SD-WAN-Implementierung im Mittelstand: Roadmap und Rollout-Planung

Warum MPLS im Mittelstand an seine Grenzen stößt

MPLS wurde für ein Netz gebaut, in dem die Anwendungen im eigenen Rechenzentrum liegen. Jeder Standort hängt an einer Leitung des Carriers, der gesamte Verkehr läuft über die Zentrale, das Internet kommt über einen zentralen Übergang. Das war sinnvoll, solange ERP, Fileserver und Mail im eigenen Haus standen.

Heute liegt ein großer Teil davon in der Cloud.

Microsoft 365, cloudbasierte ERP- und CRM-Systeme, Videokonferenzen: Dieser Verkehr läuft vom Außenstandort erst über MPLS in die Zentrale, dort durch die Firewall ins Internet und auf demselben Weg zurück. Das kostet Bandbreite auf der teuersten Leitung im Netz und erhöht die Latenz für genau die Anwendungen, über die sich Anwender am schnellsten beschweren.

Dazu kommt der Betrieb. Bei vielen MPLS-Verträgen liegen die Router-Konfiguration und damit jede Änderung beim Carrier. Eine neue Route, eine geänderte QoS-Klasse oder ein zusätzlicher Standort wird zum Ticket mit Bearbeitungszeit. Neue Standorte warten auf die Bereitstellung einer MPLS-Leitung, die je nach Region mehrere Wochen dauern kann.

Eine SD-WAN-Implementierung löst beides: Standorte nutzen günstige Internet-Underlays, der Verkehr wird pro Anwendung gesteuert, und die Konfiguration liegt zentral beim Unternehmen oder seinem Dienstleister, nicht beim Carrier.

Was SD-WAN technisch ändert

SD-WAN trennt das Transportnetz von der Logik, die den Verkehr steuert. Das Underlay sind die physischen Leitungen: Glasfaser, Business-DSL, Kabel, LTE oder 5G, bei Bedarf auch eine bestehende MPLS-Leitung. Darüber spannt die SD-WAN-Plattform ein verschlüsseltes Overlay aus IPsec-Tunneln zwischen den Standorten auf.

Gesteuert wird alles über einen zentralen Orchestrator. Dort liegen Vorlagen für Standorte, Richtlinien für Anwendungen und Security-Regeln. Ein neues Edge-Gerät holt sich seine Konfiguration per Zero-Touch Provisioning: Es wird vor Ort angeschlossen und lädt die Standortkonfiguration selbst vom Orchestrator nach. Ein Techniker mit Konsolenkabel ist dafür nicht mehr nötig.

Der eigentliche Unterschied zu MPLS ist Application-Aware Routing. Das Edge-Gerät misst laufend Latenz, Jitter und Paketverlust auf jedem Pfad und entscheidet pro Anwendung, welcher Pfad gerade die Anforderungen erfüllt. VoIP und Videokonferenzen laufen über die Leitung mit dem geringsten Jitter, Backups über die günstigste, Microsoft 365 per lokalem Internet-Breakout direkt ins Internet.

SD-WAN nutzt zwei oder mehr Internetverbindungen parallel, was in einem MPLS-basierten WAN oft nicht möglich ist. Damit wird aus zwei billigen Internetverbindungen ein WAN, das sich im Betrieb oft stabiler verhält als eine einzelne teure MPLS-Leitung.

Kosten der SD-WAN-Implementierung

Die Kosten lassen sich nicht auf eine Zahl pro Standort reduzieren, weil Standortzahl, Bandbreiten, Plattform und Betriebsmodell stark variieren. Die Struktur ist aber in jedem Projekt dieselbe.

Einmalig: Edge-Hardware pro Standort, an wichtigen Standorten als HA-Paar. Dazu kommen Projektleistung für Analyse, Design, Pilot und Rollout sowie die Integration in die bestehende Firewall-Infrastruktur, in Verzeichnisdienste und in das Monitoring.

Laufend: Underlay-Leitungen pro Standort, Lizenzen für Plattform und Security-Funktionen, bei Managed Service eine monatliche Betriebspauschale. Die Lizenzen sind bei den meisten Plattformen an Bandbreite und Funktionsumfang gekoppelt. Wer später Security-Funktionen nachlizenziert, zahlt sie über die gesamte Restlaufzeit.

Parallelbetrieb: Diesen Posten vergessen viele Entscheidungsvorlagen. MPLS-Verträge laufen oft über 24 bis 36 Monate mit mehrmonatiger Kündigungsfrist. Während des Rollouts zahlt ein Unternehmen deshalb für beide Netze. Wer die Vertragslaufzeiten nicht in die Rollout-Planung einbezieht, verschenkt die Einsparung des ersten Jahres.

Die eigentliche Rechnung entscheidet sich am Underlay. Ein Business-Glasfaseranschluss kostet je nach Bandbreite und Region einen niedrigen dreistelligen Betrag im Monat, ein MPLS-Anschluss mit vergleichbarer Bandbreite oft ein Mehrfaches. Und ein LTE- oder 5G-Backup für wenige Euro im Monat wird schnell irrelevant, wenn ein Tag Stillstand in einem Werk mit 200 Mitarbeitern sechsstellige Kosten verursacht.

Eine vollständige MPLS-Ablösung ist nicht in jedem Projekt das Ziel. Wo MPLS nicht vollständig wegfallen kann, etwa wegen einer garantierten Bandbreite für eine Produktionsanwendung, bleibt es als einer von mehreren Pfaden im Overlay. SD-WAN ersetzt MPLS nicht zwingend, es macht MPLS zu einer Option statt zur Pflicht.

Die SD-WAN-Implementierung in fünf Phasen

Big-Bang-Migrationen, bei denen alle Standorte in einem Wochenende umgestellt werden, sind für den Mittelstand kein sinnvoller Ansatz. Sie bündeln das Risiko, erschweren die Fehlersuche und lassen keinen Raum, um Erkenntnisse aus dem Pilot in die Vorlagen zu übernehmen. Wir arbeiten in fünf Phasen.

Phase 1: Bestandsaufnahme

Wir erfassen alle Leitungen, Bandbreiten, Carrier, Vertragslaufzeiten und Kündigungsfristen und legen sie in NetBox ab, als Source-of-Truth für Standorte, Leitungen und Provider-Verträge. Parallel werten wir den Verkehr pro Standort aus: welche Anwendungen laufen, welche davon sind kritisch, welche Latenz und Verfügbarkeit brauchen sie.

Diese Phase entscheidet über den Erfolg des gesamten Projekts. Legacy-Anwendungen mit fest eingetragenen IP-Adressen, Maschinensteuerungen mit eigenem Fernwartungszugang oder ein Lager, das noch per Terminalemulation auf ein Hostsystem zugreift, fallen hier auf. Nach der Migration fallen sie als Störung auf.

Phase 2: Zielarchitektur

Auf Basis der Bestandsaufnahme legen wir die Architektur fest: Hub-and-Spoke oder vermaschte Topologie, Anzahl und Lage der Hubs, Underlay-Mix pro Standortklasse, Breakout-Konzept, Security-Modell und die Anbindung an die bestehenden Firewalls. Für den Internetübergang an den Hubs prüfen wir, ob eigene providerunabhängige IP-Adressen mit BGP Multihoming sinnvoll sind. Erst danach folgt die Plattformwahl. Die Anforderungen bestimmen die Plattform, nicht umgekehrt.

Standorte teilen wir in Klassen ein, zum Beispiel Zentrale, Werk, Filiale, Vertriebsbüro und Kleinststandort. Jede Klasse bekommt eine Vorlage mit festem Underlay-Mix und Redundanzniveau. Das hält den Rollout planbar und den späteren Betrieb einheitlich.

Phase 3: Pilot

Ein Standort mit überschaubarem Risiko wird zuerst migriert, in der Regel ein Vertriebsbüro, nicht der Hauptsitz. Hier validieren wir Vorlagen, Failover-Verhalten, Monitoring-Anbindung und das Rollback-Verfahren unter echter Last. Kleine Umgebungen schließen den Pilot in wenigen Wochen ab, bei mehr als zehn Standorten planen wir mehr Zeit ein, weil sich die Vorlagen aus dem Pilot auf alle Standortklassen übertragen müssen.

Phase 4: SD-WAN-Rollout Standort für Standort

Jeder Standort wird einzeln migriert, im Wartungsfenster und mit dokumentiertem Rückweg auf die alte Leitung. Vor jedem nächsten Standort prüfen wir feste Abnahmekriterien: Tunnel stabil, Failover getestet, kritische Anwendungen erreichbar, Monitoring grün. Die Reihenfolge richten wir an den Kündigungsfristen der MPLS-Verträge aus, damit Leitungen nicht länger bezahlt werden als nötig.

Phase 5: Hypercare

In den ersten vier bis acht Wochen nach dem letzten Standort betreuen wir das Netz mit erhöhter Aufmerksamkeit. Hier zeigen sich Effekte, die im Pilot nicht auftreten: Lastspitzen zum Monatsabschluss, ein Underlay, das nur abends Paketverlust hat, oder Anwendungen, die nach einem Pfadwechsel nicht sauber reagieren. Danach geht das Netz in den Regelbetrieb über.

NIS-2 und Security gehören ins Design

Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Betroffene Unternehmen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und technische und organisatorische Maßnahmen zum Risikomanagement umsetzen. Das BSI beaufsichtigt damit rund 29.500 Einrichtungen, darunter viele mittelständische Unternehmen. Der BSI IT-Grundschutz ist für private Unternehmen kein Gesetz, eignet sich aber als Rahmen, um diese Maßnahmen nachvollziehbar umzusetzen.

Für die SD-WAN-Implementierung bedeutet das: Security wird im Design festgelegt, nicht nach dem Go-Live ergänzt. Mit dem lokalen Internet-Breakout hat jeder Standort einen eigenen Internetübergang. Jeder dieser Übergänge braucht dieselbe Kontrolle wie der zentrale, sonst entstehen genau die Lücken, die bei einem Audit oder nach einem Vorfall auffallen.

Drei Varianten sind in der Praxis üblich: eine Next Generation Firewall an jedem Standort, Security-Funktionen direkt im SD-WAN-Edge oder ein cloudbasierter Security-Dienst, über den der Breakout-Verkehr läuft (SSE, als Teil einer SASE-Architektur). Welche Variante passt, hängt von Standortzahl, vorhandener Firewall-Infrastruktur und dem eigenen Betriebsteam ab. Entscheidend ist, dass Regelwerk, Logging und Zuständigkeit für jeden Übergang geklärt sind, bevor der erste Standort live geht.

Was bei der SD-WAN-Migration im Mittelstand oft unterschätzt wird

Lieferzeiten im Underlay. Die SD-WAN-Hardware ist in wenigen Wochen da. Ein neuer Glasfaseranschluss am Standort kann je nach Region mehrere Monate dauern. Die Leitungen bestellen wir deshalb in Phase 2, nicht in Phase 4.

Carrier-NAT bei Privatkunden-Tarifen. Manche günstigen Anschlüsse liefern keine öffentliche IPv4-Adresse, sondern nur Carrier-Grade NAT oder DS-Lite. SD-WAN-Edges kommen damit in der Regel zurecht, direkte Tunnel zwischen zwei solchen Standorten in der Regel nicht. Der Verkehr läuft dann über den Hub, und die vermaschte Topologie existiert nur auf dem Papier. Für SD-WAN-Standorte, die Spoke-to-Spoke-Kommunikation benötigen, setzen wir deshalb auf Business-Tarife mit öffentlicher Adresse.

Failover ist nicht gleich Failover. Verkehr, der durch das Overlay läuft, übersteht einen Pfadwechsel in der Regel ohne Abbruch, weil sich die Adressen im Tunnel nicht ändern. Verkehr über den lokalen Breakout bekommt nach dem Wechsel auf das LTE-Backup eine andere öffentliche Adresse. Bestehende Sessions brechen dann ab, die Anwendung muss sich neu verbinden. Für Anwendungen, die das nicht vertragen, gehört der Verkehr ins Overlay.

MTU und Overhead. IPsec-Tunnel kosten pro Paket Platz. Wer die MTU nicht sauber setzt, bekommt Anwendungen, die grundsätzlich funktionieren, aber bei großen Paketen hängen: Die Anmeldung gelingt, der Dateiupload bricht ab.

LTE ist kein Plan B ohne Prüfung. Ein LTE-Router im Keller eines Stahlbetonbaus hat oft kaum Empfang. Antennenposition und Signalqualität prüfen wir vor Ort, bevor wir den Backup-Pfad in die Abnahme aufnehmen.

Betrieb nach dem Go-Live

Der Orchestrator der SD-WAN-Plattform zeigt Pfade, Tunnel und Anwendungen. Für den Betrieb reicht das allein nicht, weil das WAN nur ein Teil der Infrastruktur ist. Wir binden SD-WAN deshalb in denselben Stack ein wie Campus-LAN, WLAN und Firewall.

CheckMK überwacht Edge-Geräte, Tunnelstatus, HA-Zustand und Lizenzlaufzeiten und alarmiert bei Abweichungen. Graylog sammelt Syslog- und Security-Events der Edges und korreliert sie mit Ereignissen aus Firewall und Active Directory. In Grafana werten wir das Qualitäts-Monitoring der Pfade aus: Latenz, Jitter und Paketverlust pro Underlay und Standort über Wochen und Monate. So wird sichtbar, ob eine Leitung schleichend schlechter wird, bevor Anwender es bemerken. NetBox bleibt die Source-of-Truth für Standorte, Leitungen, Verträge und Ansprechpartner der Carrier.

Diese Auswertung ist auch die Grundlage für das Gespräch mit dem Carrier. Ein Ticket mit Messwerten aus drei Wochen wird anders bearbeitet als die Meldung „Das Internet ist langsam“.

MPLS raus, SD-WAN rein: wer die Migration begleitet

Eine SD-WAN-Plattform installieren und die ersten Standorte in Betrieb nehmen kann jedes Systemhaus. Entscheidend sind die Fragen davor und danach: welche Standortklasse welchen Underlay-Mix braucht, wie sich die Kündigungsfristen in die Rollout-Reihenfolge übersetzen und warum eine Anwendung nach einem Pfadwechsel nicht mehr sauber reagiert.

Wir machen Netzwerk und Cyber-Security, keine Server, kein Storage, keine Arbeitsplatz-Rollouts. Bei einer SD-WAN-Implementierung begleiten wir Bestandsaufnahme, Design, Pilot, Rollout und Hypercare und binden das neue WAN in CheckMK, Graylog, Grafana und NetBox ein. Für den Betrieb danach bieten wir eine 24/7-Rufbereitschaft oder einen vollständigen Managed Service an. Der Kunde entscheidet, wie viel davon im eigenen Team bleibt.

Fazit

Eine SD-WAN-Implementierung lohnt sich im Mittelstand vor allem dort, wo Cloud-Anwendungen heute den Umweg über die Zentrale nehmen, mehrere Standorte an teuren MPLS-Leitungen hängen und jede Änderung beim Carrier in der Warteschlange landet.

Den Erfolg bestimmen weniger die Plattform als die Bestandsaufnahme, ein Security-Konzept für jeden Breakout und eine Rollout-Reihenfolge, die zu den Vertragslaufzeiten passt. Wer in Phasen migriert und den Betrieb von Anfang an mitplant, stellt das WAN geräuschlos um.

Häufige Fragen zur SD-WAN-Implementierung

Glossar

Application-Aware Routing

Steuerung des Verkehrs pro Anwendung. Das Edge-Gerät wählt anhand gemessener Leitungsqualität den Pfad, der die Anforderungen der Anwendung erfüllt.

Carrier-Grade NAT (CGNAT)

Adressumsetzung beim Provider. Mehrere Kunden teilen sich eine öffentliche IPv4-Adresse, der Anschluss ist von außen nicht direkt erreichbar.

DS-Lite

Anschlussvariante mit öffentlicher IPv6-Adresse, bei der IPv4 nur über ein Carrier-Grade NAT des Providers läuft.

Edge-Gerät

SD-WAN-Gerät am Standort, das die Underlay-Leitungen abschließt, die Tunnel aufbaut und den Verkehr auf die Pfade verteilt.

HA-Paar (High Availability)

Zwei Geräte im Verbund. Fällt eines aus, übernimmt das zweite.

Hub-and-Spoke

Topologie, bei der alle Standorte über zentrale Hubs miteinander verbunden sind. In einer vermaschten Topologie bauen Standorte zusätzlich direkte Tunnel zueinander auf, die sogenannte Spoke-to-Spoke-Kommunikation.

Hypercare

Phase erhöhter Betreuung direkt nach dem Go-Live, in der Auffälligkeiten schneller analysiert und behoben werden als im Regelbetrieb.

IPsec

Protokollfamilie zur Verschlüsselung und Authentisierung von IP-Verkehr. Grundlage der Tunnel im SD-WAN-Overlay.

Jitter

Schwankung der Laufzeit aufeinanderfolgender Pakete. Kritisch für Sprache und Video.

Lokaler Internet-Breakout

Verkehr ins Internet verlässt das Netz direkt am Standort statt über die Zentrale.

MPLS (Multiprotocol Label Switching)

Vom Carrier betriebenes privates WAN, bei dem der Verkehr über Labels durch das Providernetz geleitet wird.

MTU (Maximum Transmission Unit)

Größtes Paket, das über eine Verbindung ohne Fragmentierung übertragen werden kann.

NIS-2

EU-Richtlinie zur Cyber-Security, in Deutschland seit dem 6. Dezember 2025 durch das NIS-2-Umsetzungsgesetz geltendes Recht.

Orchestrator

Zentrale Verwaltungsplattform des SD-WAN für Vorlagen, Richtlinien, Monitoring und Software-Updates aller Edge-Geräte.

Overlay und Underlay

Das Underlay sind die physischen Leitungen eines Standorts. Das Overlay ist das darüber aufgebaute Netz aus verschlüsselten Tunneln.

Paketverlust

Anteil der Pakete, die ihr Ziel nicht erreichen. Schon wenige Prozent beeinträchtigen Sprache und Video deutlich.

QoS (Quality of Service)

Priorisierung von Verkehrsklassen, damit kritische Anwendungen auch bei ausgelasteter Leitung bevorzugt übertragen werden.

SASE (Secure Access Service Edge)

Architekturansatz, der SD-WAN und cloudbasierte Security-Dienste zu einer gemeinsamen Plattform zusammenführt.

SD-WAN (Software-Defined Wide Area Network)

WAN-Architektur, die mehrere Leitungen zu einem zentral gesteuerten, verschlüsselten Overlay zusammenfasst und den Verkehr pro Anwendung steuert.

Source-of-Truth

Zentrale, verbindliche Datenquelle für den Soll-Zustand des Netzes, bei uns NetBox.

SSE (Security Service Edge)

Security-Teil von SASE: cloudbasierte Dienste wie Secure Web Gateway, Cloud-Firewall und ZTNA.

Zero-Touch Provisioning

Inbetriebnahme eines Geräts ohne manuelle Konfiguration vor Ort. Das Gerät lädt seine Konfiguration nach dem Anschließen selbst vom Orchestrator nach.

Quellen und fachliche Grundlage

Fachliche Prüfung: 17.10.2026. Die Angaben zu NIS-2 beziehen sich auf das deutsche NIS-2-Umsetzungsgesetz und die Veröffentlichungen des BSI. Die technischen Grundlagen sind herstellerunabhängig beschrieben, Funktionsumfang und Begriffe einzelner SD-WAN-Plattformen können abweichen.

• BSI: Fragen und Antworten zu NIS-2
• BSI: NIS-2-Umsetzung, Bundestag beschließt Cybersicherheitsgesetz
• BSI: BSI-Gesetz (BSIG) vom 2. Dezember 2025, § 30 Risikomanagementmaßnahmen
• BSI IT-Grundschutz: NET.3.3 VPN (Edition 2023)
• Mplify (ehemals MEF): MEF 70.2 SD-WAN Service Attributes and Service Framework
• IETF RFC 4301: Security Architecture for the Internet Protocol (IPsec)
• IETF RFC 8572: Secure Zero Touch Provisioning (SZTP)
• IETF RFC 5481: Packet Delay Variation Applicability Statement (Jitter)
• IETF RFC 6888: Common Requirements for Carrier-Grade NATs
• IETF RFC 6333: Dual-Stack Lite Broadband Deployments
• IETF RFC 4459: MTU and Fragmentation Issues with In-the-Network Tunneling
• Microsoft: Prinzipien der Netzwerkkonnektivität für Microsoft 365 (lokaler Breakout)
• NIST SP 800-215: Guide to a Secure Enterprise Network Landscape (SASE)

Weiterführend

• Firewall-Migration von portbasiert zu App-ID
• Providerunabhängige IP-Adressen und BGP Multihoming
• Netzwerk-Lösungen der Gigahertz GmbH

Titelbild: KI-generiert.