Skyhigh Hybrid SSE Mesh: Architektur und Bereitstellung

Skyhigh Hybrid SSE Mesh ist die Hybrid- Security Service Edge -Architektur v Skyhigh Security. Sie ermöglicht es Unternehmen, SSE-Maßnahmen vor Ort, in der Cloud oder in beiden Umgebungen durchzuführen, wobei eine einzige Richtlinien-Engine und eine einzige Konsole alle Durchsetzungspunkte steuern. Die Lösung richtet sich an Unternehmen, deren Anforderungen hinsichtlich Compliance, Souveränität, Ausfallsicherheit oder Leistung es ausschließen, den gesamten Datenverkehr über die Cloud eines Anbieters zu leiten.

Dieser Artikel ist Teil des Leitfadens zur Hybrid-Cloud-Sicherheit.

Was ist hybrides SSE?

Hybrid SSE ist eine „ Security Service Edge “-Lösung, bei der eine einzige Richtlinie sowohl in der Cloud als auch vor Ort durchgesetzt wird, anstatt den gesamten Datenverkehr über die Cloud eines Anbieters zu leiten.

Security Service Edge (SSE) gewährleistet den sicheren Zugriff auf das Internet, Cloud-Dienste und private Anwendungen. Gartner definiert SSE als eine in erster Linie cloudbasierte Lösung, weist jedoch darauf hin, dass sie auch lokale oder agentenbasierte Komponenten umfassen kann.

Hybrides SSE nimmt diesen zweiten Aspekt ernst. Anstatt die Durchsetzung vor Ort als Relikt aus früheren Zeiten zu betrachten, verlagert hybrides SSE die Durchsetzung dorthin, wo der jeweilige Datenverkehr entsteht: an Cloud-Präsenzpunkte für Remote-Benutzer, die auf SaaS zugreifen, sowie an Gateways vor Ort oder in Zweigstellen für Datenverkehr, der innerhalb des Netzwerks beginnt und endet. Die SSE-Marktstudie von Gartner für das Jahr 2026 stellt fest, dass Anbieter zunehmend virtuelle oder Hardware-Appliances bereitstellen, die die SSE-Datenebene vor Ort erweitern und so eine lokale Datenverarbeitung sowie Ausfallsicherheit bei ungeplanten Cloud-Ausfällen ermöglichen, wie in der Ankündigung von „Skyhigh Security“ vom August 2026 zitiert wird.

Die größte Herausforderung bei einem hybriden SSE-Ansatz besteht nicht in der Bereitstellung der Appliances. Vielmehr geht es darum, die Durchsetzung vor Ort und in der Cloud nach denselben Richtlinien zu regeln, sodass ein Benutzer, ein Datentyp oder eine Anwendung unabhängig davon, welcher Durchsetzungspunkt den Datenverkehr verarbeitet, einheitlich behandelt wird.

So funktioniert Skyhigh Hybrid SSE Mesh

Skyhigh Hybrid SSE Mesh besteht aus drei Schichten: einer einheitlichen Steuerungsebene, einer verteilten Datenebene und cloudbasierten Diensten, die über dieselbe Konsole bereitgestellt werden.

Einheitliche Steuerungsebene

Eine einzige Konsole und Policy-Engine steuert SWG, CASB, DLP, RBI, ZTNA, Secure Browser Controls, DSPM und KI-Steuerungen. Skyhigh beschreibt eine „Policy-as-Code“-Architektur, die Richtlinien automatisch auf physische Appliances, virtuelle Systeme und Cloud-Knoten überträgt, ohne dass eine manuelle Abstimmung zwischen den Umgebungen erforderlich ist (Skyhigh Security). Das Plattform-Update von Skyhigh vom März 2026 führte ein standortunabhängiges, einheitliches Richtlinienmanagement, ein programmierbares und erweiterbares Richtlinien-Framework sowie eine plattformweite konsolidierte Überwachung und Berichterstellung ein (Skyhigh Security).

Verteilte Datenebene

Die Verkehrsüberwachung findet dort statt, wo der Verkehr fließt:

• Lokale SWG-Appliances und Filial-SWG-Appliances überprüfen den Webdatenverkehr vor Ort, einschließlich der TLS-Entschlüsselung. Mit der Version von Skyhigh vom März 2026 wurde eine containerbasierte Appliance-Architektur eingeführt, die auf Skalierbarkeit ausgelegt ist und dynamisches Traffic-Routing ermöglicht.
• Das lokale ZTNA-System läuft auf den unternehmenseigenen Gateways vor Ort und in den Niederlassungen und nicht über einen vom Anbieter verwalteten Cloud-Knoten, sodass die Zero-Trust-Richtlinien auch für interne Systeme und Datenverkehr gelten, die das Gebäude nie verlassen.
• Cloud SWG schützt Remote- und Roaming-Benutzer, ohne deren Datenverkehr in ein Rechenzentrum umzuleiten.

Über die Cloud bereitgestellte Erweiterungen

Über dieselbe Konsole können Unternehmen Cloud-CASB-, DSPM-, DLP- und „ remote browser isolation “-Lösungen hinzufügen. Das Cloud-Register von Skyhigh bewertet Cloud-Dienste anhand von 56 Attributen in sechs Risikosäulen (Daten, Identität, Hosting, Geschäft, Recht und Cyberrisiko), sodass Richtlinien zwischen Diensten unterscheiden können, die zwar derselben URL-Kategorie angehören, sich jedoch hinsichtlich Datenaufbewahrungsort, Verschlüsselung oder rechtlicher Bestimmungen unterscheiden.

Unterstützte Bereitstellungsoptionen

Skyhigh Hybrid SSE Mesh kann vor Ort, in einem Hybridmodell oder in der Cloud betrieben werden, und Unternehmen können im Laufe der Zeit zwischen den Modellen wechseln.

Unternehmen können mit einem Modell beginnen und zwischen den Modellen wechseln. Die hybride SWG von Skyhigh unterstützt die Synchronisierung lokaler Richtlinien mit der Cloud, wobei diese entweder vollständig migriert oder separat beibehalten werden können, während synchronisierte Listen gemeinsam genutzt werden (Skyhigh Security).

In Umgebungen, die nicht auf externe Konnektivität angewiesen sein können, werden das lokale Web-Gateway und die Durchsetzung des Zero-Trust-Zugangs weiterhin über das Secure Service Gateway gewährleistet. Dienste, die über die Skyhigh-Cloud bereitgestellt werden – darunter Datenschutz, „ remote browser isolation “, KI-basierte Sicherheitskontrollen, CASB und das Management der Datensicherheitslage – stehen nicht zur Verfügung, solange eine Standortverbindung unterbrochen ist; bitte berücksichtigen Sie diese Anforderungen daher bereits bei der Planung. Für US-Bundesbehörden und Organisationen der Verteidigungsindustrie verfügt die Plattform über eine FedRAMP-High-Zulassung.

Prüfung und Bearbeitung von Versicherungsfällen

Die Überprüfung erfolgt dort, wo der Datenverkehr fließt, mit lokaler TLS-Entschlüsselung für den Datenverkehr vor Ort und einer einzigen Richtlinien-Engine, die die Kontrollen in Bezug auf Bedrohungen, Daten und Browser steuert.

Lokale TLS-Überprüfung. Die SSL/TLS-Entschlüsselung und -Überprüfung erfolgt auf der unternehmenseigenen Infrastruktur. Die entschlüsselten Daten müssen weder die Grenzen von Drittanbietern noch die Grenzen von Rechtsräumen überschreiten, was die Überprüfung hinsichtlich Souveränität und Datenschutz vereinfacht. Dies steht zudem im Einklang mit den Leitlinien der NSA, wonach die TLS-Überprüfung einmalig innerhalb des Unternehmensnetzwerks erfolgen soll (NSA).

Ausgangssteuerung. Durch dedizierte Ausgangs-IP-Adressen und die Verankerung der Quell-IP-Adresse können Unternehmen den in der Cloud geprüften Internetverkehr über die ihnen zugewiesenen öffentlichen IP-Adressen leiten, wodurch Einschränkungen hinsichtlich der Quell-IP-Adresse, IP-Reputation und rechtliche Anforderungen unterstützt werden.

Offenlegung privater Anwendungen. Dokumentieren Sie die von Gateways, Konnektoren und Verwaltungsschnittstellen benötigten eingehenden und ausgehenden Verbindungen und stimmen Sie die ausgewählte Topologie mit Skyhigh ab.

Erkennung von Bedrohungen. Die Gateway-Anti-Malware-Lösung bekämpft Bedrohungen bereits am ersten Knotenpunkt, dem Secure Service Gateway. Emulationsbasiertes Sandboxing, die Analyse des Verhaltens von Benutzern und Entitäten (UEBA) sowie die Erkennung von Bedrohungen durch die Analyse von Netzwerkverkehrsmustern ( remote browser isolation ) werden über die Skyhigh-Cloud auf den vom Gateway weitergeleiteten Datenverkehr angewendet.

Einheitlicher Datenschutz. Eine einzige DLP-Richtlinien-Engine gilt für das Web, SaaS, KI-Tools, private Anwendungen und Endgeräte, sodass für einen Web-Upload, eine SaaS-Freigabe und eine Eingabeaufforderung für generative KI dieselbe Klassifizierung gilt. Die DLP-Richtlinie wird einmal erstellt und in der Skyhigh-Cloud angewendet, auch für Datenverkehr, der von lokalen Durchsetzungspunkten weitergeleitet wird.

Sichere Browser-Kontrollen. Die agentenlose Browsersicherheit am Rand des lokalen Netzwerks wendet Inline-Kontrollen auf Uploads, Downloads, Kopier- und Einfügevorgänge, Sitzungsaktivitäten sowie KI-Interaktionen in jedem Standardbrowser an, ohne dass ein Unternehmensbrowser oder Erweiterungen bereitgestellt werden müssen. Die WebSocket-fähige Überprüfung erstreckt sich auch auf den Datenverkehr von KI-Agenten und Messaging-Diensten.

Anwendungsfälle

Hybrid SSE Mesh eignet sich für Unternehmen, die lokale Kontrolle über regulierte Daten, Betriebstechnologie, KI-Agenten oder den Ersatz von Legacy-Gateways benötigen.

Regulierte Finanzdienstleistungen. Institutionen, die den Anforderungen von DORA, FCA oder MAS unterliegen, können entschlüsselte personenbezogene Daten innerhalb ihrer eigenen Infrastruktur aufbewahren und dennoch Cloud-basierte CASB- und DLP-Lösungen einsetzen. Siehe „Datenhoheit in der Hybrid-Cloud-Sicherheit“.

Regierung und Verteidigung. Die FedRAMP-High-Zulassung gilt für Umgebungen mit strengen Zulassungsanforderungen, während die lokale Durchsetzung am Secure Service Gateway für Standorte mit eingeschränkter Konnektivität vorgesehen ist.

Gesundheitswesen. Patientendaten können innerhalb der physischen Grenzen verbleiben, während medizinisches Fachpersonal Cloud-Anwendungen unter Einhaltung derselben Richtlinien nutzt.

Fertigung und kritische Infrastruktur. Die Durchsetzung von Sicherheitsmaßnahmen auf lokaler Webebene und in privaten Anwendungen kann die vom Kunden verwaltete Segmentierung zwischen Unternehmens-IT- und OT-/SCADA-Netzwerken ergänzen. Bitte prüfen Sie, welche Kontrollmaßnahmen von Skyhigh bereitgestellt werden und welche Komponenten von Drittanbietern erfordern.

KI-Agenten innerhalb des Netzwerks. Autonome Agenten können Zugriffsrechte auf Benutzerebene übernehmen, APIs verketten und Daten über dauerhafte WebSocket-Verbindungen übertragen, die innerhalb des Netzwerks entstehen. Durch lokale ZTNA und WebSocket-basierte Überprüfung erfolgt die Durchsetzung genau dort, wo der Datenverkehr tatsächlich stattfindet.

Secure web gateway Modernisierung. Unternehmen, die Symantec Edge SWG (ehemals „ Blue Coat “ ProxySG) ersetzen, können Skyhigh-Appliances parallel zu bestehenden Gateways einsetzen, Richtlinien überprüfen und veraltete Hardware nach eigenem Zeitplan außer Betrieb nehmen. Siehe „Blue Coat -Alternativen und Ersatz für ProxySG“.

Bereitstellungspfad

Skyhigh führt das Hybrid-SSE-Mesh in vier Phasen ein, die parallel zur bestehenden Infrastruktur ablaufen, sodass die Richtlinien vor jeder Umstellung überprüft werden:

1. Bewerten und planen. Erstellen Sie eine Bestandsaufnahme der bestehenden Richtlinien, kartieren Sie Datensouveränitätszonen sowie OT-/SCADA-Umgebungen und ermitteln Sie den Ausgangswert für die TLS-Prüfleistung.
2. Führen Sie die Bereitstellung parallel durch. Richten Sie Skyhigh SWG-Appliances neben den bestehenden Gateways ein, importieren und validieren Sie Richtlinien-Baselines und leiten Sie den Datenverkehr parallel weiter, ohne den Produktivbetrieb zu beeinträchtigen.
3. Führen Sie einheitliche Funktionen ein. Aktivieren Sie lokale ZTNA- und Secure-Browser-Kontrollen, erweitern Sie diese um Cloud-basierte CASB-, DSPM- und DLP-Lösungen und nehmen Sie veraltete Geräte außer Betrieb, sobald dies möglich ist.
4. Rationalisieren und optimieren Sie. Passen Sie den Verbrauch an, heben Sie nicht genutzte Berechtigungen auf und verfeinern Sie die Richtlinien kontinuierlich als Code.

Laut Skyhigh führen die meisten Unternehmen die Phasen zwei und drei über einen Zeitraum von sechs bis zwölf Monaten parallel durch. Die Funktionen werden pro Berechtigung lizenziert, sodass neue Funktionen wie lokales ZTNA oder „Secure Browser Controls“ bei Bedarf aktiviert werden können.

Warum sich Unternehmen für Skyhigh Hybrid SSE Mesh entscheiden

Unternehmen entscheiden sich für Skyhigh Hybrid SSE Mesh, da die Durchsetzung vor Ort und in der Cloud als ein einziges System funktioniert, was durch die Anerkennung unabhängiger Analysten untermauert wird.

Skyhigh Security belegte im Bereich „Advanced SSE Use Case“ den ersten Platz im Gartner®-Bericht „ Critical Capabilities “ für das Jahr 2026 zum Thema „ Security Service Edge “. Mehr als 3.000 Unternehmen nutzen Skyhigh, darunter 80 Prozent der weltweit führenden Banken und 25 Prozent der Fortune-500-Unternehmen.

Der entscheidende Unterschied liegt in der Architektur: Die Durchsetzung vor Ort und in der Cloud sind keine separaten Produkte mit unterschiedlichen Richtlinien. Es handelt sich um ein einziges System.

Nächster Schritt: Fordern Sie eine Bewertung Ihrer Hybridarchitektur an oder besuchen Sie Secure Web Gateway für Informationen zum Thema „Hybrid“.

Quellen

1. Skyhigh Security. „Modernisierung Ihrer Symantec Edge- Secure Web Gateway s mit Skyhigh Hybrid SSE Mesh“ (15. Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
2. Skyhigh Security. „Skyhigh Security kündigt neue Lösungen zur Stärkung seiner bahnbrechenden universellen SSE-Plattform an“ (24. März 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
3. Skyhigh Security. „Skyhigh Security belegt Platz 1 im Bereich ‚Advanced SSE Use Case‘ im Gartner-Bericht ‚ Critical Capabilities ‘ für 2026 Security Service Edge“ (5. August 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
4. Skyhigh Security. „Die Einführung von Hybrid-Lösungen ist mit der Skyhigh SSE-Plattform jetzt noch einfacher“ (3. Oktober 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
5. Skyhigh Security. Modernisierung von Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html
6. Skyhigh Security. Secure Web Gateway für Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
7. Gartner. „Security Service Edge “ (SSE), Glossar der Informationstechnologie. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
8. NSA. Umgang mit Risiken durch die Überprüfung der Transportschicht-Sicherheit (November 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF

GARTNER ist eine eingetragene Marke und Dienstleistungsmarke von Gartner, Inc. und/oder deren verbundenen Unternehmen in den USA und weltweit und wird hier mit Genehmigung verwendet. Alle Rechte vorbehalten. Gartner unterstützt keine der in seinen Forschungsveröffentlichungen genannten Anbieter, Produkte oder Dienstleistungen.