Zenconsole: zentrale Verwaltung von Zenarmor für mehrere Standorte und Kunden

Zenconsole ist das Cloud-Management-Portal von Zenarmor (dash.zenarmor.com). Damit verwalten Sie alle Zenarmor-Gateways und Endpoint-Agenten aus einer einzigen Konsole: zentrale Richtlinien, Reporting, Benutzer und Zero-Trust-Zugriff für alle Standorte gleichzeitig. Für ein Unternehmen mit mehreren Niederlassungen heißt das: eine Richtlinie statt zehn einzelner Firewall-Konfigurationen. Für einen MSP heißt es: eine Konsole mit getrennten Umgebungen je Kunde. Mit Zenarmor 2.6 und 2.7 (Juni und September 2026) sind ein Audit-Trail, eine organisationsbasierte REST-API und eine wählbare Speicherregion für das zentrale Reporting hinzugekommen – darunter Deutschland und die Niederlande.

In diesem Beitrag erklären wir als offizieller Zenarmor-Partner in den Niederlanden und unabhängiger ISO 27001 Lead Auditor, wie Zenconsole aufgebaut ist, was Sie zentral steuern können und was nicht, welche Rollen und Rechte es gibt, wie es um Datenresidenz und Souveränität steht und wie Secrotec Zenconsole als Managed Service bereitstellt.

Was ist Zenconsole genau?

Zenconsole ist die SaaS-Verwaltungsebene oberhalb der Zenarmor-Engine. Die Engine selbst läuft lokal: als Plugin auf OPNsense, als Paket auf pfSense CE, FreeBSD oder Linux, als Container oder als Agent auf Notebook und Smartphone. Die Konsole bündelt diese Instanzen, verteilt Richtlinien und stellt das Reporting dar. Ein Punkt ist dabei entscheidend: Die Durchsetzung bleibt lokal. Ihr Datenverkehr muss nicht über einen externen Inspektionspunkt (PoP) umgeleitet werden. Zenconsole ist Verwaltungs- und Reporting-Ebene, kein Durchgangspunkt für Ihre Daten.

Zenconsole kennt zwei Arbeitsweisen:

• Standalone-Firewall-Management. Jede Firewall behält ihre eigenen Richtlinien, Sie sehen und verwalten aber alle Firewalls in einem Portal. Firewalls fassen Sie in Projekten zusammen; die Zenarmor-Dokumentation beschreibt ein Projekt ausdrücklich als Ordner je Niederlassung oder – bei einem MSP – je Kunde.
• Organisationsverwaltung (Central Organization Management). Richtlinien werden zentral in Zenconsole definiert und gelten für alle Gateways und Endpoints der Organisation. Das ist das Modell für echte zentrale Richtlinien, identitätsbasierte Regeln und ZTNA (Übersicht von Zenarmor).

Aspekt	Standalone-Firewall-Management	Organisationsverwaltung
Wo liegen die Richtlinien?	Lokal auf jeder Firewall	Zentral in Zenconsole
Gruppierung	Projekte (je Niederlassung oder Kunde)	Organisation mit Gateways, Endpoints und Tags
Rollen für Kollegen	Owner, Admin, Operator, Viewer	Owner, Admin, Viewer
Endpoints und ZTNA	Nicht zentral	Agenten, Zero-Trust-Netzwerke, Posture Checks
Typischer Einsatz	Wenige Firewalls mit lokaler Verwaltung	Mehrere Standorte, hybride Arbeit, MSP-Kunden

Organisationen und mandantenfähige Struktur

Eine Organisation in Zenconsole ist der Container, in dem Sie Gateways (OPNsense, pfSense CE, Linux) und Endpoints (Windows, macOS, Linux und Mobilgeräte) registrieren. Darin verwalten Sie Benutzer – manuell oder über einen Identity Provider wie Entra ID, Google Workspace oder Okta. Seit Release 2.6 lassen sich Gateways und Endpoints zudem mit System- oder eigenen Tags versehen, etwa nach Region, Abteilung oder Risikoklasse. So bleiben Reporting und Richtlinien je Gruppe übersichtlich.

Welche Variante Sie erhalten, hängt vom Abonnement ab. In der Dokumentation war Central Organization Management lange an SSE und höher gebunden. Mit Release 2.7 hat Zenarmor die Organisationsfunktion für alle Editionen freigegeben. Auf der aktuellen Preisseite steht „cloud-based central organizational management“ bei Unified Secure und Unified Secure Plus – mit einem Mandanten. Kunden- und Mandantenverwaltung für Partner gehört zu den Plänen SSE, ZTNA und SASE. Für ein Unternehmen mit mehreren Niederlassungen reicht daher oft Unified Secure (Plus); wer als MSP mehrere Kunden getrennt verwalten will, landet bei den Enterprise- und Partnerplänen. Da Zenarmor die Funktionen mit jedem Release erweitert, prüfen wir den aktuellen Stand immer für Ihr konkretes Szenario.

Was Mandantenfähigkeit in der Praxis bedeutet

Mandantenfähig heißt: Jeder Kunde oder jede Tochtergesellschaft erhält eine eigene, abgeschottete Umgebung mit eigenen Richtlinien, eigenem Reporting und eigenen Administratoren. Der Techniker beim MSP sieht zugleich alles über einen einzigen Login. Zenarmor nennt auf der MSP-Seite ausdrücklich die Trennung von Richtlinien, Daten und Sichtbarkeit je Mandant. Für einen Auditor ist das kein Detail: Es verhindert, dass der Administrator von Kunde A versehentlich die Protokolle von Kunde B einsehen kann, und macht Verantwortlichkeiten je Kunde nachweisbar.

Zentrale Richtlinien: einmal definieren, überall durchsetzen

In einer Organisation legen Sie Richtlinien für den Internetzugang und für private Netzwerke zentral fest. Eine Richtlinie kombiniert Sicherheitsregeln (Malware, Phishing, Botnet-C&C), Anwendungskontrolle, Webfilter, TLS-Inspektion und Ausnahmen. Angewendet wird sie anhand von Kriterien wie Interface, VLAN, Netzwerk, Gerät, Benutzer, Gruppe und Zeitplan. Seit 2.7 können Organisationsrichtlinien auch auf Benutzer und Gruppen aus einem klassischen Active Directory oder LDAP-Verzeichnis verweisen – das erleichtert den Umstieg für Unternehmen mit bestehender Windows-Domäne. Mehr zu den Bausteinen lesen Sie in unseren Beiträgen zur Anwendungskontrolle und zum Zenarmor-Webfilter.

Baseline-Richtlinien als Vorlage

Seit 2.6 bietet Zenconsole Backup und Restore für Internet-Security-Richtlinien: Sie exportieren mehrere Richtlinien in eine einzige Datei und importieren sie an anderer Stelle wieder. Wir nutzen das als Vorlagenmechanismus. Secrotec pflegt ein Baseline-Set – etwa „Büro“, „Gastnetz“, „IoT/OT“ und „Administratoren“ –, das auf ISO 27001 Anhang A und Artikel 21 der NIS2-Richtlinie abgestimmt ist. Bei einem neuen Standort oder Kunden rollen wir dieses Set in einem Schritt aus. Standortspezifische Abweichungen ergänzen wir anschließend bewusst und dokumentiert, damit Sie im Audit genau erklären können, warum eine Niederlassung abweicht.

Vorsicht bei der Migration bestehender Firewalls

Eine Firewall mit bereits vorhandenen lokalen Richtlinien lässt sich nicht einfach einer Organisation hinzufügen. Laut Zenarmor-Dokumentation sichern Sie zuerst die lokalen Richtlinien; danach werden sie entfernt, weil die Richtlinien künftig zentral verwaltet werden. Ein solches Backup lässt sich nur auf einer Standalone-Instanz wiederherstellen, nicht auf einem Knoten, der bereits zu einer Organisation gehört. Planen Sie die Migration deshalb Standort für Standort – mit Wartungsfenster und einer vorab nachgebauten und getesteten zentralen Richtlinie.

Audit-Trail: Wer hat was geändert?

Für ISO 27001 und NIS2 genügt es nicht, dass eine Firewall richtig konfiguriert ist. Sie müssen auch nachweisen können, wer Änderungen vornimmt und wann. Zenarmor 2.6 hat in Zenconsole einen Audit-Trail eingeführt, der Administratoraktionen wie Richtlinienänderungen, Konfigurationsänderungen sowie das Hinzufügen und Entfernen von Instanzen protokolliert. Mit 2.7 kamen Audit-Logs für Endpoint-Anwendungen und OPNsense-Gateways hinzu, unter anderem für An- und Abmeldungen, Änderungen des Engine-Status, Updates und Anpassungen an Zero-Trust-Netzwerken (siehe Release Notes).

Als Auditoren ordnen wir das direkt Controls zu: ISO 27001:2022 A.8.15 (Protokollierung), A.8.32 (Änderungssteuerung), A.8.2 (privilegierte Zugangsrechte) und A.5.15 (Zugangssteuerung). Für Artikel 21 der NIS2-Richtlinie liefert es Nachweise für die Verwaltung von Netz- und Informationssystemen und für Ihre Zugriffsrichtlinie. Wie Sie Protokollierung und Reporting als Nachweis einsetzen, lesen Sie unter Zenarmor-Reporting für NIS2 und ISO 27001.

Rollen und Berechtigungen

Zenconsole arbeitet mit rollenbasiertem Zugriff. Innerhalb einer Organisation verwalten Sie Administratoren unter Settings > Administrators über die Schaltfläche + Add Admin (Dokumentation). Bei Standalone-Firewalls teilen Sie einen Knoten über das Menü Sharing; laut Zenarmor kann das nur der Eigentümer, und nur mit einem kostenpflichtigen Abonnement.

Rolle	In einer Organisation	Bei einer Standalone-Firewall	Typisch für
Owner	Alle Rechte inklusive Benutzer- und Rollenverwaltung; nur der Owner kann die Organisation teilen	Alle Rechte inklusive Entfernen der Firewall	Hauptadministrator oder Vertragspartner
Admin	Engine- und Richtlinienverwaltung, Firewall-Konfiguration; keine Benutzer löschen, keine Rollen ändern	Fast alles außer Löschen; darf teilen	MSP-Techniker, IT-Betrieb
Operator	Nicht vorhanden	Konfigurieren und Richtlinien verwalten, nicht teilen	Second-Level-Support
Viewer	Nur Lesen: Konfiguration, Berichte, Live-Sitzungen	Nur Lesen	Informationssicherheitsbeauftragte, Management, Auditor

Unsere Empfehlung: Halten Sie die Zahl der Owner minimal, geben Sie dem Kunden oder der Informationssicherheitsbeauftragten eine Viewer-Rolle für Transparenz und arbeiten Sie immer mit persönlichen statt mit geteilten Konten. Ein Audit-Trail, in dem nur „admin@firma“ auftaucht, ist für einen Auditor wenig wert.

Zentrales Reporting und Datenresidenz: Deutschland oder die Niederlande

Zenconsole fasst das Reporting aller Gateways und Endpoints in einer Ansicht zusammen: Bedrohungen, blockierte Anwendungen, Webkategorien, Benutzer und Geräte. Die Aufbewahrungsdauer in der Cloud hängt vom Plan ab. Laut Preisseite sind es ein Tag bei Free und Home, 15 Tage bei Unified Secure, 30 Tage bei Unified Secure Plus und 90 Tage bei den Enterprise-Plänen.

Wichtig für europäische Unternehmen: Seit 2.6 und 2.7 wählen Sie die Region des zentralen Reporting-Datenspeichers. Die Release Notes nennen unter anderem Deutschland und die Niederlande, außerdem Finnland, Schweden, das Vereinigte Königreich und Regionen außerhalb Europas. Auf der Preisseite ist eine „customizable data residency region“ als Option auf Anfrage aufgeführt. Diese Auswahl übernehmen wir bei der Einrichtung.

Souveränität: was Sie erreichen – und was nicht

• Durchsetzung bleibt lokal. Die Inspektion erfolgt auf Ihrem eigenen Gateway oder Endpoint; es gibt keine zwingende Umleitung über ein ausländisches Rechenzentrum.
• Reporting in der EU. Wählen Sie Deutschland oder die Niederlande als Region für das zentrale Reporting.
• Protokolle vollständig in eigener Hand. Wer keine Logdaten in einer Cloud möchte, nutzt lokales Reporting (Elasticsearch oder SQLite auf dem Gateway) oder streamt Reporting-Daten an ein eigenes Elasticsearch, einen Syslog-Server oder ein SIEM.
• Ehrlicherweise. Zenarmor ist ein US-Unternehmen (Sunny Valley Cyber Security Inc.) mit europäischer Niederlassung in Frankfurt am Main. Nehmen Sie Zenconsole daher in Ihre Lieferantenbewertung (ISO 27001 A.5.19 bis A.5.23) und – soweit personenbezogene Daten verarbeitet werden – in Ihre Datenschutz-Folgenabschätzung auf. Für die höchsten Anforderungen nennt die Preisseite bei den Enterprise-Plänen „fully sovereign, self-hosted central management“.

Endpoint-Agenten und ZTNA aus derselben Konsole

Zenconsole verwaltet nicht nur Firewalls. Dieselbe Konsole verteilt Endpoint-Agenten für Windows, macOS, Linux, Android und iOS, bei Mobilgeräten über Intune oder Jamf. Damit gilt dieselbe Richtlinie auch für Mitarbeitende im Homeoffice oder unterwegs. Seit 2.5 lassen sich Agenten automatisch über Zenconsole aktualisieren, und Sie können eine erneute Authentifizierung organisationsweit erzwingen.

Für Zero-Trust-Zugriff bauen Sie in Zenconsole verschlüsselte Peer-to-Peer-Mesh-Netzwerke (Overlay-Netzwerke) mit Split-DNS und Device Posture Checks: Nur verwaltete, gesunde Geräte erhalten Zugriff auf interne Anwendungen. Release 2.7 ergänzte „Direct Access“, wodurch Peers verbunden bleiben, wenn Koordinator- oder Relay-Server offline sind. Wie ZTNA, SSE und CASB zusammenspielen, erklärt Zenarmor: über NGFW hinaus.

REST-API und Automatisierung

Wer viele Standorte oder Kunden betreut, will nicht alles per Mausklick erledigen. Zenarmor bietet eine REST-API auf dem Gateway, unter anderem für Richtlinienverwaltung, Reporting-Daten und Ausnahmen. Seit 2.6 gibt es zusätzlich eine organisationsbasierte API in Zenconsole, mit der Sie Gateways anlegen und Organisationsdaten abrufen. In 2.7 wurde sie erweitert, sodass sich Richtlinien und Zero-Trust-Netzwerke programmatisch definieren lassen. Laut Preisseite umfasst die API-Verwaltung in den Standardplänen Gateways, in den Enterprise-Plänen auch Endpoints und die vollständige Verwaltung.

Praxisbeispiele: neue Niederlassungen automatisch provisionieren (2.5 brachte Bulk-Provisioning per Installationsskript und Bulk-Updates für Gateways), Richtlinien als Code in einer Versionsverwaltung pflegen und Reporting-Daten an ein Ticketsystem oder SIEM weiterleiten.

Hochverfügbarkeit

Ein zentral verwaltetes Netzwerk muss dort redundant sein, wo es darauf ankommt. Auf OPNsense unterstützt Zenarmor Hochverfügbarkeit mit Synchronisation von Zenarmor-Einstellungen und -Richtlinien zwischen den Knoten eines Clusters. Die Preisseite nennt „gateway HA with configuration synchronization“ ab Unified Secure. Das Plugin installieren Sie auf jedem Cluster-Knoten. Zenconsole selbst ist ein SaaS-Dienst; da die Inspektion lokal stattfindet, ist die Konsole Verwaltungs- und Reporting-Ebene und kein Glied im Datenpfad.

Skalierungsszenarien: Für wen lohnt sich Zenconsole?

Szenario	Typische Situation	Was Zenconsole bringt
Mittelstand mit mehreren Standorten	3 bis 20 Standorte, OPNsense je Standort, hybride Arbeit	Eine Richtlinie für alle Standorte, zentrales Reporting, Agenten für das Homeoffice
Schulträger	Viele Schulen, Gastnetze, Schülergeräte	Webfilter und SafeSearch je Zielgruppe, Zeitpläne, Sicht je Schule über Tags
Gesundheits- und Pflegeverbünde	Mehrere Praxen oder Einrichtungen, ISO 27001	Einheitliche Segmentierung und Protokollierung, Audit-Trail als Nachweis, Reporting in einer EU-Region
Filialketten im Einzelhandel	Viele kleine Filialen, Kassensysteme, IoT	Standardisierte Baseline, Geräteerkennung, zentrale Updates
MSPs und IT-Dienstleister	Dutzende Kunden mit eigener Umgebung	Mandantentrennung, Rollen je Kunde, API-Automatisierung, gepoolte Lizenzen

Dass das funktioniert, zeigen die veröffentlichten Kundengeschichten von Zenarmor. Laut der Fallstudie von Zenarmor verwaltet die niederländische Wirtschaftsprüfungs- und Beratungsgesellschaft De Hooge Waerder fünf Standorte zentral in Zenconsole, mit Zenarmor SSE auf OPNsense und Durchsetzung auf Windows- und iOS-Geräten. In der Fallstudie wird Secrotec als niederländischer ISO 27001 Lead Auditor und Zenarmor-Partner zitiert. Mehr zum Ansatz lesen Sie unter SSE, CASB und DLP: vertrauliche Uploads zu WeTransfer stoppen. Zenarmor veröffentlicht außerdem Beispiele aus Deutschland und Frankreich, etwa einen sozialen Träger mit 45 Standorten und eine Stadt, die ihre Schulen absichert. Für Einrichtungen im Gesundheitswesen ist auch unser NEN 7510 Audit interessant.

Zenarmor für MSPs: das Partnermodell

Für Managed Service Provider ist Zenconsole das stärkste Argument für Zenarmor. Sie verwalten alle Kunden aus einer Konsole, ohne sich je Kunde an einer separaten Firewall anzumelden, und halten Richtlinien, Daten und Administratoren je Kunde getrennt. Für Partner arbeitet Zenarmor mit einem gepoolten Lizenzmodell: einem gemeinsamen Kontingent, das Sie auf Kunden verteilen und umverteilen, wenn Kunden wachsen oder schrumpfen. Die genauen Konditionen hängen von der Vereinbarung ab; wir erläutern sie gern.

Beachten Sie: Als IT-Dienstleister fallen Sie unter Umständen selbst unter NIS2. Mehr dazu in unserer NIS2-Vorbereitung und Compliance-Beratung. Ein sauber eingerichteter Audit-Trail, Rollentrennung und dokumentierte Baselines in Zenconsole helfen Ihnen nachzuweisen, dass Sie die Verwaltungsumgebung Ihrer Kunden im Griff haben.

Sie sind MSP und möchten Zenarmor anbieten? Secrotec ist auf der Partnerliste von Zenarmor als IT Security Service Provider in den Niederlanden aufgeführt, liefert Zenarmor-Lizenzen und -Projekte in ganz Europa und unterstützt Sie beim Aufbau Ihrer ersten Mandanten, Baselines und Berichte.

So stellt Secrotec Zenconsole als Managed Service bereit

Der Unterschied zu einem gewöhnlichen Wiederverkäufer: Wir sind auch Auditoren. Wir richten Zenconsole so ein, dass die Ergebnisse – von Richtlinien und Protokollen bis zu Rollenverteilung und Berichten – direkt als Nachweis in einem ISO-27001- oder NIS2-Audit nutzbar sind. Zenarmor unterstützt die Compliance, macht Sie aber nicht automatisch konform; das ISMS drumherum bleibt notwendig. Lizenzen liefert Secrotec mit Partnerrabatt, und in Zenarmor-Projekten ist der Preis immer verhandelbar. Mehr auf unserer Zenarmor-Partnerseite, im Preisvergleich oder in der Übersicht Firewall & Netzwerke. Sie möchten zuerst selbst ein Gateway aufsetzen? Dann folgen Sie unserer Anleitung Zenarmor auf OPNsense installieren.