EU Zero Trust Networking Comparison Finale 2026: Palo Alto vs Cloudflare vs Cisco vs Netskope

Post #1227 — Abschluss der sota.io EU Zero Trust Networking Serie (5/5)

Die EU-Zero-Trust-Networking-Serie ist abgeschlossen. In vier Einzelanalysen haben wir Palo Alto Prisma Access (CLOUD Act 23/25), Cloudflare One (23/25), Netskope (20/25) und Cisco Secure Access (21/25) untersucht. Dieser Finale-Post fasst zusammen: Welche Plattform weist das höchste GDPR-Risiko auf, wann sind EU-native ZTNA-Lösungen die bessere Wahl, und wie sieht ein realistischer Migrationspfad aus?

Die Serie im Überblick

Zero-Trust-Netzwerklösungen — ob als ZTNA (Zero Trust Network Access), SASE (Secure Access Service Edge) oder SSE (Security Service Edge) vermarktet — teilen eine entscheidende Eigenschaft: Sie positionieren sich inline im Netzwerkpfad. Jede HTTP-Anfrage, jede DNS-Query, jeder TLS-handshake zwischen Ihren Mitarbeitern und dem Internet läuft durch die Infrastruktur des Anbieters.

Das ist grundlegend anders als ein Security-Monitoring-Tool, das nach dem Fakt Ereignisse analysiert. Ein ZTNA-Anbieter unter US-Jurisdiktion erhält auf Basis eines CLOUD-Act-Beschlusses Zugriff auf alle Netzwerkverbindungsdaten Ihrer Organisation — in Echtzeit oder historisch. Diese Daten umfassen nicht nur Metadaten, sondern bei aktivierter TLS-Inspektion auch entschlüsselte HTTP-Inhalte.

Die vier analysierten US-Anbieter kontrollieren zusammen über 65% des globalen Enterprise-ZTNA/SASE-Markts (Gartner SSE Magic Quadrant 2025). Alle vier sind in den USA inkorporiert, alle vier unterliegen dem CLOUD Act, und alle vier verarbeiten Daten, die gemäß GDPR Art. 4(1) als personenbezogen einzustufen sind.

CLOUD Act Matrix: Alle vier im direkten Vergleich

Dimension 1: Unternehmensstruktur und US-Jurisdiktion (max. 5 Punkte)

Alle vier Anbieter erreichen den Maximal-Score in D1. Die Corporate-Struktur allein bietet keine Möglichkeit zur CLOUD-Act-Risikominimierung, solange das Mutterunternehmen US-registered bleibt.

Dimension 2: US-Regierungsverträge und Sicherheitsfreigaben (max. 5 Punkte)

Der Unterschied zwischen Palo Alto/Cloudflare (5/5) und Netskope (3/5) ist bedeutsam: Je tiefer ein Anbieter in US-Regierungsoperationen eingebettet ist, desto größer ist das Risiko einer koordinierten oder geheimen Datenanforderung nach FISA § 702 oder Executive Order 12333 — Mechanismen, die keine individuellen CLOUD-Act-Beschlüsse erfordern.

Dimension 3: Cloud-Infrastruktur und EU-Datenresidenz (max. 5 Punkte)

Interessant: Netskope und Cloudflare bieten technisch bessere Datenresidenz-Optionen als Palo Alto, aber alle vier scheitern am selben strukturellen Problem — die US-Muttergesellschaft kann zur Herausgabe verpflichtet werden, unabhängig wo die Daten gespeichert sind.

Dimension 4: Datenverarbeitung und Inline-Traffic-Exposition (max. 5 Punkte)

Cisco und Netskope erreichen 5/5 in D4, weil sie explizit für granulare Überwachung konzipiert sind — das ist ihr Kernproduktversprechen. Diese Produktstärke ist gleichzeitig die größte GDPR-Herausforderung: Die gesammelten Daten sind nach Art. 4(1) DSGVO personenbezogen und fallen unter Art. 5(1)(c) Datensparsamkeit.

Dimension 5: Transparenz und Compliance-Dokumentation (max. 5 Punkte)

Gesamtbewertung CLOUD Act Matrix

EU-native Alternativen (zum Vergleich):

ZTNA/SASE-Funktionsvergleich: Was können die Lösungen tatsächlich?

Neben dem CLOUD-Act-Risiko entscheidet die Funktionstiefe. Hier ein ehrlicher Vergleich:

ZTNA-Kernfunktionen

Palo Alto Prisma Access bietet die umfassendste SASE-Suite: GlobalProtect für Endpoint, Prisma SD-WAN für Branch-Netzwerke, Cortex Data Lake als zentrales Analytics-Backend. Für Organisationen mit Palo Alto NGFW on-premises ist Prisma Access die konsequente Cloud-Erweiterung — eine gemeinsame Policy-Engine über alle Standorte.

Cloudflare One ist die flexibelste Lösung: Browser Isolation, Magic Transit für Netzwerkschutz, CASB für SaaS, und Zero Trust Access ohne Agenten. Cloudflares globales Anycast-Netzwerk bietet die niedrigste Latenz der vier Anbieter. Für Unternehmen ohne Legacy-Network-Hardware ist Cloudflare One die einfachste Einführung.

Cisco Secure Access punktet durch die Cisco-Ökosystemintegration: Duo MFA ist Marktstandard, Umbrella DNS der meistgenutzte DNS-Sicherheitsdienst, AnyConnect bei Großunternehmen universell deployed. Wenn Ihre Organisation bereits auf Cisco setzt, ist die Konsolidierung auf Cisco Secure Access SASE der natürliche nächste Schritt — mit vorhersehbaren Compliance-Kosten.

Netskope hat die stärkste CASB-Tiefe der vier Anbieter. Für Organisationen mit komplexen SaaS-Portfolios — viele verschiedene Cloud-Applikationen, DLP-Anforderungen, Shadow-IT-Kontrolle — bietet Netskope die granularste Übersicht. Nachteil: Komplexe Konfiguration, höhere Lernkurve.

Latenz und Performance

Zero Trust bedeutet, dass jede Verbindung durch eine Cloud-Instanz geroutet wird. Die Latenz-Implikationen sind real:

Für latenz-sensitive Applikationen (VoIP, Echtzeit-Collaboration) ist die PoP-Dichte entscheidend. Cloudflares Anycast-Architektur hat hier einen strukturellen Vorteil.

TCO-Analyse: 3 Jahre, 5.000 Nutzer

Annahmen

• 5.000 Nutzerlizenzierung
• Vollständige SASE-Suite (ZTNA + SWG + CASB)
• EU-Datenresidenz-Optionen aktiviert wo verfügbar
• Enterprise-Support-Tier
• Implementierungspartner 3 Monate, 2 Engineers

Zusatzkosten für EU-Compliance (GDPR Art. 32 / NIS2 Art. 21):

EU-native Alternative (netbird.io + LANCOM R&S):

Der EU-native Stack ist ~50% günstiger als Netskope (günstigster US-Anbieter) und ~63% günstiger als Palo Alto (teuerster US-Anbieter) — bei eliminiertem CLOUD-Act-Risiko.

EU-native Zero Trust Stack: Die vollständige Alternative

netbird.io — Open Source ZTNA aus Berlin

netbird.io ist ein Open-Source-ZTNA-Projekt aus Berlin, das auf WireGuard basiert. Die Lösung ermöglicht Zero-Trust-Netzwerkzugang ohne zentralen Cloud-Proxy — Verbindungen werden peer-to-peer über verschlüsselte WireGuard-Tunnels aufgebaut, gesteuert durch einen zentralen Management-Server den Sie selbst hosten können.

GDPR-Vorteile:

• Self-Hosted oder EU-Cloud (Hetzner, IONOS, OVHcloud) deploybar
• Kein US-Drittanbieter in der Datenpfad
• Open Source: vollständige Prüfbarkeit des Codes
• LANCOM-kompatibel für Hardware-Integration

Einschränkungen gegenüber Palo Alto/Cloudflare:

• Kein nativer CASB-Layer (SaaS-Zugriffssteuerung braucht Ergänzung)
• Kleineres Ecosystem, weniger MSP-Support
• Enterprise-Features wie automatische Compliance-Reports fehlen

LANCOM R&S — Deutsches Netzwerk-Fundament

LANCOM Systems und R&S (Rohde & Schwarz) bieten zusammen eine vollständige EU-native Netzwerkinfrastruktur von der Hardware bis zum Management. LANCOM-Geräte sind BSI-zugelassen und werden in deutschen Behörden und kritischer Infrastruktur eingesetzt.

Relevanz für Zero Trust:

• SD-WAN mit NIS2-konformer Konfiguration
• On-Premises Deployment ohne US-Cloud-Abhängigkeit
• BSI-Grundschutz-Kompatibilität
• Für KRITIS-Organisationen die einzige BSI-empfohlene Alternative zu Cisco

Systancia Gate — Französisches ZTNA

Systancia aus Frankreich bietet mit Gate eine ZTNA-Lösung mit ANSSI-Zertifizierung (Agence Nationale de la Sécurité des Systèmes d'Information). Besonders relevant für französische Behörden und Organisationen, die EU-Beschaffungsanforderungen nach NIS2 oder dem KRITIS-Pendant NIS-UE erfüllen müssen.

WALLIX — Privileged Access + ZTNA aus Paris

WALLIX (Euronext:ALLIX, Paris) kombiniert Privileged Access Management (PAM) mit ZTNA-Funktionen. Die Bastion-Plattform ermöglicht Least-Privilege-Zugriff auf kritische Systeme ohne US-Infrastruktur. WALLIX ist börsennotiert in Frankreich — vollständige EU-Jurisdiktion und öffentlich auditierbare Governance.

Entscheidungsmatrix: Welche Lösung für welches Szenario?

GDPR-Risikoanalyse: Was bedeutet das für die Praxis?

Art. 35 DSGVO — Datenschutz-Folgenabschätzung (DSFA) Pflicht

Alle vier US-Anbieter erfordern gemäß Art. 35 DSGVO zwingend eine DSFA vor Deployment. Begründung: ZTNA/SASE-Lösungen verarbeiten systematisch Daten über das Verhalten natürlicher Personen (Mitarbeiter) in großem Umfang (Art. 35 Abs. 3 lit. b DSGVO). Die Inline-Verarbeitung von DNS-Queries, Verbindungsmetadaten und bei TLS-Inspektion auch Inhalte ist ein Hochrisiko-Verarbeitungsvorgang.

Eine DSFA ohne angemessenes Risikomanagement führt bei Aufsichtsbehörden-Prüfungen zu Bußgeldern nach Art. 83 Abs. 4 DSGVO (bis €10 Mio. oder 2% des weltweiten Jahresumsatzes).

NIS2 Art. 21 — Technische und organisatorische Maßnahmen

NIS2 Art. 21 Abs. 2 lit. h fordert "Sicherheit des Netzwerks und der Informationssysteme". Für ZTNA-Lösungen bedeutet dies: Der Anbieter selbst muss als Teil des Risikomanagements bewertet werden. Ein CLOUD-Act-Beschluss gegen den ZTNA-Anbieter wäre ein Sicherheitsvorfall im Sinne von NIS2 — meldepflichtig innerhalb von 24 Stunden nach Art. 23 Abs. 4.

Art. 46 DSGVO — Drittlandübermittlung

Jede Verarbeitung durch einen US-Anbieter ist eine Übermittlung personenbezogener Daten in ein Drittland im Sinne von Art. 46 DSGVO. Standardvertragsklauseln (SCCs) bieten formalen Schutz, aber kein faktischen Schutz gegen einen CLOUD-Act-Beschluss. Der EuGH (Schrems II, C-311/18, 16.07.2020) hat explizit festgestellt, dass US-Überwachungsgesetze SCCs für hochriskante Verarbeitungen faktisch aushöhlen können.

Migrationsstrategie: Von US-ZTNA zu EU-nativem Stack

Phase 1: Assessment (4–6 Wochen)

1. Inventarisierung aller aktuellen ZTNA/SASE-Dienste und deren Datenpfade
2. DSFA-Review des aktuellen Zustands (Ist-Zustand dokumentieren)
3. Identifikation kritischster Anwendungsfälle (privilegierte Zugriffe, Produktionsdaten)
4. Vendor-Evaluierung EU-native Lösungen: netbird.io PoC + LANCOM-Demo

Phase 2: Pilotprojekt (8–12 Wochen)

1. netbird.io Self-Hosted auf EU-Cloud-Infrastruktur (Hetzner/IONOS)
2. Pilotgruppe: 50–100 Nutzer, nicht-kritische Systeme
3. Funktionsvergleich mit bestehendem US-ZTNA
4. Performance-Messung, Helpdesk-Ticket-Analyse

Phase 3: Parallelbetrieb (12–24 Wochen)

1. Schrittweise Migration Anwendungsgruppen
2. LANCOM SD-WAN für Branch-Offices (falls relevant)
3. WALLIX für privilegierte Zugriffe auf kritische Systeme
4. Compliance-Dokumentation aufbauen: Art. 30 DSGVO Verzeichnis aktualisieren

Phase 4: US-ZTNA Ablösung (nach Phase 3)

1. Vertragsbeendigung US-Anbieter (Beachte: 12 Monate Kündigungsfristen üblich)
2. Finale DSFA für neuen EU-Stack (sollte deutlich kürzer ausfallen)
3. Aufsichtsbehörde informieren falls DSFA-Ergebnis signifikante Änderung zeigt

Fazit: Zwei Clustern, eine Entscheidung

Die EU-Zero-Trust-Networking-Serie zeigt ein klares Muster: Die vier US-Marktführer bilden zwei Cluster.

Cluster A (23/25): Palo Alto und Cloudflare — Maximales CLOUD-Act-Risiko durch tiefe US-Regierungsintegration und inline Verarbeitung aller Verbindungsdaten. Für NIS2-kritische Organisationen oder Behörden faktisch nicht GDPR-konform deploybar ohne erhebliche Compliance-Risiken.

Cluster B (20–21/25): Netskope und Cisco — Immer noch hohes CLOUD-Act-Risiko, aber geringere US-Government-Exposition (Netskope) bzw. schwächere Transparenz-Dokumentation (Cisco). Für Nicht-KRITIS-Unternehmen mit bestehender Vendor-Bindung theoretisch via DSFA + SCCs managebar — aber mit explizitem Restrisiko.

EU-nativer Stack: netbird.io + LANCOM + Systancia Gate + WALLIX bietet 0/25 CLOUD Act, ~50% TCO-Ersparnis gegenüber dem günstigsten US-Anbieter, und vollständige GDPR-Konformität ohne Restrisiko. Die Funktionslücken gegenüber US-Lösungen sind für die meisten europäischen Unternehmen — mit einer 2-Phasen-Migrationsstrategie — schließbar.

Die Entscheidung ist letztlich keine technische, sondern eine strategische: Akzeptiert Ihre Organisation strukturelles US-Überwachungsrisiko als Kostenfaktor des globalen Tech-Ökosystems, oder ist Zero-Trust-Networking ein Bereich, in dem EU-Datensouveränität nicht verhandelbar ist?

Dieser Post schließt die sota.io EU-Zero-Trust-Networking-Serie (5/5) ab. Nächste Serie: [folgt in Lauf 1314]. Die vollständige CLOUD-Act-Bibliothek mit allen 25+ Enterprise-Software-Kategorien ist unter sota.io/blog verfügbar.