| Lizenzmodell | Nur Abonnement, mit zwölf Monaten Mindestlaufzeit: Standorte nach Bandbreite lizenziert, Remote-Nutzer je benanntem ZTNA User, und die Socket-Edge-Appliance pro Gerät über die Vertragslaufzeit bezahlt, Hardware-Erneuerung inbegriffen. Threat Prevention, CASB, DLP und die KI-Sicherheitsprodukte sind Premium-Security-Positionen über den Basisprodukten.Quellen: Cato knowledge base: product catalog · Cato knowledge base: hardware · Cato master subscription agreement | Pro Firewall, nicht nach Standortbandbreite oder pro Nutzer. Der Hub ist Ihre eigene Firewall auf Ihrer Hardware oder auf ZedmosOS; Remote-Nutzer verbinden sich mit einem Standard-WireGuard-Client, und es gibt keine Lizenz pro Platz. |
| Wo inspiziert wird | In Catos Cloud: Der Socket leitet standardmäßig sämtlichen Verkehr zur Inspektion an einen Cato Point of Presence, und der Socket selbst ist eine Konnektivitäts-Appliance, deren einzige lokale Funktion eine LAN-Firewall ist. Cato nennt 95+ Points of Presence auf eigener Infrastruktur.Quellen: Cato knowledge base: Socket LAN firewall · Cato knowledge base: connecting sites · Cato knowledge base: SASE sovereignty | Auf Hubs, die Sie betreiben: Ihre eigenen Firewalls, auf Ihrer Hardware oder auf ZedmosOS. Standort- und Remote-Verkehr landet am Hub und trifft dort auf die vollständige Engine. Nichts läuft über Zedmos. |
| Rechtsordnung | Cato Networks Ltd., ein privat gehaltenes Unternehmen in Tel Aviv, Israel, bei der Series G 2025 mit über 4,8 Milliarden USD bewertet; Vertragspartner sind unter anderem Cato Networks (EU) B.V. nach niederländischem Recht und Cato Networks (Germany) GmbH. Die Datenverarbeitungsvereinbarung macht Cato zum DSGVO-Auftragsverarbeiter mit Standardvertragsklauseln für Übermittlungen außerhalb des EWR; Hosting-Auftragsverarbeiter ist Amazon Web Services, Inc. (USA).Quellen: Cato master subscription agreement · Cato data processing and privacy agreement · Cato knowledge base: sub-processors · Series G press release, June 2025 | Ein deutsches Unternehmen. Inspektion und Protokolle bleiben auf Hubs und einer Konsole, die Sie betreiben; Zedmos speichert nichts. Unsere Lizenz- und Threat-Intelligence-Dienste laufen in Frankfurt. |
| Wenn der Point of Presence nicht erreichbar ist | Eine Service-Level-Vereinbarung von 99,999 % Verfügbarkeit, monatlich gemessen. Geht der Tunnel zum Point of Presence verloren, wechselt der Socket sofort in den Internet-Recovery-Modus und schickt den Verkehr direkt zum lokalen Provider; Catos Sicherheitsschutz wie Firewall und IPS greift nicht, bis der Point of Presence wieder erreichbar ist.Quellen: Cato master subscription agreement · Cato knowledge base: Internet Recovery · Cato knowledge base: recovery mechanisms | Es gibt keine Cloud, die ausfallen kann. Die Inspektion läuft auf dem Hub, den Sie betreiben; antwortet ein Hub nicht mehr, zieht die Konsole die Spokes nach einer Stille-Schwelle und einer Zustandsprüfung auf einen Backup-Hub um. Ist die Konsole selbst nicht erreichbar, setzt jede Firewall weiter durch. Eine Verfügbarkeits-SLA ist nicht veröffentlicht. |
| Schwachstellenbilanz | 0 Einträge im CISA-Katalog nachweislich ausgenutzter Schwachstellen (Version 2026.09.11).Quellen: CISA KEV — Cato Networks | Ebenfalls 0 Einträge. Unsere ist veröffentlicht mit unserer CRA-Klasse, einer SBOM je Release, dem Meldeweg und dem Supportzeitraum, auf einer Seite, die bleibt, was auch aus der Zahl wird. |
| MSP-Abrechnung | Das Channel-First-Partnerprogramm mit MSP-Pfaden, Einstieg ohne Vorabinvestition; Cato SMB FlexPool, gestartet im September 2026, lässt MSPs einen Pool aus Lizenzen und Bandbreite kaufen und Kunden daraus selbst bereitstellen. Mindestpoolgröße und Abrechnungsrhythmus sind nicht veröffentlicht.Quellen: Channel First Partner Program, May 2025 · Cato SMB FlexPool, September 2026 | MSP-Tarif: mandantenfähig, unbegrenzt viele Firewalls, monatlich nachträglich nach Monatsend-Anzahl abgerechnet. Ihre Marke auf Konsole und Box. |
| KI und Data Loss Prevention | Cato DLP und CASB mit Kontrollen für generative KI, Cato XDR und ab März 2026 Cato AI Security und Neural Edge mit NVIDIA-GPUs im Backbone; alles Funktionen der Cloud-Plattform, mit KI-Sicherheits-Auftragsverarbeitern wie AWS, Google Cloud, Microsoft Azure und OpenAI.Quellen: Cato press release: GenAI security controls, April 2025 · Cato press release: AI Security and Neural Edge, March 2026 · Cato knowledge base: sub-processors | DLP und das AI-Gateway laufen auf dem Hub, den Sie betreiben. 61 Inhaltsdetektoren; Prompts, Uploads und Dateien werden vor dem Verlassen geprüft; das entscheidende Modell läuft auf Ihrer Hardware, ohne Auftragsverarbeiter. Nur inline: Es gibt keinen API-Konnektor in einen SaaS-Mandanten. |
| Preisänderungen 2025–2027 | Keine Listenpreiserhöhung gefunden. Ab Januar 2027 rechnet ein Bursting-Modell Bandbreitenpool-Nutzung über der lizenzierten Kapazität, gemessen im 95. Perzentil, als Einmalgebühr oder Kapazitätserweiterung ab.Quellen: Cato knowledge base: usage measurement | Pro Firewall, auf Anfrage. Bandbreite ist, was Ihre Hardware leistet; es gibt keinen Pool, der überschritten werden könnte. |
| Was Cato hat und Zedmos nicht | Leader im Gartner Magic Quadrant für SASE Platforms drei Jahre in Folge, über 4.000 Unternehmenskunden, wiederkehrender Jahresumsatz 2025 über 350 Millionen USD, über 1 Milliarde USD eingesammelt, ein privates Backbone aus 95+ eigenen Points of Presence, eine veröffentlichte Verfügbarkeits-SLA und das Threat-Research-Labor Cato CTRL.Quellen: Gartner SASE Platforms Magic Quadrant 2026, press release · Cato ARR press release, February 2026 · Cato knowledge base: SASE sovereignty | Nichts davon. Ein kleiner deutscher Hersteller, dessen SASE auf Ihren eigenen Hubs läuft, mit veröffentlichter Schwachstellenbilanz, einer Konsole, die Ihnen gehört, und einer Lizenz, der egal ist, auf welcher Box sie läuft. |