Zenarmor vs. Fortinet FortiGate: die ehrliche Alternative zu FortiGate für KMU

Kurze Antwort: Wählen Sie Zenarmor, wenn Sie pro Benutzer bezahlen, Mitarbeitende im Homeoffice und mobile Geräte auch außerhalb des Büros schützen, vorhandene Hardware oder Virtualisierung weiterverwenden und Reports lokal oder in einer niederländischen bzw. deutschen Cloud-Region halten möchten. Bleiben Sie bei Fortinet FortiGate, wenn Sie Multi-Gigabit-Inspektion auf spezialisierter Hardware, ausgereiftes SD-WAN oder eine vollständige Fortinet Security Fabric (FortiSwitch, FortiAP, FortiAnalyzer) benötigen. Für einen einzelnen kleinen Standort ohne Remote-Nutzer ist ein FortiGate-Bundle zum Listenpreis oft günstiger; mit hybridem Arbeiten, mehreren Standorten und Partnerrabatt kann die Drei-Jahres-Rechnung kippen.

Secrotec ist unabhängiger ISO 27001 Lead Auditor und offizieller Zenarmor-Partner in den Niederlanden (gelistet im Partnerverzeichnis von Zenarmor). Wir liefern Zenarmor-Lizenzen und -Projekte in ganz Europa und richten die Lösung so ein, dass sie die Nachweise liefert, die ein Auditor sehen will. In diesem Vergleich zeigen wir, wo FortiGate stark ist, wo Zenarmor den Unterschied macht und wie Sie die Kosten über drei Jahre fair gegenüberstellen. Alle Preise sind Richtwerte (Stand Oktober 2026, zzgl. MwSt., Händlerpreise variieren) und mit einer Quelle verlinkt.

Zenarmor vs. FortiGate auf einen Blick

Der wichtigste Unterschied liegt in der Architektur. Zenarmor ist eine Security-Engine (Next-Generation-Firewall, Secure Web Gateway, SSE und ZTNA), die als Software läuft: als Plugin auf OPNsense oder pfSense CE, unter Linux, in Docker oder als Agent auf Windows, macOS, Linux, Android und iOS. Verwaltet wird alles zentral in Zenconsole. FortiGate ist eine Appliance mit eigenen Security-Prozessoren von Fortinet, ergänzt um FortiGuard-Abonnements pro Gerät und separate Produkte wie FortiClient EMS, FortiManager und FortiAnalyzer.

Kriterium	Zenarmor	Fortinet FortiGate
Architektur	Software auf eigener x86-Hardware, VM (Proxmox, Hyper-V, VMware), Cloud oder Deciso-Appliance, plus Endpoint-Agents	Proprietäre Appliance mit Fortinet-Security-Prozessoren (ASIC/SoC); auch als FortiGate-VM
Lizenzmodell	Pro Benutzer und Monat (min. 10); erster Standort inklusive, jeder weitere +50 $/Monat	Pro Appliance: Hardware + jährliches FortiGuard-Bundle (z. B. UTP); FortiClient EMS pro Endpoint (min. 25)
Anwendungskontrolle	5.000+ Anwendungen, dynamisch aktualisierte App-Datenbank	FortiGuard Application Control (in den Bundles)
Webfilter	300+ Millionen Websites in 120+ Kategorien, SafeSearch und YouTube Restricted Mode	FortiGuard Web Filtering (ab UTP-Bundle)
TLS-Inspektion	Leichtgewichtig (zertifikatbasiert) und vollständig; Add-on bei Unified Secure, enthalten in Unified Secure Plus	SSL/TLS Deep Inspection; Durchsatz abhängig vom Modell
Threat Intelligence	Cloud Threat Intelligence, IPS, DNS Deep Inspection, Essential- und Advanced-Security-Regeln	FortiGuard Labs: IPS, Antivirus, Outbreak Prevention
Remote-Nutzer / ZTNA	Endpoint-Agents, verschlüsseltes Mesh-VPN, ZTNA mit Device-Posture-Checks	IPsec-VPN (SSL-VPN-Tunnelmodus entfällt ab FortiOS 7.6.3); ZTNA über FortiClient-EMS-Lizenz
SSE / CASB	Cloud Access Rules (Upload, Teilen, Löschen blockieren) ab SSE-Plan; kein inhaltsbasiertes DLP (Roadmap)	CASB/DLP in höheren Bundles; Cloud-SSE über FortiSASE (separates Produkt)
Zentrales Management	Zenconsole: Cloud, mandantenfähig, Policy-Import, Audit-Trail	FortiManager oder FortiGate Cloud (separat lizenziert)
Reporting und Datenresidenz	Lokal (Elasticsearch/SQLite), Streaming an SIEM/Syslog oder Cloud-Reporting mit Region Niederlande oder Deutschland	Lokale Logs (modellabhängig), FortiAnalyzer oder Fortinet-Cloud-Dienste
Hochverfügbarkeit	Gateway-HA auf OPNsense (ab Unified Secure)	Ausgereiftes HA-Clustering; zweite Appliance mit Lizenzen nötig
Lizenz abgelaufen	OPNsense-Firewall, Routing und VPN laufen weiter (Open Source); kostenpflichtige Zenarmor-Funktionen benötigen eine gültige Lizenz	Firewall und VPN laufen weiter; keine neuen Signaturen, Cloud-Webfilter blockiert standardmäßig sämtlichen Webverkehr, Outbreak Prevention stoppt
Hardware-Lock-in	Keiner: Lizenz pro Benutzer, Plattform frei wechselbar	Abonnements an die Seriennummer der Appliance gebunden
SD-WAN	Größtenteils Roadmap	Ausgereift und integriert
Richtpreis	Ab 5,00 $ pro Benutzer/Monat (Unified Secure), 9,00 $ (Unified Secure Plus)	40F + 1 Jahr UTP ≈ 1.180 €; 60F + 1 Jahr UTP ≈ 1.050–1.417 €; Verlängerung 60F UTP ≈ 403–460 £ pro Jahr

Quellen: Zenarmor-Pläne und -Dokumentation; Fortinet-Bundles und -Preise über Software Express und TNP; Lizenzverhalten laut Fortinet Community. Stand Oktober 2026.

Sicherheitsfunktionen im Vergleich

Anwendungskontrolle und Webfilter

Auf dem Papier sind beide Lösungen hier gleichwertig: Sie erkennen Tausende Anwendungen und kategorisieren Websites über eine Cloud-Datenbank. Zenarmor nennt selbst mehr als 5.000 Anwendungen und über 300 Millionen Websites in 120+ Kategorien, mit fertigen Profilen (Permissive, Moderate, High) sowie der Durchsetzung von SafeSearch und YouTube Restricted Mode. Der praktische Unterschied liegt in der Granularität: Zenarmor bindet Richtlinien an Interface, VLAN, Gerätekategorie, IP, MAC, Benutzer, Gruppe und Zeitplan, mit Identitäten aus Entra ID, Google Workspace, Okta oder SAML 2.0. Mehr dazu in unseren Beiträgen zur Anwendungskontrolle und zum Zenarmor-Webfilter.

TLS-Inspektion

Ohne TLS-Inspektion sieht keine Firewall in verschlüsselten Verkehr hinein. Zenarmor bietet einen leichtgewichtigen, zertifikatbasierten Modus und die vollständige Inspektion (Entschlüsseln/Neuverschlüsseln) mit einer Bypass-Liste von 80+ vordefinierten Ausnahmen, etwa für Banking und Gesundheit. Auch FortiGate bietet Deep Inspection; dort bestimmt das Hardwaremodell, wie viel inspizierten Durchsatz Sie erreichen. Beachten Sie: In Deutschland berührt TLS-Inspektion die DSGVO und regelmäßig das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Siehe TLS-Inspektion mit Zenarmor.

Homeoffice, Remote-Zugang und ZTNA

Hier liegt der größte Unterschied. Eine FortiGate schützt den Verkehr, der durch die Appliance läuft; für Mitarbeitende im Homeoffice nutzen Sie Remote-Access-VPN oder ZTNA. Ab FortiOS 7.6.3 hat Fortinet den SSL-VPN-Tunnelmodus durch IPsec-VPN ersetzt; bestehende Tunnelkonfigurationen werden nicht übernommen und müssen vor dem Upgrade migriert werden (Fortinet-Dokumentation). Für ZTNA mit Posture-Checks ist eine FortiClient-EMS-Lizenz nötig, pro Endpoint und mit mindestens 25 Lizenzen (Fortinet-EMS-Lizenzierung).

Zenarmor bringt die Richtlinie auf das Gerät selbst. Endpoint-Agents für Windows, macOS, Linux, Android und iOS setzen im Hotel-WLAN dieselbe Web-, App- und Security-Richtlinie durch wie im Büro und lassen sich über Intune oder Jamf verteilen. Unified Secure enthält 5 Endpoint- und 5 Mesh-Agents; Unified Secure Plus enthält 2 Agents pro Benutzer (einschließlich Smartphone oder Tablet) und Mesh-VPN für Site-to-Site-Verbindungen mit bis zu 20 Standorten. Müssen Sie Ihren Remote-Zugang ohnehin neu aufbauen? Dann ist jetzt der richtige Moment für einen Vergleich.

Performance: die ehrliche Geschichte über ASICs

FortiGate hat hier einen echten Trumpf: eigene Security-Prozessoren. Fortinet nennt einen Threat-Protection-Durchsatz von 600 Mbit/s für die 40F und 700 Mbit/s für die 60F (Fortinet). Zenarmor läuft auf Standard-CPUs und skaliert mit der Hardware: Die Hardware-Empfehlung nennt rund 300 Mbit/s für 0–50 Geräte auf bescheidener Hardware und 1–2 Gbit/s für 250–1.000 Geräte mit 16 GB RAM. Seit Version 2.7 unterstützt Zenarmor Multi-Core-10G-Verarbeitung auf OPNsense (ab Business, siehe Release Notes). Für die meisten KMU-Anschlüsse bis 1 Gbit/s reicht das völlig; für Multi-Gigabit-Inspektion mit möglichst wenig Hardware ist FortiGate stärker.

Management, Reporting und Datenresidenz

Zenarmor verwalten Sie über Zenconsole: ein Cloud-Portal für Gateways und Endpoint-Agents, mandantenfähig für MSPs, mit Policy-Import, Backup und Audit-Trail aller Änderungen. Reports können vollständig lokal bleiben (Elasticsearch oder SQLite), an Ihr eigenes SIEM oder Syslog gestreamt oder in der Zenarmor-Cloud in einer Region Ihrer Wahl gespeichert werden, darunter die Niederlande und Deutschland. Zenarmor nennt 60+ Standardberichte. Mehr zur Verwaltung mehrerer Standorte: zentrales Management mit Zenconsole.

Eine einzelne FortiGate lässt sich über die eigene Weboberfläche gut verwalten. Zentrales Management und langfristige Log-Aufbewahrung laufen über FortiManager, FortiAnalyzer oder FortiGate Cloud, jeweils separat lizenziert. Im eigenen Vergleich von Zenarmor heißt es „eine App, ein Stack, eine Konsole“ gegenüber mehreren Fortinet-Produkten. Das ist eine Herstelleraussage; prüfen Sie in Ihrem Angebot, welche dieser Produkte Sie tatsächlich benötigen.

Lizenzen und Kosten: Was zahlen Sie über drei Jahre?

Fortinet rechnet pro Appliance ab: Hardware plus ein jährliches FortiGuard-Bundle, gegebenenfalls ergänzt um FortiClient EMS, FortiManager und FortiAnalyzer. Zenarmor rechnet pro Benutzer und Monat ab; eine Benutzerlizenz deckt zwei aktiv genutzte Geräte ab, Drucker, Kameras und IoT zählen nicht. Hinzu kommt die Plattform: Die OPNsense Community Edition ist kostenlos, die Business Edition kostet 149 € pro Jahr, Deciso-Appliances beginnen bei 978 € (DEC740), oder Sie nutzen vorhandene Hardware bzw. eine VM (OPNsense-Shop). Eine Zenarmor-Lizenz kaufen Sie direkt oder über einen autorisierten Partner wie Secrotec.

Zenarmor-Plan	10–49 Benutzer	50–99 Benutzer	100–150 Benutzer	Wichtigste Inhalte
Unified Secure	5,00 $	4,50 $	4,00 $	NGFW, IPS, App- und Webfilter, DNS Deep Inspection, 5 Endpoint- + 5 Mesh-Agents, Gateway-HA, 15 Tage Aufbewahrung; TLS-Add-on 3 $ pro Benutzer/Monat
Unified Secure Plus	9,00 $	8,50 $	8,00 $	Alles aus Unified Secure + vollständige TLS-Inspektion, 2 Agents pro Benutzer, Mesh-VPN bis 20 Standorte, 30 Tage Aufbewahrung
SSE / ZTNA / SASE	Auf Anfrage			CASB, Posture-Checks, 90 Tage Aufbewahrung, individuelle Datenresidenz

Zenarmor-Listenpreise in USD pro Benutzer und Monat, zzgl. MwSt., Stand Oktober 2026, ohne Gewähr. Vorauszahlungsnachlass von Zenarmor: −15 % (1 Jahr), −25 % (3 Jahre), −35 % (5 Jahre). Weiterer Standort: 50 $ pro Monat (bis 20 Standorte). Über 150 Benutzer oder 20 Standorte: Angebot.

Beispiel 1: rund 25 Benutzer, ein Standort

Kostenposition (3 Jahre)	Zenarmor Unified Secure	FortiGate 60F + UTP
Lizenzen / Abonnement	25 × 5,00 $ × 36 = 4.500 $; mit 3-Jahres-Vorauszahlung 3.375 $	Jahr 1 Bundle 1.050–1.417 € + 2 × Verlängerung 403–460 £
Hardware	0 € (vorhandene Hardware oder VM) oder DEC740 978 €	Im Bundle des ersten Jahres enthalten
Plattform	OPNsense CE 0 € oder Business Edition 3 × 149 € = 447 €	—
Homeoffice	5 Endpoint- + 5 Mesh-Agents inklusive	IPsec-VPN; ZTNA über FortiClient EMS (min. 25 Endpoints, Preis über Händler)
Richtwert gesamt	3.375 $ bis 3.375 $ + 1.425 €	Ca. 2.000–2.500 € (umgerechnet, ohne EMS)

Ehrlich gesagt: Für einen kleinen Standort ohne Remote-Nutzer ist das FortiGate-Bundle zum Listenpreis günstiger. Das Bild ändert sich, wenn Sie mehr als fünf Mitarbeitende im Homeoffice mit Agents schützen wollen (dann liegt Unified Secure Plus nahe: 25 × 9,00 $ × 36 = 8.100 $, mit 3-Jahres-Vorauszahlung 6.075 $), wenn Sie vollständige TLS-Inspektion und 30 Tage Aufbewahrung brauchen oder ZTNA mit Posture-Checks ohne separate Endpoint-Lizenzen wünschen. Wiederverwendung von Hardware und der Partnerrabatt über Secrotec verkleinern den Abstand weiter.

Beispiel 2: rund 100 Benutzer, drei Standorte, hybrides Arbeiten

Kostenposition (3 Jahre)	Zenarmor	Fortinet
Abonnement	Unified Secure: (100 × 4,00 $ + 2 × 50 $) × 36 = 18.000 $, mit Vorauszahlung ca. 13.500 $. Unified Secure Plus: (100 × 8,00 $ + 2 × 50 $) × 36 = 32.400 $, mit Vorauszahlung ca. 24.300 $	Zwei Filialen mit 60F-Klasse: 2 × (1.050–1.417 € + 2 × 403–460 £); Zentrale meist ein größeres Modell, Preis auf Anfrage
Hardware	Wiederverwendung oder VM 0 €, oder DEC850 1.648 € + 2 × DEC740 978 €	In den Bundles des ersten Jahres
HA in der Zentrale	Zweites Gateway (Hardware oder VM); HA ist in der Lizenz enthalten	Zweite Appliance mit eigenen Lizenzen
Homeoffice / ZTNA	Plus: 2 Agents pro Benutzer und Mesh-VPN inklusive	FortiClient EMS für ca. 100 Endpoints (Preis auf Anfrage)
Zentrales Management und Logging	Zenconsole und 15/30 Tage Aufbewahrung inklusive; lokal oder SIEM möglich	FortiManager/FortiAnalyzer oder FortiGate Cloud (separat)

In dieser Größenordnung entscheiden nicht die Boxen über den Unterschied, sondern die Zusatzkomponenten: ZTNA für 100 Endpoints, zentrales Logging, HA und das größere Modell in der Zentrale. Lassen Sie diese Positionen ausdrücklich in Ihrem Fortinet-Angebot ausweisen, dann ist ein fairer Vergleich möglich. Arbeiten Mitarbeitende im Homeoffice per VPN ins Büro (OPNsense unterstützt WireGuard, IPsec und OpenVPN ohne Aufpreis), genügt oft Unified Secure. Die Vorauszahlungsbeträge setzen voraus, dass der Zenarmor-Nachlass auf das gesamte Abonnement gilt; ein Angebot über Secrotec enthält zusätzlich einen Partnerrabatt.

Was passiert, wenn die Lizenz abläuft?

Laut Fortinet Community laufen Firewall und VPN auf einer FortiGate weiter, wenn FortiGuard-Lizenzen ablaufen, aber IPS-, Antivirus- und Anwendungsdefinitionen werden nicht mehr aktualisiert. Webfilterung auf Basis von FortiGuard-Kategorien blockiert dann standardmäßig sämtlichen Webverkehr, und Outbreak Prevention stoppt. Bei Zenarmor laufen die Open-Source-Firewall, das Routing und das VPN von OPNsense weiter; die kostenpflichtigen Zenarmor-Funktionen wie L7-Filterung, TLS-Inspektion und Agents erfordern eine aktive Lizenz. In beiden Fällen gilt: Planen Sie Verlängerungen rechtzeitig. Das ist schlicht auch eine ISO-27001-Maßnahme.

Compliance: Nachweise für ISO 27001, NIS2 und TISAX

Eine Firewall macht Sie nicht compliant; sie liefert Nachweise. Sowohl FortiGate als auch Zenarmor können Maßnahmen aus ISO 27001:2022 Anhang A unterstützen, etwa A.8.20 (Netzwerksicherheit), A.8.22 (Trennung von Netzwerken), A.8.23 (Webfilterung), A.8.15 (Protokollierung) und A.8.16 (Überwachung). Gleiches gilt für die Risikomanagementmaßnahmen nach NIS2 Artikel 21 und deren nationale Umsetzungen, etwa das niederländische Cyberbeveiligingswet, das seit dem 15. August 2026 in Kraft ist (siehe ISO 27001 und NIS2).

Der Unterschied liegt in der Konfiguration. Secrotec ist Auditor und Umsetzer zugleich: Wir konfigurieren Zenarmor so, dass Richtlinien, Netzwerksegmentierung, Logging und Reports direkt auf Ihre Erklärung zur Anwendbarkeit (SoA) einzahlen. Für Automobilzulieferer unterstützen wir die TISAX®-Vorbereitung (Gap-Review gegen VDA ISA, Selbstbewertung, Umsetzung von Maßnahmen); das Assessment selbst führt ein von ENX zugelassener Prüfdienstleister durch. Lesen Sie mehr über Reporting als Nachweis für NIS2 und ISO 27001 und TISAX und Netzwerksicherheit, oder planen Sie ein ISO 27001 Audit.

Wann ist FortiGate die bessere Wahl?

• Sie benötigen Multi-Gigabit-Durchsatz mit vollständiger Inspektion und möchten das mit möglichst wenig Hardware erreichen.
• SD-WAN ist für Sie Kernfunktion: Bei Fortinet ist es ausgereift, bei Zenarmor größtenteils Roadmap.
• Sie betreiben bereits eine Fortinet Security Fabric mit FortiSwitch, FortiAP und FortiAnalyzer, und Ihr Team kennt FortiOS gut.
• Sie haben einen kleinen Standort ohne Remote-Nutzer und achten ausschließlich auf den niedrigsten Listenpreis.
• Ihr FortiGuard-Abonnement wurde gerade für mehrere Jahre im Voraus bezahlt.

Wann ist Zenarmor die bessere Wahl?

• Ihre Mitarbeitenden arbeiten hybrid, und Sie möchten im Büro, zu Hause und unterwegs dieselbe Richtlinie, mit Agents statt Tunneln zurück ins Büro.
• Sie wollen keinen Hardware-Lock-in: Betrieb auf vorhandenen Servern, Proxmox, Hyper-V oder VMware, später frei wechselbar ohne neue Lizenz.
• Sie verwalten mehrere Standorte oder Kunden (MSP) und wünschen eine einzige mandantenfähige Konsole.
• Sie möchten Reports lokal oder in einer niederländischen bzw. deutschen Cloud-Region halten, mit Blick auf DSGVO und Datensouveränität.
• Sie wollen Cloud-Aktionen kontrollieren, etwa Uploads zu WeTransfer blockieren; siehe SSE, CASB und DLP.
• Sie wünschen planbare Kosten pro Benutzer und einen Partner, der die Konfiguration auch auditfest macht.

Möchten Sie zuerst mehr über die Plattform erfahren? Lesen Sie, wie Zenarmor mit SSE, ZTNA und CASB über NGFW hinausgeht.

Partnerrabatt über Secrotec: Schicken Sie uns Ihr FortiGate-Verlängerungsangebot

Als offizieller Zenarmor-Partner in den Niederlanden liefern wir Lizenzen auf Basis der oben genannten Listenpreise, mit Partnerrabatt. In Zenarmor-Projekten ist der Preis zudem immer verhandelbar. Liegt ein FortiGate- oder FortiGuard-Verlängerungsangebot auf Ihrem Tisch? Schicken Sie es uns. Wir erstellen einen fairen Vergleich: dieselben Benutzer, Standorte, Remote-Nutzer und Aufbewahrungsfristen, mit klarer 3-Jahres-TCO. Fällt der Vergleich zugunsten Ihrer FortiGate aus, sagen wir Ihnen das ebenfalls.

Fordern Sie ein Angebot mit Partnerrabatt an, sehen Sie sich den vollständigen Zenarmor-Preisvergleich an oder vergleichen Sie mit WatchGuard und Cisco Meraki. Lieber alles abgeben? Unser Managed-Firewall-Service kombiniert Zenarmor mit Betrieb und Monitoring.

Fortinet, FortiGate, FortiGuard, FortiOS, FortiClient, FortiManager, FortiAnalyzer und FortiSASE sind Marken der Fortinet, Inc. Zenarmor ist eine Marke der Sunny Valley Cyber Security Inc. OPNsense ist eine Marke der Deciso B.V. Alle Preise sind Richtwerte, Stand Oktober 2026, zzgl. MwSt.; Händlerpreise und Wechselkurse variieren. Dieser Vergleich beruht auf öffentlichen, im Text verlinkten Quellen und ist keine Aussage von Fortinet oder Zenarmor.