Praxisbeispiel SASE/SSE: Ein Regelwerk für zwölf Länder
Standorte und Nutzer in zwölf europäischen Ländern, ein gemeinsames Zugriffs- und Sicherheitsmodell: KAEMI hat bei einem Schweizer Retail-Unternehmen SASE/SSE mit Cloudflare One eingeführt und managt die Plattform seither vollständig, bis hin zur direkten Bearbeitung der Tickets.
Die Ausgangslage
Zwölf Länder, gewachsene Strukturen: Der Zugriff auf interne Anwendungen und der Weg ins Internet waren über die Jahre je Land unterschiedlich gelöst worden. Jede Insel funktionierte für sich, aber niemand konnte Sicherheit und Zugriff über alle Länder hinweg einheitlich steuern, und jede Änderung bedeutete Handarbeit an mehreren Stellen.
Dazu kam die Arbeitsrealität: Beschäftigte arbeiten am Standort, im Homeoffice und unterwegs. Ein Sicherheitsmodell, das an der Bürotür endet, passt dazu nicht mehr. Gesucht war ein Ansatz, der Zugriff und Schutz an die Identität knüpft statt an den Ort, und der sich zentral steuern lässt.
Die Antwort: SASE/SSE auf Basis von Cloudflare One, eingeführt von KAEMI als Cloudflare-Partner und seither im Full-Managed-Service betreut. Wie üblich bei Referenzen nennen wir den Kunden hier nicht namentlich.
Das Projekt im Überblick
- Branche
- Retail
- Sitz
- Schweiz, Standorte und Nutzer in 12 Ländern Europas
- Lösung
- SASE/SSE mit Cloudflare One
- Umfang
- Zero Trust Network Access, Secure Web Gateway, DNS-Filter
- Leistung
- Full-Managed-Service: 24/7-Management inklusive direkter Ticketbearbeitung
Auf Wunsch des Kunden anonymisiert.
Der Ansatz
Warum SASE/SSE hier der passende Weg war
SASE/SSE verlagert Zugriffskontrolle und Web-Sicherheit an die Edge: nah am Nutzer, zentral gesteuert. Sechs Gründe gaben in diesem Projekt den Ausschlag.
Zugriff nach Identität, nicht nach Netz
Klassischer Fernzugriff stellt Nutzer ins Netz, Zero Trust Network Access stellt sie vor die Anwendung: Wer sich anmeldet, bekommt genau die Anwendungen seiner Rolle, geprüft bei jedem Zugriff. Das verkleinert die Angriffsfläche, die ein einzelnes kompromittiertes Konto öffnet.
Coffee-Shop-Networking
Die Nutzer sind stark verteilt, vom Standort über das Homeoffice bis unterwegs. Das Modell behandelt deshalb jedes Netz wie das WLAN eines Cafés: Dem Transportnetz wird nicht vertraut, Sicherheit und Zugriff kommen von der Edge. Das Büronetz ist damit kein Sonderfall mehr, sondern ein Netz von vielen.
Device Posture
Nicht nur wer zugreift zählt, auch womit: Der Gerätezustand fließt in die Zugriffsentscheidung ein, etwa ob das Gerät verwaltet ist, die Festplatte verschlüsselt und der Schutz aktuell. Ein Konto auf einem unbekannten oder ungepflegten Gerät bekommt weniger oder gar keinen Zugriff.
Zwölf Länder, ein Regelwerk
Vor dem Projekt wuchsen die Länder-Setups unabhängig voneinander: unterschiedliche Konfigurationen, unterschiedliche Pflege. Mit SASE/SSE gelten die Richtlinien zentral und wirken überall gleich, ohne dass der Verkehr Umwege über ein zentrales Rechenzentrum nimmt.
Gleicher Schutz an jedem Ort
Ob Standort, Homeoffice oder unterwegs: Web-Zugriffe laufen durch dieselben Sicherheitsfunktionen, vom DNS-Filter bis zum Secure Web Gateway. Der Schutz hängt nicht mehr davon ab, in welchem Land oder Netz jemand gerade arbeitet.
Plattform plus Management
Eine SASE/SSE-Plattform ist nur so gut wie ihre Pflege: Richtlinien ändern sich, Anwendungen kommen dazu, Nutzer haben Fragen. Deshalb war das Betriebsmodell Teil des Designs: Full-Managed-Service durch KAEMI, inklusive direkter Bearbeitung der Tickets.
Die Lösung
Was Cloudflare One in diesem Projekt übernimmt
Drei Bausteine tragen das Modell. Alle drei laufen über dieselbe Plattform und folgen demselben Regelwerk, vom ersten bis zum zwölften Land.
Zero Trust Network Access
Der Zugriff auf interne Anwendungen läuft über Cloudflare One statt über klassische VPN-Tunnel: Identität, Gerät und Kontext entscheiden, was erreichbar ist. Neue Anwendungen werden veröffentlicht, indem eine Richtlinie entsteht, nicht ein neuer Tunnel.
Secure Web Gateway und DNS-Filter
Der Weg ins Internet wird an der Cloudflare-Edge gefiltert: bekannte Schadquellen, Phishing-Domains und unerwünschte Kategorien, für alle Nutzer in allen zwölf Ländern nach demselben Regelwerk. Lokale Breakouts halten die Wege kurz.
Eine Konsole für alles
Zugriffe, Richtlinien und Protokolle liegen in einer Verwaltungsoberfläche statt in einem Dutzend Länder-Insellösungen. Das macht Änderungen nachvollziehbar und ist die Grundlage dafür, dass KAEMI den Dienst als Ganzes managen kann.
Das Vorgehen
In vier Phasen zum gemanagten SASE/SSE
Zwölf Länder stellt niemand an einem Wochenende um. Der Rollout folgte deshalb dem Prinzip: erst beweisen, dann ausweiten, und die Rückfallebene bleibt, bis sie niemand mehr braucht.
-
Analyse und Zielbild
Welche Anwendungen, welche Nutzergruppen, welche Zugriffswege in welchem Land: Erst wurde die vorhandene Zugriffslandschaft aufgenommen, dann das Policy-Modell entworfen. Ein Zielbild für alle zwölf Länder statt zwölf Einzellösungen.
-
Pilot mit echten Nutzern
Eine Pilotgruppe arbeitete zuerst über Cloudflare One, parallel zum bestehenden Zugang. So zeigten sich Sonderfälle wie Altanwendungen und länderspezifische Besonderheiten, bevor sie den Rollout hätten bremsen können.
-
Rollout Land für Land
Danach die schrittweise Umstellung über die Länder, Nutzergruppe für Nutzergruppe, im laufenden Geschäft. Die alte Zugangstechnik blieb je Land so lange als Rückfallebene, bis die neue Plattform sich im Alltag bewiesen hatte.
-
Full-Managed-Service
Seit dem Go-live managt KAEMI die Plattform vollständig: Richtlinien, Änderungen, Monitoring und die direkte Bearbeitung der Tickets, von der ersten Meldung bis zur Lösung. Das interne Team gibt Anforderungen vor, den Rest übernimmt KAEMI.
Das Ergebnis
Was das Unternehmen heute hat
- Ein Regelwerk für Zugriff und Web-Sicherheit in zwölf Ländern statt gewachsener Einzel-Setups.
- Zugriff auf interne Anwendungen nach Identität und Kontext, geprüft bei jedem Zugriff.
- Nutzer sind an jedem Arbeitsort gleich geschützt, vom Standort bis zum Homeoffice.
- Eine Verwaltungsoberfläche für Richtlinien und Protokolle, nachvollziehbar für Prüfungen und Audits.
- Full-Managed-Service durch KAEMI: Plattform, Änderungen und Monitoring aus einer Hand.
- Tickets landen direkt bei KAEMI und werden dort bis zur Lösung bearbeitet, ohne Umweg über das interne Team.
SASE/SSE für Ihre Standorte, gemanagt von KAEMI
Im gemeinsamen Analyse-Workshop schauen wir auf Ihre Zugriffswege und zeigen, wie ein SASE/SSE-Modell für Ihre Standorte aussehen kann, bis hin zum Full-Managed-Service. Unverbindlich und auf Ihre Umgebung bezogen.