SASE vs. VPN: Vorteile und Nachteile von ZTNA und klassischem Fernzugang

Das Wichtigste im Überblick

• VPN-Gateways sind ein bevorzugtes Angriffsziel. Im Verizon DBIR 2025 betrafen 22 Prozent der Schwachstellen-Ausnutzungen Edge-Geräte und VPNs, fast achtmal so viel wie im Vorjahresbericht (Quelle: Verizon, DBIR 2025).
• ZTNA gewährt Zugriff auf Anwendungen statt auf das Netz. Das entspricht dem Zero-Trust-Grundsatz, die Verteidigung von statischen Netzgrenzen auf Nutzer, Geräte und Ressourcen zu verlagern (Quelle: NIST, SP 800-207, 11.08.2020).
• Gültige Zugangsdaten reichen Angreifern oft aus. In 56 Prozent der von Sophos 2024 untersuchten Fälle nutzten Angreifer externe Fernzugangsdienste mit gültigen Konten (Quelle: Sophos, Active Adversary Report 2025, 02.04.2025).
• SASE hat eigene Nachteile. Abhängigkeit vom Anbieter, Ausfallrisiko und die Frage der TLS-Inspektion müssen vor dem Wechsel bewertet werden (Quelle: Cloudflare, Postmortem vom 18.11.2025).
• Hersteller bauen klassische VPN-Funktionen um. Fortinet hat den SSL-VPN-Tunnelmodus ab FortiOS 7.6.3 durch IPsec-VPN ersetzt (Quelle: Fortinet, FortiOS 7.6.3 Release Notes).

Was ist ein VPN und was sind ZTNA und SASE?

Ein Virtual Private Network (VPN) verbindet ein Gerät über einen verschlüsselten Tunnel mit dem Firmennetz. Nach der Anmeldung erhält das Gerät in der Regel eine Adresse im internen Netz und kann alle Systeme erreichen, die die Netzregeln erlauben. Das VPN-Gateway steht dafür am Rand des Firmennetzes und ist aus dem Internet erreichbar.

Zero Trust Network Access (ZTNA) gewährt Zugriff auf einzelne Anwendungen. Vor jeder Verbindung prüft ein Vermittlungsdienst Identität, Gerätezustand und Kontext; das interne Netz bleibt für den Nutzer unsichtbar. Die Anwendungen selbst sind aus dem Internet nicht direkt erreichbar, weil ein Connector im Rechenzentrum die Verbindung von innen nach außen aufbaut.

Secure Access Service Edge (SASE) bündelt ZTNA mit weiteren Sicherheitsfunktionen wie Secure Web Gateway und Cloud Access Security Broker sowie mit der Standortvernetzung per SD-WAN als Cloud-Dienst oder miton-prem-devices (Quelle: Palo Alto Networks, Blog vom 06.11.2019 mit Gartner-Zitat). ZTNA ist damit ein Baustein von SASE, lässt sich aber auch einzeln einführen.

Worin unterscheiden sich SASE und VPN?

Welche Schwächen hat das klassische VPN?

Die größte Schwäche ist die Angriffsfläche. Ein VPN-Gateway ist aus dem Internet erreichbar und damit ein direkt ansprechbares Ziel. Die Liste aktiv ausgenutzter Schwachstellen der vergangenen zwei Jahre umfasst Produkte fast aller großen Hersteller:

Die Tabelle ist eine Auswahl. Sie zeigt ein herstellerübergreifendes Muster. Laut Verizon betrafen 22 Prozent der Schwachstellen-Ausnutzungen im DBIR 2025 Edge-Geräte und VPNs; bis zur vollständigen Behebung vergingen im Median 32 Tage (Quelle: Verizon, DBIR 2025). Der Cyberversicherer Coalition berichtet aus seinen eigenen Schadensfällen, dass 58 Prozent der Ransomware-Fälle 2024 mit der Kompromittierung von Perimetergeräten wie VPNs oder Firewalls begannen (Quelle: Coalition, Cyber Threat Index 2025, 11.03.2025). Die Zahl ist nicht repräsentativ für alle Unternehmen, bestätigt aber die Richtung.

Die zweite Schwäche ist der breite Zugriff. Wer sich mit gestohlenen Zugangsdaten am VPN anmeldet, bewegt sich im Netz. Sophos stellte in 56 Prozent der 2024 bearbeiteten Fälle fest, dass Angreifer externe Fernzugangsdienste mit gültigen Konten nutzten (Quelle: Sophos, Active Adversary Report 2025, 02.04.2025).

Welche Vorteile bietet SASE mit ZTNA?

• Kleinere Angriffsfläche. Es gibt kein öffentlich erreichbares Gateway im eigenen Netz, das Angreifer direkt ansprechen können.
• Begrenzter Schaden bei gestohlenen Zugangsdaten. Ein Konto erreicht nur die Anwendungen, für die es freigegeben ist und nur von Geräten, die die Richtlinien erfüllen.
• Gezielter Zugang für Dienstleister. Externe erhalten Zugriff auf genau die Systeme, die sie betreuen, oft ohne eigenen Client auf ihrem Gerät.
• Einheitliche Richtlinien. Zugriff aus dem Büro, von zu Hause oder unterwegs folgt denselben Regeln.
• Bessere Nachvollziehbarkeit. Zugriffe werden je Nutzer und Anwendung protokolliert, was Vorfallbearbeitung und Nachweise gegenüber Prüfern erleichtert.
• Weniger Betriebsaufwand für Gateways. Updates der Plattform liegen beim Anbieter; das Patchen eigener VPN-Appliances unter Zeitdruck entfällt.

Welche Nachteile und Grenzen hat SASE?

• Abhängigkeit vom Anbieter. Fällt der Dienst aus, ist der Zugriff betroffen. Ein Notfallzugang gehört deshalb zu jeder Planung.
• TLS-Inspektion. Um Webverkehr auf Schadcode und Datenabfluss zu prüfen, muss er entschlüsselt werden. Das britische NCSC empfiehlt, TLS-Inspektion nicht als Standardbestandteil des Internetzugangs zu behandeln und die Abwägungen zu dokumentieren (Quelle: NCSC, Zero Trust Network Access, 2026). In Deutschland sind Datenschutz und Mitbestimmung einzubeziehen.
• Migrationsaufwand. Anwendungen müssen einzeln erfasst und freigegeben werden. Ältere Anwendungen mit ungewöhnlichen Protokollen oder festen IP-Beziehungen erfordern zusätzliche Arbeit.
• Datenstandort. Verkehrs- und Protokolldaten werden beim Anbieter verarbeitet. Standorte und Vertragsbedingungen müssen geprüft werden, in regulierten Branchen besonders gründlich.
• Bindung an den Anbieter. Richtlinien und Konfigurationen sind anbieterspezifisch. Ein Wechsel erfordert Planung, weshalb ein Exit-Plan von Anfang an sinnvoll ist.

Wann ist ein VPN weiterhin sinnvoll?

Ein VPN kann seine Berechtigung behalten, wenn wenige Nutzer auf wenige Systeme zugreifen, wenn eine Anwendung technisch nicht über ZTNA erreichbar ist oder als eng begrenzter, stark gehärteter Notfallzugang für den Fall, dass der SASE-Dienst nicht verfügbar ist. Standortverbindungen zwischen Rechenzentren laufen ohnehin häufig über IPsec-Tunnel. Wichtig ist, dass verbleibende VPN-Gateways auf einem aktuellen Patchstand gehalten, mit Mehr-Faktor-Authentifizierung abgesichert und auf das Nötigste beschränkt werden.

Wie gelingt der Umstieg vom VPN auf ZTNA?

1. Bestandsaufnahme. Welche Nutzergruppen greifen über VPN auf welche Anwendungen zu? Die Protokolle der VPN-Gateways liefern dafür eine gute Grundlage.
2. Identität und Geräte vorbereiten. Anbindung an den zentralen Identitätsanbieter, Mehr-Faktor-Authentifizierung und Regeln für den Gerätezustand festlegen.
3. Mit einer Gruppe beginnen. Häufig eignen sich externe Dienstleister oder eine Fachabteilung mit überschaubarer Anwendungslandschaft.
4. Parallel betreiben. VPN und ZTNA laufen eine Zeit lang nebeneinander, bis alle Anwendungen einer Gruppe umgestellt sind.
5. VPN zurückbauen. Jedes abgeschaltete Gateway verkleinert die Angriffsfläche. Ein Notfallzugang bleibt dokumentiert bestehen.

Für Finanzinstitute kommen die Anforderungen aus DORA hinzu, etwa starke Authentifizierung für den Fernzugriff nach Artikel 21 der Delegierten Verordnung (EU) 2024/1774 (Quelle: Delegierte Verordnung (EU) 2024/1774). Details dazu beschreibt der Beitrag SASE unter DORA.

Fazit: Der Wechsel lohnt sich, wenn die Grenzen eingeplant sind

Das klassische VPN gewährt breiten Netzzugang über ein öffentlich erreichbares Gateway. Beides nutzen Angreifer seit Jahren gezielt aus. ZTNA im Rahmen von SASE begrenzt den Zugriff auf einzelne Anwendungen, prüft Identität und Gerät vor jeder Verbindung und verlagert den Betrieb der Zugangstechnik zum Anbieter. Dafür entstehen neue Abhängigkeiten und Fragen zu Datenstandort und TLS-Inspektion. Unternehmen, die Notfallzugang, Exit-Plan und Datenschutz von Beginn an mitplanen, nutzen die kleinere Angriffsfläche und halten die neuen Abhängigkeiten beherrschbar.