Was ist ein Island Enterprise Network? Wie funktioniert Browser-First SASE?

Island Enterprise Network ist Islands SASE-Architektur, die die Durchsetzung von Richtlinien von der Netzwerk-Proxy-Schicht auf Browser und Endgerät verlagert. Dadurch erreicht der Großteil des Datenverkehrs sein Ziel direkt, ohne über einen entfernten Cloud-Prüfpunkt geleitet zu werden. Sie bietet ZTNA, SWG, CASB, DLP, RBI und DEX über eine einzige Richtlinien-Engine, die im Moment der Interaktion angewendet wird. Die meisten Sitzungen laufen direkt. Eine Überprüfung erfolgt nur dann, wenn sie einen echten Mehrwert bietet.

Was ist Island Enterprise Network und wie unterscheidet es sich von herkömmlichen SASE-Netzwerken?

Island Enterprise Network ist die Netzwerk- und Konnektivitätskomponente der Island Enterprise Platform, die im März 2026 eingeführt wurde. Sie bietet einen vollständigen Secure Access Service Edge (SASE)-Stack, einschließlich privatem Zugriff, Secure Web Gateway, Data Loss Prevention, Cloud Access Security Broker, Remote Browser Isolation und Digital Experience Monitoring, die alle von einer einzigen Policy Engine verwaltet werden.

Der entscheidende architektonische Unterschied zu herkömmlichen SASE-Lösungen liegt im Ort der Richtliniendurchsetzung. Ältere SASE-Produkte von Anbietern wie Zscaler, Netskope und Palo Alto Prisma leiten den gesamten Datenverkehr über cloudbasierte Proxy-Knoten, entschlüsseln und prüfen ihn dort und senden ihn dann an sein Ziel weiter. Island Enterprise Network geht den umgekehrten Weg: Es setzt Richtlinien innerhalb des Browsers und auf Geräteebene durch, bevor die Daten die Sitzung verlassen. Die Netzwerkschicht wird selektiv genutzt, nur dann, wenn Routing oder Prüfung einen Mehrwert bieten, den die lokale Durchsetzung nicht leisten kann.

Island nennt dies die „Perfect Packet“-Architektur. Bei den meisten Sitzungen gibt es keinen Proxy-Umweg. Der Datenverkehr wird direkt übertragen. Die Sicherheit wird vom Benutzer mitgetragen und nicht über einen zentralen Kontrollpunkt gesteuert.

Warum versagt SASE Backhauling bei modernen Unternehmensanwendungen?

Proxy-basiertes SASE wurde für eine Zeit entwickelt, in der Unternehmensanwendungen in Rechenzentren liefen und der Großteil des Unternehmensdatenverkehrs über HTTP abgewickelt wurde. Dieses Modell erforderte die Weiterleitung des gesamten Datenverkehrs über einen zentralen Prüfpunkt, da es keine andere Möglichkeit gab, Richtlinien durchzusetzen. Die Architektur war im Jahr 2010 sinnvoll. Sie entspricht jedoch nicht mehr den heutigen Arbeitsabläufen.

Drei konkrete Versäumnisse kennzeichnen die heutige Lücke.

Erstens unterbinden moderne Verschlüsselungsverfahren die Proxy-Inspektion. Der Großteil des Webverkehrs läuft mittlerweile über TLS 1.3, und HTTP/2, HTTP/3 und QUIC sind in allen gängigen Browsern Standard. Certificate Pinning verhindert die Entschlüsselung für eine wachsende Anzahl von Anwendungen. Post-Quanten-Kryptografie-Implementierungen sind bereits in Chrome und Firefox implementiert. Diese Protokolle sind strukturell inkompatibel mit älteren Architekturen, die auf dem Prinzip „Break-and-Inspect“ basieren. Kann ein Proxy den Datenverkehr nicht entschlüsseln, schließt er ihn von der Inspektion aus. Jede Ausnahme bedeutet eine Sitzung außerhalb des Sicherheitsperimeters.

Zweitens führen Latenz und Reibungsverluste zu Umgehungslösungen. Wenn die Durchsetzung von Sicherheitsmaßnahmen davon abhängt, jede Sitzung über einen entfernten Cloud-Knoten zu leiten, spüren die Nutzer dies deutlich. CRM-Sitzungen verzögern sich. Videoanrufe ruckeln. SaaS-Workflows werden unterbrochen, wenn die Proxy-Prüfung das Verhalten moderner Anwendungen beeinträchtigt. Nutzer finden Wege, diese Reibungsverluste zu umgehen. Diese Umgehungslösungen vergrößern die Angriffsfläche.

Die Zahlen bestätigen die Diskrepanz. Laut LayerX Browser-Sicherheitsbericht 202577 % der Mitarbeiter in Unternehmen fügen Daten in GenAI-Abfragen ein, und 82 % dieser Aktivitäten erfolgen über private, nicht verwaltete Konten. Nichts davon läuft über einen Unternehmensproxy. Nichts davon ist für Zscaler, Netskope oder andere Netzwerküberwachungstools sichtbar.

Im gesamten Browserbetrieb von Unternehmen haben Organisationen keinen Einblick in 89 % der KI-Nutzung, da 67 % der Mitarbeiter über private Konten auf GenAI-Tools zugreifen und weitere 21 % Unternehmenskonten ohne SSO verwenden. Der Proxy erhält keinerlei Einblick in die Sitzung.

Drittens hat KI die Transparenzlücke unübersehbar gemacht. Ein Benutzer fügt interne Daten in eine ChatGPT-Eingabeaufforderung ein. Ein KI-Agent ruft über MCP ein externes Tool auf. Die generierte Ausgabe wird in ein Code-Repository übertragen. Nichts davon wird über das Netzwerk auf eine Weise übertragen, die ein Proxy interpretieren könnte. Die Netzwerküberwachung sieht Verbindungen. Sie kann jedoch weder Aktionen in der Zwischenablage noch den Mandantenkontext, den Inhalt von Eingabeaufforderungen oder die Eingaben eines Benutzers in ein Browser-Eingabefeld einsehen. Traditionelle SASE-Anbieter reagieren darauf nur, wie es ihre Architektur zulässt: KI blockieren oder zulassen. Keine der beiden Optionen bietet eine klare Regelung.

Das Ergebnis ist ein Browsersicherheit Eine Lücke, die außerhalb jeder herkömmlichen Sicherheitskontrolle liegt, unabhängig davon, wie ausgereift der SASE-Stack ist.

Wie kann Island Enterprise Network die Sicherheit ohne Proxy gewährleisten?

Island Enterprise Network verlagert die Durchsetzung der Richtlinien vom Netzwerk auf den Browser und den Endpunkt. Für Browserdatenverkehr werden Richtlinien nativ auf der DOM-Ebene angewendet, bevor Inhalte gerendert und Daten die Sitzung verlassen. Island arbeitet innerhalb von Chromium und sieht daher gerenderte Inhalte und die Nutzerabsicht direkt, nicht abgeleitet aus den Paketmetadaten. Es findet keine Umleitung des Datenverkehrs, kein Abfangen von TLS-Daten und kein Break-and-Inspect statt.

Dies funktioniert, weil Island den Browser selbst steuert. Islands Enterprise Browser basiert auf Chromium. Die Island Enterprise Browser Extension erweitert Chrome und Edge um ähnliche Funktionen, ohne dass ein Browserwechsel erforderlich ist. Beide ermöglichen Island direkten Zugriff auf die Darstellungsschicht: die gerenderte Seite, das Eingabefeld, das Zwischenablage-Ereignis und den Dateiupload-Dialog. Diese Signale sind für den Proxy-SASE nicht erreichbar.

Für Datenverkehr außerhalb des Browsers, Desktop-Anwendungen, Hintergrunddienste und ältere Protokolle fängt Island Desktop den Datenverkehr auf Geräteebene ab und leitet ihn selektiv zur Überprüfung an das globale Netzwerk von Island weiter, jedoch nur, wenn dies durch Richtlinien erforderlich ist. Die verschlüsselte Übertragung über alle Ports und Protokolle erfolgt über WireGuard-basiertes Tunneling.

Identität, Gerätestatus, Geolokalisierung, Anwendungskontext und Benutzeraktionen werden lokal und in Echtzeit zum Zeitpunkt der Interaktion ausgewertet. Eine einzige Richtlinien-Engine steuert Browser, Endpunkt und Netzwerk. Es gibt keine Verkettung von Diensten über separate Konsolen oder separate Prüf-Engines hinweg.

Island gibt an, dass bis zu 90 % der Sitzungen direkt und ohne Backhaul erfolgen. Die Bereitstellung auf verwalteten und nicht verwalteten Geräten dauert nur fünf Minuten. Der Anwendungszugriff ist bis zu zehnmal schneller, wenn der Datenverkehr direkt und nicht über einen Proxy-Knoten geleitet wird.

Welche SASE-Funktionen umfasst Island Enterprise Network?

Island Enterprise Network stellt den gesamten SASE-Stack über eine einzige Steuerungsebene bereit. Jede Funktion wird standardmäßig auf Browser- und Endpunktebene durchgesetzt, wobei das Netzwerk als Fallback für Szenarien dient, in denen eine Durchsetzung auf Geräteebene nicht möglich ist. Die Plattform umfasst SaaS-Sicherheit und Webverkehr über dieselbe Richtlinien-Engine, ohne separate Konsolen oder Regelsätze.

Privater Inselzugang (ZTNA). Anwendungsbasierter Zero-Trust-Zugriff für Web- und Nicht-Web-Anwendungen gemäß NIST SP 800-207. Der Zugriff wird pro Anwendung und Sitzung basierend auf Benutzerrolle, Gerätestatus, Standort und Identität gewährt und kontinuierlich, nicht nur beim Login, geprüft. Private Ressourcen bleiben aus dem Internet unerreichbar. Island Desktop erweitert dieses Modell auf alle Ports und Protokolle, einschließlich SSH, RDP, SMB, SIP und QUIC, über WireGuard-basierte Tunnel.

Sicheres Web-Gateway (SWG). Der Browserverkehr wird auf DOM-Ebene durch URL-Filterung, Malware- und Phishing-Schutz sowie DNS-Sicherheit vor dem Seitenaufbau kontrolliert. Es findet keine Umleitung über einen Proxy statt. Es erfolgt keine TLS-Prüfung. Für Datenverkehr außerhalb des Browsers leitet Island Desktop diesen selektiv an die Cloud-SWG von Island weiter und wendet SSL/TLS-Prüfung nur dann an, wenn dies durch Richtlinien erforderlich ist.

Datenschutz (DLP). Island schützt Daten auf der DOM-Ebene vor der Verschlüsselung. Der Schutz erstreckt sich auf Zwischenablageereignisse, Datei-Uploads, Downloads und Screenshots. Die Erkennung erfolgt mittels Mustererkennung, exaktem Datenabgleich (EDM), OCR und KI-Klassifikatoren. Dieselbe Richtlinie gilt für Browser, Endpunkte und Netzwerkkanäle, ohne dass separate Konfigurationen erforderlich sind.

SaaS API Protection (CASB). Transparenz und Kontrolle in SaaS-Umgebungen durch native APIs, Überwachung von Dateien, Berechtigungen, Konfigurationen und Freigabeaktivitäten ohne Umleitung des Datenverkehrs. Dieselben DLP-Detektoren, die inline eingesetzt werden, werden auch für Cloud-Speicherinhalte außerhalb des Datenverkehrs angewendet. Die Behebung von Problemen kann automatisiert, von Administratoren überprüft oder benutzergesteuert erfolgen.

KI und agentenbasierte KI-Governance. Island steuert KI direkt am Interaktionspunkt, bevor Daten das Gerät verlassen. Die inhaltsbasierte Erkennung prüft Eingabeaufforderungen, Uploads und Daten in Echtzeit über verschiedene Tools wie ChatGPT, Microsoft Copilot und Gemini hinweg. Bei agentenbasierter KI werden Tool-Aufrufe, MCP-Zugriffe und die Kommunikation zwischen Agenten auf der Präsentationsebene gesteuert und mit einem vollständigen Audit-Trail protokolliert.

Remote Browser Isolation (RBI). Die lokale Isolation läuft nativ im Browser und deaktiviert risikoreiche Chromium-APIs auf nicht kategorisierten Websites. Die cloudbasierte RBI wird dynamisch nur für die kleine Teilmenge der Websites aufgerufen, die diese APIs benötigen.

Digital Experience Monitoring (DEX). Anwendungsleistung, Gerätezustand, Netzwerklatenz und Ressourcennutzung werden im Browser und über Island Desktop erfasst. Da die Durchsetzung den Datenverkehr nicht beeinflusst, spiegelt DEX die tatsächliche Benutzererfahrung wider und nicht eine durch einen Proxy geroutete Annäherung.

Wie schneidet Island Enterprise Network im Vergleich zu Zscaler, Netskope und Cloudflare ab?

Island Enterprise Network und traditionelle SASE-Anbieter stehen vor demselben grundlegenden Problem: Wie lässt sich die Sicherheitsrichtlinie für eine verteilte Belegschaft, die SaaS- und KI-Tools von jedem beliebigen Gerät aus nutzt, durchsetzen? Die Architekturen unterscheiden sich darin, wo die Durchsetzung erfolgt, und dieser Unterschied hat konkrete Auswirkungen auf Abdeckung, Leistung und KI-Governance.

Zscaler Zscaler leitet den gesamten Datenverkehr über seine Zero Trust Exchange Cloud und wendet Inline-Inspektion in großem Umfang in über 150 Rechenzentren an. Es handelt sich um die ausgereifteste SSE-Plattform mit Proxy-First-Ansatz. Der Nachteil liegt im Inspektionsmodell: Zscaler entschlüsselt, prüft und verschlüsselt Sitzungen auf der Netzwerkschicht neu. Aktionen in der Zwischenablage, Inhalte auf DOM-Ebene oder Eingaben in ChatGPT-Prompts sind nicht sichtbar. Die KI-gestützte Steuerung beschränkt sich auf Entscheidungen zum Zulassen/Blockieren auf Verbindungsebene. Zscaler funktioniert auf allen Geräten, hat aber deutlich weniger Einblick in die Vorgänge innerhalb der einzelnen Sitzungen.

Netskope Netskope zeichnet sich durch seinen umfassenden Datenschutz aus, der durch tiefgreifende Inline-CASB- und instanzbasierte DLP-Richtlinien gewährleistet wird, die zwischen Unternehmens- und Privatkonten unterscheiden. Das NewEdge-Netzwerk ist speziell für die Inline-Sicherheitsverarbeitung konzipiert. Netskope bietet im Vergleich zu Zscaler eine höhere Transparenz für SaaS-DLP-Szenarien, weist jedoch dieselbe architektonische Einschränkung auf: Die Durchsetzung der Richtlinien erfolgt im Cloud-Proxy, nicht im Browser. Aktionen, die innerhalb der Seite stattfinden, bevor Daten das Netzwerk erreichen, bleiben unsichtbar.

Cloudflare One Cloudflare bietet das größte globale Edge-Netzwerk (über 330 Städte) und die branchenweit einfachste ZTNA-Bereitstellung. Es lässt sich am schnellsten einrichten und ist besonders für kleinere Unternehmen geeignet. Die CASB- und DLP-Funktionen sind neuer und weniger ausgereift als bei Netskope oder Zscaler. Wie diese beiden Anbieter greift auch Cloudflare auf der Netzwerkschicht und nicht auf der Browserschicht ein.

Island Enterprise Network nutzt eine völlig andere Durchsetzungsebene. Da es im Browser und auf dem Endgerät arbeitet, erfasst es Inhalte, die Proxy-SASE nicht einsehen kann: gerenderte Inhalte, Zwischenablageereignisse, Eingabeaufforderungstexte, Dateiübertragungen zwischen Anwendungen und Aufrufe von Agententools. Der Nachteil liegt im Bereitstellungsmodell. Island erfordert entweder einen Browserwechsel (zum Chromium-basierten Browser von Island) oder eine Erweiterung für Chrome oder Edge. Organisationen, die eine Browser-basierte Durchsetzung benötigen, ohne die Benutzer zum Browserwechsel aufzufordern, haben separate Optionen zur Auswahl.

Für wen ist Island Enterprise Network geeignet, und wann ist eine Browsererweiterung sinnvoller?

Island Enterprise Network eignet sich hervorragend für Organisationen, die ihre Sicherheitsarchitektur bereits auf einer einzigen Plattform konsolidieren und den Browser oder die Erweiterung von Island als primären Sicherheitsmechanismus standardisieren möchten. Das Bereitstellungsmodell sieht entweder die Migration der Benutzer zum Chromium-basierten Browser von Island oder die Installation der Island-Erweiterung in Chrome oder Edge vor. Für Organisationen mit strengen Browserrichtlinien oder standardisierten Endgeräteumgebungen ist dies problemlos umsetzbar. Für Organisationen mit heterogenen Browserumgebungen, externen Mitarbeitern, die private Geräte nutzen, oder Teams, die Sicherheit für Safari, Firefox und andere Chromium-basierte Browser wie ChatGPT Atlas und Perplexity Comet benötigen, ist die Bereitstellung komplexer und der Weg dorthin umfangreicher.

Die Lücke bei der Durchsetzung von SASE-Lösungen auf Browserebene besteht unabhängig vom verwendeten SASE-Anbieter. Proxy-SASE hat keinen Einblick in Browsersitzungen. Diese Lücke ist besonders gravierend für BYOD- und nicht verwaltete Geräte Szenarien, in denen Agenten und Zertifikate, die für herkömmliches SASE erforderlich sind, oft gar nicht installiert werden können, und für die KI-Governance, wo die relevante Aktivität in einem Browser-Eingabefeld und nicht im Netzwerk stattfindet.

Organisationen, die diese Lücke schließen möchten, haben zwei Möglichkeiten. Die erste ist der Ansatz von Island: ein speziell entwickelter Unternehmensbrowser oder eine Erweiterung, die einem einzigen Anbieter die Kontrolle über den Browser selbst ermöglicht. Die zweite ist eine Unternehmensbrowser-Erweiterung, die mit jedem bereits verwendeten Browser funktioniert, ohne dass ein Browserwechsel, Anpassungen der Netzwerkarchitektur oder ein Migrationsprojekt erforderlich sind.

Wie LayerX dieses Problem löst

Die Herausforderung, der sich Island Enterprise Network stellt – Proxy-SASE kann keine Browsersitzungen einsehen –, ist genau das Problem, für dessen Lösung LayerX entwickelt wurde. Die agentenlose KI- und Browsersicherheitsplattform von LayerX bietet umfassende Transparenz und Echtzeit-Durchsetzung von Sicherheitsrichtlinien als Enterprise-Browsererweiterung. Diese funktioniert mit allen Browsern, die Mitarbeiter bereits verwenden, darunter Chrome, Edge, Safari, Firefox und alle Chromium-basierten Browser, ohne dass Browserwechsel oder Umstrukturierungen der Netzwerkarchitektur erforderlich sind. Für Organisationen, die browserbasierte Sicherheitslösungen benötigen, ist dies eine optimale Lösung. KI-NutzungskontrolleLayerX bietet mit seinen Funktionen zur Erkennung von Schatten-KI, KI-gestützter Datenverlustprävention (DLP) und Identitätsverwaltung für private und geschäftliche Konten risikoadaptive, intelligente Schutzmechanismen direkt am Interaktionspunkt – von der Überwachung über die Warnung und Prävention bis hin zur Schwärzung – ohne die Benutzerfreundlichkeit zu beeinträchtigen. Das Durchsetzungsmodell erreicht dieselbe letzte Ebene wie Island Enterprise Network, jedoch mit einem anderen Ansatz: Anstatt den Browser zu steuern, erweitert LayerX die Richtliniendurchsetzung auf alle bereits im Unternehmen eingesetzten Browser.

Demo anfordern

Wie wird Island Enterprise Network bereitgestellt?

Island Enterprise Network ist für eine schrittweise Implementierung konzipiert, wobei jede Phase vom ersten Tag an einen eigenständigen Mehrwert bietet.

Phase 1: Inselerweiterung. Sofortige Richtlinienkontrolle in bestehenden Chrome- oder Edge-Browsern. Keine Netzwerkkonfiguration. Kein kompletter Austausch. Die Governance beginnt am ersten Tag. Dies ist der schnellste Weg zur browserbasierten Durchsetzung von Richtlinien für Organisationen, die ihre Benutzer nicht sofort auf einen neuen Browser migrieren möchten.

Phase 2: Island Enterprise Browser. Basierend auf Chromium mit nativer Unterstützung für IPv6, TLS 1.3, HTTP/3 und Post-Quanten-Kryptografie. Vollständige Durchsetzung auf DOM-Ebene. Keine Umgehungslisten erforderlich. Nutzer erhalten ein individuelles Browsererlebnis mit integrierten Produktivitätstools.

Phase 3: Island Desktop. Erweitert dasselbe Richtlinienmodell auf Desktop-Anwendungen, ältere Protokolle und gerätebezogenen Datenverkehr. Eine Identität. Eine Statusbewertung. Eine einheitliche Richtlinienarchitektur für alle Browser und Geräte.

Phase 4: Expliziter Proxy und IPsec. Für Umgebungen, in denen der Browser oder Endpoint-Agent nicht bereitgestellt werden kann, unterstützt Island einen expliziten Proxy (PAC-Datei) für agentenlose verwaltete Bereitstellungen und IPsec-Tunnel für die Abdeckung auf Standortebene, einschließlich Filialen und IoT/OT-Infrastruktur.

Das globale Netzwerk von Island erstreckt sich über drei Hyperscaler (GCP, AWS, Azure) mit zwei unabhängigen Netzwerk-Stacks und über 100 globalen Zugangspunkten (Points of Presence, PoPs). Jeder PoP stellt den kompletten Service-Stack bereit. Clients und Konnektoren verbinden sich gleichzeitig mit mehreren PoPs, sodass ein regionaler Cloud-Ausfall keine Beeinträchtigung für die Nutzer verursacht.