Zenarmor vs. Cisco Meraki: die Alternative zum Meraki MX im fairen Vergleich

Kurz gesagt: Cisco Meraki MX ist hervorragend, wenn Sie die denkbar einfachste Cloud-Verwaltung für eine vollständige Meraki-Umgebung mit Auto VPN und SD-WAN suchen. Zenarmor ist die bessere Meraki-Alternative, wenn Sie eine vollständige TLS-Inspektion benötigen, Schutz pro Benutzer wünschen (auch im Homeoffice und unterwegs), nicht von einem einzigen Hardware- und Lizenzmodell abhängig sein möchten und Ihre Berichte in Deutschland, den Niederlanden oder lokal halten wollen.

Der wichtigste praktische Unterschied: Laut Meraki-Dokumentation leiten Geräte keinen Client-Verkehr mehr weiter, wenn eine Organisation (mit Co-Term- oder Per-Device-Lizenzierung) nach einer Kulanzfrist von 30 Tagen weiterhin keine gültigen Lizenzen hat. Die OPNsense-Firewall unter Zenarmor ist Open Source und routet weiter. Secrotec ist offizieller Zenarmor-Partner in den Niederlanden und unabhängiger ISO 27001 Lead Auditor; im Folgenden vergleichen wir beide sachlich und mit Quellen.

Zenarmor vs. Meraki auf einen Blick

Angaben zu Cisco Meraki beruhen auf öffentlicher Dokumentation von Meraki und Cisco (abgerufen im Oktober 2026). Preise sind Richtwerte, ohne MwSt., ohne Gewähr; Händlerpreise variieren.

Kriterium	Zenarmor (über Secrotec)	Cisco Meraki MX
Architektur	Software auf OPNsense, pfSense CE, FreeBSD, Ubuntu, Debian, Docker und mehr; auf jeder geeigneten x86-Hardware oder VM	Meraki-MX-Appliances, verwaltet über das Meraki-Cloud-Dashboard
Lizenzmodell	Pro Benutzer und Monat; eine Lizenz deckt 2 aktiv genutzte Geräte; erster Standort inklusive, weitere Standorte 50 USD/Monat	Pro Gerät und Modell, in den Editionen Enterprise, Advanced Security oder Secure SD-WAN Plus; Co-Term, Per-Device (PDL) oder Subscription; ein Modell pro Organisation
Anwendungskontrolle	Über 5.000 Anwendungen, dynamische App-Datenbank	Layer-7-Anwendungsdurchsetzung (NBAR) in allen Editionen
Webfilter	Über 300 Millionen Websites in mehr als 120 Kategorien; Safe Search und YouTube Restricted Mode	Content Filtering auf Basis von Cisco Talos (ab Advanced Security)
TLS-Inspektion	Leichtgewichtig oder vollständig (Entschlüsselung/Neuverschlüsselung), über 80 vordefinierte Ausnahmen	Keine TLS-Entschlüsselung für Content Filtering: Bei HTTPS nur Klassifizierung auf Domainebene
Bedrohungsschutz	Cloud Threat Intelligence, Essential- und Advanced-Kategorien, IPS, DNS Deep Inspection, Echtzeit-Anti-Phishing	IDS/IPS, Malware-Schutz (AMP), Geo-IP-Firewall (Advanced Security)
ZTNA / Remote-Benutzer	Endpoint-Agents (Windows, macOS, Linux, Android, iOS), Mesh-VPN, Device Posture Checks	Client VPN in allen Editionen; Zero Trust und Cloud-Sicherheit über separate Cisco-Produkte
SSE / CASB	Zenarmor SSE: Cloud Access Rules pro Aktion (Upload, Download, Teilen, Löschen); kein inhaltsbasiertes DLP (Roadmap)	Nicht Bestandteil der MX-Lizenz
Zentrale Verwaltung	Zenconsole: mandantenfähig, Policy-Import und -Backup, Audit Trail, REST-API	Meraki-Dashboard: sehr einfach, Zero-Touch-Provisioning, ein Dashboard für den gesamten Meraki-Stack
Reporting & Datenresidenz	Lokal, an Ihr eigenes SIEM/Syslog oder Cloud-Reporting mit Regionswahl inkl. Deutschland und Niederlande	Meraki-Cloud; Cisco nennt weltweit verteilte Rechenzentren, mit EU-Regionen in der Subprozessor-Übersicht
Hochverfügbarkeit	Gateway-HA (OPNsense, ab Business / Unified Secure)	Warm Spare mit einer zweiten MX
Bei abgelaufener Lizenz	OPNsense-Firewall, Routing und VPN sind Open Source und nicht an ein Abonnement gebunden; kostenpflichtige Zenarmor-Funktionen entfallen	Co-Term/PDL: Nach 30 Tagen Kulanzfrist leiten Geräte keinen Client-Verkehr mehr weiter; Dashboard auf Lizenz- und Gerätestatus beschränkt
Hardware-Lock-in	Nein: Lizenz pro Benutzer, Hardware und Hypervisor frei wählbar	Ja: Lizenz pro MX-Modell, Verwaltung ausschließlich über die Meraki-Cloud
SD-WAN	Multi-WAN-Failover und Lastverteilung über OPNsense; Zenarmor-SD-WAN in Entwicklung (Roadmap)	Stark: Auto VPN und SD-WAN in allen Editionen; Analytics und Smart Breakout in Secure SD-WAN Plus
Richtpreis	Unified Secure ab 5,00 USD pro Benutzer/Monat (mind. 10); Unified Secure Plus ab 9,00 USD	MX75-Advanced-Security-Lizenz: 763 USD Straßenpreis bei einem US-Händler (Listenpreis 1.661 USD), ≈ 687 € pro Jahr bei 1 USD = 0,90 € (Arbeitsannahme), zzgl. Hardware

Quellen Meraki/Cisco: MX-Lizenzeditionen, Content Filtering, Licensing-FAQ, Meraki Trust (abgerufen im Oktober 2026). Quellen Zenarmor: Pläne und Preise, Plattformen, Roadmap.

Meraki-Lizenz abgelaufen: Was passiert genau?

Für viele Organisationen ist genau das der Anlass, eine Alternative zu Meraki zu suchen. Laut der Seite Co-Term License Problem - Out of Compliance läuft es so ab:

1. Out of Compliance: Eine Organisation verliert die Compliance, wenn sie unterlizenziert ist oder das Co-Term-Datum erreicht wird.
2. 30 Tage Kulanzfrist: Die Organisation arbeitet 30 Tage normal weiter; Administratoren erhalten wöchentlich eine Erinnerung per E-Mail.
3. Abschaltung: Danach wird die Organisation abgeschaltet. Geräte leiten keinen Client-Verkehr mehr weiter, nur noch Meraki-Verwaltungsverkehr.
4. Eingeschränktes Dashboard: Nur die Seiten License Info und Device Status bleiben erreichbar, bis die Compliance wiederhergestellt ist. Eine einmalige Verlängerung der Kulanzfrist ist aus Kulanz möglich.

Die Meraki-Licensing-FAQ bestätigt, dass Hardware mit Co-Term- und PDL-Lizenzierung dann nicht mehr funktioniert und keinen Verkehr mehr ins Internet durchlässt. Für das neuere Subscription-Modell beschreibt die FAQ das Verhalten bei Ablauf nicht ausdrücklich; prüfen Sie daher Ihren eigenen Vertrag.

Praxistipp: Notieren Sie Ihr Co-Term-Datum, beginnen Sie 90 Tage vorher mit Verlängerung oder Migration und lassen Sie es nie auf die Kulanzfrist ankommen. Wenn Sie einen Wechsel erwägen, planen Sie die Umschaltung deutlich vor dem Enddatum.

Funktionen im Vergleich

TLS-Inspektion: der größte funktionale Unterschied

Laut Meraki kann Content Filtering bei HTTPS nur Domains klassifizieren und blockieren, keine vollständigen URLs; der Browser zeigt dann eine Fehlerseite statt der Meraki-Sperrseite. Da der Großteil des Webverkehrs verschlüsselt ist, sieht eine MX wenig davon, was innerhalb einer Sitzung geschieht. Zenarmor bietet eine vollständige TLS-Inspektion (Entschlüsselung/Neuverschlüsselung) oder einen leichtgewichtigen, zertifikatsbasierten Modus, mit Ausnahmen etwa für Online-Banking und Gesundheitsdienste. Das erfordert eine sorgfältige Umsetzung beim Datenschutz und mit dem Betriebsrat (§ 87 Abs. 1 Nr. 6 BetrVG); lesen Sie dazu unseren Beitrag zur TLS-Inspektion und DSGVO.

Anwendungskontrolle und Webfilter

Meraki bietet Layer-7-Anwendungsdurchsetzung in allen Editionen und Talos-basiertes Content Filtering ab Advanced Security. Zenarmor erkennt über 5.000 Anwendungen und bindet Richtlinien an Benutzer und Gruppen (Entra ID, Google Workspace, Okta, SAML 2.0), VLANs, Gerätekategorien und Zeitpläne. Siehe Anwendungskontrolle und den Zenarmor-Webfilter.

Homeoffice und ZTNA

Eine MX schützt den Verkehr, der durch die MX läuft; Mitarbeitende im Homeoffice verbinden sich per Client VPN, oder Sie erwerben separate Cisco-Produkte für Zero Trust und Cloud-Sicherheit. Zenarmor-Agents setzen dieselbe Richtlinie auf Laptops und Smartphones durch, wo immer sich der Benutzer befindet, mit Mesh-VPN und Device Posture Checks. In Unified Secure Plus sind zwei Agents pro Benutzer enthalten.

SD-WAN: hier ist Meraki stärker

Fairerweise: Auto VPN und SD-WAN sind eine Kernstärke von Meraki. Zenarmor-SD-WAN (anwendungsbezogenes Routing, dynamische Pfadwahl, WAN-Aggregation) steht auf der Roadmap und ist in Entwicklung. Heute deckt OPNsense mit Multi-WAN-Failover und Lastverteilung plus Site-to-Site-VPN die meisten Anforderungen im Mittelstand ab. Ist anwendungsbezogene Pfadwahl über viele Filialen jedoch schon heute entscheidend, liegt Meraki vorn.

Verwaltung: Meraki-Dashboard oder Zenconsole

Das Meraki-Dashboard ist wohl die einfachste Netzwerkverwaltung am Markt: Zero-Touch-Rollout, automatische Firmware-Updates sowie MX, Switches und WLAN in einer Oberfläche. Zenarmor bietet mit Zenconsole ein mandantenfähiges Cloud-Portal mit zentralen Richtlinien, Backup, Audit Trail und seit Version 2.7 Cloud-Reporting mit Regionswahl, darunter Deutschland und die Niederlande.

Wichtig: Sie müssen nicht alles ersetzen. Meraki-Switches und -Access-Points können bleiben; nur das MX-Gateway wechselt zu OPNsense mit Zenarmor. Beachten Sie, dass Auto VPN nur zwischen Meraki-Geräten funktioniert; während einer schrittweisen Migration verbinden Sie Zenarmor-Standorte per Standard-IPsec mit den verbleibenden MX-Appliances.

Lizenzen und 3-Jahres-TCO

Meraki lizenziert pro Gerät, Modell und Edition. Wer innerhalb einer Co-Term-Organisation von Enterprise auf Advanced Security wechselt, verkürzt laut Meraki die verbleibende Laufzeit der MX-Lizenzen anteilig. Zenarmor lizenziert pro Benutzer, die Hardware wählen Sie selbst. Annahmen: Zenarmor-Listenpreise und ein US-Straßenpreis für die Meraki-Lizenz, umgerechnet zu 1 USD = 0,90 € (Arbeitsannahme), ohne MwSt., ohne Partnerrabatt. Es handelt sich um Rechenbeispiele, nicht um Angebote.

Beispiel 1: ca. 25 Benutzer, ein Büro

Kostenposition (3 Jahre)	Cisco Meraki	Zenarmor
Hardware	MX-Appliance (Preis über Cisco-Partner)	Weiterverwendung x86/VM (0 €) oder Deciso DEC740 978 €
Sicherheitslizenz	Advanced Security, z. B. MX75: 3 × 763 USD = 2.289 USD ≈ 2.060 €	Unified Secure: 25 × 5 USD × 36 = 4.500 USD; mit 25 % Vorauszahlungsnachlass für 3 Jahre 3.375 USD
TLS-Inspektion	Auf der MX nicht verfügbar	Add-on 3 USD/Benutzer/Monat oder Unified Secure Plus (6.075 USD nach Vorauszahlungsnachlass)
Richtwert gesamt	≈ 2.060 € + Hardware	≈ 3.375 bis 6.075 USD + eventuelle Hardware

Fazit: Bei den Lizenzkosten ist eine Meraki MX für ein Büro weiterhin günstiger (≈ 2.060 € gegenüber ≈ 3.375 USD, rund 3.040 €), der Abstand ist aber kleiner als oft angenommen: Bei Meraki kommt immer MX-Hardware hinzu, während Zenarmor auf vorhandener Hardware laufen kann. Zum Cisco-Listenpreis (1.661 USD pro Jahr) ist die MX-Lizenz sogar teurer. Was Sie bei der MX nicht erhalten, ist TLS-Inspektion, und Ihr Netzwerk hängt von einer rechtzeitigen Verlängerung ab.

Beispiel 2: ca. 100 Benutzer, drei Standorte, hybrides Arbeiten

Kostenposition (3 Jahre)	Cisco Meraki	Zenarmor
Gateways	Drei MX mit je einer Advanced-Security-Lizenz (MX75-Klasse: 3 × ≈ 2.060 € = ≈ 6.180 €) zzgl. Hardware	Weiterverwendung oder Deciso DEC850 1.648 € + 2 × DEC740 978 €
Benutzerschicht	Client VPN oder separate Cisco-Dienste für Zero Trust und Cloud-Sicherheit (Angebot)	Unified Secure Plus: 100 × 8 USD × 36 = 28.800 USD; mit 25 % Vorauszahlungsnachlass 21.600 USD
Weitere Standorte	Zusätzliche MX + Lizenz pro Standort	2 × 50 USD × 36 = 3.600 USD
Enthalten	IDS/IPS, AMP, Talos-Filterung, Auto VPN/SD-WAN	200 Agents, vollständige TLS-Inspektion, Mesh-VPN, Site-to-Site, Gateway-HA, Zenconsole
Richtwert gesamt	≈ 6.180 € + Hardware + Benutzerschicht	≈ 25.200 USD vor Partnerrabatt

Fazit: Nur Gateway-Lizenzen zu vergleichen heißt, Äpfel mit Birnen zu vergleichen. Reicht Ihnen Domainfilterung im Büro, ist Meraki zum Straßenpreis deutlich günstiger. Brauchen Sie vollständige TLS-Inspektion und Schutz im Homeoffice, vergleichen Sie Zenarmor mit Meraki plus der separaten Cisco-Sicherheitsschicht. Zur Einordnung: In Zenarmors eigener Kundengeschichte über De Hooge Waerder kostete Zenarmor SSE für 235 Benutzer rund 29.000 € pro Jahr zum Listenpreis, gegenüber einem Enterprise-Angebot von 200.000 € pro Jahr allein für ZTNA (Zahlen von Zenarmor; Secrotec wird darin als ISO 27001 Lead Auditor und Zenarmor-Partner zitiert). Weitere Zahlen: Zenarmor-Preisvergleich 2026.

Compliance: ISO 27001, NIS2 und TISAX

Zenarmor macht Sie nicht compliant, liefert aber Nachweise. Secrotec ist Auditor und Implementierer zugleich und konfiguriert Zenarmor so, dass es zu den Anforderungen eines Auditors passt.

• ISO 27001:2022: A.8.20 (Netzwerksicherheit), A.8.22 (Netzwerktrennung), A.8.23 (Webfilterung), A.8.15/A.8.16 (Protokollierung und Überwachung). Siehe unser ISO 27001 Audit.
• NIS2: Artikel 21 verlangt risikobasierte Maßnahmen, darunter Netzwerksicherheit und Überwachung. Siehe NIS2-Vorbereitung und unseren Leitfaden zur Netzwerksegmentierung.
• TISAX®: VDA ISA 5.2.3 (Schutz vor Schadsoftware) erwartet eine Prüfung am Gateway, auch von verschlüsseltem Verkehr; 5.2.7 (Netzwerkmanagement) und 2.1.4 (mobiles Arbeiten) verlangen Segmentierung und abgesicherten Zugang. Ohne TLS-Inspektion ist 5.2.3 schwerer nachzuweisen. Die Control-Nummern folgen VDA ISA 6 und können sich mit ISA2027 verschieben. Secrotec unterstützt bei der TISAX-Vorbereitung; das Assessment führt ein von der ENX zugelassener Prüfdienstleister durch.
• DSGVO: Mit Reporting in Deutschland oder den Niederlanden, oder vollständig lokal, bleiben Logdaten mit personenbezogenen Daten in der EU.

Wann ist Cisco Meraki die bessere Wahl?

• Sie betreiben bereits einen vollständigen Meraki-Stack (MX, Switches, WLAN) und Einfachheit hat Vorrang.
• Sie haben viele Filialen ohne IT vor Ort und möchten Zero-Touch-Rollout.
• Anwendungsbezogenes SD-WAN über viele Standorte ist heute entscheidend.
• Sie sind tief im Cisco-Ökosystem verankert und möchten alles von einem Hersteller.
• Filterung auf Domainebene genügt und Sie benötigen keine TLS-Inspektion.

Wann ist Zenarmor die bessere Wahl?

• Sie benötigen vollständige TLS-Inspektion und Filterung auf URL-Ebene.
• Sie möchten nicht, dass eine abgelaufene Lizenz Ihren Internetverkehr stoppen kann.
• Ihre Mitarbeitenden arbeiten hybrid; die Sicherheit muss mit dem Benutzer mitwandern.
• Sie möchten Hardware frei wählen und vorhandene Server oder VMs weiterverwenden.
• Sie möchten Reporting in Deutschland oder den Niederlanden, lokal oder in Ihrem eigenen SIEM.
• Ihr Co-Term-Datum oder das Lebensende Ihrer MX rückt näher.

Lesen Sie auch Zenarmor: über NGFW hinaus mit SSE, ZTNA und CASB, das Praxisbeispiel WeTransfer-Uploads mit SSE und CASB stoppen und unsere Leistungen für Firewall & Netzwerke.

Partnerrabatt über Secrotec: Senden Sie uns Ihr Meraki-Verlängerungsangebot

Secrotec liefert Zenarmor-Lizenzen und -Projekte in ganz Europa und hat zufriedene Zenarmor-Kunden in der gesamten Europäischen Union. Sie erhalten einen Partnerrabatt, und in Zenarmor-Projekten ist der Preis immer verhandelbar.

Senden Sie uns Ihr Meraki-Verlängerungsangebot oder Ihr Co-Term-Datum. Wir erstellen einen fairen Vergleich bei gleichem Leistungsumfang und sagen es Ihnen auch, wenn Meraki für Sie die bessere Wahl bleibt. Mehr Informationen finden Sie auf der Seite Zenarmor Partner; Fragen stellen Sie über unseren Kontakt.

Angebot mit Partnerrabatt anfordern

Hinweis: Cisco, Cisco Meraki, Meraki und Talos sind Marken der Cisco Systems, Inc. und/oder verbundener Unternehmen; Zenarmor ist eine Marke der Sunny Valley Cyber Security Inc.; TISAX® ist eine eingetragene Marke der ENX Association. Alle übrigen Marken sind Eigentum ihrer jeweiligen Inhaber. Preise und Funktionen sind Richtwerte, Stand Oktober 2026, ohne MwSt. und ohne Gewähr; Händlerpreise variieren. Dieser Vergleich beruht auf öffentlichen Quellen und dient der sachlichen Information.