierung für alle Kanäle einheitlich oder wird sie für jedes Produkt separat konfiguriert?
• Ist DSPM integriert, sodass die Erkennung von ruhenden Daten in die Inline-Richtlinie einfließt?
• Wo wird der Datenverkehr entschlüsselt, und wo werden Kopien von DLP-Vorfällen gespeichert?

3. Richtlinienverwaltung

• Gibt es eine einzige Policy-Engine für die Durchsetzung vor Ort und in der Cloud oder eine Konsole, die als Schnittstelle zu separaten Engines dient?
• Können Richtlinien als Code verwaltet, versioniert und zurückgesetzt werden?
• Wie werden Richtlinienänderungen an alle Durchsetzungspunkte weitergegeben, und wie werden Abweichungen erkannt?
• Kann eine Richtlinie Identitätsdaten, den Gerätestatus, die Datenklassifizierung und Risikosignale gemeinsam nutzen?

Auch bei getrennten Engines unter einer einzigen Konsole treten weiterhin Abweichungen auf. Bitten Sie den Anbieter, während der Demo eine Regel zu ändern, und lassen Sie sich zeigen, wie diese an einem lokalen Gateway und einem Cloud-Standort angewendet wird.

4. Integration

• Welche Identitätsanbieter, Endpunkt-Agenten, SIEM- und SOAR-Plattformen sowie Ticketingsysteme werden nativ unterstützt?
• Können Protokolle nahezu in Echtzeit an Ihr SIEM-System übertragen werden, und lässt sich deren Ziel nach Regionen einschränken?
• Lässt sich die Lösung in bestehende Hardware-Sicherheitsmodule und Sandboxing-Lösungen integrieren?
• Sind die APIs ausreichend dokumentiert und vollständig genug für die Automatisierung?

5. Migration

Die meisten Käufer ersetzen damit etwas, häufig einen älteren Proxy.

• Gibt es ein festgelegtes Verfahren zur Übernahme bestehender Richtlinien? Inwieweit erfolgt dies automatisiert, und was muss manuell überprüft werden?
• Kann die neue Lösung während der Validierung parallel zur bestehenden Lösung betrieben werden?
• Welche professionellen Dienstleistungen sind enthalten, und wer ist für den Umstellungsplan verantwortlich?
• Gibt es kommerzielle Programme, die den verbleibenden Vertragswert des zu ersetzenden Produkts ausgleichen?

Siehe „Secure Web Gateway -Migration: Checkliste für die Umstellung und den Rollback“.

Checkliste für Sicherheitsanforderungen in der Hybrid-Cloud

Betrachten Sie diese Sicherheitsanforderungen für Hybrid-Cloud-Lösungen als Ausschlusskriterien, bevor Sie einen Anbieter bewerten:

• Durchsetzung vor Ort und in der Cloud unter einer einzigen Richtlinien-Engine
• Option zur lokalen TLS-Überprüfung für regulierten Datenverkehr
• Anwendungsbasiertes „ private access “ (ZTNA) für Remote- und Vor-Ort-Benutzer
• Einheitliches DLP für das Internet, SaaS, private Anwendungen, Endgeräte und KI-Tools
• Dokumentiertes Verhalten, wenn die Cloud des Anbieters nicht erreichbar ist
• Kontrollen hinsichtlich der Speicherung von Protokollen und Daten
• Einschlägige Zertifizierungen und Zulassungen (z. B. FedRAMP, SOC 2 Typ II, ISO 27001, regionale Zertifizierungssysteme)
• Unterstützung für die Migration im Parallelbetrieb

Bewertungsbogen

Gewichten Sie jede Anforderung entsprechend Ihrer Umgebung und bewerten Sie die Anbieter anschließend mit einer Note von 1 bis 5.

Unternehmen, die regulatorischen Auflagen unterliegen, messen dem Datenschutz und der Flexibilität bei der Bereitstellung oft größere Bedeutung bei. Unternehmen, die einen „Cloud-first“-Ansatz verfolgen und keine Anforderungen an die lokale Überprüfung haben, legen möglicherweise mehr Wert auf Integration und Benutzererfahrung.

Fragen, die Sie Anbietern von Hybrid-Cloud-Sicherheitslösungen stellen sollten

Die richtigen Fragen zwingen Anbieter dazu, die Konsistenz ihrer Richtlinien, den Umgang mit Daten und das Verhalten im Fehlerfall zu demonstrieren, anstatt diese lediglich zu beschreiben.

1. Nennen Sie uns eine Richtlinienänderung, die sowohl für ein lokales Gateway als auch für einen Cloud-Standort gilt.
2. Wo genau wird unser Datenverkehr entschlüsselt, und wer hat Zugriff auf die entschlüsselten Inhalte?
3. In welchen Ländern werden unsere Protokolle, Beweismittel zu Vorfällen und Telemetriedaten gespeichert, und können wir dies einschränken?
4. Was geschieht mit der Überwachung und dem „ private access “, wenn Ihr Cloud-Dienst vier Stunden lang nicht erreichbar ist?
5. Wie werden lokal installierte Komponenten aktualisiert, und können Aktualisierungen schrittweise durchgeführt werden?
6. Wie gehen Sie mit WebSockets und anderen langlebigen Verbindungen um, die von KI-Tools und -Agenten genutzt werden?
7. Welche unabhängigen Analystenbewertungen und Zertifizierungen beziehen sich auf die spezifischen Komponenten, die wir erwerben?
8. Wie sieht eine typische Migration von unserem aktuellen Produkt aus – in Wochen – und was unterschätzen Kunden am häufigsten?

Durchführung eines Proof-of-Concept

Ein aussagekräftiger Proof of Concept prüft Ihre risikoreichsten Annahmen und nicht die besten Funktionen des Anbieters.

• Datenverkehr: Verwenden Sie echten Datenverkehr aus einer Pilotgruppe, einschließlich einer Website mit hohem Datendurchsatz.
• TLS-Prüfung: Messen Sie die Latenz und den Durchsatz bei aktivierter Prüfung und unter den für den Produktivbetrieb erwarteten Volumina.
• Datenschutz: Füllen Sie Testdokumente mit Ihren eigenen Mustern sensibler Daten aus und stellen Sie sicher, dass diese bei Uploads über das Web, SaaS-Dienste und KI-Tools durchgängig erkannt werden.
• Ausfall: Simulieren Sie den Verlust der Verbindung zur Cloud des Anbieters und beobachten Sie, welche Funktionen weiterhin funktionieren.
• Betrieb: Lassen Sie Ihre Administratoren – und nicht die Techniker des Anbieters – Richtlinienänderungen vornehmen und Probleme mit einer gesperrten Website beheben.

Warnsignale

Diese Warnsignale deuten in der Regel darauf hin, dass der Hybrid-Support eines Anbieters weniger umfassend ist, als es die Marketingaussagen vermuten lassen.

• „Hybrid“ bedeutet lediglich, dass die Cloud des Anbieters eine Verbindung zu Ihrem Rechenzentrum herstellen kann.
• On-Premise- und Cloud-Produkte verfügen über eine unterschiedliche Syntax für Richtlinien bzw. über separate DLP-Wörterbücher.
• Der Anbieter kann nicht angeben, wo die entschlüsselten Daten verarbeitet werden.
• Private access Für Benutzer vor Ort ist ein Hin- und Rückweg über die Cloud erforderlich.
• Die Migration wird als Dateiimport ohne Validierungsschritt beschrieben.

Wo „ Skyhigh Security “ ins Bild passt

Skyhigh Security Eignet sich für Unternehmen, die eine Durchsetzung sowohl vor Ort als auch in der Cloud benötigen, die von einer einzigen Richtlinien-Engine gesteuert wird.

Skyhigh Hybrid SSE Mesh vereint lokale SWG-Appliances, lokale ZTNA-Lösungen und sichere Browsersteuerungen mit Cloud-basierten CASB-, DSPM-, DLP- und RBI-Lösungen unter einer einzigen Konsole und einer einzigen Richtlinien-Engine. Die lokale TLS-Prüfung erfolgt auf der unternehmenseigenen Infrastruktur, während der relevante Datenverkehr zur Nutzung der Cloud-basierten Dienste weitergeleitet wird. Die Richtlinien werden als Code an physische, virtuelle und Cloud-basierte Durchsetzungspunkte übertragen.

Skyhigh Security belegte im „Advanced SSE Use Case“ des Gartner®-Berichts „ Critical Capabilities “ aus dem Jahr 2026 zum Thema „ Security Service Edge “ den ersten Platz (Ankündigung). Die Plattform verfügt über eine FedRAMP-High-Zulassung sowie weitere Zertifizierungen, darunter IRAP, BSI C5, SOC 2 Typ II und CSA STAR Level 2, laut Skyhigh Security.

Quellen

1. Gartner. „Security Service Edge “ (SSE), Glossar der Informationstechnologie. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. NSA und CISA. Die zehn wichtigsten Strategien zur Minderung von Cloud-Sicherheitsrisiken (7. März 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
3. NIST. SP 800-215: Leitfaden für eine sichere Unternehmensnetzwerkinfrastruktur (November 2022). https://csrc.nist.gov/pubs/sp/800/215/final
4. Skyhigh Security. „Skyhigh Security belegt Platz 1 im Bereich ‚Advanced SSE Use Case‘ im Gartner-Bericht ‚ Critical Capabilities ‘ für 2026 Security Service Edge“ (5. August 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Skyhigh Security. Modernisierung von Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html

GARTNER ist eine eingetragene Marke und Dienstleistungsmarke von Gartner, Inc. und/oder deren verbundenen Unternehmen in den USA und weltweit und wird hier mit Genehmigung verwendet. Alle Rechte vorbehalten. Gartner unterstützt keine der in seinen Forschungsveröffentlichungen genannten Anbieter, Produkte oder Dienstleistungen.