EthernetConnect - Verschlüsseln erforderlich?

Hallo Sysadmin-Kollegen,

wir werden in Kürze unsere erste EthernetConnect-Leitung bestellen, um einen neuen Außenstandort über 1G an die Zentrale anzubinden.

So wie ich EthernetConnect verstehe, ist es aus Usersicht wie ein Netzwerkkabel ohne jegliche Intelligenz. Man kann also problemlos vorne und hinten einen Switch anbinden und verschiedene VLANs (atgged/untagged) etc darüber senden.

EthernetConnect läuft ja über eine Plattform der Telekom. Was mir dabei nicht klar ist:
- Verschlüsseln die Übergaberouter der Telekom den Datentraffic zwischen den beiden Endpunkten?
- Oder ist der Datentraffic zwischen den beiden Endpunkten durch die Telekom auch unabhängig von einer Verschlüsselung ausreichend abgesichert?
- Oder ist es erforderlich/empfehlenswert, dass wir den Traffic vor Übergabe an die Telekom-Endpunkte selbst verschlüsseln?

Falls Verschlüsselung durch uns selbst: Was für eine Lösung (Technologie+Hardware) würdet ihr empfehlen?
- Macsec? Sollte mit VLANs ja problemlos zurecht kommen.
- IPSec? -> das wäre dann geroutet, also ohne VLANs, oder?
- GRE-Tunnel? -> da kenne ich mich gar nicht näher aus

Damit 1G sicher verschlüsselt werden, brächte es ja auch ausreichend potente Hardware. Gibt es hierfür Empfehlungen?
Vielleicht Mikrotik CCR1009-7G-1C-1S+?
Oder besser einen Switch mit macsec? (wobei die Cisco 250/350 das ebenso wenig können wie die HP Aruba 2530/2540)

Ich bin gespannt auf Eure Empfehlungen.

Gruß
Port5000