Sicherer Zugriff auf interne Anwendungen, Internet und Microsoft 365 – identitätsbasiert und ohne klassisches VPN. Die InSys AG ® plant und führt Global Secure Access ein: von der Lizenzberatung bis zur Abschaltung Ihres VPN.
GSA-Beratung anfragenMicrosoft Global Secure Access (GSA) ist die Security-Service-Edge-Lösung (SSE) von Microsoft. Sie bündelt Microsoft Entra Private Access als Zero Trust Network Access (ZTNA) für interne Anwendungen und Microsoft Entra Internet Access als Secure Web Gateway für Internet, SaaS und KI-Dienste. Der Datenverkehr läuft über den Global Secure Access Client oder über Remote Networks zum Microsoft-Netzwerk, wo Identität, Gerät und Risiko bei jedem Zugriff per Conditional Access geprüft werden – unabhängig davon, ob Mitarbeitende im Büro, im Homeoffice oder unterwegs arbeiten.
Leitet den Datenverkehr zu Microsoft 365 – Exchange Online, SharePoint, Teams und Entra ID – über Global Secure Access.
Lizenz: in Microsoft Entra ID P1 und P2 enthalten – also auch in Microsoft 365 Business Premium, E3 und E5
Identitätsbasierter Zugriff auf interne Anwendungen und Server – im Rechenzentrum, im Büro oder in Azure – ohne klassisches VPN.
Lizenz: Entra Private Access (4,30 €) oder Entra Suite, jeweils plus Entra ID P1
Identitätszentriertes Secure Web Gateway, das Internet-, SaaS- und KI-Zugriffe an jedem Ort schützt.
Lizenz: Entra Internet Access (4,30 €) oder Entra Suite, jeweils plus Entra ID P1
Microsoft Entra Private Access ist die ZTNA-Lösung von Microsoft und ersetzt das klassische Unternehmens-VPN. Statt Mitarbeitende per VPN in das komplette Firmennetz zu holen, erhält jede Person nur Zugriff auf die Anwendungen, die sie tatsächlich braucht – nach erfolgreicher Prüfung von Identität, MFA und Gerätezustand.
Das funktioniert für Webanwendungen ebenso wie für Dateiserver (SMB), Remotedesktop (RDP), SSH, ERP-Clients und andere TCP- und UDP-Anwendungen – im eigenen Rechenzentrum, am Firmenstandort oder in Azure und anderen Clouds.
Microsoft Entra Internet Access schützt den Zugriff Ihrer Mitarbeitenden auf das Internet, auf SaaS-Anwendungen und auf KI-Dienste – identitätsbasiert und an jedem Ort. Anders als ein klassischer Webproxy kennt das Secure Web Gateway den Benutzer, sein Gerät und dessen Risiko und wendet Richtlinien deshalb gezielt pro Person oder Gruppe an.
Ein Teil davon ist bereits in jeder Microsoft Entra ID P1 enthalten: das Microsoft-Traffic-Profil für Microsoft 365. Die Filterfunktionen für das gesamte Internet erfordern die Lizenz Microsoft Entra Internet Access oder die Entra Suite.
Erlauben oder sperren Sie Webseiten nach Kategorien, FQDNs und URLs – mit unterschiedlichen Sicherheitsprofilen je Benutzergruppe über Conditional Access.
Entschlüsselt und prüft HTTPS-Verkehr mit Ihrem eigenen Zertifikat, damit Filter und Bedrohungserkennung auch verschlüsselte Inhalte bewerten können.
Blockiert bekannte Phishing- und Malware-Ziele auf Basis der Bedrohungsdaten von Microsoft in Echtzeit.
Erkennt die Nutzung von KI-Anwendungen (Schatten-KI) und regelt, welche Dienste wie ChatGPT oder Microsoft 365 Copilot genutzt werden dürfen. Schutz vor Prompt-Injection befindet sich teilweise noch in der Vorschau.
Verhindert, dass Mitarbeitende sich mit fremden oder privaten Microsoft-Konten anmelden und Unternehmensdaten in andere Tenants übertragen.
Erlaubt Zugriffe auf Microsoft 365 nur über Global Secure Access. Gestohlene Tokens sind außerhalb dieses Netzwerks wertlos – ganz ohne starre IP-Listen.
Ein klassisches VPN vertraut jedem Gerät, sobald die Verbindung steht. Zero Trust Network Access mit Microsoft Global Secure Access prüft dagegen jeden einzelnen Zugriff und gibt nur die Anwendung frei, die wirklich benötigt wird. VPN-Gateways gehören seit Jahren zu den am häufigsten angegriffenen Systemen im Internet – mit ZTNA verschwindet dieses Angriffsziel.
| Kriterium | Klassisches VPN | Global Secure Access (ZTNA) |
|---|---|---|
| Zugriffsmodell | Zugang zum Netzwerk, oft zu ganzen Subnetzen | Zugang nur zur freigegebenen Anwendung (Least Privilege) |
| Angriffsfläche | VPN-Gateway mit öffentlich erreichbarem Port | Connector nur mit ausgehenden Verbindungen, keine offenen Ports |
| Authentifizierung | Einmalig beim Verbindungsaufbau | Conditional Access und MFA pro Anwendung, mit Geräte- und Risikoprüfung |
| Laterale Bewegung | Nach einer Kompromittierung leicht möglich | Auf die freigegebenen Anwendungen begrenzt |
| Performance | Datenverkehr läuft über die Zentrale (Hairpinning) | Direkt zum nächsten Microsoft-Edge-Standort |
| Internetverkehr | Kompromiss zwischen Split- und Full-Tunnel | Webfilter und TLS-Inspection direkt im Microsoft-Netz |
| Bedienung | Mitarbeitende starten das VPN manuell | Client verbindet automatisch und transparent |
| Betrieb | Appliances, Firmware-Updates, Kapazitätsplanung | Cloud-Dienst, zentral im Entra Admin Center verwaltet |
| Externe Dienstleister | Häufig Zugriff auf das gesamte Netz | Gezielte Freigabe einzelner Systeme |
| Protokollierung | Getrennte Logs ohne Bezug zur Identität | Zugriffsprotokolle mit Benutzer, Gerät und Anwendung |
Global Secure Access ist für den Zugriff von Benutzern auf Anwendungen gebaut. Die Kopplung von Standorten untereinander, Server-zu-Server-Verbindungen, Replikation und Backups laufen weiterhin über Site-to-Site-VPN oder SD-WAN – zum Beispiel zwischen zwei UniFi Enterprise Firewalls. Wie beides zusammenspielt, zeigt der Abschnitt zur UniFi Enterprise Firewall. Verbindungen, die von einem Server aus zum Client aufgebaut werden, etwa Fernwartung auf Mitarbeiter-Laptops, planen wir im Projekt gesondert.
Grundvoraussetzung für jedes Global-Secure-Access-Profil ist Microsoft Entra ID P1 oder P2. Damit ist das Microsoft-Traffic-Profil bereits ohne Aufpreis nutzbar. Für Entra Private Access und Entra Internet Access buchen Sie die jeweilige Einzellizenz oder die Microsoft Entra Suite hinzu. In Microsoft 365 E7 ist alles bereits enthalten.
| Lizenz | Microsoft-Traffic-Profil | Entra Private Access | Entra Internet Access | Hinweis |
|---|---|---|---|---|
| Microsoft 365 Business Basic / StandardEntra ID Free | Entra ID P1 erforderlich | |||
| Microsoft 365 Business PremiumEntra ID P1 | Add-on | Add-on | Empfohlene Basis für KMU | |
| Microsoft 365 E3 / Entra ID P1Entra ID P1 | Add-on | Add-on | Entra ID P1 einzeln: 6,10 € | |
| Microsoft 365 E5 / Entra ID P2Entra ID P2 | Add-on | Add-on | Sonderpreise für die Entra Suite | |
| + Microsoft Entra SuiteAdd-on | 10,40 € zusätzlich | |||
| Microsoft 365 E7Entra ID P2 + Entra Suite | ab 84,51 € (EWR ohne Teams) |
ZTNA für interne Anwendungen, ersetzt das VPN
Secure Web Gateway für Internet, SaaS und KI
Private Access und Internet Access plus Identity Governance, ID Protection und Verified ID
Microsoft 365 Business Premium als Basis – mit Entra ID P1, Intune und Defender for Business – ergänzt um die Microsoft Entra Suite. So nutzen Sie Global Secure Access vollständig und sichern Identitäten, Geräte und Netzwerkzugriff aus einer Hand. Alle Lizenzen erhalten Sie bei uns als Microsoft Direct Cloud Solution Provider.
Jede Lizenz für Entra ID P1, Entra Internet Access und die Entra Suite erhöht die Bandbreite, die Sie Standorten per Remote Network zuweisen können. Pro IPsec-Tunnel lassen sich 250, 500, 750 oder 1.000 Mbit/s zuteilen. Zusätzliche Bandbreite ist separat buchbar.
Unverbindliche Preisempfehlungen des Herstellers pro Benutzer und Monat bei jährlicher Abrechnung, netto zzgl. MwSt. Stand: Oktober 2026. Projektkonditionen auf Anfrage.
Global Secure Access schützt den Zugriff jeder einzelnen Person – egal, wo sie arbeitet. Die UniFi Enterprise Firewall schützt den Standort selbst: das lokale Netz, die Server und alle Geräte, auf denen kein Client läuft. Beide Ebenen ergänzen sich, und die InSys AG ® plant sie als Microsoft Solutions Partner für Sicherheit und Ubiquiti Enterprise Partner aus einer Hand.
Auf verwalteten Laptops und Smartphones. Leitet Microsoft-, Internet- und Private-Access-Verkehr zu Microsoft – im Büro, im Homeoffice und unterwegs.
Conditional Access, MFA, Gerätekonformität, Webfilter und Threat Intelligence bei jedem einzelnen Zugriff.
Segmentierung, IDS/IPS und SSL/TLS-Inspection am Standort. Der Private Network Connector im Server-Netz verbindet nur ausgehend zu Microsoft.
Der Private Network Connector baut nur ausgehende HTTPS-Verbindungen auf. Portweiterleitungen und der VPN-Server der Firewall entfallen – die Angriffsfläche am Internetzugang sinkt deutlich.
Die zonenbasierte Firewall der UniFi Enterprise Firewall erlaubt dem Connector nur die freigegebenen Server und Ports. So greift das Least-Privilege-Prinzip doppelt: in Entra und im lokalen Netz.
Drucker, Kameras, IoT-Sensoren, Maschinen und Gäste haben keinen Global Secure Access Client. Für sie sorgen IDS/IPS, SSL/TLS-Inspection, Content-Filter und VLAN-Segmentierung der Firewall.
Der Datenverkehr des GSA Clients zu Microsoft wird von der SSL-Inspection der UniFi Firewall ausgenommen. So prüft nur eine Instanz – ohne Zertifikatsfehler und ohne Performanceverlust.
Conditional Access prüft, ob der Zugriff über Global Secure Access kommt. Feste öffentliche IP-Adressen der Firewall als vertrauenswürdige Standorte werden überflüssig – auch bei Multi-WAN und 5G-Backup.
Server-zu-Server-Verkehr, Replikation und Backups zwischen Standorten laufen weiter über Site Magic SD-WAN oder IPsec der UniFi Firewalls. Global Secure Access übernimmt den Zugriff der Benutzer auf Anwendungen.
Über ein Remote Network leitet die Firewall den Internet- und Microsoft 365-Verkehr eines kompletten Standorts per IPsec-Tunnel zu Global Secure Access – auch von Geräten ohne Client. Voraussetzung sind routenbasiertes IPsec mit IKEv2 und AES-GCM sowie BGP. Das Private-Access-Profil wird über Remote Networks nicht unterstützt; interne Anwendungen bleiben dem Client vorbehalten.
Ob Ihre Firewall und deren Firmware alle von Microsoft geforderten Parameter erfüllt, prüfen wir vor dem Rollout. Auf Wunsch betreiben wir Firewall und Netzwerk im UniFi Managed Service.
Die Umstellung vom VPN auf Zero Trust Network Access gelingt am besten schrittweise und im Parallelbetrieb. Die InSys AG ® begleitet Unternehmen bundesweit von der Bestandsaufnahme bis zur Abschaltung des alten VPN – als Microsoft Solutions Partner für Sicherheit, für Modernes Arbeiten und für Infrastruktur (Azure).
Wir analysieren Ihr bestehendes VPN, die genutzten internen Anwendungen, Ihre Lizenzen und den Zustand von Entra ID, Intune und Conditional Access. Häufig lässt sich mit dem Microsoft 365 Tenant Sicherheitscheck der Tenant in einem Schritt mitbewerten.
Ergebnis: Architektur, Anwendungsliste und passende Lizenzempfehlung
Der schnelle Einstieg ohne Zusatzkosten: Wir aktivieren das in Entra ID P1 enthaltene Microsoft-Traffic-Profil, Universal Tenant Restrictions und die Bedingung „konformes Netzwerk“ im Conditional Access.
Ergebnis: Mehr Schutz für Microsoft 365 gegen Datenabfluss und Token-Diebstahl
Wir installieren redundante Private Network Connectors, starten mit Quick Access parallel zum VPN und segmentieren anschließend Anwendung für Anwendung – jeweils mit eigener Conditional-Access-Richtlinie und MFA.
Ergebnis: Zugriff auf interne Anwendungen ohne VPN, Pilotgruppe produktiv
Wir definieren Webfilter, Sicherheitsprofile, TLS-Inspection und Threat Intelligence, regeln die Nutzung von KI-Diensten und stimmen alles mit Ihrer Firewall am Standort ab.
Ergebnis: Einheitlicher Webschutz für alle Mitarbeitenden an jedem Ort
Nach dem Rollout des Clients über Intune schalten wir das alte VPN ab. Im Betrieb überwachen wir Zugriffe und Richtlinien und entwickeln sie im Microsoft Secure Score Managed Service (SSMS) kontinuierlich weiter.
Ergebnis: VPN-Gateway außer Betrieb, laufende Optimierung
Antworten zu Entra Private Access, Entra Internet Access, VPN-Ablösung, Lizenzen, Preisen und dem Zusammenspiel mit der UniFi Enterprise Firewall
Microsoft Global Secure Access ist die Security-Service-Edge-Lösung (SSE) von Microsoft. Sie vereint Microsoft Entra Private Access für den Zugriff auf interne Anwendungen ohne VPN und Microsoft Entra Internet Access als Secure Web Gateway für Internet, SaaS und KI. Verwaltet wird alles im Microsoft Entra Admin Center, und jeder Zugriff wird per Conditional Access anhand von Identität, Gerät und Risiko geprüft.
Microsoft Entra Private Access ist die Zero-Trust-Network-Access-Lösung (ZTNA) von Microsoft und ersetzt das klassische VPN. Benutzer erhalten Zugriff nur auf einzelne freigegebene Anwendungen wie Dateiserver, Remotedesktop, SSH oder Webanwendungen – abgesichert mit MFA und Conditional Access. Ein Private Network Connector im Firmennetz baut dafür ausschließlich ausgehende Verbindungen auf.
Microsoft Entra Internet Access ist ein identitätsbasiertes Secure Web Gateway. Es filtert den Zugriff auf Internet, SaaS-Anwendungen und KI-Dienste nach Kategorien, Domains und URLs, prüft verschlüsselten Verkehr per TLS-Inspection und blockiert bekannte Schadseiten mit Threat Intelligence von Microsoft – für Mitarbeitende an jedem Ort.
Ein VPN verbindet ein Gerät mit dem gesamten Firmennetz und vertraut ihm nach der Anmeldung. Zero Trust Network Access gibt dagegen nur einzelne Anwendungen frei und prüft jeden Zugriff erneut anhand von Identität, Gerätezustand und Risiko. Dadurch entfallen öffentlich erreichbare VPN-Gateways, und Angreifer können sich nach einer Kompromittierung kaum noch im Netz bewegen.
Für den Zugriff von Mitarbeitenden auf interne Anwendungen ja – das ist der Hauptzweck von Microsoft Entra Private Access. Für die Kopplung von Standorten, Server-zu-Server-Verbindungen und Backups bleibt ein Site-to-Site-VPN oder SD-WAN sinnvoll. Verbindungen, die vom Server zum Client aufgebaut werden, planen wir im Projekt gesondert.
Voraussetzung ist immer Microsoft Entra ID P1 oder P2, enthalten zum Beispiel in Microsoft 365 Business Premium, E3 und E5. Damit ist das Microsoft-Traffic-Profil bereits nutzbar. Für Entra Private Access und Entra Internet Access benötigen Sie zusätzlich die jeweilige Einzellizenz oder die Microsoft Entra Suite. In Microsoft 365 E7 ist die Entra Suite bereits enthalten.
Microsoft Entra Private Access und Microsoft Entra Internet Access kosten jeweils 4,30 € netto pro Benutzer und Monat, die Microsoft Entra Suite mit beiden Produkten 10,40 €. Voraussetzung ist Entra ID P1 für 6,10 € oder eine Lizenz, die P1 enthält. Microsoft 365 E7 kostet ab 84,51 € in der EWR-Variante ohne Teams. Alle Angaben sind unverbindliche Preisempfehlungen des Herstellers bei jährlicher Abrechnung, Stand Oktober 2026.
Teilweise. Microsoft 365 Business Premium enthält Entra ID P1 und damit das Microsoft-Traffic-Profil von Global Secure Access. Entra Private Access als VPN-Ersatz und Entra Internet Access als Secure Web Gateway sind nicht enthalten und werden als Einzellizenz oder über die Microsoft Entra Suite hinzugebucht.
Den Global Secure Access Client gibt es für Windows, macOS, iOS und Android. Er wird in der Regel über Microsoft Intune verteilt und verbindet sich automatisch, sodass Mitarbeitende kein VPN mehr manuell starten müssen.
Keine eingehenden Ports. Der Private Network Connector baut ausschließlich ausgehende HTTPS-Verbindungen zu Microsoft auf. Portweiterleitungen und ein öffentlich erreichbares VPN-Gateway entfallen dadurch.
Ja. Die UniFi Enterprise Firewall schützt den Standort mit Segmentierung, IDS/IPS und SSL/TLS-Inspection, während Global Secure Access den Zugriff der Benutzer absichert. Der Private Network Connector läuft im Server-Netz hinter der Firewall, und der Verkehr des GSA Clients wird von der SSL-Inspection der Firewall ausgenommen. Optional lässt sich ein Standort per Remote Network mit IPsec und BGP anbinden.
Mit Remote Networks wird ein ganzer Standort per IPsec-Tunnel mit IKEv2 und BGP an Global Secure Access angebunden, ohne Client auf jedem Gerät. Unterstützt werden das Microsoft-Traffic-Profil und das Internet-Access-Profil, nicht aber Private Access. Die verfügbare Bandbreite ergibt sich aus der Zahl der Lizenzen.
Quick Access ist der schnelle Einstieg in Entra Private Access: Ganze Netzbereiche oder Server werden wie bei einem VPN freigegeben, aber bereits über Global Secure Access und Conditional Access abgesichert. Anschließend werden einzelne Anwendungen als eigene Enterprise-Apps segmentiert, um das Least-Privilege-Prinzip umzusetzen.
Die Microsoft Entra Suite bündelt Entra Private Access, Entra Internet Access, Entra ID Governance, ID Protection und Verified ID in einer Lizenz für 10,40 € netto pro Benutzer und Monat. Sie setzt Entra ID P1 voraus und ist in Microsoft 365 E7 bereits enthalten.
Die InSys AG ® aus Bielefeld ist Microsoft Solutions Partner für Sicherheit, für Modernes Arbeiten und für Infrastruktur (Azure) sowie Microsoft Direct CSP. Wir führen Global Secure Access bundesweit ein – von der Lizenzberatung über Private Access und Internet Access bis zur Abschaltung des alten VPN und dem laufenden Betrieb.
Stand: Oktober 2026. Preise als unverbindliche Preisempfehlung des Herstellers, netto zzgl. MwSt., jährliche Abrechnung.
Es ist bestürzend mitzuerleben, wie viele durch Angriffe in ihrer Existenz bedrohte Unternehmen sich bei uns melden. Und ebenso bestürzend ist es zu wissen, dass die Mehrzahl der Angriffe mit überschaubaren Kosten vermeidbar gewesen wäre.
Die InSys AG ® begleitet Unternehmen aus dem Mittelstand und dem Enterprise-Segment bei der sicheren Digitalisierung: mit Microsoft 365 Security, Modern Work und Azure sowie mit Ubiquiti UniFi Enterprise Netzwerken.
Den digitalen Wandel aktiv mitgestalten – mit Ihrem IT-Systemhaus aus Bielefeld und Hamburg. Vorstand Thomas Honemeyer ist zudem Gründungsmitglied von 4digital, dem Sparringspartner für Vorstände und CEOs.
+49 (521) 26 01 05 - 24
cosic@insys.de
Jetzt Microsoft Teams Chat starten
+49 (521) 26 01 05 - 27
a.honemeyer@insys.de
Jetzt Microsoft Teams Chat starten
+49 (521) 26 01 05 - 35
uhe@insys.de
Jetzt Microsoft Teams Chat starten
+49 (521) 26 01 05 - 0
honemeyer@insys.de
Jetzt Microsoft Teams Chat starten