Zero Trust: So baust du Sicherheit ohne blindes Vertrauen auf

Zero Trust ist das Sicherheitsmodell, über das in Vorständen und IT-Abteilungen gerade am häufigsten gesprochen wird, und zugleich eines der am meisten missverstandenen. Viele Anbieter kleben das Etikett auf Firewalls, VPN-Nachfolger oder Identitätsdienste. Dabei beschreibt der Begriff kein Produkt, sondern eine Denkweise, die dein gesamtes Sicherheitskonzept neu ordnet.

Der Grund für den Hype ist handfest: Mitarbeitende arbeiten von zu Hause, Anwendungen laufen in mehreren Clouds, Partner greifen auf interne Systeme zu. Die klassische Grenze zwischen „drinnen“ und „draußen“ existiert in vielen Unternehmen faktisch nicht mehr. Angreifer nutzen genau diese Lücke, indem sie gestohlene Zugangsdaten verwenden und sich anschließend unbemerkt im Netz bewegen.

In diesem Beitrag erfährst du, was hinter dem Konzept steckt, wie eine Architektur nach diesem Prinzip aufgebaut ist und wie du den Umbau in realistischen Etappen planst, ohne dein Unternehmen lahmzulegen.

Was ist Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Dienst automatisch vertraut, nur weil er sich im Firmennetz befindet. Jeder Zugriff auf eine Ressource wird einzeln geprüft: Wer fragt an, mit welchem Gerät, in welchem Kontext und mit welchem Recht? Erst danach gewährt das System genau den Zugriff, der für die Aufgabe nötig ist.

Der Leitsatz lautet „Never trust, always verify“. Geprägt hat den Begriff das Analystenhaus Forrester um das Jahr 2010. Heute gilt die Publikation SP 800-207 des US-amerikanischen National Institute of Standards and Technology (NIST SP 800-207 „Zero Trust Architecture“) aus dem Jahr 2020 als wichtigste Referenz für Architektur und Begriffe.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich 2023 in einem Positionspapier geäußert. Es beschreibt Zero Trust als Architekturparadigma, das auf der Annahme „Assume Breach“ aufbaut und das Prinzip der minimalen Rechte auf jede Entität anwendet. Gleichzeitig betont das BSI: Die vollständige Umsetzung ist ein langfristiges Vorhaben, keine einmalige Investition.

Warum das Burggraben-Modell ausgedient hat

Klassische Sicherheitskonzepte funktionieren wie eine Burg. Eine starke Mauer aus Firewall und VPN schützt das Innere, und wer einmal drin ist, genießt weitgehend freie Bahn. Dieses Perimeter-Modell stammt aus einer Zeit, in der Server im eigenen Keller standen und alle Mitarbeitenden im Büro saßen.

Heute hat die Burg dutzende Nebeneingänge. SaaS-Anwendungen liegen außerhalb der Mauer, mobile Geräte wandern zwischen Heimnetz, Hotel-WLAN und Firmennetz hin und her. Dienstleister erhalten Fernzugänge, Produktionsanlagen hängen am Netz. Jeder dieser Wege ist ein potenzieller Einstieg.

Besonders gefährlich ist die sogenannte laterale Bewegung. Ein Angreifer übernimmt etwa per Phishing ein einziges Benutzerkonto und tastet sich von dort Schritt für Schritt zu Servern, Backups und Domänencontrollern vor. Im Burggraben-Modell fällt das oft erst auf, wenn die Daten bereits verschlüsselt oder abgeflossen sind. Zero Trust setzt genau hier an und macht jeden internen Schritt zu einer neuen Kontrollstelle.

Die Grundprinzipien von Zero Trust

Hinter dem Schlagwort stehen wenige, aber konsequent angewendete Prinzipien. Sie bilden den Maßstab, an dem du jede technische Entscheidung messen kannst:

• Explizit verifizieren: Jede Anfrage wird anhand aller verfügbaren Signale geprüft, etwa Identität, Standort, Gerätezustand, Uhrzeit und Sensibilität der Daten.
• Minimale Rechte: Nutzer und Dienste erhalten nur die Berechtigungen, die sie für ihre aktuelle Aufgabe brauchen, idealerweise zeitlich begrenzt („Just-in-Time“).
• Von einem Einbruch ausgehen: Du planst so, als wäre ein Angreifer bereits im Netz. Segmentierung und Verschlüsselung begrenzen den möglichen Schaden.
• Ressourcen statt Netzsegmente schützen: Im Mittelpunkt stehen Anwendungen, Daten, Dienste und Konten, nicht IP-Bereiche.
• Kontinuierlich bewerten: Vertrauen ist kein Zustand, sondern wird bei jeder Sitzung und bei Veränderungen im Kontext neu berechnet.

Identität als neuer Perimeter

Wenn das Netz keine Grenze mehr bildet, übernimmt die Identität diese Rolle. Ein zentrales Identity and Access Management (IAM) ist deshalb das Fundament jeder Zero-Trust-Strategie. Starke Authentifizierung mit mehreren Faktoren gehört dazu, idealerweise phishing-resistent.

Genau deshalb passen Zero Trust und passwortlose Verfahren so gut zusammen. Wie du den Wechsel praktisch angehst, liest du in unserem Beitrag über Passkeys im Unternehmen. Wichtig ist auch die Pflege der Identitäten selbst: verwaiste Konten, Sammel-Accounts und überprivilegierte Dienstkonten sind typische Einfallstore.

Gerätezustand und Kontext

Eine korrekte Anmeldung allein reicht nicht. Das System prüft zusätzlich, ob das Endgerät verwaltet wird, aktuelle Patches hat und ob ein Virenschutz aktiv ist. Meldet sich eine Buchhalterin nachts aus einem ungewöhnlichen Land mit einem unbekannten Gerät an, verlangt die Richtlinie eine zusätzliche Prüfung oder blockiert den Zugriff.

Diese kontextbasierte Entscheidung unterscheidet das Modell von starren Zugriffslisten. Sie macht Sicherheit adaptiv und erlaubt es, legitime Arbeit möglichst reibungslos zu halten.

Wie eine Zero-Trust-Architektur aufgebaut ist

NIST SP 800-207 beschreibt drei logische Kernbausteine, die du in fast jeder Produktlandschaft wiederfindest. Das Verständnis dieser Rollen hilft dir, Herstellerversprechen einzuordnen:

• Policy Engine: Sie trifft die eigentliche Zugriffsentscheidung, indem sie Richtlinien mit Signalen aus Identitätsdienst, Geräteverwaltung und Bedrohungsanalyse abgleicht.
• Policy Administrator: Er setzt die Entscheidung um, baut Sitzungen auf oder beendet sie und verteilt dafür nötige Zugangsinformationen.
• Policy Enforcement Point: Er sitzt direkt vor der Ressource, etwa als Gateway oder Agent, und lässt Verbindungen nur nach positiver Entscheidung durch.

Die US-Cybersicherheitsbehörde CISA ergänzt das mit ihrem Zero Trust Maturity Model, das 2023 in Version 2.0 erschienen ist. Es ordnet die Umsetzung fünf Säulen zu: Identität, Geräte, Netzwerke, Anwendungen und Workloads sowie Daten. Für jede Säule beschreibt das Modell Reifestufen von „traditionell“ bis „optimal“. Für dich ist das eine gute Vorlage, um den eigenen Stand ehrlich einzuordnen.

ZTNA als Alternative zum klassischen VPN

Ein klassisches VPN verbindet ein Gerät mit dem gesamten Netz. Zero Trust Network Access (ZTNA) verbindet dagegen einen Nutzer nur mit einer einzelnen Anwendung, nach erfolgreicher Prüfung. Die übrigen Systeme bleiben für ihn unsichtbar.

Für viele Unternehmen ist ZTNA der sichtbarste erste Schritt in Richtung des neuen Modells, weil er Fernzugriffe sofort einschränkt. Oft ist ZTNA Teil größerer Cloud-Sicherheitsplattformen, die unter dem Begriff SASE (Secure Access Service Edge) vermarktet werden.

Mikrosegmentierung im Rechenzentrum

Innerhalb des Rechenzentrums sorgt Mikrosegmentierung dafür, dass Server und Workloads nur mit den Systemen sprechen, die sie wirklich brauchen. Eine kompromittierte Webanwendung erreicht dann nicht automatisch die Datenbank der Personalabteilung.

Der Aufwand liegt weniger in der Technik als im Wissen über Datenflüsse. Ohne ein sauberes Bild, welche Anwendung mit welcher kommuniziert, riskierst du Ausfälle. Viele Teams starten deshalb mit einer Beobachtungsphase, bevor sie Regeln scharf schalten.

Zero Trust einführen: Der Fahrplan in 7 Schritten

Eine Umstellung über Nacht funktioniert nicht. Erfolgreiche Projekte gehen schrittweise vor und schützen zuerst das, was am meisten Schaden anrichten würde. Dieser Fahrplan hat sich in der Praxis bewährt:

1. Schutzbedarf klären: Bestimme deine „Kronjuwelen“, also kritische Daten, Anwendungen und Prozesse, und priorisiere sie.
2. Bestandsaufnahme machen: Erfasse Identitäten, Geräte, Anwendungen und Datenflüsse. Was du nicht kennst, kannst du nicht absichern.
3. Identitäten härten: Führe ein zentrales IAM ein, aktiviere Mehrfaktor-Authentifizierung flächendeckend und räume privilegierte Konten auf.
4. Endgeräte einbinden: Verwalte Geräte zentral und mache ihren Sicherheitszustand zur Bedingung für den Zugriff.
5. Fernzugriff umbauen: Ersetze pauschale VPN-Zugänge schrittweise durch anwendungsbezogene Zugriffe, beginnend mit Dienstleistern und Admins.
6. Segmentieren: Trenne kritische Systeme voneinander und erlaube nur dokumentierte Verbindungen.
7. Überwachen und nachschärfen: Sammle Protokolle zentral, werte Auffälligkeiten aus und passe Richtlinien laufend an.

Wichtig: Diese Schritte überlappen sich. Du musst nicht warten, bis die Inventur perfekt ist, um Mehrfaktor-Authentifizierung einzuführen. Gerade kleinere Unternehmen profitieren davon, mit schnellen Erfolgen zu beginnen. Einen kompakten Einstieg in die Basismaßnahmen findest du in unserem Leitfaden zu Cybersecurity für KMU.

Typische Stolpersteine bei Zero Trust

Die meisten Projekte scheitern nicht an der Technik, sondern an Organisation, Erwartungen und Altlasten. Diese Hürden solltest du früh einplanen:

• Produktdenken: Wer glaubt, das Konzept lasse sich als einzelnes Produkt kaufen, landet bei teuren Insellösungen ohne gemeinsame Richtlinien.
• Altsysteme: Ältere Anwendungen unterstützen moderne Authentifizierung oft nicht. Hier helfen vorgeschaltete Gateways oder eine bewusste Isolierung.
• Fehlende Interoperabilität: Auch das BSI weist darauf hin, dass mangelnde Standardisierung das Zusammenspiel verschiedener Produkte erschwert.
• Nutzerakzeptanz: Zu viele Abfragen frustrieren. Gute Richtlinien prüfen streng, wo das Risiko hoch ist, und bleiben unauffällig, wo es niedrig ist.
• Ressourcen: Betrieb und Pflege der Richtlinien brauchen dauerhaft Personal. Plane dieses Budget von Anfang an ein.

Ein weiterer Punkt wird oft unterschätzt: Zero Trust stärkt vor allem Vertraulichkeit und Integrität. Die Verfügbarkeit deiner Systeme sichert es nicht automatisch. Backups, Notfallpläne und redundante Infrastruktur bleiben deshalb unverzichtbar.

Zero Trust und Regulierung: Was NIS2 damit zu tun hat

Kein Gesetz schreibt Zero Trust als Begriff verpflichtend vor. Die Anforderungen moderner Regulierung lassen sich mit dem Ansatz aber sehr gut erfüllen. Die europäische NIS2-Richtlinie verlangt in Artikel 21 unter anderem Konzepte für die Zugriffskontrolle, die Verwaltung von Anlagen sowie den Einsatz von Mehrfaktor-Authentifizierung oder kontinuierlicher Authentifizierung.

Genau diese Bausteine bilden den Kern einer Zero-Trust-Architektur. Wer den Umbau strukturiert dokumentiert, schafft damit zugleich Nachweise für Prüfungen und Audits. Ob dein Unternehmen überhaupt unter die Regeln fällt, klärst du mit unserem Leitfaden NIS2-Betroffenheit prüfen. Im Zweifel solltest du rechtliche Fachleute einbeziehen.

Auch für Cyberversicherungen und Kundenaudits wird die Frage nach Zugriffskontrollen wichtiger. Ein nachvollziehbares Zero-Trust-Programm ist deshalb nicht nur Sicherheits-, sondern zunehmend auch Vertriebsargument.

Drei Szenarien aus dem Unternehmensalltag

Wie sich das Modell konkret anfühlt, zeigen typische Situationen, die in fast jedem Unternehmen vorkommen. Die folgenden Beispiele sind bewusst allgemein gehalten und dienen der Veranschaulichung.

Der externe Dienstleister

Ein IT-Partner betreut dein ERP-System aus der Ferne. Bisher erhielt er einen VPN-Zugang ins gesamte Netz. Künftig bekommt er nur Zugriff auf genau diesen Server, nur nach starker Anmeldung und nur in vereinbarten Zeitfenstern. Jede Sitzung wird protokolliert, und nach Projektende erlischt das Recht automatisch.

Die Vertriebsmitarbeiterin unterwegs

Eine Kollegin öffnet das CRM im Hotel auf ihrem Firmenlaptop. Das System erkennt ein verwaltetes, aktuelles Gerät und lässt sie ohne zusätzliche Hürden arbeiten. Versucht sie dagegen, vom privaten Tablet Kundendaten zu exportieren, verweigert die Richtlinie den Download oder erlaubt nur eine Ansicht im Browser.

Das kompromittierte Konto

Ein Angreifer erbeutet Zugangsdaten eines Sachbearbeiters. Weil die Anmeldung einen phishing-resistenten zweiten Faktor verlangt, scheitert der erste Versuch. Gelingt der Zugriff doch, endet er an der Segmentgrenze: Das Konto hat keine Rechte auf Server, Backups oder Verwaltungswerkzeuge. Ungewöhnliche Aktivitäten lösen zudem einen Alarm im Sicherheitsteam aus.

Allen drei Szenarien ist gemeinsam, dass Sicherheit nicht an einer Mauer hängt, sondern an vielen kleinen Entscheidungen. Genau das macht die Architektur robust gegen die heute häufigsten Angriffswege.

Was Zero Trust für Führungskräfte bedeutet

Zero Trust ist kein reines IT-Projekt. Es verändert, wie Mitarbeitende arbeiten, wie Dienstleister angebunden werden und wie schnell neue Anwendungen live gehen. Deshalb gehört die Strategie auf die Agenda der Geschäftsleitung.

Formuliere klare Ziele, die sich messen lassen: Anteil der Konten mit phishing-resistenter Anmeldung, Zahl der Anwendungen hinter ZTNA, Anteil segmentierter kritischer Systeme. Solche Kennzahlen machen den Fortschritt sichtbar und erleichtern Budgetentscheidungen.

Ebenso wichtig ist die Kommunikation. Erkläre deinen Teams, warum Zugriffe künftig öfter geprüft werden. Wer versteht, dass das Modell nicht Misstrauen gegenüber Menschen bedeutet, sondern gegenüber technischen Annahmen, akzeptiert zusätzliche Schritte deutlich leichter.

Fazit: Zero Trust ist eine Reise, kein Produkt

Zero Trust beantwortet eine einfache Frage: Wie bleibt dein Unternehmen sicher, wenn es keinen verlässlichen Perimeter mehr gibt? Die Antwort lautet: indem jeder Zugriff geprüft, jedes Recht begrenzt und jeder Einbruch eingeplant wird. Das klingt radikal, ist aber in der Umsetzung ein schrittweiser Umbau.

Starte mit deinen wertvollsten Daten, härte die Identitäten und ersetze pauschale Zugänge durch gezielte. Miss den Fortschritt und kommuniziere ihn. So wird Zero Trust vom Schlagwort zu einer Architektur, die Angreifern das Leben spürbar schwerer macht und deinem Unternehmen mehr Handlungsfreiheit gibt.

Häufige Fragen zu Zero Trust