Was ist SASE? Definition, Architektur und Vorteile von Secure Access Service Edge

Secure Access Service Edge, meist abgekürzt als SASE, ist ein Cloud-basiertes Modell, das Netzwerk und Sicherheit in einem Dienst kombiniert. Es ist wichtig, weil die meisten Unternehmen nicht mehr von einem Ort aus operieren. Benutzer arbeiten von zu Hause, von Zweigstellen, Flughäfen, Hotels und überall dazwischen, während Anwendungen auf SaaS-Plattformen und in mehreren Clouds liegen. Ältere Netzwerkdesigns gehen immer noch davon aus, dass der Datenverkehr zuerst durch ein zentrales Rechenzentrum laufen sollte, und diese Annahme fügt Verzögerungen und zusätzlichen operativen Aufwand hinzu. SASE soll einen Teil dieser Reibung beseitigen, indem die Zugriffskontrolle und die Datenverkehrsabwicklung näher an den Benutzer verlagert werden. Dieser Artikel erklärt, was SASE ist, wie es funktioniert, wo es hilft und worauf bei der Auswahl von Bereitstellungsmodellen zu achten ist.

Was ist SASE? Verständnis von Secure Access Service Edge

SASE, ausgesprochen „sassy“, kombiniert Netzwerk und Sicherheit in einer Cloud-basierten Architektur. Die praktische Idee ist einfach: Hören Sie auf, Konnektivität und Schutz als getrennte Stacks zu behandeln, die von getrennten Teams und Tools verwaltet werden.

Gartner führte den Begriff 2019 ein, um zu beschreiben, wohin sich Unternehmensnetzwerke und Sicherheit entwickelten. Das Problem war bereits offensichtlich: Unternehmen leiteten den Remote-Datenverkehr immer noch zur Überprüfung zurück durch ihre Unternehmensrechenzentren, obwohl sich Benutzer und Anwendungen längst weit über den alten Perimeter hinaus bewegt hatten. Dieses Design erhöhte die Latenz und erschwerte die Unterstützung von verteiltem Arbeiten.

Was sich in einem SASE-Modell ändert, ist der Ort, an dem die Durchsetzung erfolgt. Anstatt den Datenverkehr zu einem zentralen Perimeter zurückzuleiten, werden Richtlinien an Cloud-Präsenzpunkten angewendet, die über Regionen verteilt sind. Ein Benutzer verbindet sich mit einem nahegelegenen PoP, der Datenverkehr wird dort überprüft, Richtlinien werden dort durchgesetzt und die Sitzung wird an eine SaaS-App, eine private Anwendung oder das öffentliche Internet weitergeleitet.

Deshalb tritt SASE am häufigsten in Organisationen mit Remote-Mitarbeitern, Zweigstellen, Auftragnehmern und Multi-Cloud-Umgebungen auf. Das Versprechen ist nicht nur eine engere Sicherheit. Es ist ein weniger umständlicher Zugriff für Personen, die nicht mehr ordentlich innerhalb eines Netzwerkperimeters sitzen.

Die folgenden Abschnitte erläutern die Hauptbestandteile einer SASE-Architektur, wie sie zusammenpassen und wo das Modell tendenziell hilft. Wenn Anbieterbeispiele nützlich sind, ist Cato ein Bezugspunkt, aber die allgemeineren Ideen gelten über jeden einzelnen Anbieter hinaus.

Kernkomponenten der SASE-Architektur

Eine SASE-Plattform kombiniert WAN-Funktionen mit cloudbasierter Sicherheit. In den meisten Fällen sind die Kernkomponenten SD-WAN, Secure Web Gateway (SWG), Cloud Access Security Broker (CASB), Zero Trust Network Access (ZTNA) und Firewall as a Service (FWaaS).

Komponente	Funktion	Legacy-Äquivalent
SD-WAN	Optimiert das Verkehrs-Routing über mehrere Verbindungstypen hinweg für verbesserte Leistung und Zuverlässigkeit	MPLS-Leitungen, herkömmliche Router
SWG	Überprüft und filtert Web-Traffic, um Bedrohungen zu blockieren und die akzeptable Nutzung durchzusetzen	Lokale Web-Proxys
CASB	Bietet Sichtbarkeit und Kontrolle über die Nutzung von SaaS-Anwendungen und setzt DLP und Compliance durch	Eigenständige CASB-Appliances/-Dienste
ZTNA	Gewährt Zugriff auf Anwendungsebene basierend auf verifizierter Identität und Gerätestatus	VPN-Konzentratoren
FWaaS	Liefert Next-Generation-Firewall-Funktionen aus der Cloud	Lokale Firewall-Appliances

Der wichtige Unterschied besteht darin, dass diese Komponenten ein gemeinsames Verwaltungs- und Richtlinienmodell nutzen sollten. Wenn es sich nur um benachbarte Produkte mit loser Integration handelt, ändert die Bezeichnung des Pakets als SASE nicht viel.

SD-WAN: Optimierung der Konnektivität

SD-WAN ist die Netzwerkschicht innerhalb von SASE. Es leitet Datenverkehr über Transportwege wie Breitband, MPLS, LTE und 5G basierend auf Leistung und Verfügbarkeit. Das macht es zu einer flexibleren Alternative zu älteren, MPLS-lastigen WAN-Designs.

Innerhalb von SASE ist SD-WAN wichtig, weil es hilft, unnötiges Backhauling zu vermeiden. Anstatt den Datenverkehr eines Remote-Benutzers zur Überprüfung an die Zentrale zu senden, bevor er eine Cloud-App erreichen kann, kann der Datenverkehr zu einem nahegelegenen PoP geleitet werden und von dort aus weitergehen.

Die Unterscheidung ist wichtig, da die Begriffe im Marketing verschwimmen. SD-WAN ist ein Teil von SASE und befasst sich mit der Konnektivität. SASE ist das umfassendere Modell, das integrierte Sicherheit darum herum hinzufügt. SD-WAN allein kann zwar den Datenfluss verbessern, schließt aber nicht die Sicherheitslücken, die entstehen, sobald Benutzer und Anwendungen verteilt sind. Catos Erklärung dazu, was kein SASE ist, ist ein Referenzpunkt in dieser Hinsicht.

Sicherheitsdienste: SWG, CASB, FWaaS, and ZTNA

Die Sicherheitsseite von SASE umfasst in der Regel vier Kerndienste:

• Secure Web Gateway (SWG) Überprüft und filtert Web-Datenverkehr, um bösartige Ziele zu blockieren, Regeln zur akzeptablen Nutzung durchzusetzen und das Risiko zu verringern, dass Daten über den Browser abfließen.
• Cloud Access Security Broker (CASB) Verschafft Teams Einblick in die SaaS-Nutzung und hilft bei der Durchsetzung von Kontrollen wie Datensicherheitsverlustprävention, Überwachung von Schatten-IT und Compliance-Richtlinien.
• Firewall-as-a-Service (FWaaS) Bietet cloudbasierte Firewall-Funktionen wie anwendungsorientierte Filterung, Intrusion Prevention und Bedrohungsprüfung, ohne sich überall auf lokale Firewall-Hardware verlassen zu müssen.
• Zero Trust Network Access (ZTNA) Gewährt Zugriff auf Anwendungsebene basierend auf verifizierter Identität und Gerätevertrauen, anstatt davon auszugehen, dass jemand sicher ist, nur weil er sich in einem bestimmten Netzwerk befindet.

Zusammengenommen unterstützen diese Dienste einen Zero-Trust-Ansatz. Jede Sitzung wird bewertet, anstatt sie einfach durchzuwinken, nur weil sie von einem bestimmten Ort stammt. Wenn Sie ein Anbieterbeispiel dafür suchen, wie das verpackt wird, ist das ZTNA-Material von Cato eine Anlaufstelle.

Cloud-native Points of Presence und globales Backbone

Die Leistungsseite von SASE hängt stark von seinen Cloud-Points-of-Presence ab. An diesen PoPs finden Inspektion und Richtliniendurchsetzung in Benutzernähe statt. In diesem Zusammenhang sollte Cloud-nativ bedeuten, dass die Plattform von Anfang an für die Cloud konzipiert wurde und nicht nachträglich aus Appliance-Software angepasst wurde.

Diese Einrichtung hilft, da sie vermeidet, Datenverkehr zur Kontrolle an ein entferntes Unternehmensrechenzentrum zurückzuleiten. Je näher der Durchsetzungspunkt am Benutzer liegt, desto einfacher ist es, die Latenz unter Kontrolle zu halten.

Der Transport ist einer der Bereiche, in denen die Unterschiede zwischen den Anbietern deutlich werden. Einige Plattformen hängen hauptsächlich vom öffentlichen Internet zwischen den PoPs ab, was die Leistung weniger vorhersehbar machen kann. Cato Networks betreibt ein privates Backbone und bewirbt dies als Vorteil, insbesondere für latenzempfindlichen Datenverkehr, der Regionen überschreitet.

Zentralisierte Verwaltung und Durchsetzung von Richtlinien

Eines der glaubwürdigeren operativen Argumente für SASE ist die einheitliche Verwaltung. In einer gut integrierten Plattform befinden sich Netzwerk- und Sicherheitsrichtlinien am selben Ort, anstatt auf mehrere Tools verteilt zu sein.

Das erleichtert es, Richtlinien über Benutzer, Geräte, Standorte und Clouds hinweg konsistent zu halten. Identitätsbasierte Regeln können dem Benutzer folgen, anstatt sich jedes Mal zu ändern, wenn sich der Netzwerkpfad ändert.

Legacy-Umgebungen funktionieren normalerweise genau umgekehrt. Firewalls, VPN-Konzentratoren, Proxys und CASB-Tools befinden sich oft in separaten Konsolen mit separaten Protokollen und separaten Richtlinienmodellen. Das schafft blinde Flecken und viel vermeidbaren Verwaltungsaufwand. Cato führt dasselbe Argument in seinen eigenen Unterlagen zur Richtlinienkonsistenz an, aber das Problem ist auch ohne das Verkaufsargument real.

Wie SASE verteilte Benutzer absichert und verbindet

Das Konzept wird klarer, sobald man sich den Datenverkehrsfluss ansieht. Eine typische Sitzung sieht so aus:

1. Der Benutzer stellt eine Verbindung von einem beliebigen Standort oder Gerät aus her. Das könnte ein verwalteter Laptop in einer Niederlassung, eine Workstation zu Hause oder ein persönliches Gerät mit eingeschränktem Zugriff sein.
2. Der Datenverkehr wird an den nächstgelegenen Cloud-PoP gesendet. Ein Agent, Tunnel oder Edge-Gerät leitet die Sitzung an einen nahegelegenen Durchsetzungspunkt weiter, sodass der erste Hop kurz bleibt.
3. Identität und Gerätestatus werden über ZTNA überprüft. Die Plattform verifiziert den Benutzer, bewertet den Gerätezustand und berücksichtigt kontextbezogene Signale, bevor sie den Zugriff gewährt.
4. Sicherheitsrichtlinien werden inline durch Dienste wie SWG, CASB und FWaaS angewendet. Der Datenverkehr wird auf Bedrohungen untersucht, anhand von Zugriffs- und Datenrichtlinien geprüft und gefiltert, bevor er weitergeleitet wird.
5. Der Datenverkehr wird mithilfe von SD-WAN-Logik, einem privaten Backbone, direktem Internet-Breakout oder dem Pfad, der am besten zu den Anwendungs- und Richtlinienanforderungen passt, zum Ziel geleitet.
6. Aktivitäten werden in der Verwaltungsebene protokolliert, sodass Teams Benutzerverhalten, Sicherheitsereignisse und Netzwerkleistung überprüfen können, ohne Daten aus verschiedenen Produkten zusammenführen zu müssen.

Der Sinn dieses Ablaufs besteht darin, Benutzern Zugriff zu gewähren, ohne den Standort zum Mittelpunkt des Sicherheitsmodells zu machen. Internetzugriff, SaaS-Zugriff und der Zugriff auf private Anwendungen können alle unter demselben Richtlinienansatz verwaltet werden.

Cato beschreibt sein Rollout-Modell als eine Möglichkeit, Standorte, Benutzer und Cloud-Ressourcen ohne größere Neugestaltung zu verbinden. Das muss zwar noch in der realen Umgebung getestet werden, aber es hilft zu erklären, warum die Plattform oft als einfacher in der Einführung verkauft wird als eine zusammengestückelte Alternative.

Hauptvorteile der Einführung eines SASE-Frameworks

In der Praxis interessieren sich die Leute meist aus einer kleinen Anzahl von Gründen für SASE:

1. Reduzierte Komplexität und Anbieterkonsolidierung. Eine konvergente Plattform kann eine Vielzahl separater Netzwerk- und Sicherheitstools ersetzen, was weniger zu pflegende Integrationen, weniger überschneidende Richtlinien und weniger täglichen Verwaltungsaufwand bedeutet.
2. Verbesserte Leistung. Das Senden von Benutzern an einen nahegelegenen PoP zur Überprüfung kann die Latenz verringern, die durch das Umleiten des Datenverkehrs über einen zentralen Firewall-Stack oder ein Rechenzentrum entsteht.
3. Skalierbarkeit. Da der Dienst aus der Cloud bereitgestellt wird, können Teams Benutzer, Standorte und Datenverkehrsvolumen hinzufügen, ohne jeden Schritt um Gerätebeschränkungen herum planen zu müssen.
4. Unterstützung für hybrides und ortsunabhängiges Arbeiten. Das Zugriffsmodell bleibt weitgehend gleich, egal ob jemand von zu Hause, aus einer Niederlassung oder aus dem Unternehmensnetzwerk arbeitet.
5. Einheitliche Sicherheitsregeln: Ein gemeinsames Richtlinienmodell erleichtert es, Abweichungen und Lücken zu vermeiden, die entstehen, wenn separate Tools separate Regeln an separaten Orten durchsetzen.
6. Verbesserte Transparenz und Compliance. Zentralisierte Telemetrie kann die Überprüfung von Vorfällen, die Berichterstattung und die Audit-Arbeit erleichtern, vorausgesetzt, die Plattform stellt die Daten sauber genug bereit, um nützlich zu sein.
7. zu niedrigeren Kosten. Einige Unternehmen können MPLS-Leitungen, Sicherheitshardware und sich überschneidende Softwarelizenzen außer Betrieb nehmen, wobei die tatsächlichen Einsparungen davon abhängen, was ersetzt wird und wie sorgfältig die Migration geplant ist.

Diese Vorteile kommen vor allem Teams zugute, die versuchen, eine stärker verteilte Umgebung zu unterstützen, ohne den operativen Aufwand zu erhöhen. Catos Material zum Cyber-Risikomanagement argumentiert aus Anbietersicht in die gleiche Richtung.

Die Wahl zwischen Single-Vendor- und Multi-Vendor-SASE-Lösungen

Eine der größeren Entscheidungen bei einem SASE-Projekt ist, ob man die Plattform von einem einzigen Anbieter kauft oder aus mehreren zusammenstellt.

Bei einem Single-Vendor-Modell liefert ein Anbieter die Netzwerk- und Sicherheitskomponenten auf einer gemeinsamen Plattform mit einer Verwaltungsebene und einer Richtlinien-Engine. Bei einem Multi-Vendor-Modell kombinieren Teams separate Netzwerk- und Sicherheitsprodukte und tragen dann die Last, diese wie ein einziges System funktionieren zu lassen.

Überlegung Nr. 4	Single-Vendor-SASE:	Multi-Vendor-SASE
Richtlinienkonsistenz	Einheitliche Richtlinien-Engine für Netzwerk und Sicherheit	Separate Richtlinien-Engines; Potenzial für Lücken und Konflikte
Managementkomplexität	Einzelne Konsole für alle Vorgänge	Mehrere Konsolen, die eine Korrelation erfordern
Integrationsaufwand	Nativ konvergiert; keine Integration erforderlich	Erfordert API-Integrationen, benutzerdefinierte Workflows
Zeit für die Bereitstellung	Schneller; eine einzige Plattform zur Konfiguration	Langsamer; mehrere Produkte zur Bereitstellung und Integration
Verantwortlichkeit des Anbieters	Ein Anbieter ist für das Ergebnis verantwortlich	Schuldzuweisungen zwischen Anbietern bei Vorfällen
Gesamtbetriebskosten	Niedriger; konsolidierte Lizenzierung und Betrieb	Höher; mehrere Lizenzen, Integrationswartung

Teams müssen außerdem entscheiden, ob sie ein vollständiges SASE oder nur SSE benötigen, das die Sicherheitsseite ohne die WAN-Ebene abdeckt. Ein Multi-Vendor-Ansatz kann funktionieren, bringt aber in der Regel mehr Integrationsaufwand, mehr Richtlinieninkonsistenz und mehr Verwirrung mit sich, wenn etwas ausfällt und die Zuständigkeit unklar wird.

Cato Networks ist ein direktes Beispiel für das Angebot eines einzigen Anbieters. Es setzt auf einheitliches Management, ein privates Backbone und modulare Einführung, sodass Unternehmen mit Teilen wie SD-WAN oder ZTNA beginnen und später erweitern können. Das ist leichter zu akzeptieren als eine Komplettumstellung, muss aber dennoch einen echten Pilotversuch bestehen.

Häufige Herausforderungen bei der SASE-Implementierung und wie man sie angeht

SASE kann vieles vereinfachen, aber die Einführung stößt dennoch auf bekannte Probleme:

1. Organisatorische Silos. Netzwerk- und Sicherheitsteams verwenden oft unterschiedliche Tools, unterliegen unterschiedlichen Anreizen und arbeiten in unterschiedlichen Rhythmen. Wenn sich das nicht ändert, konvergiert zwar die Plattform, nicht aber das Betriebsmodell.
2. Legacy-Integration. MPLS-Verträge, VPN-Infrastruktur und On-Premises-Firewalls verschwinden selten am ersten Tag. Eine phasenweise Migration ist wichtig, da die meisten Unternehmen Teile der alten Umgebung weiterlaufen lassen müssen, während das neue Modell in Betrieb geht. Das modulare Design von Cato ist ein Beispiel dafür, wie Anbieter versuchen, diesen Übergang weniger schmerzhaft zu gestalten.
3. PoP-Abdeckung und Leistung. Ein Anbieter kann globale Reichweite beanspruchen und dennoch ungeeignet sein, wenn der nächste PoP weit von Ihren Benutzern entfernt ist oder die regionsübergreifende Leistung inkonsistent ist. Abdeckung, SLAs und Backbone-Design verdienen eine genaue Prüfung, bevor jemand einen Vertrag unterzeichnet.
4. Richtliniendesign und Identitätsstrategie. SASE setzt stark auf Identität und Gerätestatus, daher fallen eine schwache Segmentierung oder ein nachlässiges Design der Zugriffsrichtlinien meist schnell auf. Teams sollten Benutzergruppen, Identitätsintegration und grundlegende Zugriffsregeln vor der Einführung klären, nicht erst bei der Bereinigung.
5. Komplexität bei der Anbieterauswahl. Einige Plattformen wurden für die Cloud entwickelt. Andere wurden später zusammengefügt und unter demselben Label vermarktet. Dieser Unterschied zeigt sich meist schnell, wenn Teams produktübergreifend Richtlinien verwalten oder Fehler beheben müssen.

Die Cloud-native Single-Vendor-Plattform von Cato wird oft als Maßstab für die Integration herangezogen. Ob sie standhält, hängt von der Umgebung ab, aber die Frage hinter dem Vergleich ist die richtige: Wie einheitlich ist die Plattform wirklich?

Cato SASE-Anwendungsfälle Unterstützung von hybrider Arbeit und Cloud-Migration

Sicherheit für hybride und Remote-Belegschaften

SASE eignet sich gut für Remote- und Hybrid-Nutzer, da es die alte Gewohnheit ersetzt, jeden durch eine herkömmliche VPN-Infrastruktur zu zwingen. Identitätsbasierte Richtlinien können dem Benutzer über Standorte und Geräte hinweg folgen, was den Zugriff konsistenter macht und fehleranfällige Ausnahmen reduziert.

Cloud- und SaaS-Migration

Da immer mehr Anwendungen in Public-Cloud- und SaaS-Plattformen verlagert werden, ist das Backhauling von Datenverkehr durch ein Rechenzentrum zur Überprüfung weniger sinnvoll. SASE ermöglicht die Überprüfung näher am Benutzer und gibt Sicherheitsteams dennoch Einblick in den Cloud-Datenverkehr und Zugriffsentscheidungen.

Transformation von Zweigstellen

Zweigstellen sind ein weiterer häufiger Anwendungsfall. Anstatt an jedem Standort separate Router, Firewalls und Proxys zu verwalten, können Unternehmen die Zweigstelle mit einem nahegelegenen PoP verbinden und einen größeren Teil des Sicherheits-Stacks in die Cloud verlagern. Dies kann den Hardware-Aufwand reduzieren und die Inbetriebnahme von Standorten von Wochen auf einen deutlich weniger mühsamen Zeitraum verkürzen.

Fusionen, Übernahmen und schnelle Expansion

SASE kann auch helfen, wenn Unternehmen neue Büros, Benutzer oder übernommene Firmen schnell online bringen müssen. Die Erweiterung einer gemeinsamen Cloud-Plattform ist in der Regel einfacher, als physische Sicherheitsinfrastruktur überallhin zu versenden und zu versuchen, übernommene Stacks unter Zeitdruck zusammenzuführen.

Branchenspezifische Szenarien

Branchenanforderungen sind nach wie vor wichtig. Im Gesundheitswesen liegt der Schwerpunkt auf Compliance, verteilten Kliniken, Telemedizin und medizinischen Geräten. In der Fertigung umfasst die Herausforderung häufig Fabriknetzwerke, Betriebstechnologie und den Zugriff durch Dritte. Cato verfügt über separates Material zu beiden Themen, aber der wichtigere Punkt ist, dass die Bereitstellung weiterhin zum Sektor passen muss, anstatt jede Umgebung in dieselbe Vorlage zu pressen.

Über diese Anwendungsfälle hinweg ist Konsistenz der gemeinsame Nenner. Wenn die Plattform wirklich vereinheitlicht ist, können Teams dieselbe Architektur und dasselbe Richtlinienmodell über sehr unterschiedliche Szenarien hinweg beibehalten, ohne jedes Mal alles neu aufbauen zu müssen.

Häufig gestellte Fragen

Was ist SASE in einfachen Worten?

SASE ist ein Cloud-basierter Ansatz, der Netzwerk und Sicherheit kombiniert, sodass Benutzer von überall auf Anwendungen zugreifen können, ohne auf ein Flickwerk aus separaten VPN-, Firewall-, Proxy- und MPLS-Systemen angewiesen zu sein.

Wie ermöglicht SASE Zero-Trust-Sicherheit?

Es funktioniert, indem Identität und Gerätevertrauen überprüft werden, bevor Zugriff auf bestimmte Anwendungen gewährt wird. Zugriffsentscheidungen basieren auf dem Kontext, nicht nur auf dem Netzwerkstandort, daher wird keinem Benutzer oder Gerät automatisch vertraut.

Warum stellen Unternehmen auf SASE um?

Hauptsächlich, weil das alte Perimeter-Modell schlecht zu modernen Umgebungen passt. Teams wünschen sich weniger zu verwaltende Tools, eine bessere Unterstützung für Remote-Arbeit und eine konsistentere Sicherheit für Benutzer, Standorte und Cloud-Anwendungen.

Was sind die Hauptunterschiede zwischen SASE und SD-WAN?

SD-WAN kümmert sich um die Konnektivitätsseite: Pfadauswahl, Transportwahl und Verkehrsoptimierung. SASE umfasst SD-WAN, fügt aber Cloud-basierte Sicherheitsdienste wie SWG, CASB, ZTNA und FWaaS hinzu.

Was sollten Führungskräfte bei der Auswahl einer SASE-Plattform beachten?

Führungskräfte sollten genau prüfen, ob die Plattform wirklich für die Cloud gebaut wurde, ob Netzwerk und Sicherheit an einem Ort verwaltet werden, wie stark die PoP-Präsenz in den relevanten Regionen ist und ob der Rollout phasenweise erfolgen kann, ohne ein Chaos zu verursachen. Auch das Backbone-Design ist wichtig. Ein Anbieter wie Cato wird sein privates Backbone und seine einheitliche Plattform als Vorteile hervorheben, aber diese Behauptungen müssen anhand der tatsächlichen Anforderungen des Unternehmens geprüft werden.

SASE markiert einen echten Wandel weg vom perimeterzentrierten Design hin zu einem Modell, das Benutzern und Anwendungen folgt, wo immer sie sich befinden. Wenn es funktioniert, kann es die betriebliche Ausbreitung reduzieren, die Zugriffsleistung verbessern und die Durchsetzung von Richtlinien konsistenter machen. Der eigentliche Test ist nicht das Etikett. Es geht darum, ob die Plattform tatsächlich integriert ist, ob die Netzabdeckung zum Unternehmen passt und ob der Rollout-Plan mit der Umgebung übereinstimmt.