MPLS und SD-WAN: der Unterschied
MPLS
MPLS ist ein privates Netz eines Providers, das die Standorte eines Unternehmens verbindet. Der Verkehr läuft getrennt vom Internet, und der Provider sichert Verfügbarkeit und Qualität vertraglich zu. Das war lange der Standard für Unternehmen mit mehreren Standorten. Die Nachteile: hohe Kosten pro Megabit, oft lange Bereitstellungszeiten für neue Standorte und die Abhängigkeit von einem Provider. Cloud-Dienste wie Microsoft 365 laufen häufig über die Zentrale ins Internet, was Umwege und Engpässe erzeugt.
SD-WAN
SD-WAN baut verschlüsselte Verbindungen über normale Internetleitungen auf, meist über zwei unterschiedliche pro Standort, etwa Glasfaser und 5G. Eine zentrale Steuerung legt fest, welche Anwendung welchen Weg nimmt, misst laufend Verlust, Verzögerung und Schwankung jeder Leitung und schaltet bei Problemen um. Cloud-Dienste werden direkt am Standort erreicht. Eine vorhandene MPLS-Leitung kann dabei als eine von mehreren Leitungen weiterlaufen.
SD-WAN oder MPLS im direkten Vergleich
| Kriterium | MPLS | SD-WAN |
|---|---|---|
| Kosten pro Bandbreite | Hoch | Niedrig, normale Internetleitungen |
| Bereitstellung neuer Standorte | Oft Wochen bis Monate | Schnell, sobald eine Leitung verfügbar ist, mit 5G oft innerhalb weniger Tage |
| Ausfallsicherheit | Eine Leitung, Reserve kostet extra | Zwei oder mehr Leitungen, automatisches Umschalten |
| Cloud-Zugriff | Oft über die Zentrale | Direkt am Standort |
| Qualität | Vertraglich zugesichert | Durch Messung und Umschalten gesichert, nicht garantiert |
| Verschlüsselung | Getrennt vom Internet, aber unverschlüsselt | Verschlüsselte Tunnel, Firewall am Standort nötig |
| Verwaltung | Durch den Provider | Zentral, mit eigener Kontrolle |
| Abhängigkeit | Ein Provider | Leitungen verschiedener Anbieter möglich |
Was kostet die Standortvernetzung?
Die Leitungskosten hängen stark von Ort, Anbieter und Vertrag ab. Die folgenden Spannen sind Richtwerte am Markt, netto, Stand November 2026, kein Angebot.
| Leitung | Typische Bandbreite | Richtwert pro Standort und Monat |
|---|---|---|
| MPLS-Anschluss | 10 bis 100 Mbit/s | 400 bis 2.500 € |
| Glasfaser für Geschäftskunden mit festen Entstörzeiten, oft asymmetrisch | 150 bis 1.000 Mbit/s | 70 bis 300 € |
| Symmetrische Standleitung mit SLA (Dedicated Internet Access) | 100 Mbit/s | 250 bis 700 € |
| Symmetrische Standleitung mit SLA (Dedicated Internet Access) | 1 Gbit/s | 500 bis 1.500 € |
| Reserve über 5G | Je nach Empfang | Mobilfunktarif, deutlich günstiger als die Hauptleitung |
Dazu kommen die SD-WAN-Geräte, in der Praxis meist Firewalls mit SD-WAN-Funktion, mit ihren Schutzlizenzen. Richtwerte dafür nennt der Artikel Was kostet eine Firewall. Anbieter von SD-WAN nennen Einsparungen von 20 bis 50 Prozent gegenüber MPLS. Ob das bei Ihnen zutrifft, hängt vor allem davon ab, welche Leitungen an Ihren Standorten verfügbar sind und wie lange die MPLS-Verträge noch laufen. Oft ist der größere Gewinn nicht der Preis, sondern die Bandbreite: Für das Geld einer MPLS-Leitung mit 50 Mbit/s bekommen Sie an vielen Orten eine Glasfaserleitung mit mehreren hundert Megabit.
Die richtigen Leitungen für SD-WAN
SD-WAN ist nur so gut wie die Leitungen darunter. Wir empfehlen pro Standort zwei Leitungen, die möglichst unabhängig voneinander sind:
- Unterschiedliche Technik, zum Beispiel Glasfaser und 5G, damit ein Baggerschaden nicht beide Leitungen trifft.
- Unterschiedliche Anbieter, damit eine Störung bei einem Provider nicht alle Leitungen betrifft.
- Genug Bandbreite für den Normalbetrieb. Die Reserve muss mindestens die wichtigen Anwendungen tragen.
- Symmetrische Leitungen in der Zentrale, wenn Standorte auf Server oder Daten dort zugreifen.
- Ein SLA für die Hauptleitung an Standorten, deren Ausfall Produktion oder Verkauf stoppt.
Für 5G als Reserve lohnt vorab ein Empfangstest am Standort. In Kellern oder Hallen aus Stahl ist oft eine Außenantenne nötig.
Besondere Aufmerksamkeit braucht die Zentrale. Laufen dort Server, Telefonanlage oder der Zugang zu Rechenzentrum und Cloud, hängen alle Filialen an ihr. Planen Sie dort zwei Leitungen über getrennte Wege und zwei Firewalls im Cluster, damit ein Defekt nicht das ganze Unternehmen trifft. Legen Sie außerdem fest, welcher Verkehr direkt am Standort ins Internet geht und welcher über die Zentrale läuft. Microsoft 365 und andere Cloud-Dienste gehen meist direkt hinaus, Zugriffe auf interne Systeme laufen verschlüsselt zur Zentrale. Sprache und Videokonferenzen bekommen Vorrang vor Downloads und Updates.
Sicherheit: jeder Standort braucht eine Firewall
Wenn jeder Standort direkt ins Internet geht, braucht jeder Standort Schutz. Deshalb setzen wir SD-WAN meist direkt auf Next-Generation Firewalls um, die SD-WAN bereits enthalten, etwa auf WatchGuard Fireboxen, für die unser Team zertifiziert ist, oder auf FortiGates, die wir ebenso einsetzen. So hat jede Filiale dieselben Schutzfunktionen wie die Zentrale, und die Regeln werden zentral gepflegt. Welcher Hersteller zu Ihrem Standortnetz passt, zeigt der Firewall-Vergleich.
Wer viele mobile Mitarbeitende hat, ergänzt den Schutz oft um Sicherheitsdienste, die nicht am Standort, sondern zentral beim Anbieter laufen. Dieses Konzept heißt SASE (Secure Access Service Edge) und verbindet SD-WAN mit Webfilter, Firewall als Dienst und Zero Trust Network Access. Ob ZTNA das klassische VPN ersetzen sollte, zeigt der Artikel ZTNA oder VPN.
Nutzen Sie die Umstellung auch, um die Netze in den Filialen zu trennen: Kassen, Büro-PCs, Gäste-WLAN, Kameras und Haustechnik gehören in eigene Segmente mit Regeln an der Firewall. So kann ein kompromittiertes Gerät in einer Filiale nicht das ganze Unternehmensnetz erreichen. Für Unternehmen, die unter NIS2 fallen, gehören Netztrennung, verschlüsselte Verbindungen und dokumentierte Regeln ohnehin zu den Pflichtmaßnahmen, siehe NIS2-Risikomanagement nach § 30 BSIG.
Wann MPLS noch sinnvoll ist
- Bei Anwendungen, die eine vertraglich zugesicherte, sehr geringe Verzögerung brauchen
- Bei Vorgaben von Kunden oder Aufsicht, die Verkehr außerhalb des Internets verlangen
- An Standorten ohne zuverlässige Internetleitungen, auch im Ausland
- Bei Verträgen mit langer Restlaufzeit, wenn eine vorzeitige Kündigung teurer ist als der Parallelbetrieb
- Während einer Übergangszeit, als eine von mehreren Leitungen im SD-WAN
Schrittweise umstellen: Ablauf und Beispiel
- Bestandsaufnahme: Standorte, Leitungen, Vertragslaufzeiten und Kündigungsfristen, Anwendungen und ihre Anforderungen an Bandbreite und Verzögerung.
- Zielbild festlegen: welche Anwendungen über welche Leitung laufen, wo der Internetzugang liegt und wie die Firewall-Regeln aussehen.
- Pro Standort eine zweite Leitung bestellen, etwa Glasfaser oder 5G, nach vorheriger Prüfung der Verfügbarkeit.
- SD-WAN-Geräte vorkonfigurieren und parallel zur MPLS-Leitung in Betrieb nehmen.
- Anwendungen nach und nach auf die Internetleitungen verlagern, Telefonie und Videokonferenzen gezielt testen.
- MPLS zum Vertragsende kündigen oder als Reserve behalten.
So gibt es keinen harten Umschalttermin, und jeder Schritt lässt sich zurücknehmen.
Beispiel mit typischen Werten: Ein Hersteller mit vier Werken und sechs Vertriebsbüros ist mit 20 bis 50 Mbit/s über MPLS verbunden. Videokonferenzen ruckeln, Microsoft 365 läuft über die Zentrale und ist entsprechend langsam. Nach der Umstellung hat jedes Werk eine Glasfaserleitung mit mehreren hundert Megabit und eine 5G-Reserve, jedes Büro eine Festnetzleitung mit 5G-Reserve. SD-WAN läuft auf den Firewalls mit zentraler Verwaltung. Typisches Ergebnis in solchen Fällen: ein Vielfaches an Bandbreite, automatische Umschaltung bei Ausfällen und laufende Kosten, die oft auf dem Niveau des alten MPLS-Netzes oder darunter liegen.
Wie Unite2Link Sie unterstützt
Wir prüfen Verträge, Leitungen und Anwendungen, rechnen die Varianten über die Vertragslaufzeit durch und planen die Umstellung Standort für Standort. Danach richten wir SD-WAN und Firewalls ein, testen Telefonie und Umschaltung und dokumentieren alles für Ihren Betrieb, bei Ihnen vor Ort und online. Auf Wunsch übernehmen wir auch den laufenden Betrieb mit Updates, Pflege der Regeln und Überwachung der Leitungen. Für Arbeitszeit gilt: Techniker ab 80 Euro, Ingenieur ab 120 Euro pro Stunde, netto. Mehr zur Planung von Netzen finden Sie unter Netzwerktechnik.