"Bei SCION ist Sicherheit von Anfang an Teil der Architektur"

(Source: Cyberlink)

(Source: Cyberlink)

SCION wird gerne als neues Internet bezeichnet. Worum handelt es sich tatsächlich?

Stephan Ulrich: SCION ist die Abkürzung für Scalability, Control and Isolation On Next-Generation Networks. Entwickelt wurde die Architektur an der ETH Zürich. Sie greift eine der grundlegenden Schwachstellen des heutigen Internets auf: das Routing zwischen Netzwerken. Was oft missverstanden wird: SCION ist kein Overlay, das man einfach über das bestehende Internet legt. Es kann zwar dieselbe physische Infrastruktur verwenden – also Glasfaser, Carrier-Netze und Rechenzentren –, ändert aber grundlegend, wie Daten ihren Weg zwischen Netzwerken finden. Für das Inter-Domain-Routing stützt sich das heutige Internet grösstenteils auf BGP. Bei dessen Entwicklung waren Sicherheit und die Bedeutung, die das Internet heute hat, keine zentralen Kriterien. SCION hingegen wurde von Grund auf mit Sicherheitsmechanismen, steuerbaren Pfaden und hoher Verfügbarkeit entworfen. Darin liegt für mich der wesentliche Unterschied. Ein weiterer Game Changer ist die EDGE-to-EDGE Encryption. Die Daten werden direkt am SCION-EDGE verschlüsselt und erst am SCION-EDGE des Zielnetzwerks wieder entschlüsselt – auf der gesamten Strecke dazwischen bleiben sie verschlüsselt. Besonders spannend finde ich das automatisierte Key Management: Die EDGE-Geräte authentisieren sich gegenseitig über die PKI der SCION Control Plane und leiten die erforderlichen Schlüssel selbstständig ab. So vereint SCION mehrere Eigenschaften, für die man bisher meist verschiedene Technologien brauchte: steuerbare Netzwerkpfade, hohe Resilienz und eine starke Verschlüsselung des Datenverkehrs.

Im Kern sind es drei Punkte: Kontrolle, Sicherheit und Verfügbarkeit. Im herkömmlichen Internet kann der Absender kaum beeinflussen, über welche autonomen Systeme seine Daten geleitet werden. SCION erlaubt es, Pfade gezielt auszuwählen. So lassen sich etwa bestimmte Länder oder Netzwerke umgehen oder Routen nach festgelegten Kriterien priorisieren. Zudem sind die Pfadinformationen kryptografisch abgesichert. Das schützt auf Routing-Ebene vor Angriffen wie Route Hijacking und Route Leaks. Der dritte Aspekt ist die Verfügbarkeit. SCION kennt bereits im Voraus mehrere mögliche Pfade zu einem Ziel. Fällt einer davon aus, lässt sich sehr rasch auf eine Alternative umschalten – ohne dass man zuerst auf die Konvergenz des klassischen BGP-Routings warten muss. Mit der EDGE-to-EDGE Encryption ist nun auch der eigentliche Datenverkehr verschlüsselt. Zwischen den beiden SCION-Edges sind die Daten mit IPsec ESP und AES-GCM-256 geschützt. Für mich ist das eine sehr starke Kombination: Wir bestimmen nicht nur, wo die Daten entlanglaufen, sondern können sie auch während des gesamten Transports durchgehend verschlüsseln.

Beim produktiven Einsatz von SCION ist die Schweiz sehr weit. Heute gibt es mehrere spezialisierte Netzwerke für besonders kritische Branchen. Das Secure Swiss Finance Network (SSFN) vernetzt Finanzinstitute des Schweizer Finanzplatzes. Das Secure Swiss Health Network (SSHN) richtet sich an das Gesundheitswesen. Im Secure Swiss Utility Network (SSUN) wird SCION für kritische Infrastrukturen im Energiesektor genutzt. Und im Secure EFTPOS Network (SEPN) ist SCION auch im bargeldlosen Zahlungsverkehr im Einsatz. Ausschlaggebend ist für mich: Wir reden hier nicht mehr von einem Forschungsprojekt. Diese Netzwerke sind für reale, zum Teil hochkritische Anwendungen ausgelegt und laufen produktiv.

SCION-Ökosystem Schweiz

• SSFN – Secure Swiss Finance Network: Banken und Finanzinstitute
• SSHN – Secure Swiss Health Network: Spitäler, Ärzte, Versicherungen und Dienstleister im Gesundheitswesen
• SSUN – Secure Swiss Utility Network: Energie und kritische Infrastruktur
• SEPN – Secure EFTPOS Network: bargeldloser Zahlungsverkehr
• Seit Q2 2025: verschlüsselter Datenverkehr zwischen SCION-Edges
• Cyberlink: Anbieter von SCION-Konnektivität für diese Ökosysteme

Weil die Bedürfnisse unserer Kunden nicht an der Schweizer Grenze aufhören. Eine Schweizer Bank etwa betreibt kritische Infrastruktur, die sie international anbinden muss. Ein Industrieunternehmen produziert an Standorten in mehreren Ländern. Und gleichzeitig laufen immer mehr geschäftskritische Anwendungen in internationalen Cloud-Infrastrukturen. Genau dort wollen wir die Vorteile von SCION zugänglich machen. Darum bauen wir unsere internationale Präsenz schrittweise aus. Für den Kunden ist letztlich weniger wichtig, wo ein einzelner SCION-Core steht. Wichtig ist, ob wir eine durchgängige SCION-Verbindung von seinem Standort bis zu seinem Ziel umsetzen können. Unser Ansatz ist deshalb ganz einfach: Der Kunde sagt uns, wo er sich befindet, wohin er sich verbinden will und welche Anforderungen er hat. Daraus entwickeln wir die passende End-to-End-SCION-Lösung.

An erster Stelle steht für mich die Datensouveränität. Im herkömmlichen Internet kann ein Unternehmen nur bedingt beeinflussen, über welche Netzwerke und Länder sein Datenverkehr läuft. Mit SCION lassen sich zulässige Pfade festlegen – und damit deutlich besser steuern, wo die eigenen Daten transportiert werden. Die EDGE-to-EDGE Encryption ergänzt das um Vertraulichkeit und Integrität des Datenverkehrs. Die Daten werden am Ausgangs-EDGE verschlüsselt und erst am Ziel-EDGE wieder entschlüsselt. Wir verbinden also kontrollierte Transportpfade mit kryptografischem Schutz der übertragenen Daten. Gerade bei internationalen Verbindungen, über die sensible Informationen laufen, ist diese Kombination sehr attraktiv. Der zweite Punkt ist die Resilienz. In kritischen Systemen – etwa in der Produktion, der Energieversorgung oder im Zahlungsverkehr – kann schon ein kurzer Netzausfall grossen Schaden anrichten. SCION stellt mehrere unabhängige Pfade bereit und wechselt sehr schnell zwischen ihnen. Drittens geht es um Compliance. Regulatorische Vorgaben wie DORA oder NIS-2 erhöhen den Druck auf Unternehmen, ihre digitalen Abhängigkeiten und Risiken besser zu kennen und zu kontrollieren. SCION kann dabei einen wichtigen Baustein beitragen, weil Netzwerkpfade steuerbarer und nachvollziehbarer werden.

Zuoberst stehen für mich Branchen, in denen Kommunikation geschäftskritisch ist. Dazu gehören Finanzinstitute, Versicherungen, Zahlungsdienstleister und Produktionsbetriebe. Dort können Verfügbarkeit und Sicherheit der Netzwerkinfrastruktur direkt über den Geschäftserfolg mitentscheiden. Gleiches gilt für Energieversorger und weitere kritische Infrastrukturen. Hier werden zunehmend nicht nur Menschen und IT-Systeme miteinander verbunden, sondern auch Steuerungs- und Betriebstechnologien. Ein weiteres grosses Feld sind Cloud-Anbindungen. Unternehmen verschieben immer mehr kritische Anwendungen zu Hyperscalern und anderen Cloud-Anbietern. Damit wird die Verbindung in die Cloud selbst zu einem kritischen Teil der Infrastruktur. Gerade hier sind kontrollierte Pfade, Redundanz und EDGE-to-EDGE Encryption sehr interessante Eigenschaften. Hinzu kommen neue Einsatzgebiete, zum Beispiel Remote-Operationen, bei denen Maschinen über grosse Distanzen gesteuert werden. Dafür sind stabile und vorhersehbare Netzwerkpfade entscheidend. Spannend sind auch Gaming und andere Echtzeitanwendungen. Dort stehen weniger regulatorische Vorgaben im Vordergrund als vielmehr stabile Latenzen, verfügbare Ausweichpfade und die Möglichkeit, Netzwerkpfade gezielt zu optimieren. Viele dieser Use Cases stehen heute noch ganz am Anfang.

Am Anfang steht bei uns nicht ein Produkt, sondern der Use Case: Wo ist der Kunde? Wo liegt das Ziel? Welche Anwendungen laufen über die Verbindung? Und welche Anforderungen bestehen bezüglich Latenz, Verfügbarkeit, Sicherheit und geografischer Pfadführung? Auf dieser Grundlage konzipieren wir die passende End-to-End-SCION-Architektur und kümmern uns um die nötigen Komponenten und Partner. Gerade im internationalen Umfeld ist das zentral. Der Kunde soll nicht selbst abklären müssen, welche Carrier, Rechenzentren und SCION-Komponenten er in den verschiedenen Ländern braucht. Unser Anspruch ist es, die Verbindung als Gesamtlösung zu planen und zu betreiben. Kommt EDGE-to-EDGE Encryption zum Einsatz, bleibt der Datenverkehr zwischen den beiden SCION-Edges verschlüsselt. Das Key Management läuft dabei automatisiert über die SCION-Infrastruktur. Im Vergleich zu klassisch aufgebauten VPN-Landschaften verringert das auch die operative Komplexität.

Ich bin überzeugt, dass SCION überall dort eine zentrale Rolle übernehmen wird, wo Netzwerkkonnektivität nicht bloss funktionieren muss, sondern ein kritischer Teil des Geschäfts ist. Gute Beispiele dafür sind Finanztransaktionen, Gesundheitsdaten, industrielle Steuerungen, Energieversorgung oder Cloud-Anbindungen. Mit fortschreitender Digitalisierung gewinnt die Frage, wie Daten von A nach B kommen, stetig an Gewicht. Irgendwann genügt es nicht mehr zu wissen, dass eine Verbindung funktioniert. Unternehmen wollen wissen, welchen Weg ihre Daten nehmen, sie wollen bei einem Ausfall Alternativen haben, und sie wollen sicher sein, dass ihre Kommunikation geschützt ist. Hier liegt für mich die Stärke von SCION: Path Control, Resilienz und Verschlüsselung greifen in einer einzigen Architektur ineinander. Das klassische Internet entstand für eine andere Zeit und andere Anforderungen. SCION zeigt, wie eine Internetarchitektur aussehen kann, wenn Sicherheit, Kontrolle und Resilienz von Beginn an mitgedacht werden. Unsere Aufgabe bei Cyberlink ist es nun, diese Technologie von der Schweiz aus auch international nutzbar zu machen.

Stephan Ulrich, Chief Sales Officer, Cyberlink AG. SCION-Experte und treibende Kraft hinter der internationalen Expansion des Netzwerks.
 

Mehr erfahren unter: cyberlink.ch/de/scion/scion-international