SASE & Cloud-Security für Finanzinstitute: Architektur, Aufsicht, Umsetzung

Das Wichtigste im Überblick

• SASE bündelt Netzwerk und Sicherheit als Cloud-Dienst. Gartner beschrieb SASE 2019 als Kombination aus WAN-Funktionen und Netzwerksicherheit wie SWG, CASB, FWaaS und ZTNA (Quelle: Palo Alto Networks, Blog vom 06.11.2019 mit Gartner-Zitat).
• Der Fernzugang ist ein bevorzugtes Einfallstor. Im Verizon Data Breach Investigations Report 2025 betrafen 22 Prozent der Schwachstellen-Ausnutzungen Edge-Geräte und VPNs, nach 3 Prozent im Vorjahresbericht (Quelle: Verizon, DBIR 2025).
• DORA regelt die digitale operationale Resilienz von Finanzunternehmen. Die ergänzende Delegierte Verordnung (EU) 2024/1774 konkretisiert in Artikel 13 Anforderungen an das Management der Netzwerksicherheit. Dazu gehören unter anderem die Trennung und Segmentierung von IKT-Systemen und Netzwerken unter Berücksichtigung ihrer Kritikalität, Klassifizierung und ihres Risikoprofils, die Dokumentation sämtlicher Netzwerkverbindungen und Datenflüsse sowie die risikobasierte Verschlüsselung von Netzwerkverbindungen, einschließlich solcher über öffentliche und fremde Netze. (Quelle: Delegierte Verordnung (EU) 2024/1774).
• Dienstleister sind die häufigste Einzelursache. Rund 50 Prozent der 2025 an die BaFin gemeldeten IKT-Vorfälle hatten ihre Ursache bei einer Drittpartei (Quelle: BaFin, IKT-Vorfälle 2025).
• Der Markt konsolidiert sich. Gartner empfiehlt, SASE auf ein oder zwei ausdrücklich partnerschaftlich verbundene Anbieter zu konsolidieren (Quelle: Gartner, Strategic Roadmap for SASE Convergence, 23.06.2025).

Was ist SASE und aus welchen Bausteinen besteht es?

Der Begriff stammt von Gartner. Im Bericht „The Future of Network Security Is in the Cloud“ vom 30. August 2019 beschreiben die Analysten Neil MacDonald, Lawrence Orans und Joe Skorupa SASE als neues Angebot, das umfassende WAN-Funktionen mit umfassenden Netzwerksicherheitsfunktionen wie SWG, CASB, FWaaS und ZTNA verbindet, um den dynamischen Zugriffsbedarf digitaler Unternehmen abzudecken. Der Grundgedanke: Sicherheitsprüfungen finden nicht mehr an einem zentralen Perimeter im eigenen Rechenzentrum statt, sondern an weltweit verteilten Zugangspunkten (Points of Presence, PoPs) eines Cloud-Dienstes, möglichst nahe am Nutzer (Quelle: Gartner, The Future of Network Security Is in the Cloud, G00441737, 30.08.2019). Die Bausteine werden in Deutschland überwiegend mit ihren englischen Bezeichnungen verwendet:

Die Tabelle beschreibt Funktionsgruppen. Welche davon ein Produkt tatsächlich abdeckt, unterscheidet sich je Anbieter erheblich.

Warum ist SASE für Banken und Finanzinstitute ein Thema?

Drei Entwicklungen treffen im Finanzsektor zusammen: eine hohe Bedrohungslage, verwundbare Fernzugangstechnik und eine Aufsicht, die Nachweise verlangt.

Die Bedrohungslage. Der Internationale Währungsfonds hält fest, dass fast ein Fünftel der gemeldeten Cybervorfälle der vergangenen zwei Jahrzehnte den Finanzsektor betraf; die direkten Verluste summieren sich seit 2004 auf fast 12 Milliarden US-Dollar (Quelle: IWF, Global Financial Stability Report, April 2024, Kapitel 3). ENISA zählte für Januar 2023 bis Juni 2024 488 öffentlich gemeldete Vorfälle im europäischen Finanzsektor; Banken waren mit 46 Prozent (301 Vorfälle) am häufigsten betroffen (Quelle: ENISA, Threat Landscape: Finance Sector, Februar 2025). In den Untersuchungen von Mandiant war Financial Services 2024 mit 17,4 Prozent die am häufigsten betroffene Branche (Quelle: Mandiant, M-Trends 2025).

Die Fernzugangstechnik. VPN-Gateways und andere Geräte am Netzrand sind zum bevorzugten Ziel geworden. Verizon verzeichnete im DBIR 2025 einen Anteil von 22 Prozent Edge-Geräten und VPNs an den ausgenutzten Schwachstellen, fast achtmal so viel wie im Vorjahr; bis zur vollständigen Behebung vergingen im Median 32 Tage (Quelle: Verizon, DBIR 2025). Die Liste aktiv ausgenutzter Lücken umfasst Produkte nahezu aller großen Hersteller, etwa Ivanti Connect Secure (Quelle: NVD, CVE-2025-0282), Palo Alto GlobalProtect (Quelle: NVD, CVE-2024-3400) und Citrix NetScaler Gateway (Quelle: NVD, CVE-2025-5777).

Die Arbeitsweise. Mobiles Arbeiten ist in der Branche verbreitet. Bei Versicherungen, Rückversicherungen und Pensionskassen arbeiteten 2025 laut Statistischem Bundesamt 68 Prozent der Erwerbstätigen zumindest gelegentlich im Homeoffice (Quelle: Destatis, Pressemitteilung vom 22.04.2026). In Stellenanzeigen für Finanz- und Versicherungsdienstleistungen wurde Homeoffice im August 2026 in 42 Prozent der Fälle angeboten (Quelle: ifo Institut, Pressemitteilung vom 07.09.2026).

Die Analysen für den Security Navigator 2026 zeigen ebenfalls eine steigende Zahl der Opfer von Cyber-Erpressung in der Finanz- und Versicherungsbranche um 71 Prozent.

Welche Anforderungen stellen DORA und BaFin an Netzwerk und Cloud?

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act, DORA) gilt seit dem 17. Januar 2025 unmittelbar (Quelle: BaFin, Meldung „DORA kommt“). Für eine SASE-Einführung sind vier Regelungsbereiche entscheidend.

1. Netzwerksicherheit. Artikel 13 der Delegierten Verordnung (EU) 2024/1774 verlangt Richtlinien, Verfahren und Werkzeuge für das Netzwerksicherheitsmanagement. Dazu gehören die Trennung und Segmentierung von Systemen und Netzen nach Kritikalität, die Dokumentation aller Netzwerkverbindungen und Datenflüsse, ein separates Netz für die Administration, Netzwerkzugangskontrollen gegen nicht autorisierte oder nicht konforme Endgeräte, die Verschlüsselung von Verbindungen über öffentliche und fremde Netze, die Absicherung des Verkehrs zwischen internem Netz und Internet sowie das Beenden inaktiver Sitzungen (Quelle: Delegierte Verordnung (EU) 2024/1774, Art. 13). Artikel 21 derselben Verordnung fordert starke Authentifizierung für den Fernzugriff auf das Netz des Finanzunternehmens, Artikel 12 eine manipulationsgeschützte Protokollierung, die auch Netzwerkaktivitäten umfasst (Quelle: Delegierte Verordnung (EU) 2024/1774).
    
2. Drittparteienrisiko. Ein SASE-Dienst ist eine IKT-Dienstleistung eines Drittanbieters. Er gehört in das Informationsregister nach der Durchführungsverordnung (EU) 2024/2956, das der BaFin jährlich bis zum 31. März über die Melde- und Veröffentlichungsplattform zu übermitteln ist (Quelle: BaFin, Fachartikel vom 15.01.2025). Für Dienstleistungen, die kritisch wichtige Funktionen unterstützen, verlangt die Delegierte Verordnung (EU) 2024/1773 einen dokumentierten und getesteten Exit-Plan je Vertrag (Quelle: Delegierte Verordnung (EU) 2024/1773, Art. 10).
    
3. Vorfallmeldung. Schwerwiegende IKT-Vorfälle sind spätestens vier Stunden nach der Einstufung und höchstens 24 Stunden nach Kenntnis zu melden; Kreditinstitute können die Erstmeldung nicht auf den nächsten Werktag verschieben (Quelle: Delegierte Verordnung (EU) 2025/301, Art. 5). Die Protokolle des SASE-Dienstes müssen deshalb schnell und vollständig in die eigene Vorfallbearbeitung fließen.
    
4. Nationale Regeln. Die BAIT gelten nicht mehr für Institute, die DORA anwenden und werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben (Quelle: BaFin, Meldung „DORA kommt“). Die Auslagerungsregeln der MaRisk (AT 9) sind laut BaFin grundsätzlich weiterhin parallel zu beachten (Quelle: BaFin, FAQ zu DORA).

Wie sich diese Anforderungen in eine SASE-Architektur übersetzen lassen, beschreibt der Beitrag SASE unter DORA im Detail.

Wie hängen Zero Trust, SSE und SASE zusammen?

Zero Trust ist das Sicherheitsprinzip, SASE eine Architektur, mit der es sich umsetzen lässt. Das National Institute of Standards and Technology beschreibt Zero Trust als Verlagerung der Verteidigung von statischen, netzbasierten Perimetern hin zu Nutzern, Geräten und Ressourcen (Quelle: NIST, SP 800-207, 11.08.2020). Das BSI versteht Zero Trust als Architekturparadigma, das aus dem „Assume Breach“-Ansatz entwickelt wurde und auf dem Prinzip minimaler Rechte aller Entitäten beruht (Quelle: BSI, Zero Trust).

Security Service Edge (SSE) bezeichnet die Sicherheitsfunktionen von SASE ohne den Netzwerkteil. Gartner führte den Begriff 2021 ein; SSE umfasst im Kern SWG, CASB und ZTNA, also SASE ohne SD-WAN (Quelle: Network World, 07.03.2022). Für Banken ist diese Unterscheidung relevant: Viele Häuser betreiben ihr Filialnetz über bestehende Verträge mit Carriern oder einem Rechenzentrumsdienstleister und beginnen deshalb mit SSE.

Für die Einordnung des eigenen Reifegrads eignet sich das Zero Trust Maturity Model 2.0 der CISA, das auch dem privaten Sektor zur Nutzung empfohlen wird (Quelle: CISA, Meldung vom 11.04.2023).

Welche Risiken bringt SASE selbst mit?

SASE verlagert Kontrolle zu einem Anbieter. Daraus ergeben sich vier Risiken, die ein Finanzinstitut vor der Entscheidung bewerten sollte.

Abhängigkeit und Ausfall. Wenn der Dienst ausfällt, ist der Zugriff betroffen. Bei Cloudflare scheiterten am 18. November 2025 zwischen 11:20 und 13:05 UTC neue Anmeldungen über Cloudflare Access (Quelle: Cloudflare, Postmortem vom 18.11.2025). Am 12. Juni 2025 waren Access, die WARP-Verbindungen und der Gateway-Proxy betroffen, ausgelöst durch den Ausfall eines externen Cloud-Anbieters (Quelle: Cloudflare, Postmortem vom 12.06.2025). Die Beispiele betreffen einen Anbieter, das Muster gilt für alle Cloud-Dienste.

Konzentration. Die EZB stellte fest, dass die von ihr beaufsichtigten Banken die Hälfte ihres IKT-Budgets für Drittanbieter bei nur 30 Anbietern ausgeben und der Anteil kritischer Verträge mit Anbietern außerhalb der EU von 22 auf 27 Prozent gestiegen ist (Quelle: EZB, Supervision Newsletter vom 19.02.2025). Auf der ersten Liste kritischer IKT-Drittdienstleister der europäischen Aufsichtsbehörden vom 18. November 2025 steht kein reiner SASE-Anbieter (Quelle: ESAs, Liste der CTPPs). Die Überwachung dieser Anbieter liegt damit vollständig beim einzelnen Institut.

TLS-Inspektion und Datenschutz. Um verschlüsselten Verkehr zu prüfen, muss der Dienst ihn entschlüsseln. Das britische NCSC empfiehlt, TLS-Inspektion nicht als Standardbestandteil des Internetzugangs zu behandeln und die Abwägungen ausdrücklich zu dokumentieren (Quelle: NCSC, Zero Trust Network Access, 2026). In Deutschland kommen Mitbestimmung und Datenschutz hinzu.

Datenstandort und Souveränität. Gartner erwartet, dass bis 2027 30 Prozent der Organisationen umfassende Souveränität über ihre Cloud-Sicherheitskontrollen verlangen werden (Quelle: Netskope, Pressemitteilung vom 31.07.2026 mit Gartner-Prognose). Mehrere Anbieter haben darauf mit europäischen oder deutschen Betriebsmodellen reagiert.

Wie entwickelt sich der SASE-Markt?

Gartner prognostizierte im Februar 2025 für SASE ein jährliches Wachstum von 26 Prozent auf 28,5 Milliarden US-Dollar bis 2028 (Quelle: Gartner, Forecast Analysis: SASE, Worldwide, 05.02.2025). Dell'Oro meldete für das erste Quartal 2026 einen Umsatz von über 3 Milliarden US-Dollar, ein Plus von 21 Prozent gegenüber dem Vorjahresquartal (Quelle: Dell'Oro Group, 16.06.2026).

Inhaltlich geht der Trend zur Plattform aus einer Hand. Nach einer Gartner-Prognose werden 2028 50 Prozent der neuen SASE-Einführungen auf einer Single-Vendor-Plattform beruhen, nach 30 Prozent im Jahr 2025 (Quelle: Netskope, Pressemitteilung vom 31.07.2026 mit Gartner-Prognose). Im Magic Quadrant for SASE Platforms vom 28. Juli 2026 hat Gartner zwölf Anbieter bewertet (Quelle: Gartner, Magic Quadrant for SASE Platforms, 28.07.2026).

Wie gehen Finanzinstitute bei der Einführung vor?

Die Einführung einer SASE-Architektur erfolgt in Finanzinstituten typischerweise schrittweise und erfordert neben technischen auch organisatorische und regulatorische Vorbereitungen. Über das eigentliche Projektmanagement hinaus sind insbesondere folgende Umsetzungsschritte relevant:

1. Zugänge erfassen. Alle Verbindungen, Datenflüsse und Fernzugänge dokumentieren, einschließlich der Dienstleisterzugänge. Das ist ohnehin nach Artikel 13 der Delegierten Verordnung (EU) 2024/1774 gefordert (Quelle: Delegierte Verordnung (EU) 2024/1774).
2. Anwendungsfälle priorisieren. Häufig liefern der Fernzugriff externer Dienstleister und das mobile Arbeiten den schnellsten Sicherheitsgewinn, weil dort heute die breitesten Netzzugänge bestehen.
3. Architektur entscheiden. Single-Vendor oder zwei partnerschaftlich verbundene Anbieter, SSE zuerst oder SASE mit SD-WAN, Cloud-PoPs oder souveräne Betriebsform.
4. Drittparteienprozess durchlaufen. Risikoanalyse, Vertragsgestaltung nach Artikel 30 DORA, Eintrag ins Informationsregister, Exit-Plan und Prüfrechte vor dem Produktivstart.
5. Pilotieren und parallel betreiben. Eine Nutzergruppe und eine Anwendungsgruppe umstellen, Ausfallszenarien testen, Protokolle an das SIEM anbinden.
6. VPN zurückbauen. Jedes abgeschaltete Gateway verkleinert die Angriffsfläche. Ein kontrollierter Notfallzugang bleibt bestehen.

Wie hängen die Beiträge dieses Themenclusters zusammen?

Dieser Leitfaden gibt den Rahmen vor. Die vertiefenden Beiträge beantworten je eine Frage:

Fazit: SASE ist eine Architektur- und eine Aufsichtsentscheidung

SASE adressiert zwei Schwachstellen, die in Banken besonders schwer wiegen: breite Netzzugänge über angreifbare VPN-Gateways und fehlende Transparenz über Verbindungen und Datenflüsse. Die Architektur passt zu den Anforderungen, die DORA an Segmentierung, Verschlüsselung, starke Authentifizierung und Protokollierung stellt. Sie schafft aber eine neue, zentrale Abhängigkeit, die im Drittparteienmanagement, im Exit-Plan und in der Notfallplanung abgebildet sein muss. Wer beide Seiten von Anfang an zusammen plant, kann die Einführung gegenüber Aufsicht und Revision begründen.