Wer in den letzten Monaten mit Palo Alto Networks gearbeitet hat, kennt das Bild. Strata Cloud Manager, kurz SCM, taucht in Präsentationen, Roadmaps und Lizenzgesprächen immer prominenter auf. Für Teams, die ihre Firewalls seit Jahren über Panorama steuern, wirft das berechtigte Fragen auf. Wird Panorama abgelöst? Was kann SCM heute schon, was nicht, und welche Plattform passt zu welchem Einsatzzweck? In diesem Beitrag ordnen wir das sachlich ein, mit Blick auf das, was Palo Alto tatsächlich angekündigt hat.
Worum geht es überhaupt?
Panorama ist das etablierte zentrale Management von Palo Alto. Es läuft als physische Appliance, als virtuelle Appliance oder in der Cloud und steuert über sogenannte Device Groups sowie Templates und Template Stacks grosse Firewall-Bestände, inklusive zentralem Logging und Reporting über eigene Log Collectors. Die Plattform ist seit über einem Jahrzehnt im Einsatz und entsprechend ausgereift.
Strata Cloud Manager ist dagegen die cloud-native Management-Plattform. Sie führt die Verwaltung von Next-Generation-Firewalls (NGFW) und SASE-Umgebungen über eine einheitliche Oberfläche aus der Cloud zusammen und benötigt keine eigene Management-Infrastruktur. Hinzu kommen auch neue Funktionen. Die hauseigene KI (Strata Copilot) liefert Best-Practice-Assessments in Echtzeit über den gesamten Firewall- und SASE-Stack sowie eine KI-gestützte Empfehlungen. SCM gibt es in zwei Stufen. Essentials ist die kostenfreie Variante für einheitliche Visibilität, Konfiguration und Lifecycle-Management. Das kostenpflichtige Pro ergänzt KI-gestützte Policy-Analyse, Compliance-Empfehlungen mit direkter Korrektur, Health-Monitoring und beinhaltet den Strata Logging Service.
Was sagt Palo Alto selbst?
Die offizielle Linie ist differenzierter, als das Marketing manchmal vermuten lässt. Für Panorama als Ganzes gibt es bislang kein offiziell angekündigtes End-of-Life-Datum. Konkret geworden ist Palo Alto bei einem Teilbereich, der Mandantenfähigkeit (Multi-Tenancy). Seit dem 15. April 2026 steht die Panorama-basierte Prisma-Access-Multi-Tenancy nicht mehr für neue Deployments zur Verfügung. Bestehende Kunden sind nicht betroffen und können mit vollem Support weiterarbeiten. Entscheidend ist der nachgeschobene Hinweis:
«However, as innovation shifts toward next-generation platforms, certain features introduced after April 15, 2026, may be available exclusively through the newer Strata Cloud Manager (SCM) platform.«
Palo Alto empfiehlt ausdrücklich die Migration zu SCM und rät neuen Kunden, von Beginn an darauf zu setzen.
Die Richtung scheint also klar, jedoch ohne dass Panorama für die klassische Firewall-Verwaltung kurzfristig abgeschaltet würde. Unterstützt wird der Kurs durch Tools: Palo Alto hat ein Migrationstool entwickelt, mit dem sich bestehende Panorama-Konfigurationen nach SCM übertragen lassen. Zusätzlich pflegt der Hersteller eine eigene Feature-Parity-Matrix (eine Vergleichstabelle der unterstützten Funktionen). Ein gutes Indiz dafür, dass vollständige Funktionsgleichheit eben noch nicht erreicht ist.
Stärken von SCM
Der grösste Vorteil ist der Wegfall der Management-Infrastruktur. Keine Appliance, kein Patchen der Management-Ebene, kein Aufbau von Hochverfügbarkeit (HA) für das Management selbst. Gerade für Teams, die den Betriebsaufwand einer eigenen Management-Infrastruktur gering halten möchten, senkt das die Einstiegshürde deutlich. Dazu kommt die zentrale Visibilität über Firewalls, Prisma Access und SD-WAN. Etwas, das Panorama in dieser Breite nicht von Haus aus leistet. Die KI-Funktionen für den Betrieb (AIOps) sind tief integriert, zum Beispiel für Prüfungen gegen Sicherheitsstandards wie CIS und NIST oder vorausschauendes Monitoring. Auch die cloud-basierte Konfigurationshistorie mit Versionierung ist im Alltag praktisch.
Stärken von Panorama
Panorama punktet mit Reife und Tiefe. Das Modell aus Gerätegruppen und Template-Stacks ist über Jahre gewachsen und bildet komplexe, stark standardisierte Setups sehr granular ab. Auch für Dienstleister bleibt Panorama bei der mandantenfähigen Verwaltung vieler Kunden-Firewalls stark. Es lässt sich vollständig in selbst betriebener Umgebung führen, ohne Anbindung an die Anbieter-Cloud. Damit ist es für Szenarien ohne dauerhafte Cloud-Verbindung, etwa physisch isolierte (air-gapped) oder stark regulierte Netze, häufig die einzig praktikable Option. Hinzu kommen der Support für die CN-Series Firewalls und Multi-VSYS Deployments, welche SCM zum jetzigen Zeitpunkt noch nicht bietet.
Wo SCM heute noch Grenzen hat
Zur neutralen Betrachtung gehört auch die Kehrseite. Erstens die noch nicht vollständige Funktionsgleichheit. Manche fortgeschrittenen Panorama-Konstrukte, wie Template-Stacks, Context-Switching, Multi-VSYS Management und Custom Reports sind in SCM noch nicht eins zu eins abgebildet. Zweitens die Cloud-Abhängigkeit. SCM braucht eine zuverlässige Verbindung zur Palo-Alto-Cloud und scheidet für strikt isolierte Netze faktisch aus. Drittens ein neues Konfigurationsmodell. SCM arbeitet mit „Snippets» (wiederverwendbaren Konfigurationsbausteinen) statt mit Template-Stacks, was für erfahrene Panorama-Admins eine Umgewöhnung bedeutet. Und viertens ist die Migration kein Selbstläufer, sondern erfordert Planung und Tests. Diese Punkte sind weniger konzeptionelle Schwächen als Reifegrad-Themen, an denen Palo Alto sichtbar arbeitet.
Datenhaltung und Souveränität
Ein Aspekt, der für Schweizer Unternehmen wichtig sein kann: Wo liegen die Logdaten? Bei Panorama können Logs vollständig in selbst betriebenen Log Collectors innerhalb der eigenen Infrastruktur bleiben. Bei SCM ist der native Weg dagegen der cloud-basierte Strata Logging Service (ehemals Cortex Data Lake). Die bei der Aktivierung gewählte Region bestimmt den physischen Speicherort der Daten. Verlangen Vorgaben, dass Daten innerhalb einer Region bleiben, lässt sich die passende Region wählen. Logs lassen sich zusätzlich per Syslog an ein bestehendes SIEM oder Drittsysteme weiterleiten.
Damit ist eine Datenresidenz in der Schweiz technisch abbildbar. Offen bleibt jedoch eine rechtliche Governance-Frage, die jede Organisation für sich klären sollte. Da Palo Alto ein US-Unternehmen ist, kann der US-amerikanische CLOUD Act grundsätzlich auch dann relevant sein, wenn die Daten physisch in der Schweiz liegen. Für Umgebungen mit sehr strengen Souveränitätsanforderungen kann die lokale Loghaltung über Panorama hier weiterhin der entscheidende Vorteil sein.
Use-Cases
Aus den Fakten lässt sich ein pragmatisches Bild ableiten. Für neue Projekte auf der grünen Wiese, hybride Szenarien aus Firewall plus SASE, kleinere Teams ohne Lust auf zusätzlichen Verwaltungsaufwand und Zero-Trust-Initiativen ist SCM heute die naheliegende Wahl. Auch, weil neue Funktionen perspektivisch zuerst dort erscheinen werden. Panorama bleibt erste Wahl für isolierte und stark regulierte Umgebungen, grosse bestehende Umgebungen mit komplexen Vorlage-Hierarchie und Firewall-Flotten auf älteren PAN-OS-Versionen.
Beides schliesst sich nicht aus. Eine einzelne Firewall kann zwar immer nur von einer Plattform verwaltet werden, aber im Rahmen einer schrittweisen Migration lassen sich Standorte parallel betreiben. Panorama-Kunden können SCM mit «Duplicate Logging» zusätzlich anbinden, um SCM-nativen Funktionen zu nutzen, ohne sofort komplett umzuziehen.
Fazit und Ausblick
Die Marschrichtung ist klar erkennbar. SCM ist die strategische Plattform, in die Palo Alto seine Innovationen lenkt, und mit der Multi-Tenancy-Ankündigung zum April 2026 gab es einen ersten konkreten Stichtag. Gleichzeitig ist Panorama nicht „tot». Es bleibt unterstützt und für bestimmte Szenarien technisch überlegen. Wer neu plant, sollte SCM ernsthaft als Standard prüfen. Wer grosse Panorama-Bestände betreibt, fährt mit bewusster Koexistenz und einem realistischen Migrationsfahrplan über die nächsten Jahre am besten. Kontrolliert, getestet und entlang der eigenen Compliance-Anforderungen. Unser pragmatischer Rat aus der Praxis: beide Plattformen jetzt verstehen. Panorama bleibt weiterhin relevant, SCM-Wissen wird jedoch zunehmend wichtiger.