Zero Trust erklärt - das Prinzip und wie Du es einführst

Ratgeber für Unternehmen mit 3-200 Mitarbeitern

Zero Trust ist ein Sicherheitsmodell nach dem Grundsatz „never trust, always verify”: Kein Nutzer und kein Gerät wird automatisch als vertrauenswürdig behandelt, nur weil es sich im Firmennetz befindet. Stattdessen wird bei jedem Zugriff neu geprüft - Identität, Gerätezustand und Kontext. Zero Trust ist kein einzelnes Produkt, sondern ein Konzept, das man mit vorhandenen Bausteinen wie MFA, Geräteverwaltung und Netzwerksegmentierung schrittweise umsetzt.

Warum der alte Ansatz nicht mehr reicht

Klassische IT-Sicherheit funktioniert wie eine Burg: eine dicke Mauer (Firewall) außen, drinnen darf sich jeder frei bewegen. Das Problem: Sobald ein Angreifer einmal drin ist - über ein Phishing-Passwort, ein infiziertes Notebook, einen VPN-Zugang - bewegt er sich ungehindert seitwärts durchs Netz. Homeoffice, Cloud und mobile Geräte haben die klare Grenze zwischen „innen” und „außen” ohnehin aufgelöst.

Zero Trust ersetzt das Burg-Modell durch konsequente Kontrolle an jeder Tür statt nur am Haupttor.

Die Grundprinzipien

• Explizit verifizieren: Jeder Zugriff wird anhand von Identität, Gerät, Standort und Verhalten geprüft - nicht einmalig beim VPN-Login, sondern laufend.
• Least Privilege: Jeder bekommt nur die Rechte, die er wirklich braucht, und nur so lange er sie braucht.
• Vom Ernstfall ausgehen (assume breach): Man plant so, als sei ein Angreifer bereits drin - mit Segmentierung, damit ein Vorfall nicht das ganze Haus mitreißt, und mit Protokollierung, um ihn schnell zu bemerken.

Zero Trust ist kein Produkt, sondern ein Weg

Kein Hersteller verkauft „das eine Zero Trust”. Es entsteht aus dem Zusammenspiel von Bausteinen, die viele Betriebe teils schon haben:

• Starke Identität - MFA und sauberes Identitätsmanagement
• Gerätezustand - nur verwaltete, aktuelle Geräte bekommen Zugriff (Intune/MDM)
• Segmentierung - Netzwerksegmentierung trennt Büro, Produktion, Gäste und Server
• Least-Privilege-Zugriffe - Privileged Access für Admin-Rechte
• Sichtbarkeit - zentrale Protokollierung, idealerweise per SIEM

So führst Du Zero Trust im Mittelstand ein

Zero Trust ist kein Big-Bang-Projekt, sondern eine Reihe sinnvoller Schritte:

1. Identität zuerst: MFA überall, sauberes Rollen- und Rechtekonzept. Das ist das Fundament.
2. Geräte einbeziehen: Nur verwaltete, gepatchte Geräte erhalten Zugriff auf sensible Systeme.
3. Zugriffe verengen: Least Privilege durchsetzen, Standard-Freigaben aufräumen.
4. Netz segmentieren: Kronjuwelen (Server, Produktion) in eigene Zonen.
5. Sichtbarkeit schaffen: Zugriffe protokollieren und auswerten, um Auffälligkeiten früh zu sehen.

Der Charme: Jeder Schritt bringt für sich schon Sicherheit - Du musst nicht auf ein fertiges Gesamtsystem warten.

Häufige Fragen

Ist Zero Trust ein Produkt, das man kauft? Nein. Zero Trust ist ein Konzept. Es entsteht aus dem Zusammenspiel von Identität, Geräteverwaltung, Segmentierung und Protokollierung - meist mit Werkzeugen, die man teils schon hat.

Lohnt sich Zero Trust für kleine Unternehmen? Ja. Man muss nicht alles auf einmal machen. Schon MFA plus verwaltete Geräte plus Least Privilege sind gelebter Zero-Trust-Fortschritt - und für jede Betriebsgröße machbar.

Bremst Zero Trust die Mitarbeiter aus? Richtig umgesetzt kaum. Vertraute Geräte und moderne Verfahren (Passkeys, bedingter Zugriff) machen es im Alltag oft sogar bequemer als ständige VPN-Logins.

Was hat Zero Trust mit NIS2 zu tun? NIS2 verlangt Zugriffskontrolle, starke Authentifizierung und Risikomanagement - genau die Bausteine, aus denen Zero Trust besteht. Der Ansatz zahlt direkt auf die Umsetzung ein.

Worin unterscheidet sich Zero Trust von einem VPN? Ein VPN prüft einmal beim Verbindungsaufbau und legt Dich danach ins Netz - wer drin ist, erreicht sehr viel. Zero Trust prüft bei jedem einzelnen Zugriff neu und gibt nur die benötigte Anwendung frei, nicht das ganze Netz. Ein VPN ist damit kein Zero Trust, kann aber als Baustein auf dem Weg dorthin bestehen bleiben.

Müssen wir für Zero Trust unser VPN abschaffen? Nicht zwingend und nicht sofort. In vielen Mittelstandsumgebungen bleibt das VPN für Altsysteme bestehen, während neue Zugriffe bereits identitätsbasiert laufen. Sinnvoll ist, den VPN-Zugang zu verengen: MFA davor, Zugriff nur auf die benötigten Segmente, keine pauschale Vollfreigabe des Netzes.

Was heißt „never trust, always verify” konkret im Alltag? Dass kein Zugriff allein deshalb erlaubt wird, weil er aus dem Büro kommt oder das Gerät sich schon einmal angemeldet hat. Geprüft werden bei jedem Zugriff die Identität mit starkem zweiten Faktor, der Zustand des Geräts und der Kontext. Für Mitarbeitende bleibt das meist unsichtbar - spürbar wird es nur, wenn etwas nicht zusammenpasst.

Was ist Mikrosegmentierung? Mikrosegmentierung teilt das Netz in kleine, voneinander abgeschottete Zonen, statt alles flach zusammenlaufen zu lassen. Ein kompromittierter Arbeitsplatz erreicht dann nicht mehr automatisch Server, Produktionsanlagen oder Backup-Systeme. Im Mittelstand beginnt das pragmatisch mit sauber getrennten VLANs für Büro, Produktion, Gäste und Server.

Womit fängt man bei Zero Trust am besten an? Mit der Identität. MFA für alle Konten, Aufräumen der Administratorrechte und ein Überblick, wer auf was zugreifen darf, bringen den größten Sicherheitsgewinn pro Aufwand. Erst danach lohnen Geräteverwaltung, Segmentierung und Protokollierung. Wer mit der Netzwerktechnik beginnt, investiert oft teuer am eigentlichen Risiko vorbei.

Wie lange dauert die Einführung von Zero Trust? Zero Trust ist kein Projekt mit Enddatum, sondern eine Richtung. Die ersten wirksamen Schritte - MFA, verwaltete Geräte, Least Privilege - sind in wenigen Monaten machbar. Segmentierung und durchgängige Protokollierung ziehen sich je nach Altbestand deutlich länger. Wichtig ist, dass jeder Schritt für sich schon schützt und nicht auf einen großen Endzustand wartet.

Ist Zero Trust bei NIS2 vorgeschrieben? Nein. NIS2 nennt Zero Trust nicht als Pflicht, verlangt aber Zugriffskontrolle, Multi-Faktor-Authentifizierung, Risikomanagement und Maßnahmen zur Erkennung von Vorfällen. Zero Trust ist ein anerkannter Weg, das strukturiert umzusetzen - aber nicht der einzige. Entscheidend für eine Prüfung ist, dass die Maßnahmen dokumentiert und nachweisbar wirksam sind.

Funktioniert Zero Trust auch mit alten Systemen und Maschinensteuerungen? Nur eingeschränkt. Ältere Anlagen unterstützen oft weder moderne Anmeldeverfahren noch Verschlüsselung und lassen sich nicht ohne Weiteres patchen. Der übliche Weg ist, sie streng zu segmentieren und den Zugang zu ihnen eng zu kontrollieren, statt sie selbst umzubauen. Das ist kein reines Zero Trust, aber die realistische Variante in Produktionsumgebungen.

Was kostet Zero Trust? Das hängt davon ab, was schon vorhanden ist. Viele Bausteine stecken in Lizenzen, die Betriebe bereits halten - etwa bedingter Zugriff und Geräteverwaltung in Microsoft 365. Kosten entstehen vor allem durch Arbeitszeit: Konzept, Aufräumen der Berechtigungen, Umbau des Netzes. Ein Produkt namens Zero Trust musst Du dafür nicht kaufen.

Wie messen wir, ob wir bei Zero Trust vorankommen? An überprüfbaren Kennzahlen statt am Bauchgefühl: Anteil der Konten mit MFA, Zahl dauerhafter Administratorrechte, Anteil verwalteter und aktuell gepatchter Geräte, Zahl der noch flachen Netzsegmente und Abdeckung der zentralen Protokollierung. Diese Werte lassen sich regelmäßig erheben und taugen zugleich als Nachweis gegenüber Prüfern und Versicherern.

Brauchen wir für Zero Trust ein SIEM? Nicht am Anfang. Sichtbarkeit ist zwar ein Zero-Trust-Prinzip, sie beginnt aber mit sauber aufbewahrten Protokollen der wichtigsten Systeme. Ein SIEM lohnt sich, wenn die Umgebung komplex genug ist oder Compliance es verlangt - und nur, wenn jemand die Alarme auch bewertet. Sonst entsteht ein teures Log-Archiv ohne Schutzwirkung.

Verwandt

Zero Trust (Leistung) · MFA & Identity Security · Netzwerksegmentierung · NIS2-Umsetzung · Security-Übersicht