RATGEBER

SD-WAN für mehrere Standorte: So erreichen Sie Redundanz, Sicherheit und zentrale Steuerung

Für mehrere Standorte lohnt sich SD-WAN besonders, wenn Sie Ausfallsicherheit über mehrere Leitungen, zentrale Policies und durchgängige Verschlüsselung konsequent kombinieren. Entscheidend sind ein sauberes Redundanzdesign (Zugänge, CPE/HA, Orchestrator), integrierte Security-Funktionen und ein Betriebskonzept, das Rollout und Änderungen zentral steuert.

Redaktionell aufbereitet
Klar erklärt
Fundiert entscheiden

Welche SD-WAN-Architektur liefert Redundanz, Sicherheit und zentrale Steuerung für mehrere Standorte?

Für mehrere Standorte erreichen Sie die beste Kombination aus Ausfallsicherheit, Sicherheitsniveau und Betriebsaufwand, wenn Sie SD-WAN als zentral gesteuertes Overlay mit klaren Bausteinen planen: (1) mindestens zwei unabhängige Underlay-Zugänge pro kritischem Standort, (2) zentraler Orchestrator/Manager für Policies und Rollouts, (3) durchgängige Verschlüsselung und Segmentierung sowie (4) definierte Pfadregeln (SLA-/Policy-basiert), damit Anwendungen bei Störungen automatisch auf alternative Leitungen wechseln. Die Telekom beschreibt Secure SD-WAN explizit als zentral gesteuertes Netzwerk-Overlay, das Standorte, Security und Cloud-Dienste verbindet. Cisco beschreibt den SD-WAN Manager als zentrales Managementsystem, das Routing- und Security-Informationen verteilt und zentrale Policies durchsetzt.

Redaktionelles Praxisvisual zu SD-WAN für mehrere Standorte: Redundanz, Sicherheit und zentrale Steuerung — Redaktionelles Praxisvisual 1 zum Thema SD-WAN für mehrere Standorte: Redundanz, Sicherheit und zentrale Steuerung

So setzen Sie Redundanz im SD-WAN für mehrere Standorte praktisch um

Redundanz im SD-WAN ist mehr als „zwei Leitungen“: Sie müssen Redundanz auf mehreren Ebenen sauber designen, damit ein Ausfall nicht nur theoretisch, sondern auch im täglichen Betrieb abgefangen wird.

Redundanz im Underlay: mindestens zwei Wege mit echter Unabhängigkeit

Planen Sie pro Standort mindestens zwei Internet-/WAN-Zugänge, die möglichst unabhängig voneinander sind (z. B. Glasfaser plus zweiter Carrier, alternativ DSL plus Kabel). Für Standorte mit hohen Verfügbarkeitsanforderungen ist zusätzlich ein Mobilfunk-Link sinnvoll. In der Telekom-Darstellung zur Fortinet-Variante wird 5G/LTE ausdrücklich als primärer oder sekundärer WAN-Link sowie für automatisches Failover und Load-Balancing eingeordnet.

Redundanz am Standort (CPE): Single Point of Failure vermeiden

Ein häufiger Fehler ist, Redundanz ausschließlich auf Leitungen zu planen, aber nicht auf Geräteebene. Wenn der SD-WAN-Edge am Standort ausfällt, hilft die beste Leitungsvielfalt nicht. Fortinet benennt dafür explizit HA-Konzepte (primär/backup) und weitere Redundanz-Optionen im Secure-SD-WAN-Kontext (z. B. Interface-Redundanz). Damit können Sie den SD-WAN-Edge als HA-Paar betreiben und Wartungsfenster besser abfedern.

Redundanz im Management/Orchestrator: Steuerung selbst hochverfügbar planen

Wenn Ihr Betrieb stark auf zentrale Orchestrierung setzt, muss auch diese Komponente ausfallsicher geplant werden. Juniper beschreibt den „Conductor“ als zentralen Management-Node und empfiehlt für Redundanz bei Cloud-Deployment die Platzierung in unterschiedlichen Availability Zones. Übertragen auf Ihre Praxis heißt das: Prüfen Sie, wie Ihr Hersteller oder Managed-Service-Partner die Hochverfügbarkeit von Orchestrator/Manager abbildet (Cluster, Zonen, Backup-Pfade), bevor Sie Standorte in großer Zahl anbinden.

Applikationsspezifisches Failover statt „Default Route“-Denken

Mehrere Standorte profitieren besonders, wenn SD-WAN nicht nur „irgendwie umschaltet“, sondern Applikationen gezielt priorisiert. Cisco beschreibt sein SD-WAN als application-aware und hebt zentrale Policies sowie Analytics hervor. Das ist für Sie praktisch relevant, weil Sie pro Anwendung festlegen können, welche Pfade erlaubt oder bevorzugt sind, ohne an jedem Standort manuell nachzuarbeiten.

Sicherheitsarchitektur: zentrale Regeln, Segmentierung und verschlüsselte Verbindungen

Bei mehreren Standorten ist Security weniger eine Einzelfunktion als ein Konsistenzproblem: Je mehr Niederlassungen, desto wichtiger werden zentrale Vorgaben und einheitliche Durchsetzung.

Zentrale Sicherheitsrichtlinien und konsistente Umsetzung

Die Telekom beschreibt für Secure SD-WAN auf Cisco-Basis explizit, dass die Sicherheit durch zentrale Sicherheitsrichtlinien, Segmentierung, verschlüsselte Verbindungen, Monitoring sowie kontrollierte Cloud- und Internetzugänge erhöht wird. Der Kernnutzen in Multi-Site-Umgebungen: Änderungen müssen nicht mehr je Standort einzeln umgesetzt werden, sondern können zentral geplant, ausgerollt und überwacht werden.

Segmentierung als Pflicht: Gast, IoT/OT, Office, Payment, Admin trennen

Segmentierung ist die Grundlage, um laterale Bewegung im Falle eines Security-Vorfalls zu begrenzen und Compliance-Anforderungen sauberer umzusetzen. Wenn Sie Filialen, Lager, Servicepoints und Zentrale vernetzen, definieren Sie mindestens diese Segmente: Office-IT, Management/Admin, Gastnetz, Spezialgeräte (z. B. Scanner/Terminals) sowie ggf. Produktions-/IoT-Umgebungen. Entscheidend ist, dass Segmentierungsregeln zentral definiert und automatisch auf neue Standorte angewendet werden.

Verschlüsselung und sichere Managementkanäle

Für die Steuerbarkeit und Sicherheit ist nicht nur der Datenverkehr, sondern auch der Management-Verkehr relevant. Cisco beschreibt, dass der SD-WAN Manager mit Edge-Devices und Controllern über einen sicheren Kanal kommuniziert (TLS oder DTLS). Das reduziert das Risiko, dass Konfigurationen oder Steuerinformationen ungeschützt übertragen werden.

Integrierte Security vs. Security-Overlay: Klären Sie Ihr Zielbild früh

Sie sollten früh entscheiden, ob Security primär als integrierte Funktion am SD-WAN-Edge (z. B. Next-Gen-Firewall-Funktionen) oder als ergänzender Cloud-Sicherheitsdienst umgesetzt werden soll. Cisco beschreibt dafür ausdrücklich zwei Wege: eingebettete SD-WAN-Sicherheitsfunktionen auf Geräten oder ein SASE-Modell. Der richtige Ansatz hängt davon ab, wie viel Direkt-Internet-Breakout Sie zulassen, welche Cloud-Dienste Sie nutzen und wie zentral Ihr Security-Team arbeiten kann.

Zentrale Steuerung und Betrieb: was Sie wirklich standardisieren müssen

Bei vielen Standorten ist SD-WAN vor allem ein Betriebsmodell. Zentralität bedeutet nicht nur „GUI vorhanden“, sondern Standardisierung in Rollen, Prozessen und Templates.

Zentrales Policy- und Template-Management

Cisco beschreibt den SD-WAN Manager als zentrales Managementsystem, das zentrale Policy anwendet und Routing- sowie Security-Informationen verteilt, ohne selbst Nutzdaten zu transportieren. Für Sie ist das ein wichtiger Punkt: Sie skalieren Steuerung und Governance, ohne die Datenpfade künstlich zu zentralisieren.

Zero-Touch-Rollout für neue Standorte

Gerade bei Filialnetzen oder schnell wachsenden Unternehmensstrukturen ist ZTP (Zero Touch Provisioning) entscheidend, um neue Standorte ohne Vor-Ort-Konfiguration anzubinden. Die Telekom nennt in der Fortinet-Variante „einfaches Ausrollen mit Zero-Touch“ und ordnet die Steuerung einer zentralen Stelle über FortiManager zu. Damit wird aus einem „Netzwerkprojekt“ ein wiederholbarer Rollout-Prozess.

Multi-Tenancy und Rollenmodelle für größere Organisationen

Wenn Sie mehrere Gesellschaften, Regionen oder Mandanten trennen müssen, ist Mandantenfähigkeit relevant. Cisco beschreibt Multitenancy als Feature, um mehrere getrennte Organisationen („Tenants“) in einer gemeinsamen SD-WAN-Infrastruktur logisch isoliert zu betreiben. Das kann bei Konzernen oder Dienstleistern mit getrennten Verantwortlichkeiten die Betriebsfähigkeit deutlich verbessern.

Vergleich: drei typische SD-WAN-Betriebsmodelle für Multi-Site-Umgebungen

Betriebsmodell	Stärken bei zentraler Steuerung	Stärken bei Sicherheit	Stärken bei Redundanz	Typische Grenzen
Hersteller-SD-WAN mit zentralem Manager (z. B. Cisco)	Zentrale Policy-Verteilung, zentrale Überwachung, skalierbare Steuerung über einen Manager	Option integrierte SD-WAN-Security oder SASE-Ansatz; sichere Managementkommunikation (TLS/DTLS)	Pfadsteuerung/Overlay kann mehrere Underlays nutzen; Auslegung hängt von Edge/Controller-Design ab	Vendor-Lock-in möglich; Design- und Migrationsaufwand bei Bestandsnetzen
Security-driven SD-WAN (z. B. Fortinet)	Zentrales Management über eine Management-Oberfläche; Option auf Automation/Orchestrierung	Security-Fokus, zentraler Policy-Ansatz; Integration von Netzwerk und Security	HA-Optionen am Edge und Management; Mobilfunk-Link als primär/sekundär mit Failover/Load-Balancing möglich	Funktions- und Lizenzmodell muss sauber geklärt werden; Betrieb hängt stark von Policy-Disziplin ab
Managed SD-WAN über Provider (z. B. Telekom Secure SD-WAN)	Zentrales Management, Betrieb/Service auf Wunsch aus einer Hand; zentrale Verkehrssteuerung	Einheitliche Sicherheitsregeln, zentrale Sicherheitsrichtlinien, Segmentierung, Monitoring, kontrollierte Cloud- und Internetzugänge	Design, Bau und Betrieb durch Provider; Redundanzdesign kann als Service standardisiert werden	Abhängigkeit vom Provider-Prozess; Transparenz/Granularität im Self-Service muss vertraglich passen

Voraussetzungen und Grenzen: wann SD-WAN seine Vorteile ausspielt

Voraussetzungen

Klare Standortklassen: Definieren Sie mindestens „kritisch“ (z. B. Zentrale, Rechenzentrumsknoten, große Niederlassung) und „standard“ (kleine Standorte), damit Redundanz und Hardwareausstattung nicht überzogen oder zu knapp geplant werden.
Mindestens zwei Underlays pro kritischem Standort: Erst damit wird SD-WAN-Failover in der Praxis wirksam.
Zentrales Policy-Modell: Routing-, Security- und Segmentierungsregeln müssen als Templates funktionieren, sonst steigt der Betriebsaufwand mit jedem Standort.
Rollenkonzept: Trennen Sie Rechte für Netzwerkbetrieb, Security-Policy, Reporting und Change-Freigaben.

Grenzen

„Zentrale Steuerung“ ersetzt kein WAN-Grunddesign: Schlechte Leitungsqualität oder falsche Provider-Auswahl kann SD-WAN nicht wegzaubern.
Komplexität verschiebt sich: Sie reduzieren manuelle Standortarbeit, erhöhen aber die Bedeutung sauberer zentraler Policies und Change-Prozesse.
Security ist kein Add-on: Ohne Segmentierung und konsistente Regeln riskieren Sie, dass Fehlkonfigurationen standortweit ausgerollt werden.

Risiken: typische Stolpersteine bei Redundanz, Security und Betrieb

Redundanz nur auf Leitungsebene: Ohne CPE-HA und Orchestrator-Redundanz bleibt ein Ausfall möglich, der sich nicht per SD-WAN-Policy abfangen lässt.
Zu grobe Policies: „Alles über Internet, MPLS nur Backup“ kann geschäftskritische Anwendungen verschlechtern, wenn Latenz/Jitter nicht berücksichtigt werden.
Segmentierung zu spät: Nachträgliche Segmentierung über viele Standorte ist deutlich aufwendiger als ein sauberes Zielbild von Beginn an.
Unklare Verantwortlichkeiten: Wenn Netzwerkteam, Securityteam und Provider nicht auf ein gemeinsames Change-Modell verpflichtet sind, entstehen lange Fehlerzeiten und inkonsistente Regeln.

Entscheidungslogik: so wählen Sie die passende SD-WAN-Variante für mehrere Standorte

Standortkritikalität festlegen: Welche Standorte brauchen aktive Redundanz (zwei Links, CPE-HA), welche kommen mit einem primären Link plus Mobilfunk-Fallback aus?
Sicherheitszielbild definieren: Benötigen Sie zentrale Sicherheitsrichtlinien und Segmentierung standortweit? Wenn ja, priorisieren Sie Lösungen/Services, die genau diese Punkte zentral abbilden (Telekom nennt zentrale Sicherheitsrichtlinien, Segmentierung, verschlüsselte Verbindungen und Monitoring als Bestandteile).
Betriebsmodell entscheiden: Haben Sie Kapazität für eigenes Engineering/Operations oder ist ein Managed Service sinnvoll? Die Telekom positioniert Secure SD-WAN als Angebot, bei dem Design, Bau und Betrieb übernommen werden können.
Management- und Rollout-Anforderungen prüfen: Wenn Sie häufig neue Standorte anbinden, priorisieren Sie ZTP und zentrale Änderungen (Telekom nennt Zero-Touch; Cisco beschreibt zentrale Policy-Verteilung über den Manager).
Redundanz im Management absichern: Klären Sie, wie Orchestrator/Manager hochverfügbar betrieben werden kann (Juniper empfiehlt bei Cloud-Betrieb die Verteilung über Availability Zones).

Wenn Sie im nächsten Schritt Ihre Optionen konkret prüfen möchten, nutzen Sie als Einstieg den internen Weg: SD-WAN für Unternehmen prüfen. Für eine ganzheitliche Betrachtung von SD-WAN plus Security ist ergänzend IT- und Network-Security prüfen hilfreich.

FAQ: SD-WAN für mehrere Standorte

Reichen zwei Internetleitungen pro Standort für echte Redundanz?

Zwei Leitungen sind die Basis, aber nicht automatisch „echte“ Redundanz. Prüfen Sie zusätzlich die Geräteebene (CPE-HA) und die Redundanz Ihrer zentralen Management-/Orchestrator-Komponenten. Fortinet beschreibt HA-Optionen am Edge; Juniper adressiert Redundanz beim zentralen Management-Node im Cloud-Deployment.

Was bedeutet „zentrale Steuerung“ im SD-WAN konkret?

Zentrale Steuerung heißt, dass Policies, Routing-/Security-Informationen und Rollouts über ein zentrales System definiert und verteilt werden. Cisco beschreibt den SD-WAN Manager als zentralisiertes Managementsystem, das zentrale Policy anwendet und Informationen verteilt, ohne Nutzdaten zu transportieren.

Wie verbessern zentrale Sicherheitsrichtlinien die Multi-Site-Sicherheit?

Zentrale Sicherheitsrichtlinien sorgen dafür, dass Segmentierung, Zugriffskontrollen und verschlüsselte Verbindungen an allen Standorten konsistent gelten. Die Telekom nennt für ihre Cisco-basierte Secure-SD-WAN-Variante zentrale Sicherheitsrichtlinien, Segmentierung, verschlüsselte Verbindungen und Monitoring als Sicherheitshebel.

Ist SD-WAN automatisch sicher, nur weil alles verschlüsselt ist?

Verschlüsselung ist wichtig, reicht aber nicht aus. Sie benötigen zusätzlich Segmentierung, zentrale Richtlinien und laufendes Monitoring, damit Fehlkonfigurationen erkannt und Angriffsflächen reduziert werden.

Wann ist ein Managed SD-WAN sinnvoll?

Wenn Ihnen Ressourcen für Design, Rollout, Betrieb und kontinuierliche Optimierung fehlen oder Sie viele Standorte schnell anbinden müssen, kann ein Managed Service passen. Die Telekom bietet Secure SD-WAN inklusive Design, Bau und Betrieb als Serviceoption an.

Welche Rolle spielt Zero-Touch Provisioning (ZTP)?

ZTP reduziert den Vor-Ort-Aufwand, weil Standorte automatisiert in das zentrale Policy- und Managementmodell aufgenommen werden. Die Telekom nennt Zero-Touch als Nutzenpunkt in der Fortinet-basierten Secure-SD-WAN-Variante.

Quellen

Cisco Catalyst SD-WAN Solution Overview - Solution Overview [Cisco SD-WAN]Cisco
Cisco Catalyst SD-WAN Getting Started Guide - System OverviewCisco
Secure SD-WAN – CiscoTelekom Geschäftskunden (T Business)
Fortinet SD-WAN Lösung für Netzwerksicherheit (Secure SD-WAN – Fortinet)Telekom Geschäftskunden (T Business)
Fortinet Secure SD-WAN Data SheetFortinet
SD-WAN Design Guide (Session Smart Router)Juniper Networks