Global Secure Access vs. Always On VPN vs. DirectAccess

Die Optionen

• 

  Sicherheit

  Microsoft Entra Private Access (Global Secure Access)

  CHF 4.00

  Benutzer/Monat

  Microsoft-Listenpreis für die Schweiz, exkl. MWST, Stand 4. Oktober 2026 [1]

  Tiefster Listenpreis

  Enthält

  • Zugriff pro App auf private Apps über beliebige Ports/Protokolle (ZTNA: Benutzer erreichen einzelne Apps, nicht das ganze Netzwerk), Quick Access, App-basiertes TCP/UDP, privates DNS, Kerberos-SSO; baut auf Microsoft Entra Application Proxy auf [2]
  • Clients für Windows, macOS, iOS, Android [2]
  • In Microsoft Entra Suite (CHF 9.70) und damit in Microsoft 365 E7 enthalten [3]

  Setzt voraus

  • →Benutzer benötigen Microsoft Entra ID P1 oder P2 [2]
  • →Private Network Connector on-premises (derselbe Connector wie beim Application Proxy) [4]
• 

  Sicherheit

  Microsoft Entra Internet Access (Global Secure Access)

  CHF 4.00

  Benutzer/Monat

  Microsoft-Listenpreis für die Schweiz, exkl. MWST, Stand 4. Oktober 2026 [1]

  Tiefster Listenpreis

  Enthält

  • SWG: Webinhaltsfilterung, TLS-Inspektion, Schutz vor Prompt-Injection, DLP [2]
  • Microsoft-Traffic-Profil (Internet Access for Microsoft services: universelle Mandanteneinschränkungen, Compliant-Network-Prüfung, Quell-IP-Wiederherstellung) ist in Microsoft Entra ID P1/P2 ohne Zusatzkosten enthalten [2]

  Grenzen

  • –Remote-Netzwerke (Branch-Konnektivität) benötigen mindestens 50 kombinierte Lizenzen für Microsoft Entra ID P1 + Internet Access [2]

  Setzt voraus

  • →Microsoft Entra ID P1 oder P2 [2]
• 

  Zusatz

  Always On VPN (Windows Server RRAS)

  ≈ CHF 967.72

  16-Core-Lizenz für Windows Server 2025 Standard · einmalige UVP; Windows Server CALs zusätzlich erforderlich für jeden Benutzer oder jedes Gerät, das auf den Server zugreift

  Umgerechnet aus USD 1'176.00, Listenpreis abgelesen am 24. September 2026, zu 0.8229 (EZB, 23. September 2026) – kein CHF-Preis veröffentlicht [5]

  Enthält

  • Integrierter Windows-VPN-Client, IKEv2 mit SSTP-Fallback, Benutzer- + Gerätetunnel, App-basiertes VPN, Traffic-Filter, Conditional-Access-Integration (kurzlebiges, von Microsoft Entra ausgestelltes Zertifikat), Microsoft-Intune-/ConfigMgr-Bereitstellung von ProfileXML [6]
  • Serverseitig: RRAS-VPN-Server + NPS (RADIUS); Windows-Client in allen Windows-Editionen verfügbar [6]

  Grenzen

  • –Gerätetunnel nur auf domänengebundenem Windows 10/11 Enterprise oder Education (1709+) [6]
  • –Remote Access (VPN/DirectAccess) wird auf Azure-VMs nicht unterstützt [7]

  Setzt voraus

  • →Windows Server Lizenz (Core-basiert) + Windows Server CALs; Azure-Arc-Pay-as-you-go-Alternative $33.58 pro Core/Monat [5]
• Zusatz

  DirectAccess (veraltet)

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • Ständig verbundener Remote-Zugriff für domänengebundene Clients ohne benutzerinitiiertes VPN [7]

  Grenzen

  • –Veraltet (angekündigt im Juni 2024) und wird in einer zukünftigen Windows-Version entfernt; Microsoft empfiehlt die Migration zu Always On VPN. Kein Entfernungsdatum veröffentlicht. [8]
  • –Microsoft empfiehlt für Neuinstallationen dringend Always On VPN anstelle von DirectAccess [7]
  • –Nur domänengebundene Windows-Enterprise-Clients [7]

  Setzt voraus

  • →Windows Server mit Remote-Access-Rolle + domänengebundene Windows-Enterprise-Clients [7]
• Zusatz

  Azure VPN Gateway Point-to-Site (Switzerland North)

  CHF 111.47

  Gateway/Monat (VpnGw1, 730 Std. x CHF 0.1527/Std.) · Azure Pay-as-you-go Retail, exkl. Daten-Egress

  Listenpreis, exkl. MWST, Stand 24. September 2026 [9]

  Enthält

  • Protokolle: OpenVPN (Windows/macOS/Linux/iOS/Android), SSTP (Windows), IKEv2; Authentifizierung über Zertifikat, RADIUS/AD oder Microsoft Entra ID (nur OpenVPN + Azure VPN Client; ermöglicht Conditional Access + MFA) [10]
  • CHF pro Stunde (switzerlandnorth): Basic 0.0289 (~CHF 21.10/Mt.), VpnGw1 0.1527, VpnGw1AZ 0.1688 (~CHF 123.22/Mt.), VpnGw2 0.3939 (~CHF 287.55/Mt.), VpnGw3 1.0048, VpnGw4 1.6881, VpnGw5 2.9341; P2S-Verbindung über das Inklusivkontingent hinaus 0.008/Std.; S2S-Verbindung 0.0121/Std. [9]
  • Die ersten 128 P2S-Verbindungen sind inklusive; max. P2S pro SKU: Basic 128, VpnGw1 250, VpnGw2 500, VpnGw3 1'000, VpnGw4 5'000, VpnGw5 10'000; Egress wird zu Standard-Datenübertragungstarifen verrechnet [11]

  Grenzen

  • –Erreicht Azure-VNets (on-premises nur über S2S/ExpressRoute); Basic-SKU verfügt nicht über IKEv2, IPv6 und RADIUS [10]
  • –Azure VPN Client for Linux (Preview) eingestellt am 2026-08-31; manuell registrierte Azure-VPN-Client-App-IDs werden am 2028-03-31 eingestellt [10]

  Setzt voraus

  • →Azure-Abonnement; für die Microsoft-Entra-ID-Authentifizierung selbst wird in der Dokumentation keine separate Lizenz genannt (Conditional-Access-Richtlinien erfordern Entra ID P1) [10]
• 

  Sicherheit

  Microsoft Entra application proxy

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • Veröffentlicht On-Premises-Web-Apps (IWA/KCD, header-basiert, Formulare, SAML, RD Gateway, MSAL-Rich-Clients, WebSockets) über einen rein ausgehenden Private Network Connector mit Microsoft-Entra-Vorauthentifizierung und Conditional Access [12]

  Grenzen

  • –Nur HTTP/HTTPS-Webveröffentlichung (externe URL auf TCP 80/443); keine Client-Zertifikatsauthentifizierung zum Back-End; nicht für interne Benutzer vorgesehen [4]
  • –Läuft die Lizenz ab, wird der Application Proxy automatisch deaktiviert (Konfiguration bleibt bis zu 1 Jahr erhalten) [4]

  Setzt voraus

  • →Microsoft Entra ID P1 oder P2 Lizenz [4]
• 

  Enterprise

  Windows 365 Enterprise (Cloud PC als Zugriffsmuster)

  CHF 35.90

  Benutzer/Monat · Standard 2 vCPU/8 GB/128 GB, exkl. MWST (de-ch-Seite; zeigte dem Abrufer «currently unavailable in your region»)

  Listenpreis, exkl. MWST, Stand 24. September 2026 [13]

  Enthält

  • Weitere de-ch-Konfigurationen: Basic 2vCPU/4GB CHF 27.10, Premium 4vCPU/16GB CHF 57.70, GPU Standard CHF 271.20 [13]
  • Switzerland North ist eine unterstützte Cloud-PC-Region [14]

  Setzt voraus

  • →Benutzer benötigen Windows E3, Microsoft Intune, Microsoft Entra ID P1 und Windows-365-Lizenzen (z. B. über Microsoft 365 E3/E5) [14]
• 

  Zusatz

  Azure Virtual Desktop

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • Zugriffsrechte enthalten in Microsoft 365 E3/E5/A3/A5/F3/Business Premium, Windows Enterprise E3/E5, Windows VDA pro Benutzer; Azure-Compute/-Storage werden separat verrechnet [15]

  Setzt voraus

  • →Windows Server Session Hosts erfordern RDS CALs mit SA oder RDS User Subscription Licences [15]
  • →Externe kommerzielle Benutzer: Preise pro Benutzerzugriff über registriertes Azure-Abonnement [15]

Die wichtigsten Unterschiede

1. 1Application Proxy = nur Web-Apps; Private Access = beliebige TCP/UDP-App mit demselben Connector, jeweils App für App [2]
2. 2Microsoft Entra ID P1 umfasst das Microsoft-Traffic-Profil von Global Secure Access und den Application Proxy; Private/Internet Access für anderen Traffic sind kostenpflichtig (je CHF 4.00 oder Entra Suite CHF 9.70) [3]
3. 3Always On VPN ist der von Microsoft empfohlene Nachfolger von DirectAccess; beide sind Windows Server Remote-Access-Rollen, lizenziert über Windows Server + CALs [8]
4. 4Windows 365 / AVD verlagern die Sitzung in die Cloud, statt das Gerät ins Netzwerk zu bringen [15]

Was sich kürzlich geändert hat

1. 2024-06

   Ausserbetriebnahme von DirectAccess angekündigt (Juni 2024) [8]

2. 31. August 2026

   Azure VPN Client for Linux (Preview) eingestellt [10]

3. Windows 365 Frontline in Windows 365 Flex umbenannt [14]