← Zurück zum Blog Netzwerk-Transformation · Standortanbindung

Zscaler Branch Connector: MPLS ablösen und Mikrosegmentierung nutzen

SD-WAN und Zscaler Branch Connector lösen unterschiedliche Aufgaben. Wer Transport, Zero-Trust-Sicherheit und East-West-Mikrosegmentierung gemeinsam plant, kann MPLS kontrolliert ablösen und Standorte zugleich granularer schützen.

SourcingBlox GmbH · Lesezeit ca. 8 Minuten

Standortanbindung per SD-WAN und Zero Trust, symbolisch

Wer heute die Standortanbindung modernisiert, stößt schnell auf zwei Begriffe, die oft in einen Topf geworfen werden: SD-WAN und der Zscaler Branch Connector. Beide werden als Weg beworben, um teure MPLS-Leitungen abzulösen. Das führt zu der falschen Annahme, es handele sich um konkurrierende Produkte, bei denen man sich für eines entscheiden muss. Tatsächlich setzen sie an verschiedenen Stellen an. Der Unterschied entscheidet darüber, was in Ihrer Umgebung sinnvoll ist.

SD-WAN: Transport intelligent steuern

SD-WAN denkt vom Netz her. Der Kern ist, mehrere Leitungen, etwa Breitband, LTE oder verbliebene MPLS-Strecken, zu bündeln und den Verkehr anwendungsbewusst über die jeweils beste Strecke zu lenken. Fällt eine Leitung aus, übernimmt eine andere. Fürs Unternehmen bedeutet das mehr Ausfallsicherheit und geringere Transportkosten als mit reinem MPLS, weil günstige Breitbandanschlüsse einen Teil der Last tragen. SD-WAN ist stark, wo es um Leitungsvielfalt, Priorisierung und Verfügbarkeit geht.

Was SD-WAN im Kern nicht mitbringt, ist die Sicherheitsebene. Die Schutzfunktionen müssen ergänzt werden, klassisch über lokale Firewalls je Standort oder über eine zusätzliche Sicherheitsplattform. Genau an dieser Stelle setzt der zweite Ansatz an.

Zscaler Branch Connector: Zugriff und Sicherheit aus der Cloud

Der Zscaler-Weg denkt vom Zugriff und von der Sicherheit her. Der Standort wird direkt an die cloudbasierte Zero Trust Exchange angebunden, die inline im Datenstrom sitzt. Schutzfunktionen wie Cloud-Firewall, IPS, Sandboxing, DLP und SSL-Inspektion sind dort bereits enthalten, statt an jedem Standort als eigene Appliance betrieben zu werden. Neue Standorte lassen sich per Plug-and-Play anbinden, ohne dass vor Ort eine komplexe Sicherheitsinfrastruktur aufgebaut werden muss. Über ZIA für den Internetzugriff und ZPA für den Zugriff auf interne Anwendungen entsteht durchgängige Zero-Trust-Sicherheit inklusive Mikrosegmentierung.

Der Kernunterschied in einem Satz: SD-WAN optimiert, wie der Verkehr transportiert wird. Der Zscaler Branch Connector bestimmt, wie sicher und regelbasiert auf Ziele zugegriffen wird. Das eine ersetzt das andere nicht automatisch.

Zscaler Branch und Mikrosegmentierung: der /32-Vorteil

In klassischen Standortarchitekturen wird Mikrosegmentierung häufig über zusätzliche VLANs, Firewall-Zonen, Access-Listen oder separate Overlay-Technik geplant. Der Anspruch ist sinnvoll: Ein kompromittiertes Gerät soll nicht automatisch weitere Systeme am Standort oder in anderen Netzen erreichen. In der Praxis bleibt die Segmentierung jedoch oft grob, weil jedes zusätzliche Netz und jede neue Regel den Betriebsaufwand erhöht.

Zscaler beschreibt für Branch Connector ausdrücklich eine Grundlage für East-West-Segmentierung, die laterale Bewegung begrenzen kann. Der entscheidende Architekturwechsel lautet: Ein Gerät oder Standort erhält nicht pauschal Zugriff auf ein Netz, sondern nur auf die benötigten Anwendungen und Ziele. ZPA versteckt private Anwendungen hinter anwendungsbezogenen Zugriffspfaden; ZIA und die Branch-Policies kontrollieren Internet-, SaaS- und weitere definierte Verbindungen.

Ein zusätzlicher Vorteil entsteht, wenn Geräte oder Quellen im Standortdesign bewusst als einzelne Hostadressen modelliert werden. Eine einzelne IPv4-Adresse entspricht technisch einem /32-Präfix. Statt ein gesamtes /24- oder VLAN-Segment als gemeinsame Policy-Einheit zu behandeln, kann damit jede Quelle einer eigenen, eng begrenzten Kommunikationsbeziehung zugeordnet werden. Die gewünschte Mikrosegmentierung wird so nicht als separates Netzprojekt aufgesetzt, sondern kann als Teil der Branch-Transformation mitentstehen.

Wichtige Abgrenzung: Der Branch Connector erzeugt nicht allein durch seine Installation automatisch eine vollständige Mikrosegmentierung. Der /32-Ansatz benötigt eine belastbare Geräte-zu-IP-Zuordnung, definierte Zielbeziehungen, passende ZIA-/ZPA-Policies, eine Behandlung gemeinsamer Infrastruktur und einen Pilot mit negativen Testfällen. Ob und wie Hostadressen bereitgestellt werden, muss im konkreten DHCP-, Routing- und Branch-Design verifiziert werden.

Vergleich auf einen Blick

Kriterium	SD-WAN	Zscaler Branch Connector
Primärer Fokus	Transport, Leitungssteuerung, Verfügbarkeit	Zugriff und Sicherheit aus der Cloud
Sicherheitsfunktionen	separat zu ergänzen (lokal oder Cloud)	inline enthalten (Firewall, IPS, SSL-Inspektion, DLP, Sandbox)
Lokale Firewall am Standort	meist weiter nötig	oft entbehrlich, weil zentral in der Cloud
Rollout neuer Standorte	Konfiguration je Standort	Plug-and-Play-Anbindung an die Cloud
Mikrosegmentierung	zusätzliche Segmentierungs- und Policy-Ebene erforderlich	East-West-Segmentierung und anwendungsbezogene Policies; mit sauberer /32-Modellierung hostgenau umsetzbar

Wann welcher Ansatz passt

Die ehrliche Antwort lautet: Es kommt auf das vorrangige Ziel an.

Steht Transport im Vordergrund, etwa mehrere Leitungen je Standort, hohe Verfügbarkeitsanforderungen oder aufwendige Priorisierung von Echtzeit-Anwendungen, spielt SD-WAN seine Stärke aus.
Steht Sicherheit und Zugriff im Vordergrund, etwa durchgängige Zero-Trust-Absicherung, weniger lokale Appliances und ein einfacher Rollout vieler Standorte, führt der Zscaler-Weg schneller ans Ziel.
In vielen realen Projekten ist es eine abgestimmte Kombination: SD-WAN sorgt für robusten, günstigen Transport, während der Zscaler Branch Connector Sicherheit und Zugriff aus der Cloud liefert und lokale Firewalls reduziert.

Wichtig bei der Entscheidung: Rechnen Sie nicht nur die Leitung, sondern die Gesamtkosten inklusive lokaler Firewalls, deren Wartung, Patch-Zyklen und dem Personalaufwand pro Standort. Genau dort entstehen die stillen Kosten, die reine Leitungsvergleiche übersehen.

Der Weg von MPLS zur richtigen Kombination

Standort-Inventur: Wie viele Standorte, welche Leitungen, welche lokale Sicherheitsinfrastruktur ist im Einsatz?
Ziele klären: Steht Transportkosten und Verfügbarkeit im Vordergrund, oder Zero-Trust-Sicherheit und Rollout-Tempo?
Gesamtkosten rechnen: Leitungen, Appliances, Wartung und Betrieb je Standort gegenüberstellen, nicht nur den Leitungspreis.
Zielbild festlegen: SD-WAN, Zscaler-Branch oder eine Kombination, abgestimmt auf die Standortprofile.
Schrittweise migrieren: mit unkritischen Standorten starten, Erfahrungen sammeln, dann skalieren.

Wie sich der Umstieg konkret rechnet, können Sie mit unserem Kostenrechner MPLS zu Zero Trust selbst durchspielen. Er arbeitet mit Ihren eigenen, editierbaren Annahmen und kommt bewusst ohne erfundene Vendor-Preise aus.

Den passenden Weg für Ihre Standorte finden

Wir analysieren Ihre Standortlandschaft und zeigen, wo SD-WAN, wo der Zscaler Branch Connector und wo eine Kombination am meisten bringt. Neutral, an Ihren Zielen und Ihrer Kostenstruktur orientiert.

Beratungstermin vereinbaren

Häufige Fragen

Was ist der Unterschied zwischen SD-WAN und dem Zscaler Branch Connector?

SD-WAN optimiert primär den Transport: Es bündelt und steuert Leitungen, um Standorte flexibel und günstiger als mit reinem MPLS zu verbinden. Der Zscaler Branch Connector bringt den Standort direkt und sicher an die cloudbasierte Zero Trust Exchange, in der Schutzfunktionen bereits enthalten sind.

Ersetzt Zero Trust am Standort die lokale Firewall?

In vielen Fällen ja. Weil der Verkehr über die Zero Trust Exchange läuft, sind Firewall-, IPS-, Sandbox- und DLP-Funktionen zentral verfügbar. Für kleinere und mittlere Standorte kann das die lokale Appliance überflüssig machen. Für spezielle lokale Anforderungen kann eine Restfunktion sinnvoll bleiben.

Muss ich mich zwischen SD-WAN und Zscaler entscheiden?

Nicht zwingend. Beide Ansätze lassen sich kombinieren: SD-WAN optimiert den Transport, der Zscaler-Weg liefert Sicherheit und Zugriff aus der Cloud. Entscheidend ist das vorrangige Ziel, oft ist eine abgestimmte Kombination die beste Antwort.

Erzeugt Zscaler Branch Connector automatisch Mikrosegmentierung?

Er schafft mit anwendungsbezogenen Policies und East-West-Segmentierung eine starke Grundlage. Werden Geräte oder Quellen bewusst als einzelne /32-Hostadressen modelliert, lassen sich Beziehungen sehr granular begrenzen. IP-Zuordnung, Policies, Ausnahmen und negative Testfälle müssen jedoch im konkreten Design geprüft werden.

Quellen & weiterführend:

Zscaler: What Is Zscaler Branch Connector? – anwendungsbezogener Zugriff, East-West-Segmentierung und Begrenzung lateraler Bewegung.
Zscaler: Configuring Traffic Forwarding Rules – einzelne Quell-IP-Adressen, Subnetze und IP-Bereiche als Regelkriterien.
SourcingBlox, Kostenrechner MPLS zu Zero Trust (editierbare Annahmen, ohne erfundene Vendor-Preise).
SourcingBlox, Beitrag „MPLS ablösen mit Zero Trust: Kosten, Vorgehen, Fallstricke".