Secure Web Gateway Mittelstand 2026: Wann die Firewall nicht mehr reicht

Ein Secure Web Gateway im Mittelstand lohnt sich, wenn Web-Verkehr nicht mehr über die Firewall läuft. Das passiert schneller, als viele denken. Arbeiten 20 von 50 Mitarbeitern regelmäßig im Homeoffice und surfen dort direkt ins Internet, greift der Web-Filter im Büro für diese Geräte nicht. Phishing-Links und manipulierte Downloads erreichen die Notebooks dann, ohne dass die IT-Abteilung davon erfährt. Kurz gesagt: Läuft der gesamte Web-Verkehr über Büro oder VPN, reicht meist der Web-Filter Ihrer Firewall (NGFW). Surfen Notebooks direkt ins Internet, deckt ein Cloud-SWG wie das Skyhigh Secure Web Gateway diesen Verkehr ab – Preise pro User finden Sie weiter unten.

Braucht ein Unternehmen mit Firewall zusätzlich ein Secure Web Gateway?

Nicht zwingend. Läuft der gesamte Web-Verkehr über das Büro oder über einen VPN-Tunnel ohne Split-Tunneling, prüft die Firewall mit Web-Filter und TLS-Inspektion alle Seitenaufrufe. Ein zusätzliches Secure Web Gateway lohnt sich, sobald Notebooks im Homeoffice oder unterwegs direkt ins Internet gehen oder die Firewall die TLS-Inspektion nicht mehr mit voller Leistung schafft.

Zwei Begriffe dazu: Beim Split-Tunneling laufen bestimmte Verbindungen bewusst am VPN-Tunnel vorbei. Die TLS-Inspektion bricht verschlüsselte HTTPS-Verbindungen kontrolliert auf, damit der Filter den Inhalt prüfen kann.

Was ein Secure Web Gateway im Mittelstand konkret leistet

Ein Secure Web Gateway (SWG) ist ein Prüfpunkt für den Web-Verkehr: Jeder Seitenaufruf läuft über einen Proxy, bevor er den Browser erreicht. Heute laufen die meisten SWGs als Cloud-Dienst. Der Mitarbeiter verbindet sich also mit dem Rechenzentrum des Anbieters statt mit Ihrer Zentrale. Skyhigh erlaubt laut Produktseite zusätzlich Hybrid-Betrieb mit eigenen Appliances.

Der Funktionsumfang ähnelt dem Web-Filter einer Firewall, nur unabhängig vom Standort:

• URL-Filter nach Kategorien: Sperrt etwa Glücksspiel, frisch registrierte Domains oder bekannte Phishing-Seiten.
• TLS-Inspektion: Prüft verschlüsselten Verkehr. Ohne sie bleibt der Großteil des Webs für den Filter unsichtbar.
• Gateway-Anti-Malware: Prüft Downloads, bevor sie auf dem Gerät landen.
• Data Loss Prevention (DLP): Erkennt, wenn vertrauliche Daten in Web-Formulare oder Cloud-Speicher abfließen.
• Einheitliche Richtlinie: Eine Regel gilt im Büro, im Homeoffice und im Hotel-WLAN.

Das Skyhigh SWG mit deutschem Rechenzentrum bringt laut Hersteller-Datenblatt genau diese Bausteine mit: URL-Filter nach Risikostufen, TLS-Inspektion, DLP und Threat Protection. Die Prüfung erfolgt im Skyhigh-Rechenzentrum in Deutschland, was Datenschutzbeauftragten die Bewertung erleichtert.

Firewall-Web-Filter oder Secure Web Gateway: der direkte Vergleich

Beide Ansätze filtern Web-Verkehr. Der Unterschied liegt darin, wo geprüft wird und für welche Geräte der Filter greift.

Always-on-VPN bedeutet: Das Notebook baut den Tunnel automatisch auf und hält ihn ständig offen, sobald es online ist. Bei WatchGuard steckt der Web-Filter als WebBlocker bereits in der Basic Security Suite, das zeigt der Vergleich WatchGuard Basic vs. Total Security Suite. Wer eine WatchGuard Firebox der T-Serie mit aktiver Lizenz betreibt, hat für das Büro also schon einen Web-Filter. Welche Abos neben der Hardware anfallen, erklärt der Beitrag zu Firewall-Lizenzkosten.

Secure Web Gateway für den Mittelstand: fünf Situationen, in denen es sich lohnt

Ein Cloud-SWG ist keine Pflicht, sondern eine Antwort auf bestimmte Arbeitsweisen. Prüfen Sie, ob mindestens einer dieser Punkte auf Ihr Unternehmen zutrifft:

1. Homeoffice ohne Always-on-VPN: Mitarbeiter verbinden sich nur für Fileserver oder ERP per VPN, surfen aber direkt. Für diesen Web-Verkehr gibt es heute keinen zentralen Filter.
2. Split-Tunneling für Microsoft 365 und Teams: Viele Betriebe leiten Cloud-Dienste bewusst am VPN vorbei, damit Videokonferenzen flüssig laufen. Der übrige Web-Verkehr läuft dann oft gleich mit vorbei.
3. Firewall am Leistungslimit: Hersteller geben für TLS-Inspektion in ihren Datenblättern einen deutlich niedrigeren Durchsatz an als für reines Firewalling. Wer die Inspektion deshalb abgeschaltet hat, filtert faktisch nur noch Seitennamen.
4. Mehrere kleine Standorte: Statt an jeder Filiale eigene Web-Filter-Regeln zu pflegen, gilt eine zentrale Richtlinie.
5. Nachweispflichten: Wer unter NIS2 fällt, muss Risikomanagement-Maßnahmen umsetzen und nachweisen. Ein SWG ersetzt diese Pflichten nicht, liefert aber zentrale Protokolle, welche Richtlinie für wen gilt. Was die Richtlinie für die Firewall bedeutet, steht im Beitrag zu den NIS2-Firewall-Anforderungen.

Trifft keiner der Punkte zu, investieren Sie das Budget besser in die Firewall-Lizenz oder in den Endpoint-Schutz.

Was ein Secure Web Gateway im Mittelstand kostet

Cloud-SWGs werden pro User und Jahr lizenziert. Für Skyhigh gelten im Cyber Shop folgende Preise (netto, 12 Monate, Stand 30.10.2026):

• Skyhigh SWG, deutsches Rechenzentrum: 46,60 € pro User
• Skyhigh SWG Advanced, deutsches Rechenzentrum: 60,75 € pro User
• Standard-Cloud-Varianten ohne festen Standort Deutschland: 40,51 € (SWG) und 52,81 € (Advanced)

Laut Distributor gilt ein Preis von 1 bis 100.000 Usern, es gibt also keine Mengenstaffel. Für 50 Mitarbeiter liegt das SWG mit deutschem Rechenzentrum damit bei rund 2.330 € netto im Jahr.

Laut Produktseite ist der einzige dokumentierte Unterschied zwischen SWG und SWG Advanced die Remote Browser Isolation für riskante Seiten. Dabei wird eine verdächtige Webseite im Rechenzentrum ausgeführt, an den Browser geht nur eine gerenderte Darstellung. Das lohnt sich für Abteilungen, die viele unbekannte Seiten öffnen, etwa Einkauf oder Vertrieb. Wer jede beliebige Seite isolieren will, bekommt die Full Isolation laut Produktseite als Add-on.

Wer zusätzlich die Nutzung von Cloud-Diensten und Schatten-IT kontrollieren will, braucht ein komplettes SSE-Paket (Security Service Edge: SWG plus Cloud-Kontrolle und Zugriff auf interne Anwendungen). Die Unterschiede erklärt der Beitrag zu Skyhigh SSE im Mittelstand. Alle Editionen finden Sie im Skyhigh-Sortiment.

So führen Sie ein SWG ohne Störung ein

Ein SWG greift in jeden Seitenaufruf ein. Ein stufenweiser Start verhindert, dass am ersten Tag die Branchensoftware nicht mehr lädt:

1. Pilotgruppe festlegen: fünf bis zehn Nutzer aus IT und einer Fachabteilung.
2. TLS-Ausnahmen klären: Online-Banking, Gesundheitsportale und Software mit festem Zertifikat brauchen meist eine Ausnahme von der Inspektion. Stimmen Sie die Liste mit Datenschutz und Betriebsrat ab. Orientierung bieten die Bausteine zu Webbrowser und Telearbeit im IT-Grundschutz-Kompendium des BSI.
3. Erst beobachten, dann sperren: Zwei Wochen Protokollmodus zeigen, welche Kategorien wirklich genutzt werden.
4. Firewall-Regeln anpassen: Doppelte Filterung im Büro kostet Leistung, ohne zusätzlichen Schutz zu bringen.

Wer ohnehin plant, das VPN abzulösen, verbindet den Schritt mit dem Zugriff auf interne Anwendungen. Wie das geht, beschreibt der Ratgeber Zero Trust Network Access für KMU.

Häufige Fragen zum Secure Web Gateway im Mittelstand

Ersetzt ein Secure Web Gateway die Firewall?

Nein. Die Firewall schützt das Firmennetz, regelt VPN-Zugänge und trennt Netzbereiche. Das SWG prüft nur den Web-Verkehr der Nutzer, egal wo sie arbeiten.

Ist ein Cloud-SWG mit deutschem Rechenzentrum DSGVO-tauglich?

Die Verarbeitung in Deutschland erleichtert die Bewertung, ersetzt sie aber nicht. Sie brauchen einen Auftragsverarbeitungsvertrag und eine Regelung zur TLS-Inspektion, die mit Datenschutz und Betriebsrat abgestimmt ist.

Muss auf den Notebooks Software installiert werden?

Für Notebooks außerhalb des Büros meist ja: ein Client oder eine PAC-/Proxy-Konfiguration. Standorte lassen sich oft per Tunnel von der Firewall anbinden, ohne dass auf jedem Gerät etwas installiert wird. Für die TLS-Inspektion verteilen Sie zusätzlich ein Zertifikat auf die Geräte.

Lohnt sich ein SWG für 20 Mitarbeiter?

Wenn ein großer Teil davon mobil oder im Homeoffice arbeitet, ja. Bei 20 Usern liegen die Kosten mit deutschem Rechenzentrum bei rund 932 € netto im Jahr. Sitzen alle im Büro, genügt meist der Web-Filter der Firewall.

Was ist der Unterschied zwischen SWG und SSE?

Das SWG ist ein Baustein von Security Service Edge (SSE). SSE ergänzt den Web-Schutz um die Kontrolle von Cloud-Diensten (CASB) und den Zugriff auf interne Anwendungen ohne klassisches VPN.

Fazit: Erst den Homeoffice-Anteil zählen, dann entscheiden

Ob Ihr Unternehmen ein Secure Web Gateway braucht, entscheidet nicht die Größe, sondern der Weg des Web-Verkehrs. Läuft alles über das Büro, genügt der Web-Filter der Firewall. Surfen Mitarbeiter direkt aus dem Homeoffice, deckt ein Cloud-SWG diesen Verkehr für rund 3,90 € netto pro User und Monat ab (SWG, deutsches Rechenzentrum, Stand 30.10.2026). Welche Variante passt zu Ihrem Netz? Der Produktberater grenzt die Auswahl mit wenigen Fragen ein. Für ein Angebot zu Ihrer Umgebung nutzen Sie unser Kontaktformular.