ColorTokens vs. Asimily:
2026 Vergleich

Einleitung

Segmentation is a stated priority that many programs have not finished. In Cisco’s 2026 Segmentation Report, 79% of respondents called segmentation a priority and only 33% had fully implemented it (<a href=”https://www.cisco.com/c/en/us/products/collateral/security/hypershield/segmentation-report-2026.html” target=”_blank” rel=”noopener”>Cisco</a>). ColorTokens approaches the gap from hosts, and for devices that cannot run an agent, it places an appliance in their traffic path. Asimily starts from an earlier point: how to get an accurate inventory of all devices. Once that has been safely gathered Asimily has its own inventory of every connected asset, analyzes vulnerabilities to focus on the riskiest ones, ties risk to exploitability, and enforces through the NACs and firewalls already in place.

ColorTokens auf einen Blick

• Produkt: ColorTokens Xshield, eine „Host-First“-Mikrosegmentierungsplattform mit einer Appliance für Geräte, auf denen kein Agent ausgeführt werden kann. Außerdem bietet sie Funktionen zur Erkennung von Anomalien auf der Grundlage von Veränderungen im Netzwerkverhalten.
• Nachweisbare Stärke: eine Plattform, die die Durchsetzung über einen eigenen Agenten, bestehende EDR-Agenten, die Gatekeeper-Appliance oder native Cloud-Kontrollen gewährleistet (ColorTokens Xshield-Datenblatt, 2026)
• Listenpreis: 40 US-Dollar pro OT-/IoT-Gerät und 360 US-Dollar pro Server und 12 Monate auf dem AWS Marketplace, Stand: 3. November 2026
• Aktuelle Tatsache: Als „Leader“ im Forrester Wave-Bericht „Microsegmentation Solutions, Q3 2026“ ausgezeichnet

1. Bestandsaufnahme und Transparenz

Asimily bietet eine vollständige, agentenlose und unterbrechungsfreie Bestandserfassung über den gesamten Cybersicherheits-Tech-Stack hinweg und fungiert als zentrale Informationsquelle für Assets, Dienste, Anwendungen, Workloads und Middleware. Es kombiniert Deep-Packet-Inspection, KI- und ML-Klassifizierung anhand einer Bibliothek mit weit über 10.000.000 beobachteten Geräten und Profilen, aktive Abfragen, Flussdaten sowie die Korrelation mit über 150 verschiedenen Quellen, darunter Active Directory, CMDB, NAC, DHCP, Schwachstellenscanner, Mobile Device Management, EDR und Threat Intelligence. Aktive Methoden eignen sich nur für Geräte, die den Datenverkehr zulassen; daher kombiniert Asimily diese mit passiver Datenerfassung. Asimily gibt an, dass Nutzer davon ausgehen können, dass nahezu 100 % ihrer verbundenen Ressourcen – wie IoT-, OT-, IoMT- und IT-Geräte, Workloads, Dienste, Anwendungen, Middleware und KI-Chatbots – mit einer Genauigkeit von 98 % oder höher identifiziert werden. ColorTokens bildet Datenverkehrsströme und Abhängigkeiten in seinem Xshield-Visualizer ab, und sein technisches Datenblatt zu Gatekeeper beschreibt die automatische Kennzeichnung der von Gatekeeper geschützten Geräte. Für Geräte- und Risikokontextinformationen, die über die eigenen Agenten und Gatekeeper hinausgehen, stützt sich ColorTokens laut Datenblatt auf Konnektoren zu anderen Quellen, wie z. B. Threat Intelligence, Schwachstellendatenbanken, Identitäts-, EDR- und CMDB-Tools.

Wischen Sie, um beide Plattformen zu vergleichen →

Rubrik „ColorTokens“: Öffentliche ColorTokens-Dokumentation, Stand: November 2026.

2. Risikomanagement sowie Bedrohungen und Reaktionen

Eine hervorragende und detaillierte Bestandsaufnahme der Ressourcen bildet die Grundlage für die Risikoanalyse, und beide Plattformen sind bestrebt, genau das zu liefern. Das Xshield-Datenblatt von ColorTokens listet Schnittstellen zu Schwachstellendatenbanken auf, und ein Bericht von Armis und ColorTokens aus dem Jahr 2025 beschreibt die Segmentierung von Ressourcen mit hohem Risiko unter Verwendung von Armis-Schwachstellendaten. Asimily stuft Schwachstellen nach Auswirkung und Wahrscheinlichkeit ein, um vom theoretischen Risiko zum tatsächlichen Risiko für eine konkrete Ressource zu gelangen, wobei die eigene Konfiguration und das eigene Netzwerkumfeld für die Ausnutzbarkeitsanalyse herangezogen werden. Die ATT&CK-Analyse von Asimily Labs prüft, ob jede Schwachstelle auf einem bestimmten Gerät hier und jetzt tatsächlich ausnutzbar ist, sodass Teams mit einer kürzeren Liste der risikoreichsten Geräte arbeiten können. Asimily empfiehlt zudem Abhilfemaßnahmen, wenn kein Hersteller-Patch verfügbar ist; seine Risikoanalyse stützt sich auf Software-Stücklisten (SBOMs), und der Risk Simulator modelliert, wie sich eine Korrektur oder eine Änderung der Segmentierung auf die Risikobewertung eines Geräts auswirken würde, bevor Maßnahmen ergriffen werden. In den öffentlichen Unterlagen von ColorTokens wird die Segmentierung als Abhilfemaßnahme beschrieben, und Asimily betrachtet die Segmentierung als eine von drei Optionen – Patching, gezielte Abhilfe durch Konfigurationsänderungen und schließlich Mikrosegmentierung. Bei einigen Geräten ist das Patching oder eine Konfigurationsänderung die schnellere Lösung. Beide Plattformen erkennen anomales Verhalten und können es eindämmen. ColorTokens veröffentlicht alle 24 Stunden Aktualisierungen zu den MITRE-Techniken für laterale Bewegungen, und in seinem „Gatekeeper“-Bericht wird die Anomalieerkennung mit automatisierter Abhilfe beschrieben. Die Anomalie-Richtlinien von Asimily lösen bei einem Verstoß gegen eine Richtlinie Warnmeldungen aus oder leiten die Quarantäne von Geräten über NACs und unterstützte Firewalls ein. Benutzer können bei Bedarf spezifische Regeln festlegen, wobei benutzerdefinierte Regeln keine Programmierung erfordern. Zur Reaktion auf Vorfälle kann Asimily Pakete von jedem überwachten Gerät auf Abruf oder bei einem Richtlinienverstoß aufzeichnen, sodass die Verantwortlichen direkt mit dem Datenverkehr selbst arbeiten können und nicht nur auf eine Warnmeldung angewiesen sind. Die öffentlich zugängliche Dokumentation von ColorTokens enthält keine Beschreibung zur Paketerfassung.

Wischen Sie, um beide Plattformen zu vergleichen →

Rubrik „ColorTokens“: Öffentliche ColorTokens-Dokumentation, Stand: November 2026.

3. Risikominderung

ColorTokens setzt über seinen Xshield-Agenten bestehende EDR-Agenten wie CrowdStrike und SentinelOne ein, die Host-Firewalls konfigurieren, sowie die Gatekeeper-Appliance für Geräte, auf denen kein Agent ausgeführt werden kann (die meisten IoT-, OT- und IoMT-Geräte), oder native Cloud-Kontrollen. Sein am 10. März 2026 angekündigter Xshield-KI-Agent generiert Richtlinien aus Abfragen in Klartext, und Xshield simuliert die Richtlinien vor der Durchsetzung anhand von Daten aus bis zu 30 Tagen historischem Datenverkehr, wie in „The ColorTokens Difference“ beschrieben. In den öffentlichen Unterlagen von ColorTokens wird keine Integration zur Durchsetzung über NAC oder Firewalls erwähnt. Die „Segmentation Orchestration“ von Asimily erstellt konfliktfreie Richtlinien auf der Grundlage des beobachteten Geräteverhaltens, simuliert diese mithilfe der „Policy Simulation“ anhand des Live-Datenverkehrs und ermöglicht es Administratoren, jeden Schritt eines Durchsetzungsplans vor der Umsetzung zu überprüfen und anzupassen, anstatt die Nutzer darauf vertrauen zu lassen, dass alles funktioniert. Asimily wendet die Richtlinien anschließend über bestehende NACs und Firewalls an, sodass die Durchsetzung über die vom NAC oder der Firewall weitergeleiteten Befehle auf der bestehenden Switch-Infrastruktur erfolgt, ohne dass neue Geräte in den Datenverkehrspfad eingebunden werden. „Continuous Segmentation“ wendet die Richtlinien auf neue Geräte an, die den Kriterien entsprechen, um die bestehenden Investitionen der Kunden in NAC und Firewalls optimal zu nutzen. Asimily bietet außerdem IoT-Patching und Passwortverwaltung für unterstützte IoT-Gerätetypen sowie „Configuration Control“-Snapshots der verbundenen Geräte.

Wischen Sie, um beide Plattformen zu vergleichen →

Rubrik „ColorTokens“: Öffentliche ColorTokens-Dokumentation, Stand: November 2026.

4. Beispielintegrationen

Beide Plattformen lassen sich über den gesamten Sicherheitsstack hinweg integrieren. Das Datenblatt von ColorTokens listet Schnittstellen für Threat Intelligence, Schwachstellendatenbanken, Identitätsmanagement, SIEM, EDR – darunter CrowdStrike Falcon und SentinelOne –, Zero-Trust-Netzwerkzugang – darunter Netskope und Appgate – sowie Konfigurationsmanagement-Datenbanken auf. Asimily korreliert Daten aus den Bereichen Netzwerk-, Identitäts-, Schwachstellen-, Endpunkt- und Servicemanagement zu einem Datensatz pro Gerät, sodass die ATT&CK-Analyse von Schwachstellen im umfassendsten Kontext optimal funktioniert und Richtlinien über unterstützte NACs und Firewalls durchgesetzt werden. Zu den wichtigsten Integrationskategorien von Asimily und Beispielprodukten gehören:

• Anbieter von KI und großen Sprachmodellen (LLM): Google Gemini, Anthropic Claude und andere
• Quellen für den Netzwerkverkehr: NetFlow, SNMP, sFlow
• Identitäts- und Zugriffsmanagement (IAM): Active Directory/LDAP, Azure SSO, Okta
• DHCP & DNS: Infoblox, BlueCat, EfficientIP
• Netzwerkzugangskontrolle (NAC): Cisco ISE, Aruba ClearPass, Forescout
• Firewalls und Netzwerkinfrastruktur: FortiGate, Arista Agni, Juniper
• Endpoint Detection and Response (EDR): CrowdStrike, SentinelOne
• CMMS / ITSM: ServiceNow Service Graph, EQ2

Dies ist keine vollständige Liste; es kommen regelmäßig neue Integrationen hinzu.

5. Überlegungen zur Bereitstellung

Asimily erfasst Daten aus dem Netzwerkverkehr und aus Integrationen mithilfe der Asimily Edge Collector-Software, die auf einer dedizierten Appliance, auf einer virtuellen Maschine oder als App auf unterstützten Cisco-Switches läuft, die das Hosting von Anwendungen ermöglichen. Die Software analysiert gespiegelten (SPAN-)Verkehr außerhalb des Datenpfads und installiert keine Software auf den überwachten Geräten. Asimily bietet sowohl eine Cloud- als auch eine lokale Bereitstellung an, unter anderem für Air-Gapped-Netzwerke und Netzwerke mit eingeschränkter Internetverbindung. ColorTokens verwaltet Xshield über eine SaaS-Konsole, und eine Gatekeeper-Appliance befindet sich im Netzwerkpfad der von ihr geschützten Geräte, zwischen dem vorgelagerten Router und dem geschützten Subnetz. ColorTokens veröffentlicht Listenpreise auf dem AWS Marketplace: Stand 3. November 2026 kostet „Xshield for OT/IoT“ 40 US-Dollar pro Gerät und „Xshield for Workloads“ 360 US-Dollar pro Server und 12 Monate, wobei für die Implementierung der Mikrosegmentierung für OT/IoT-Geräte und nicht unterstützte Workloads ein separater Posten in Höhe von 36.000 US-Dollar anfällt. Die Preise von Asimily werden pro Bereitstellung angegeben und an die individuellen Netzwerkanforderungen jedes einzelnen Kunden angepasst.

Wischen Sie, um beide Plattformen zu vergleichen →

Was bei einem „Proof of Value“ geprüft werden sollte

• Neuadressierung: Erfassen Sie, bei welchem Ansatz sich bei welchen Geräten die IP-Adresse, die Netzmaske oder das Gateway ändern.
• Bestandsaufnahme: Vergleichen Sie die von den einzelnen Plattformen in Ihrer Umgebung erfassten Ressourcen, einschließlich der Geräte, auf denen kein Agent ausgeführt werden kann
• Klassifizierung: Vergleichen Sie Gerätetypen und Rollen mit Ihrer Konfigurationsmanagement-Datenbank
• Sicherheitslücken: Bitten Sie jede Plattform, dieselben anfälligen Geräte zu bewerten und zu erläutern, welche Sicherheitslücken ausnutzbar sind.
• Qualität der Richtlinie: Vergleich einer vorgeschlagenen Regel mit dem tatsächlich für diese Ressource beobachteten Datenverkehr
• Sicherheit: Vergewissern Sie sich, dass die Simulation zeigt, was blockiert würde, bevor Maßnahmen ergriffen werden.
• Durchsetzungspunkt: Überprüfen Sie, wo die Richtlinie angewendet wird und wer für das jeweilige System verantwortlich ist
• Verantwortlichkeiten: Klären Sie, wer nach der Inbetriebnahme für die Wartung der Gatekeeper-Appliance bzw. der NAC- und Firewall-Richtlinien zuständig ist.
• Kosten: Vergleichen Sie die Preise pro Gerät, die Einrichtungsgebühren und die Kosten für die Hardware-Geräte bei gleicher Geräteanzahl
• Zeit bis zum Nutzen: Asimily gibt an, dass Nutzer innerhalb von 48 Stunden einen Nutzen erwarten können und die meisten Geräte innerhalb von 14 Tagen identifiziert werden; erkundigen Sie sich bei jedem Anbieter schriftlich nach dessen eigenem Zeitplan.

Beispiel: Segmentierung einer SPS über ein Gerät im Vergleich zur Segmentierung über ein NAC

Dies ist ein anschauliches Beispiel, keine Kundenreportage. Eine speicherprogrammierbare Steuerung (SPS) in einem flachen OT-Subnetz kann keinen Agenten ausführen, und das Ziel besteht darin, nur den Datenverkehr zuzulassen, den sie benötigt.

Anwendungspfad (ColorTokens Gatekeeper).

1. Ein Gatekeeper-Gerät wird so aufgestellt, dass seine WAN-Schnittstelle zum vorgelagerten Router und seine LAN-Schnittstelle in das zu schützende Subnetz zeigt.
2. Der vorgelagerte DHCP-Pool für dieses Subnetz ist deaktiviert. Bei der DHCP-Verlängerung erhält die SPS vom Gatekeeper eine /32-Adresse, und bei einer SPS mit statischer Adresse werden die Netzmaske und das Gateway entsprechend angepasst. Dies entspricht dem technischen Bericht von ColorTokens aus dem Jahr 2024.
3. Die Richtlinie wird auf dem Gatekeeper durchgesetzt, der sich im Datenfluss der SPS befindet.

NAC und Firewall-Pfad (Asimily).

1. Die SPS behält ihre Adresse und ihr Gateway bei. Asimily überwacht ihren Datenverkehr über Asimily Edge, klassifiziert ihn, und die ATT&CK-Analyse zeigt, welche ihrer Schwachstellen ein Angreifer tatsächlich ausnutzen könnte.
2. Der Assistent zum Erstellen/Simulieren von Segmentierungsrichtlinien listet die Ports, Dienste und Empfänger auf, die die SPS tatsächlich verwendet hat, und generiert eine DACL-Richtlinie (Dynamic ACL) für Cisco ISE oder eine Richtlinie für eine Firewall wie beispielsweise FortiGate.
3. Die Richtlinien-Simulation überwacht den tatsächlichen Datenverkehr und zeigt an, was die Richtlinie blockieren würde, ohne dies tatsächlich zu tun.
4. Ein Administrator prüft den Durchsetzungsplan und wendet anschließend die Richtlinie an. Die bestehende NAC oder Firewall sorgt für deren Durchsetzung.
5. Bei der kontinuierlichen Segmentierung wird dieselbe Richtlinie auf neue SPSen angewendet, die den Kriterien entsprechen.

Beide Ansätze münden in einer durchgesetzten „Least-Privilege“-Richtlinie. Der Unterschied besteht darin, wo die Durchsetzung erfolgt und welche Änderungen im Netzwerk vorgenommen werden: beim ersten Ansatz über eine Appliance und eine neue Adressierung, beim zweiten Ansatz über bestehende NAC- oder Firewall-Richtlinien. Eine Einrichtung kann in verschiedenen Subnetzen unterschiedliche Ansätze verwenden.

Wenn ColorTokens besser passt

ColorTokens ist die passendere Lösung, wenn eine Plattform Server, Endpunkte, Cloud-Workloads und Kubernetes-Container segmentieren soll – also Ressourcen mit Allzweckprozessoren, auf denen ein Agent ausgeführt werden kann, sowie Geräte, die hinter einer Appliance platziert sind; im Datenblatt sind alle diese Komponenten aufgeführt. Die Lösung kann auch über bestehende EDR-Agenten durchgesetzt werden, was Forrester – wie in der Veröffentlichung von ColorTokens vom August 2026 zu „The Forrester Wave: Microsegmentation Solutions, Q3 2026“ zitiert – als „eine der flexibelsten Bereitstellungsoptionen aller Anbieter“ bezeichnete (Angaben des Anbieters). Gatekeeper führt die Durchsetzung auf der Appliance selbst durch, sodass es ein Subnetz schützen kann, in dem Asimily kein NAC- oder Firewall-Richtlinienpunkt zur Verfügung steht. Der KI-Agent von ColorTokens generiert Richtlinien aus Abfragen in Klartext. Viele Teams könnten beides einsetzen: hostbasierte Segmentierung für Server und Endgeräte sowie agentenlose Bestandserfassung, Schwachstellenanalyse und Segmentierung für Geräte.

Forrester unterstützt keine der in seinen Forschungsveröffentlichungen genannten Unternehmen, Produkte, Marken oder Dienstleistungen.

Das Fazit

ColorTokens: ColorTokens ist eine „Host-First“-Mikrosegmentierungsplattform und eine hervorragende hostbasierte Lösung. Sie deckt Server, Endgeräte, Cloud-Workloads und Container ab und setzt die Sicherheitsmaßnahmen über einen eigenen Agenten, bestehende EDR-Agenten oder native Cloud-Kontrollen durch. Für Geräte (IoT, OT usw.), auf denen kein Agent ausgeführt werden kann, nutzt sie die Gatekeeper-Appliance. Sie eignet sich für Teams, die eine einzige Plattform für Hosts und Geräte wünschen und eine Appliance im Netzwerkpfad platzieren können.

• Die Stärken von ColorTokens: umfassende Abdeckung von Hosts auf Servern, Endgeräten, in der Cloud und in Containern; Durchsetzung über bestehende EDR-Agenten; veröffentlichte Stückpreise; Erstellung von Richtlinien in verständlicher Sprache
• Vor- und Nachteile von ColorTokens: Geräte hinter Gatekeeper erhalten neue Netzmasken- und Gateway-Einstellungen; in jedem geschützten Datenpfad befindet sich eine Appliance, die einer laufenden Wartung bedarf; Informationen zum Sicherheitskontext werden über Konnektoren und Partner bereitgestellt

Asimily: Asimily ist eine Plattform zum Schutz von Ressourcen wie IoT-, OT-, Middleware-, KI-Agenten, Servern, Endgeräten und mehr. Sie betrachtet Mikrosegmentierung als eine von vielen Funktionen für die Sicherheit von Ressourcen. Zunächst wird ein Bestandsverzeichnis erstellt, das IoT-, OT-, IoMT- und IT-Geräte sowie Software, Dienste, Anwendungen und Middleware umfasst. Anschließend wird die Ausnutzbarkeit jedes einzelnen Geräts mithilfe der ATT&CK-Analyse untersucht. Daraufhin werden Segmentierungsrichtlinien erstellt, simuliert und kontinuierlich gepflegt, die von bestehenden NAC-Systemen und Firewalls durchgesetzt werden. Dies kann zu einer intelligenteren Segmentierung führen, die Risiken berücksichtigt. Neben der Erkennung und Netzwerksegmentierung bietet Asimily zusätzlich IoT-Patching, Passwortverwaltung und Konfigurationskontrolle.

• Stärken von Asimily: Native Bestandserfassung mit Deep Packet Inspection; ATT&CK-Analyse der Ausnutzbarkeit pro Gerät; Richtlinien-Simulation anhand von Live-Datenverkehr; Durchsetzung über bestehende NACs und Firewalls ohne Neuzuweisung von Geräteadressen; Paketerfassung für die Reaktion auf Sicherheitsvorfälle
• Kompromisse bei Asimily: Für die Durchsetzung ist ein bestehender NAC- oder Firewall-Richtlinienpunkt erforderlich; keine Host-Agenten für Server oder Cloud-Workloads; keine eigene Durchsetzung auf Switch-Ebene

Wischen Sie, um beide Plattformen zu vergleichen →