DNS-Filterung vs. Secure Web Gateway: Wann Sie das schwerere Tool benötigen

Wählen Sie DNS-Filtering auf Namensauflösungsebene gemäß RFC 1035, um unverwaltete WiFi-Geräte an über 80.000 Standorten in 90 Ländern ohne Hardwareinstallation zu schützen. Wählen Sie ein Secure Web Gateway, wenn Sie vollständige URLs, Downloads oder Uploads auf verwalteten Geräten über Plattformen wie Microsoft Entra ID überprüfen möchten. DNS-Filtering stoppt schädliche Ziele, bevor Verbindungen aufgebaut werden, während Gateways den Datenverkehr über Proxys leiten und entschlüsseln.

DNS-Filtering vs. Secure Web Gateway: Die Kurzantwort

Die Antwort hängt von einer einzigen Frage ab: Müssen Sie in die Verbindung hineinsehen oder nur wissen, wohin sie führt?

DNS-Filtering entscheidet auf Ebene des Domänennamens. Es verweigert die Auflösung eines schädlichen oder unerwünschten Ziels, sodass das Gerät erst gar keine Verbindung herstellt. Ein Secure Web Gateway (SWG) ist ein Proxy, der sich im Datenpfad befindet. Es kann die vollständige URL, die Datei und die Seite lesen, jedoch erst nach der TLS-Entschlüsselung.

Im Gäste-WiFi klärt sich diese Frage von selbst. Sie können kein Stammzertifikat auf dem Smartphone eines Gastes installieren. Ohne dieses Zertifikat kann ein Gateway den Datenverkehr nicht entschlüsseln, ohne Zertifikatsfehler zu verursachen. DNS-Filtering schützt jedes Gerät im Netzwerk ganz ohne Installation. Deshalb ist es der Standard für Gastgewerbe, Einzelhandel, Verkehrsknotenpunkte und Veranstaltungen.

Auf verwalteten Mitarbeiter-Laptops, die regulierte Daten verarbeiten, rechtfertigt das Gateway seine Kosten. Sie benötigen es, um Uploads zu überprüfen, Regeln für URL-Pfade durchzusetzen oder Data Loss Prevention (DLP) anzuwenden. DLP verhindert, dass vertrauliche Daten Ihr Netzwerk verlassen.

Die meisten Standorte benötigen schützendes DNS in jedem Netzwerk und ein Gateway auf einer kleinen Anzahl verwalteter Geräte, falls überhaupt. Purple Shield deckt den ersten Teil ab. Es läuft eigenständig auf jedem WiFi oder zusammen mit Purple Access, mit einer Richtlinie pro Netzwerk und VLAN. Weitere Informationen zu den Grenzen des DNS-Ansatzes finden Sie in unserer Übersicht Grenzen des DNS-Filterings.

Was wir verglichen haben und warum diese Kriterien entscheiden

Wir haben beide Ansätze anhand von acht Kriterien bewertet. Jedes davon entspricht einer Entscheidung, die ein IT-Sicherheits- oder Betriebsmanager bei der Planung von Filtermaßnahmen trifft. Die Funktionen der einzelnen Optionen haben wir aus deren eigenen öffentlichen Materialien sowie aus der praktischen Bereitstellung beider Ansätze abgeleitet.

Die Platzierung steht an erster Stelle, da sie die anderen sieben Kriterien prägt. DNS-Filtering setzt bei der Namensauflösung an, der in RFC 1035 definierten Abfrage. Jedes Gerät fragt vor dem Verbindungsaufbau einen Resolver nach einer Adresse. Ein schützender DNS-Resolver gleicht die Domäne mit Threat Intelligence und Kategorie-Richtlinien ab und antwortet oder verweigert den Zugriff.

Da diese Überprüfung vor jeglichem Verbindungsaufbau stattfindet, erfasst sie auch das, was eine Firewall übersieht. Firewall-Regeln basieren auf IP-Adressen und Ports. Schädliche Domänen wechseln häufig zwischen gemeinsam genutzten Cloud-Adressen, die eine Firewall nicht sicher blockieren kann.

Ein Secure Web Gateway greift erst später, innerhalb der Verbindung. Der Datenverkehr erreicht es über einen Endpunkt-Agenten, eine Proxy-Auto-Config-Datei (PAC) oder eine Inline-Appliance. Um HTTPS zu lesen, entschlüsselt das Gateway TLS, prüft den Inhalt und verschlüsselt ihn erneut. Diese Tiefe erfordert ein vertrauenswürdiges Stammzertifikat auf jedem inspizierten Gerät.

Die acht Kriterien:

• Platzierung: An welcher Stelle der Verbindung der Filter seine Entscheidung trifft.
• Sichtbarkeit: Was der Filter sehen kann, vom Dateinamen bis zum Seiteninhalt.
• Unverwaltete Geräte: Ob der Datenverkehr von Gästen und BYOD (Bring Your Own Device) abgedeckt ist.
• Bereitstellungsaufwand: Die erforderliche Hardware, Agenten und Zertifikate.
• Leistung: Die Latenz und Bandbreite, die der Filter hinzufügt.
• Verhalten im Fehlerfall: Was passiert, wenn der Dienst nicht erreichbar ist.
• Umgehungsschutz: Wie einfach ein Gerät den Filter umgehen kann, beispielsweise durch DNS over TLS (DoT) oder DNS over HTTPS (DoH).
• Datenschutz-Fußabdruck: Wie viele personenbezogene Daten der Filter verarbeitet.

Am Markt ist die Trennlinie nicht immer eindeutig. DNSFilter ist ein schützender DNS-Dienst, dieselbe Kategorie wie Shield. Cisco Umbrella verkauft Sicherheit auf DNS-Ebene und in seinen höheren Paketen ein vollständiges Secure Web Gateway, deckt also beide Seiten dieses Vergleichs ab. Wenn Sie einen Anbieter bewerten, prüfen Sie, welche Ebene das jeweilige Paket bereitstellt, anstatt sich auf den Produktnamen zu verlassen.

Wie schneiden DNS-Filterung und ein Secure Web Gateway im Vergleich ab?

Zwei Zeilen verdienen einen genaueren Blick. Bei der Sichtbarkeit gewinnt das Gateway eindeutig. Ein DNS-Filter sieht example.com, aber niemals den Pfad zu einer Datei auf dieser Seite. Wir erklären dies in Warum DNS-Filterung keine vollständigen URLs sehen kann. Bei unverwalteten Geräten gewinnt die DNS-Filterung eindeutig, da die Gast-Abdeckung weder ein Zertifikat noch einen Agenten erfordert.

Die verbleibenden Zeilen sind Kompromisse, die Sie steuern können. Sie können die Umgehung von verschlüsseltem DNS mit Firewall-Regeln schließen. Die Gateway-Latenz ist bei einem gut dimensionierten Cloud-Dienst verkraftbar. Das Verhalten im Fehlerfall hängt vom Produkt ab, weshalb wir das Verhalten von Shield klar benennen: Es schließt im Fehlerfall (fails closed).

Wo DNS-Filterung punktet

Gast-WiFi und unverwaltete Geräte

Jedes Gerät in einem WiFi-Netzwerk nutzt den DNS-Server, den DHCP ihm zuweist. Weisen Sie diesen Server auf einen schützenden Resolver und jedes Smartphone, jeder Laptop, jede Spielekonsole und jeder Smart-TV ist abgedeckt. Niemand muss etwas installieren. Das Captive Portal, die Anmeldeseite vor dem Netzwerkzugriff, bleibt wie sie ist. Skaliert betrachtet ist dies der einzige praktikable Weg, Gäste, Anwohner, Passagiere und Fans zu filtern.

Viele Standorte, keine neue Hardware

Der Wechsel zur DNS-Filterung ist eine Konfigurationsänderung, kein Großprojekt. Shield funktioniert mit dem WiFi, das Sie bereits betreiben, einschließlich Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet.

Sie legen eine Richtlinie pro Netzwerk und pro VLAN fest. Ein familienfreundliches Gäste-WiFi und ein Mitarbeiter-Netzwerk am selben Standort können daher unterschiedliche Regeln ausführen. Ihr Mitarbeiter-Netzwerk kann VLANs nach Rolle über IEEE 802.1X zuweisen, den portbasierten Standard für Netzwerkauthentifizierung. Wenn dies der Fall ist, folgt die rollenspezifische DNS-Richtlinie ohne Proxy.

Frühere Bedrohungserkennung

DNS erkennt Absichten, bevor Datenverkehr fließt. Ein per Phishing kompromittiertes Gerät muss eine Domain auflösen, bevor es eine Verbindung herstellen kann. Ebenso ein infiziertes Gerät, das eine Verbindung zu einem Command-and-Control-Server herstellt. Shield markiert Bedrohungen früher in ihrem Lebenszyklus, bevor eine Webverbindung aufgebaut wird. Dieser Vorsprung kann darüber entscheiden, ob eine Phishing-Domain vor dem ersten Klick oder erst danach blockiert wird.

Entlastete Netzwerke

Werbeblockierung findet auf derselben Ebene statt. Das Blockieren von Werbung reduziert die Bandbreitennutzung und verringert das DNS-Abfragevolumen, wenn es aktiviert ist. In einem stark ausgelasteten Standort-Netzwerk mit begrenzter Anbindung steht diese Kapazität ohne zusätzliche Ausgaben wieder zur Verfügung.

Ausfallsicherheit, die sicher bleibt

Shield schlägt im gesperrten Zustand fehl (Fail-Closed), sodass ein Ausfall ein Netzwerk niemals ungefiltert lässt. Das ist besonders in Gäste-Netzwerken wichtig, wo Sie das Reputationsrisiko für alle geladenen Inhalte tragen. Wir haben die Vor- und Nachteile in DNS filtering fail open vs fail closed dargelegt.

Kleinerer Datenschutz-Fußabdruck

Ein DNS-Filter verarbeitet Domainnamen, keine Seiteninhalte. Unter GDPR ist dies eine deutlich geringere Menge an personenbezogenen Daten als entschlüsselte Browsing-Sitzungen. Ihre Verarbeitungsverzeichnisse bleiben dadurch einfacher.

Wo ein Secure Web Gateway punktet

Seien Sie präzise bei den Stärken des Gateways. Wenn Sie davon ausgehen, dass DNS-Filterung diese abdeckt, wird Ihr Sicherheitsprogramm echte Lücken aufweisen.

Vollständige URL- und Pfadkontrolle

Manche Richtlinien greifen unterhalb der Domain-Ebene. Möglicherweise möchten Sie einen Cloud-Speicherdienst zulassen, aber einen einzelnen freigegebenen Ordner blockieren. Oder Sie möchten eine Nachrichtenseite erlauben, deren Kommentarbereiche jedoch sperren. Nur ein Proxy, der die vollständige URL sieht, kann solche Regeln durchsetzen. Geteilte Plattformen sind der Härtefall, da ein DNS-Filter die gesamte Domain entweder zulassen oder blockieren muss.

Datei- und Inhaltsprüfung

Ein Gateway kann Downloads auf Schadsoftware prüfen, Dateitypen blockieren und unbekannte ausführbare Dateien in einer Sandbox ausführen. DNS-Filterung stoppt Verbindungen zu bekannt schädlichen Domains. Eine böswillige Datei, die auf einer vertrauenswürdigen Domain gehostet wird, gelangt jedoch weiterhin durch.

Data Loss Prevention

Ihre Mitarbeiter verarbeiten möglicherweise Zahlungskartendaten im Rahmen von PCI DSS oder Patientenakten. In diesem Fall müssen Sie Uploads eventuell auf vertrauliche Inhalte überprüfen. Das erfordert entschlüsselten Datenverkehr und entweder ein Gateway oder ein dediziertes DLP-Tool.

Personengebundene Richtlinien außerhalb des Netzwerks

Ein Gateway-Agent wendet Richtlinien basierend auf der namentlichen Identität an, die über Microsoft Entra ID, Okta oder Google Workspace synchronisiert wird. Diese Richtlinie folgt einem verwalteten Laptop auch in das heimische Breitbandnetz oder ins Hotel-WiFi. Die Richtlinien von Shield werden pro Netzwerk und VLAN festgelegt, was sich ideal für Veranstaltungsorte und feste Standorte eignet. Eine Remote-Workforce auf verwalteten Geräten benötigt möglicherweise eine personengebundene Durchsetzung, egal wo sich die Personen verbinden.

Anwendungssteuerungen

Viele Gateways entschlüsseln den Datenverkehr für benannte Anwendungen. Sie können Mitarbeitern beispielsweise erlauben, einen File-Sharing-Dienst zu lesen, aber Uploads dorthin blockieren. DNS-Filterung kann die Domains einer Anwendung zulassen oder blockieren, jedoch keine einzelnen Aktionen innerhalb der Anwendung steuern.

Wenn Sie diese Lücken in Ihrem Risikoregister abwägen, lesen Sie Reicht DNS-Filterung aus?, um mehr über die Kontrollen zu erfahren, die ergänzend zu protektivem DNS eingesetzt werden.

Welche Betriebskosten fallen jeweils an?

Die beiden Ansätze unterscheiden sich in ihrer Preisstruktur. Vergleichen Sie daher eher die Kostenstrukturen als reine Richtwerte. Wir nennen keine Preise von Mitbewerbern. Bestätigen Sie die aktuellen Konditionen direkt beim jeweiligen Anbieter.

Die versteckten Kosten eines Gateways liegen in der Zertifikats- und Ausnahmeverwaltung. Apps, die ihre Zertifikate pinnen, funktionieren unter TLS-Inspektion nicht mehr, sodass jede eine Ausnahme benötigt. Die meisten Bereitstellungen nehmen Bank- und Gesundheits-Websites aus Datenschutzgründen aus. Jede Ausnahme wird zu einer Regel, die pflegen werden muss. Auch Agents müssen über die gesamte Geräteflotte hinweg aktualisiert werden. Nichts davon ist ein Fehler. Es ist der Preis dafür, Einblick in den Datenverkehr zu erhalten.

Die laufenden Kosten der DNS-Filterung liegen in der Richtlinienpflege und der Umgehungskontrolle. Sie überprüfen Kategorieentscheidungen und bearbeiten Freigabeanfragen. Zudem halten Sie die Firewall-Regeln für verschlüsseltes DNS auf dem neuesten Stand, sobald neue öffentliche Resolver auftauchen.

Was beinhaltet der Wechsel zwischen DNS-Filterung und einem Gateway?

Von einem Proxy zur DNS-Filterung in Gäste-Netzwerken

Dies ist der häufigste Schritt. Teams stellen oft fest, dass ein Proxy im Gäste-WiFi kaum mehr als Hostnamen filtert, da er den Gäste-Datenverkehr nicht entschlüsseln kann. Die Schritte sind:

1. Exportieren Sie Ihre aktuellen Proxy-Kategorien sowie Ihre Freigabe- und Sperrlisten.
2. Ordnen Sie diese den DNS-Kategorien zu. Für URL-Pfad-Regeln gibt es kein DNS-Äquivalent. Entscheiden Sie daher pro Regel, ob die gesamte Domain zugelassen oder gesperrt werden soll.
3. Weisen Sie den DNS-Server im DHCP-Bereich jedes Netzwerks auf den schützenden Resolver hin.
4. Sperren Sie ausgehendes DNS zu anderen Resolvern, DoT auf Port 853 und bekannte DoH-Endpunkte.
5. Testen Sie von einem echten Gäste-Gerät aus und ziehen Sie dann den Proxy-Regelsatz für dieses Netzwerk zurück.

Die Einrichtungsschritte von Shield werden unter So funktioniert Shield beschrieben. Die Standards für verschlüsseltes DNS sind RFC 7858 für DoT und RFC 8484 für DoH.

Hinzufügen eines Gateways für verwaltete Geräte

Dieser Schritt ist aufwendiger und sollte auf die Geräte beschränkt werden, die ihn benötigen. Bereitstellen Sie das Stammzertifikat über Ihre Mobile Device Management (MDM)-Plattform. Rollen Sie den Agent oder die PAC-Datei aus und erstellen Sie dann Ausnahmen für gepinnte Apps und datenschutzrelevante Kategorien. Führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch, bevor die Inspektion beginnt. Belassen Sie Shield darunter, da es weiterhin jedes Gerät abdeckt, das vom Gateway nicht erfasst wird.

Beide parallel betreiben

Die Kombination beider Ansätze ist das stärkste Konzept an gemischten Standorten. Shield blockiert bekannte schädliche Domains bereits bei der Auflösung, sowohl in Gäste- als auch in Mitarbeiter-Netzwerken. Das Gateway inspiziert anschließend den verwalteten Datenverkehr in der Tiefe. Da DNS schädliche Zielen zuerst entfernt, erreicht weniger gefährlicher Datenverkehr den Proxy. Stimmen Sie die beiden Kategorierichtlinien aufeinander ab, damit eine auf einer Ebene blockierte Domain nicht auf der anderen zugelassen wird.

So entscheiden Sie zwischen DNS-Filterung und einem Secure Web Gateway

Nutzen Sie diese Entscheidungsregel. Wenn Ihnen die Geräte nicht gehören, nutzen Sie DNS-Filtering. Wenn Ihnen die Geräte gehören und Sie den Datenverkehr inhaltsseitig analysieren müssen, fügen Sie nur auf diesen Geräten ein Gateway hinzu. Überall sonst ist Protektives DNS das genau passende Werkzeug.

Ihr nächster Schritt besteht darin, Ihre Netzwerke und VLANs aufzulisten und zu markieren, welche davon nicht verwaltete Geräte tragen. Diese Netzwerke erhalten jetzt Protektives DNS. Lesen Sie dann wie Shield funktioniert für die Bereitstellung. Für die umfassenderen Kontrollen rund um Identität, Verschlüsselung und Segmentierung lesen Sie unseren Enterprise WiFi Security Guide.

Häufig gestellte Fragen

Ist DNS-Filtering im Betrieb günstiger als ein Secure Web Gateway?

In der Regel ja, da DNS-Filtering keine Hardware, keine Endpunkt-Agenten und kein Zertifikatsmanagement benötigt. Ein Gateway verursacht zusätzliche Lizenzkosten pro Arbeitsplatz oder Gerät, Agenten-Wartung, Erneuerung von Stammzertifikaten und Ausnahmeregeln für Anwendungen, die bei der Inhaltsüberprüfung nicht funktionieren. Vergleichen Sie die Gesamtbetriebskosten statt einzelner Lizenzpositionen und bestätigen Sie die aktuellen Konditionen mit jedem Anbieter.

Funktioniert Purple Shield mit der WiFi-Hardware, die ich bereits besitze?

Ja. Shield arbeitet auf der DNS-Ebene und läuft daher auf jedem WiFi, einschließlich Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Sie leiten das DNS jedes Netzwerks auf Shield um und legen eine Richtlinie pro Netzwerk und VLAN fest. Es läuft eigenständig oder zusammen mit Purple Access, ohne neue Hardware vor Ort.

Kann DNS-Filtering ein Secure Web Gateway ersetzen?

In Gast- und Veranstaltungsnetzwerken ja, jedoch nicht dort, wo Sie den Datenverkehr inhaltsseitig analysieren müssen. DNS-Filtering blockiert schädliche und unerwünschte Domänen, bevor eine Verbindung hergestellt wird. Das deckt die meisten Bedrohungs- und Inhaltsanforderungen für Besucher ab. Es kann keine Regeln für URL-Pfade durchsetzen, Dateien auf vertrauenswürdigen Domänen scannen oder Uploads zur Verhinderung von Datenverlusten überprüfen. Behalten Sie ein Gateway für die verwalteten Geräte bei, die diese Kontrollen benötigen.

Kann ich DNS-Filterung und ein Secure Web Gateway zusammen betreiben?

Ja, und bei gemischten Standorten ist dies der effektivste Ansatz. Shield filtert jedes Gerät bereits bei der DNS-Auflösung, einschließlich der Gäste-Geräte, die ein Gateway nicht überprüfen kann. Das Gateway prüft anschließend die verwalteten Mitarbeitergeräte eingehend. Da DNS schädliche Domains zuerst blockiert, erreicht weniger bösartiger Datenverkehr den Proxy. Halten Sie die beiden Kategorien-Richtlinien aufeinander abgestimmt, damit eine auf einer Ebene blockierte Domain nicht auf der anderen zugelassen wird.

Funktioniert ein Secure Web Gateway im Gäste-WiFi?

Nur teilweise. Ohne ein vertrauenswürdiges Stammzertifikat auf dem Gerät kann ein Gateway HTTPS nicht entschlüsseln, ohne Zertifikatsfehler zu verursachen. Sie können keine Zertifikate auf den Smartphones von Gästen installieren. Ein Gateway kann weiterhin nach dem im TLS-Handshake gesendeten Hostnamen filtern, was nahezu dem entspricht, was die DNS-Filterung bereits mit weniger Infrastrukturaufwand leistet. Für Gäste-WiFi ist Protective DNS die praktikable Wahl.

Was passiert mit der Filterung, wenn der DNS-Dienst ausfällt?

Mit Shield bleibt die Filterung aktiv. Shield schaltet im Fehlerfall auf "Fail-Closed", sodass ein Netzwerk bei einem Ausfall niemals ungefiltert bleibt. Dienste mit "Fail-Open" leiten Geräte an einen ungefilterten Resolver weiter, um den Datenfluss aufrechtzuerhalten. Dadurch bleibt das Netzwerk für die Dauer des Ausfalls geschützt. Bitten Sie jeden Anbieter, sein Ausfallverhalten schriftlich zu bestätigen, und testen Sie es vor dem Go-Live.

Ist die TLS-Inspektion mit der GDPR kompatibel?

Das kann sie sein, erfordert jedoch mehr Governance als die DNS-Filterung. Die Entschlüsselung des Mitarbeiter-Datenverkehrs verarbeitet die Inhalte ihrer Kommunikation. Sie benötigen daher eine Rechtsgrundlage, eine Datenschutz-Folgenabschätzung und eine klare Information der Mitarbeiter. Bei den meisten Implementierungen werden zudem Banking- und Gesundheits-Websites ausgenommen. Die DNS-Filterung verarbeitet nur Domainnamen - ein kleinerer Fußabdruck, der einfacher zu rechtfertigen und zu dokumentieren ist.

Wie viel Aufwand bedeutet der Wechsel von einem Proxy zur DNS-Filterung?

Weniger als die meisten Teams erwarten, da die Umstellung lediglich eine DNS-Änderung pro Netzwerk darstellt. Die Arbeit verteilt sich auf drei Bereiche: Sie ordnen Proxy-Kategorien den DNS-Kategorien zu, entscheiden, wie mit URL-Pfad-Regeln ohne DNS-Äquivalent verfahren wird, und blockieren verschlüsseltes DNS an der Firewall. Testen Sie jedes Netzwerk von einem realen Gerät aus, bevor Sie das alte Regelwerk außer Kraft setzen.