Was ist IPsec?

Veröffentlicht am 13. August 2026

← Alle Begriffe im Glossar Weiter zu I

Internet Protocol Security (IPsec) ist eine standardbasierte Protokollsuite, die IP-Pakete authentifiziert und verschlüsselt und so sichere Tunnel über nicht vertrauenswürdige Netzwerke herstellt. Es ist das Herzstück der meisten Site-to-Site-VPNs, Fernzugriffstunnel und SD-WAN-Overlays – einschließlich der von Versa.

Die wichtigsten Erkenntnisse

  • IPsec gewährleistet Vertraulichkeit, Integrität und Authentifizierung auf der IP-Ebene.
  • ESP dient zur Verschlüsselung und Authentifizierung; IKE dient zur Aushandlung von Schlüsseln und Sicherheitsverbindungen.
  • Der Tunnelmodus schützt ganze Pakete; der Transportmodus schützt nur die Nutzdaten.
  • In modernen Implementierungen wird IKEv2 mit AES-GCM und starken Diffie-Hellman-Gruppen verwendet.
  • VersaDie verschlüsselte SD-WAN-Struktur und die Standort-zu-Standort-Tunnel des Unternehmens basieren auf IPsec.

Auf dieser Seite: Warum das wichtig istSo funktioniert esArtenIPsec & VersaHäufig gestellte Fragen

Warum ist IPsec wichtig?

Nahezu jede private Verbindung, die über das öffentliche Internet verläuft, stützt sich auf IPsec. Zweigstellen erreichen Rechenzentren über IPsec-Tunnel; Cloud-VPCs sind über IPsec-Gateways mit lokalen Netzwerken verbunden; SD-WAN-Strukturen verschlüsseln jeden Pfad damit. Da IPsec auf der IP-Schicht arbeitet, schützt es den gesamten darüber liegenden Datenverkehr – jede Anwendung, jedes Transportprotokoll –, ohne dass Änderungen an den Anwendungen erforderlich sind.

Seine Bedeutung ergibt sich auch daraus, dass es sich um einen offenen Standard handelt. IPsec-Endpunkte verschiedener Anbieter sind miteinander kompatibel, weshalb IPsec nach wie vor der gemeinsame Nenner für die Anbindung eines Filialgeräts an das VPN-Gateway eines Cloud-Anbieters, die Firewall eines Partners oder den Dienst eines Netzbetreibers ist. Wenn Architekten einen verschlüsselten Datenverkehr benötigen, der herstellerunabhängig, überprüfbar und auf den meisten Plattformen hardwarebeschleunigt ist, ist IPsec auch drei Jahrzehnte nach den ersten RFCs immer noch die Standardlösung.

Was ist IPsec?

IPsec ist eine Familie von Protokollen, die zusammenarbeiten. ESP (Encapsulating Security Payload) übernimmt die alltäglichen Aufgaben: Es verschlüsselt den Inhalt der Pakete und überprüft, ob diese während der Übertragung nicht manipuliert wurden. IKE (Internet Key Exchange) ist der Kontrollkanal: Die beiden Endpunkte authentifizieren sich gegenseitig – mithilfe von Zertifikaten oder eines vorab vereinbarten Schlüssels –, handeln Verschlüsselungsalgorithmen aus und legen die Sitzungsschlüssel fest, die nach einem festgelegten Zeitplan gewechselt werden, ohne dass dabei der Datenverkehr unterbrochen wird.

Der zwischen zwei Endpunkten ausgehandelte Zustand ist eine Sicherheitsassoziation (SA): eine Vereinbarung über Algorithmen, Schlüssel und Gültigkeitsdauern. Daten fließen erst dann durch den Tunnel, wenn die SAs eingerichtet sind, und Funktionen wie „Perfect Forward Secrecy“ stellen sicher, dass selbst bei einer zukünftigen Kompromittierung der Schlüssel vergangene Sitzungen nicht entschlüsselt werden können.

Arten von IPsec

Es gibt zwei Kapselungsmodi. Im Tunnelmodus wird das gesamte ursprüngliche Paket in ein neues, verschlüsseltes Paket eingekapselt – dies ist der Standard für Site-to-Site-VPNs, da dadurch die interne Adressierung verborgen bleibt. Im Transportmodus wird nur die Nutzlast verschlüsselt, während der ursprüngliche Header beibehalten wird; dieser Modus wird hauptsächlich zum Schutz von Host-to-Host-Verbindungen verwendet.

Zwei Generationen von Schlüsselaustauschverfahren sind nach wie vor im Einsatz. IKEv1 ist zwar veraltet, aber weit verbreitet; IKEv2 ist der moderne Standard – schneller aufzubauen, widerstandsfähiger gegenüber Netzwerkänderungen und die richtige Standardwahl für neue Implementierungen. Die Wahl der Verschlüsselungsalgorithmen rundet das Bild ab: AES im GCM-Modus (Verschlüsselung und Integritätsprüfung in einem Durchgang) hat AES-CBC mit separatem Hash weitgehend abgelöst, und die Diffie-Hellman-Gruppenauswahl bestimmt die Stärke des Schlüsselaustauschs.

IPsec & Versa

IPsec bildet die Verschlüsselungsgrundlage einer „ Versa “-Bereitstellung. Das SD-WAN-Overlay zwischen Zweigstellen, Hubs und Controller-Knoten läuft über IPsec-Pfade, wobei die SD-WAN-Profile der Zweigstellen die Verschlüsselungseinstellungen festlegen. Site-to-Site-IPsec-Tunnel verbinden VOS-Geräte mit Gateways von Drittanbietern und Cloud-Anbietern – konfiguriert über IPsec-VPN-Profile oder Site-to-Site-Tunnelschnittstellen in Concerto – und Remote-Benutzer erreichen das Netzwerk über IPsec-geschützte „ SASE “-Client-Sitzungen. VOS unterstützt IKEv1 und IKEv2, die Authentifizierung per Zertifikat und mit vorab geteiltem Schlüssel, die Verschlüsselungsalgorithmen AES-CBC und AES-GCM sowie Perfect Forward Secrecy, wobei der SA-Status pro Tunnel überwacht wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen IPsec- und TLS/SSL-VPNs?

IPsec arbeitet auf der IP-Schicht und schützt den gesamten Datenverkehr zwischen zwei Netzwerkendpunkten, was sich für den Einsatz in Site-to-Site-Verbindungen und Volltunneln eignet. TLS-VPNs arbeiten verbindungsbezogen auf der Sitzungsschicht, was sich für den anwendungsbezogenen Zugriff eignet. SD-WAN-Fabrics nutzen IPsec; ZTNA-Dienste verwenden in der Regel TLS.

Was ist der Unterschied zwischen IKEv1 und IKEv2?

IKEv2 baut Tunnel mit weniger Nachrichten auf, geht flexibler mit NAT und Netzwerkänderungen um, unterstützt moderne Authentifizierungsverfahren und ist beim Schlüsselwechsel weniger anfällig. IKEv1 wird nur aus Kompatibilitätsgründen mit älteren Partnern beibehalten; neue Tunnel sollten standardmäßig über IKEv2 hergestellt werden.

Was ist eine IPsec-Sicherheitsassoziation?

Eine Sicherheitsvereinbarung (Security Association, SA) ist die zwischen zwei Endpunkten ausgehandelte Vereinbarung darüber, welche Algorithmen und Schlüssel verwendet werden und wie lange diese gültig sind. Jeder Tunnel unterhält SAs in beide Richtungen, und IKE aktualisiert diese, bevor sie ablaufen, sodass der Datenverkehr niemals unterbrochen wird.

Warum sollte man für IPsec AES-GCM anstelle von AES-CBC verwenden?

AES-GCM bietet Verschlüsselung und Integritätsprüfung in einem einzigen Durchlauf, was schneller ist und den separaten Hash-Schritt überflüssig macht, den CBC erfordert. Die meisten modernen Hardwarekomponenten beschleunigen GCM, sodass es bei gleicher oder höherer Sicherheit einen besseren Durchsatz bietet.

Was versteht man unter „Perfect Forward Secrecy“ bei IPsec?

Bei „Perfect Forward Secrecy“ wird jeder Sitzungsschlüssel unabhängig durch einen neuen Diffie-Hellman-Austausch generiert. Sollte ein Langzeitschlüssel jemals kompromittiert werden, können vergangene Sitzungen dennoch nicht entschlüsselt werden – wodurch der Schadenumfang einer Schlüsselkompromittierung auf die aktuelle Sitzung beschränkt bleibt.

Mehr zu IPsec

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

RFC 4301: Sicherheitsarchitektur für IP RFC 7296: IKEv2
Das IETF-Architekturdokument: Wie SAs, ESP und Richtlinien-Datenbanken zusammenwirken – die maßgebliche Referenz. Der aktuelle Internet Key Exchange-Standard: Authentifizierung, Aushandlung und Schlüsselneugenerierung, wie sie von modernen Endgeräten umgesetzt werden.

Wenn Sie sich gerade mit IPsec beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.

Internet Key Exchange Kapselung der Sicherheitsnutzlast Perfekte Geheimhaltung nach vorne
Das Verhandlungsprotokoll, das IPsec-Peers authentifiziert und die Schlüssel festlegt, auf deren Grundlage die Tunnel betrieben werden. Das IPsec-Protokoll, das die Pakete innerhalb des Tunnels verschlüsselt und deren Integrität schützt. Die Eigenschaft des Schlüsselaustauschs, die vergangene Sitzungen auch dann sicher hält, wenn ein Langzeitschlüssel offengelegt wird.