Shield vs Cisco Umbrella: Die Wahl des passenden Protective DNS für Gast-WiFi

Wählen Sie Shield für Gäste-WiFi an mehreren Standorten, das eine schnelle Bereitstellung ohne Hardware, Agenten oder Gebühren pro Benutzer erfordert. Wählen Sie Cisco Umbrella, wenn Sie Unternehmens-Endgeräte schützen und einen SASE-Stack aufbauen möchten. Purple lässt sich in Plattformen wie Cisco Meraki integrieren und entspricht Standards wie Keeping Children Safe in Education, unterstützt durch eine ISO 27001-Zertifizierung.

Was sollten Sie wählen: Shield oder Cisco Umbrella für Gäste-WiFi?

Die richtige Wahl hängt davon ab, wen Sie schützen möchten. Fragen Sie sich, ob es sich um Ihre Mitarbeiter handelt oder um die Öffentlichkeit, die Ihre Räumlichkeiten betritt.

Cisco Umbrella begann als OpenDNS, bevor es von Cisco übernommen wurde. Es hat sich zu einer Security Service Edge-Plattform für Unternehmensnetzwerke und hybride Arbeitsbelegschaften entwickelt. Es schützt Personen, die Cisco zählen, benennen und mit einer Richtlinie verknüpfen kann, egal wohin deren Laptop mitgenommen wird.

Shield ist der Schutz-DNS-Dienst von Purple für Gäste- und öffentliche Netzwerke. Sie aktivieren ihn pro SSID (der Netzwerkname, mit dem sich ein Gerät verbindet). Er filtert Bedrohungen sowie ungeeignete Inhalte und blockiert Werbung für alle Benutzer in diesem Netzwerk. Niemand muss etwas installieren. Niemand muss erfasst werden.

Beide Dienste erledigen die gleiche Grundaufgabe. Schutz-DNS ist ein Resolver, der jede Domain-Abfrage mit Bedrohungs- und Inhaltslisten abgleicht. Er verweigert die Antwort für blockierte Domains, sodass das Gerät gar nicht erst eine Verbindung herstellt. Die Unterschiede liegen um diesen Kern herum: wie Sie ihn kaufen, wie Sie ihn bereitstellen und was zusätzlich enthalten ist.

Wenn Sie Gäste-WiFi in Hotels, Geschäften, Bahnhofsgebäuden, Schulen oder Kliniken betreiben, kaufen Sie in der Regel für eine Menschenmenge und nicht nach Personalanzahl. Das ist der Blickwinkel für den Rest dieses Leitfadens.

Wo sich Shield und Cisco Umbrella grundlegend unterscheiden

Wo die Filterung stattfindet und was eine Firewall übersieht

Beide Dienste setzen bei der DNS-Abfrage an. Wenn ein Smartphone eine Website öffnen möchte, fragt es zuerst einen Resolver nach der IP-Adresse der Domain. Ein Schutz-DNS-Resolver prüft die Domain, bevor er antwortet. Wenn die Domain bösartig ist oder durch Richtlinien blockiert wird, schlägt die Abfrage fehl und es wird keine Verbindung aufgebaut. Für die genaue Funktionsweise siehe Was ist eine DNS-Abfrage und warum Netzwerke sie nutzen.

Eine Firewall arbeitet später in der Ablaufkette. Sie inspiziert den Datenverkehr, nachdem eine Verbindung gestartet wurde. Der meiste Web-Traffic nutzt mittlerweile eine TLS-Verschlüsselung, sodass eine Firewall ohne Entschlüsselung nur eine IP-Adresse und wenig sonst sieht. Das Entschlüsseln von Gäste-Datenverkehr ist ohnehin unpraktisch. Sie können kein Stammzertifikat auf dem persönlichen Smartphone eines Besuchers installieren.

IP-basierte Blockierungen haben auch mit Shared Hosting zu kämpfen. Mehrere Domains können sich hinter einer einzigen Content Delivery Network-Adresse befinden. Blockieren Sie die IP, beeinträchtigen Sie legitime Websites. Lassen Sie sie zu, gelangt die schädliche Domain durch.

DNS sieht den Domain-Namen selbst, bevor Daten übertragen werden. Deshalb eignet sich Schutz-DNS ideal für offene Netzwerke, bei denen Sie nicht Eigentümer der Geräte sind.

Seien Sie sich auch über die Grenzen im Klaren. DNS-Filterung entscheidet pro Domain, nicht pro Seite. Sie kann nicht einen einzelnen Pfad auf einer ansonsten erlaubten Website blockieren. Geräte, die verschlüsseltes DNS wie DNS over HTTPS (DoH) verwenden, können versuchen, Ihren Resolver zu umgehen. Unser Leitfaden unter DNS Over HTTPS Explained: Privacy vs Public WiFi Filtering erklärt, wie Betreiber damit umgehen.

Lizenzierungseinheit: Arbeitsplätze versus Netzwerke

Das ist der Unterschied, der für Gast-WiFi am meisten zählt.

Cisco veröffentlicht keine Listenpreise für Umbrella. Sie kaufen über den Cisco Vertrieb oder einen Wiederverkäufer auf Basis eines Angebots. Die Pakete umfassen DNS Security Essentials, DNS Security Advantage, SIG Essentials und SIG Advantage, jeweils mit unterschiedlichen Funktionen und Laufzeitoptionen.

Umbrella wird pro Arbeitsplatz (Seat) lizenziert. Dieses Modell passt zu einem Unternehmen mit einer bekannten Mitarbeiterzahl. Es passt schlecht, wenn Ihr Netzwerk an einem ruhigen Tag eine kleine Gruppe und an einem veranstaltungsreichen Spitzentag Tausende von Besuchern versorgt. Fragen Sie Ihren Wiederverkäufer, wie Gastnetzwerke angerechnet werden. Die Antwort bestimmt das gesamte Angebot.

Purple Shield ist stattdessen auf das Netzwerk ausgelegt. Sie aktivieren es auf den SSIDs, die Sie schützen möchten. Ein geschäftiges Wochenende ändert nichts an Ihrer Abrechnungsgrundlage.

Bereitstellungsaufwand

Umbrella bietet mehrere Bereitstellungswege. Sie können das Netzwerk-DNS auf Umbrella verweisen und Ihre Egress-IP-Adressen registrieren. Sie können virtuelle Appliances hinzufügen, um interne IP-Adressen zuzuordnen. Sie können das Roaming-Modul im Cisco Secure Client auf verwalteten Laptops bereitstellen. Diese Flexibilität ist eine Stärke für die Unternehmens-IT. Es bedeutet jedoch auch mehr Aufwand bei Planung, Dokumentation und Wartung.

Purple Shield lässt sich pro SSID in wenigen Minuten ohne Hardware und ohne Agenten bereitstellen. Purple ist hardwareunabhängig und läuft als Cloud-Overlay. Es funktioniert mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks und Fortinet. Ihre vorhandenen Access Points bleiben einfach bestehen.

Werbeblockierung und Gäste-Erlebnis

Werbeblockierung ist eine Funktion für Gastnetzwerke, nicht für Unternehmensnetzwerke. Purple Shield blockiert Werbe- und Tracker-Domains bereits bei der Abfrage, sodass Seiten bei geteilter Bandbreite schneller laden.

Durch das Blockieren von Werbung und Tracking-Domains auf Resolver-Ebene sorgt Purple Shield für schnellere Ladezeiten, geringeren Datenverbrauch und weniger DNS-Abfragen, während das gesamte Web-Traffic-Volumen reduziert wird. In einem überlasteten Hotelnetzwerk oder einem Zug mit Mobilfunk-Backhaul ist das zurückgewonnene Kapazität - ganz ohne neue Hardware.

Umbrella ist nicht als Werbeblocker-Produkt positioniert. Sie können ausgewählte Domains über die Ziel-Listen blockieren, aber das ist eine manuelle Liste, die Sie selbst pflegen müssen.

Bedrohungserkennung

Umbrella greift auf Cisco Talos zurück, eines der größten kommerziellen Threat-Intelligence-Teams. Diese Tiefe ist eine echte Stärke.

Purple Shield erkennt neue Phishing- und Malware-Domains frühzeitig und hilft so, nicht verwaltete Gastgeräte zu schützen, die Sie nicht selbst patchen können. Für einen breiteren Überblick über die Optionen lesen Sie Phishing Protection Software Options for Shared WiFi.

Standards für familienfreundliche Filterung

Öffentliches WiFi an Orten, an denen sich Kinder verbinden, bringt zusätzliche Pflichten mit sich. Schulen in England müssen die Filter- und Überwachungsstandards des Department for Education gemäß Keeping Children Safe in Education erfüllen. Veranstaltungsorte orientieren sich häufig am britischen Friendly WiFi Schema als öffentliches Zeichen für sicheres Surfen.

Beide Dienste filtern nach Inhaltskategorien. Fragen Sie jeden Anbieter, wie seine Kategorien mit dem Standard übereinstimmen, für den Sie verantwortlich sind. Fordern Sie Nachweise an, kein einfaches Ja.

Vergleich auf einen Blick

Kriterium	Shield	Cisco Umbrella
Designschwerpunkt	Gäste- und öffentliches WiFi	Unternehmens-Endgeräte und hybride Belegschaft
Wo das Filtern stattfindet	DNS-Abfrage, vor der Verbindung	DNS-Abfrage, plus Web-Proxy in SIG-Paketen
Veröffentlichte Preise	Ausgerichtet auf Standorte und SSIDs, Angebot durch Purple	Keine Listenpreise; Angebot über Cisco oder Reseller
Lizenzierungseinheit	Pro SSID	Pro Benutzerplatz
Bereitstellung für eine Gäste-SSID	Minuten, pro SSID	Netzwerke und DNS registrieren; Appliances optional
Zusätzliche Hardware	Keine	Keine für DNS; virtuelle Appliances für interne Zuordnung
Agents auf Geräten	Keine	Cisco Secure Client für Schutz außerhalb des Netzwerks
Werbeblocker	Integriert	Manuell, über Ziel-Listen
Schutz außerhalb des Netzwerks	Nicht zutreffend für Gäste-Geräte	Ja, über das Roaming-Modul
Breiterer Sicherheits-Stack	DNS-Ebene, mit Purple SecurePass und Verify Add-ons	SWG, CASB, FWaaS, ZTNA in höheren Paketen
Beste Eignung	Gäste-Netzwerke an mehreren Standorten mit schwankender Besucherzahl	Organisationen, die namentlich genannte Mitarbeiter überall schützen

Wann ist Shield die richtige Wahl?

Shield eignet sich, wenn Ihr Netzwerk von Personen genutzt wird, die Sie nicht beschäftigen und deren Anzahl Sie nicht im Voraus bestimmen können. Mehrere Szenarien verdeutlichen dies.

Sie betreiben Gäste-WiFi an vielen Standorten

Ein Netzwerk mit mehreren Standorten benötigt überall dieselbe Richtlinie und einen zentralen Ort für die Verwaltung. Bei Shield ist die Bereitstellungseinheit die SSID. Die Etablierung in einem neuen Hotel, Geschäft oder Bahnhof ist eine Konfigurationsänderung und kein Beschaffungsvorgang. Sie sehen jeden Standort über dieselbe Purple Plattform, die auch Ihr Guest WiFi betreibt.

Ihre Besucherzahlen schwanken saisonal oder eventbezogen

Ferienparks, Stadien, Einkaufszentren und Besucherattraktionen verzeichnen an Spitzentagen ein Vielfaches an Besuchern. Eine Lizenzierung nach Benutzerplätzen zwingt Sie dazu, diese Spitze zu schätzen und das ganze Jahr über dafür zu bezahlen. Ein netzwerkbasierter Schutz macht diese Schätzungen überflüssig.

Sie haben keinen Zugriff auf die Geräte

Gäste, Käufer, Fahrgäste und Patienten bringen ihre eigenen Smartphones mit. Sie können keinen Agent darauf installieren und sollten es auch nicht versuchen. Schutz auf DNS-Ebene funktioniert für jedes Gerät, das sich mit der SSID verbindet, ganz ohne Installation.

Bandbreite ist knapp oder kostenpflichtig

Werbeblocker machen sich dort bezahlt, wo die Anbindung knapp ist. Züge mit Mobilfunkverbindung, temporäre Veranstaltungsorte und ländliche Standorte gehören dazu. Die Reduzierung von unnötigem Webdatenverkehr gewinnt Kapazitäten zurück, ohne dass neue Leitungen erforderlich sind.

Wann ist Cisco Umbrella die richtige Wahl?

Umbrella ist in mehreren Situationen die stärkere Wahl, und ein ehrlicher Vergleich sollte dies auch klar benennen.

Sie schützen Unternehmensmitarbeiter

Wenn Ihre Priorität auf Arbeitslaptops der Mitarbeiter im Büro, im Homeoffice und unterwegs liegt, ist Umbrella genau dafür gebaut. Das Roaming Modul hält Richtlinien auch außerhalb des Netzwerks aufrecht. Die Richtlinien sind an Identitäten aus Ihrem Verzeichnis gekoppelt, einschließlich Microsoft Entra ID und Okta.

Sie suchen einen Pfad zu SASE

Secure Access Service Edge (SASE) kombiniert Netzwerk und Sicherheit in einem einzigen Cloud Dienst. Die höheren Pakete von Umbrella reichen über DNS-Sicherheit hinaus bis hin zu einem Secure Web Gateway (SWG), das den Webdatenverkehr über einen Proxy leitet und prüft. Sie fügen einen Cloud Access Security Broker (CASB) hinzu, der die Nutzung von Cloud Apps steuert. Zudem enthalten sie Firewall as a Service (FWaaS) und über das breitere Portfolio von Cisco auch Zero Trust Network Access (ZTNA) für private Anwendungen. Wenn Sie diesen Stack konsolidieren, wird ein reiner DNS-Dienst für Gäste diesen nicht ersetzen.

Sie haben sich auf Cisco Sicherheit standardisiert

Unternehmen, die bereits Cisco Sicherheitstools einsetzen, profitieren von gemeinsamen Bedrohungsinformationen über Talos. Sie profitieren außerdem vom Support durch einen einzigen Anbieter und einer bestehenden Reseller-Beziehung.

Sie benötigen eine Prüfung auf Seitenebene für verwaltete Geräte

DNS entscheidet pro Domain. Wenn Richtlinien die Überprüfung einzelner URLs oder Datei-Downloads auf Unternehmensgeräten erfordern, benötigen Sie einen Proxy. Die SIG-Pakete von Umbrella bieten einen solchen. Das ist auf Geräten sinnvoll, die Sie besitzen und verwalten. Auf Telefonen von Gästen ist es selten sinnvoll.

Was kosten Shield und Cisco Umbrella im Betrieb?

Der Listenpreis ist nur eine Zeile. Die Gesamtkosten setzen sich aus mehreren Komponenten zusammen.

Lizenzkosten

Die Kosten für Umbrella hängen vom Paket, der Anzahl der Arbeitsplätze, der Laufzeit und der Reseller-Marge ab. Da die Preise nur auf Anfrage erhältlich sind, können Sie diese nicht über eine Website prognostizieren. Sie benötigen ein Verkaufsgespräch und eine belastbare Anzahl an Arbeitsplätzen. Für Gäste WiFi ist diese Zahl am schwersten zu ermitteln.

Die Kosten für Shield skalieren mit den Standorten und SSIDs, die Sie schützen. Sie können diese anhand Ihrer Standortliste prognostizieren. Fordern Sie die aktuellen Preise von Purple über die Shield-Seite an.

Zeitaufwand für Bereitstellung und Wartung

Die Netzwerkbereitstellung von Umbrella ist für reines DNS unkompliziert. Jede zusätzliche Komponente erfordert Planung und Pflege: virtuelle Appliances, Roaming-Clients, Proxy-Chaining und Zertifikatsverwaltung. Für eine Unternehmens-IT mit einem Sicherheitsteam ist das normale Arbeit. Für einen Standortbetreiber mit einem einzigen Netzwerkadministrator stellt es reale Kosten dar.

Shield erfordert keine Hardware und keine Agenten. Sie konfigurieren es pro SSID und verwalten die Richtlinien zentral.

Zurückgewonnene Bandbreite

Ad-Blocking macht sich auf Ihrer Bandbreitenrechnung bemerkbar. Ad-Blocking reduziert mit Shield den gesamten Datenverbrauch und das Volumen des Webdatenverkehrs. Vergleichen Sie dies bei getakteten Verbindungen mit Ihren monatlichen Kosten für Übernutzung.

Getragenes Risiko

Berücksichtigen Sie das Risiko, das Sie eingehen, wenn eine Filterung fehlt. Dazu gehören Malware, die in das Netzwerk gelangt, Beschwerden über ungeeignete Inhalte und fehlgeschlagene Überprüfungen zum Schutz von Personen. Beide Dienste reduzieren dieses Risiko. Die Frage ist, welchen Dienst Sie sich auf jeder Gäste SSID, an jedem Standort und das ganze Jahr über leisten können.

Wie entscheiden Sie für Ihre Standorte?

Beginnen Sie mit den wichtigsten Fragen: Wer verbindet sich, namentlich bekannte Mitarbeiter oder die Öffentlichkeit? Wo verbinden sie sich, auf verwalteten Laptops an jedem beliebigen Ort oder auf privaten Geräten in Ihren Räumlichkeiten? Was benötigen Sie über DNS hinaus, eine SASE Roadmap oder Schutz und schnellere Ladezeiten in Gastnetzwerken?

Entscheidungsmatrix

Ihre Situation	Empfehlung
Nur Gast WiFi, mehrere Standorte, schwankende Besucherzahlen	Shield
Unternehmenslaptops außerhalb des Netzwerks, namentlich bekannte Mitarbeiter	Cisco Umbrella
Gast und Mitarbeiternetzwerke, separate SSIDs	Shield für Gast SSIDs, Umbrella für Unternehmens SSIDs
Konsolidierung von SWG, CASB und FWaaS	Cisco Umbrella
Volumenbasierte oder Mobilfunk Anbindung	Shield, zur Werbeblockierung
Anwesenheit von Kindern, jugendschutzkonforme Filterung erforderlich	Shield auf öffentlichen SSIDs, angepasst an Ihren Standard
MSP verwaltet viele kleine Standorte	Shield, SSID genaue Zuweisung pro Kundenstandort

Praxisbeispiel: Hotelgruppe mit saisonaler Auslastung

Ausgangslage. Eine Hotelgruppe nutzte Umbrella für die Laptops der Zentrale. Der Sicherheitsverantwortliche bat den Wiederverkäufer, dies auf das Gast WiFi auszuweiten. Das Angebot erforderte eine Schätzung der Gastnutzer. Die Auslastung schwankte jedoch stark zwischen Nebensaison, Hochsommer und Konferenzspitzen. Niemand konnte eine feste Zahl rechtfertigen.

Umsetzung. Die Gruppe behielt Umbrella auf den Unternehmensgeräten bei. Sie aktivierte Shield auf der Gast SSID in allen Hotels während eines einzigen Änderungsfensters über dieselbe Purple Plattform, die auch ihr Captive Portal betreibt. Das Captive Portal ist die Anmeldeseite, die Gäste beim Verbinden sehen. Es wurde keine Hardware an die Standorte geliefert und die Gäste mussten nichts installieren.

Ergebnis. Die Gruppe schützte ihre Gastnetzwerke ohne Agenten und ohne neue Hardware. Die Schätzung der Nutzerzahlen wurde vollständig aus dem Gastbudget gestrichen. Das Netzwerkteam erfasste einen Referenzwert für den Gast Webdatenverkehr und verzeichnete spürbare Bandbreiteneinsparungen. Dieses Ergebnis lieferte dem Netzwerkteam klare Daten für die nächste Kapazitätsprüfung.

Praxisbeispiel: Kommunale Bibliotheken und Freizeitzentren

Ausgangslage. Eine Kommunalverwaltung bot öffentliches WiFi in ihren Bibliotheken und Freizeitzentren an. Kinder nutzten beide Angebote. Die Verwaltung benötigte eine jugendschutzkonforme Filterung und wollte alle Standorte unter einer einzigen Richtlinie zusammenfassen. Der Netzwerkadministrator konnte weder Roaming Clients noch physische Geräte an den Standorten warten.

Umsetzung. Die Verwaltung aktivierte Shield auf der öffentlichen SSID an jedem Standort und wendete eine einheitliche Richtlinie für den Jugendschutz an. Mitarbeitergeräte verblieben auf einer separaten SSID unter den bestehenden Unternehmenskontrollen. Das Netzwerkteam blockierte bekannte DoH Endpunkte auf dem öffentlichen VLAN, dem virtuellen Netzwerksegment, das den öffentlichen Datenverkehr vom Mitarbeiterdatenverkehr trennt. Dies verhinderte, dass Geräte den Resolver umgehen konnten.

Ergebnis. Alle Standorte nutzten eine Richtlinie, die zentral verwaltet wurde, ohne Software auf den Geräten der Besucher. Die Verwaltung konnte ihrem Jugendschutzbeauftragten eine einzige, dokumentierte Filterkonfiguration vorlegen. Die DoH Blockierung schloss die häufigste Umgehungsmöglichkeit im öffentlichen Netzwerk.

Praxisbeispiel: Festival mit Mobilfunk Anbindung

Situation. Ein Festival bot Besucher-WiFi über gebündelte Mobilfunkverbindungen an. Das Datenvolumen war begrenzt, und bei früheren Veranstaltungen waren die Verbindungen in den Spitzenzeiten überlastet.

Massnahmen. Der Veranstalter aktivierte Shield auf der Besucher-SSID, bevor die Tore öffneten. Werbe- und Tracker-Domains wurden direkt bei der Abfrage blockiert, ebenso wie bekannte Phishing-Domains, die auf Ticket- und Zahlungsseiten abzielten.

Ergebnis. Der Veranstalter verglich den Datenverbrauch mit dem vorherigen Referenzwert und erzielte schnellere Ladezeiten sowie einen geringeren Datenverbrauch. Die Lizenzierung einer Festivalmenge pro Nutzer hätte bedeutet, dass die Besucherzahlen vorausgesagt werden müssten, bevor die Tickets ausverkauft sind.

Fragen an beide Anbieter

• Wie wird ein Gäste-Netzwerk für die Lizenzierung gezählt, und was passiert an einem Tag mit Spitzenbelastung?
• Wie lange dauert die Bereitstellung für eine SSID, und was muss installiert werden?
• Wie lassen sich Ihre Inhaltskategorien mit dem Jugendschutz-Standard vereinbaren, für den wir verantwortlich sind?
• Wie gehen Sie mit Geräten um, die DNS over HTTPS nutzen?
• Wo werden Abfrage-Protokolle gespeichert, wie lange und unter welcher Zertifizierung?

Falls DNSFilter ebenfalls in Ihrer engeren Auswahl ist, lesen Sie Shield vs. DNSFilter: Ein Schutz-DNS-Vergleich für WiFi-Betreiber. Weitere Entscheidungshilfen finden Sie unter Alle Leitfäden.

Häufig gestellte Fragen

Gibt es eine Cisco Umbrella Alternative für Gäste-WiFi?

Ja. Shield ist der schützende DNS-Dienst von Purple, der speziell für Gäste- und öffentliches WiFi entwickelt wurde und nicht für Unternehmens-Endgeräte. Sie aktivieren ihn pro SSID innerhalb von Minuten, ohne Hardware und ohne Agenten auf den Geräten der Besucher. Er filtert Bedrohungen sowie ungeeignete Inhalte und blockiert Werbung direkt bei der DNS-Abfrage. Viele Organisationen nutzen Umbrella weiterhin auf den Geräten der Mitarbeiter und betreiben Shield in den Gäste-Netzwerken. So erfüllt jedes Tool genau die Aufgabe, für die es entwickelt wurde.

Wie sind die Preise von Cisco Umbrella für Gäste-WiFi gestaltet?

Für Cisco Umbrella gibt es keine veröffentlichte Preisliste. Der Kauf erfolgt über den Cisco-Vertrieb oder einen Wiederverkäufer auf Basis eines Angebots, verteilt auf Pakete wie DNS Security Essentials, DNS Security Advantage, SIG Essentials und SIG Advantage. Die Lizenzierung erfolgt pro Nutzer. Fragen Sie bei Gäste-WiFi nach, wie anonyme Besucher angerechnet werden, bevor Sie ein Angebot annehmen. Saisonal bedingte oder veranstaltungsbezogene Besucherzahlen machen diese Zahl schwer vorhersehbar und noch schwerer zu rechtfertigen.

Ist Umbrella für die Filterung im öffentlichen WiFi überdimensioniert?

Oft ja, wenn Gäste-Netzwerke alles sind, was Sie schützen müssen. Die Stärken von Umbrella liegen im Roaming-Schutz für verwaltete Laptops, in identitätsbasierten Richtlinien und im Pfad zu SWG, CASB, FWaaS und ZTNA. Geräte von Gästen nutzen davon nichts. Bei öffentlichem WiFi besteht die Kernanforderung in einer Bedrohungs- und Inhaltsfilterung auf DNS-Ebene für jedes angemeldete Gerät. Shield bietet genau das pro SSID - ohne Nutzerzählung oder Agenten.

Funktioniert Shield mit unseren vorhandenen Access Points?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf dem Netzwerk, das Sie bereits besitzen. Es funktioniert mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Shield agiert auf der DNS-Ebene, sodass Sie es pro SSID ohne neue Hardware konfigurieren. Ihre Access Points, Switches und Controller bleiben einfach bestehen.

Können wir Shield und Cisco Umbrella nebeneinander betreiben?

Ja, und für gemischte Umgebungen ist dies oft das sauberste Design. Belassen Sie Umbrella auf Unternehmens-SSIDs und verwalteten Laptops, wo benutzerbasierte Lizenzierung und Roaming-Schutz optimal passen. Betreiben Sie Shield auf Gast- und öffentlichen SSIDs, bei denen die sich verbindenden Personen anonym und wechselnd sind. Getrennte SSIDs und VLANs halten die beiden Richtlinien voneinander getrennt. Jedes Netzwerk nutzt dann den Resolver, der am besten zu den jeweiligen Nutzern passt.

Wie lange dauert die Bereitstellung von Shield?

Wenige Minuten pro SSID. Shield benötigt keine Hardware und keine Software auf den Geräten der Besucher, sodass die Bereitstellung eher eine Konfigurationsänderung als ein eigenständiges Projekt darstellt. Ein Standortnetzwerk mit mehreren Filialen kann jedes Gastnetzwerk innerhalb eines einzigen Wartungsfensters schützen. Die Support-Dokumentation von Purple deckt die Konfigurationsschritte für Ihre Hardware ab. Die Richtlinien werden zentral verwaltet, sobald jede SSID live ist.

Wie wirkt sich protective DNS auf die GDPR und die Datenverarbeitung aus?

Behandeln Sie DNS-Abfrage-Logs als personenbezogene Daten, wenn diese mit einem Gerät verknüpft werden können, und legen Sie die Aufbewahrungsfrist entsprechend fest. Purple ist nach ISO 27001 zertifiziert sowie GDPR-konform, und Shield fügt sich vollständig in diesen Rahmen ein. Fragen Sie jeden Anbieter, wo Logs gespeichert werden, wie lange sie aufbewahrt werden und wer darauf zugreifen kann. Halten Sie die Antworten anschließend in Ihrer Datenschutz-Folgenabschätzung fest.

Können Besucher die DNS-Filterung im Gast-WiFi umgehen?

Einige versuchen es möglicherweise, hauptsächlich durch die Verwendung von DNS over HTTPS oder einem VPN, das Anfragen an einen anderen Resolver sendet. Sie reduzieren dies, indem Sie bekannte DoH-Endpunkte und öffentliche Resolver auf dem Gast-VLAN blockieren. Das erzwingt Abfragen über Ihren protective DNS-Dienst. Kein DNS-Filter verhindert jeden entschlossenen Umgehungsversuch. In Kombination mit Netzwerkkontrollen deckt er jedoch die meisten Besucher auf den meisten Geräten ab.