Zero Trust
Sicherheitsstrategie nach dem Prinzip 'Never trust, always verify' — jeder Zugriff wird unabhängig vom Standort authentifiziert und autorisiert.
Zero Trust ist ein Sicherheitsmodell, das auf dem Grundsatz basiert, keinem Nutzer, Gerät oder Netzwerkbereich automatisch zu vertrauen. Jeder Zugriff — ob intern oder extern — wird kontinuierlich verifiziert. Das NIST SP 800-207 Framework definiert die Referenzarchitektur, an der sich die meisten Implementierungen orientieren.
Warum der Perimeter-Ansatz nicht mehr reicht
Das klassische Sicherheitsmodell trennt zwischen 'innen' (vertrauenswürdig) und 'außen' (nicht vertrauenswürdig). In einer Welt mit Cloud-Diensten, Remote-Arbeit und hybriden Infrastrukturen gibt es diesen klaren Perimeter nicht mehr. Mitarbeitende greifen von privaten Geräten auf Microsoft 365 zu, Anwendungen laufen verteilt über mehrere Cloud-Plattformen und Zulieferer benötigen Zugang zu internen Systemen. Ein Angreifer, der den Perimeter einmal überwindet — etwa durch Phishing — hat im klassischen Modell freie Bewegung im internen Netzwerk. Zero Trust eliminiert dieses Grundproblem, indem es jedem einzelnen Zugriff die gleiche Prüfung unterzieht.
Die fünf Säulen
Zero Trust ruht auf fünf Säulen: Identity Verification (MFA, Conditional Access), Device Trust (Gerätecompliance, EDR-Integration), Network Segmentation (Mikrosegmentierung, SDP), Application Security (API-Absicherung, Service Mesh) und Data Protection (DLP, Verschlüsselung, Classification).
Diese Säulen sind keine isolierten Projekte, sondern greifen ineinander. Conditional-Access-Richtlinien können beispielsweise den Zugriff nicht nur an die Identität, sondern auch an den Gerätestatus knüpfen: Ein Nutzer mit gültigem MFA-Token erhält nur dann Zugriff, wenn sein Gerät aktuell gepatcht ist und eine aktive EDR-Lösung läuft. Diese Kombination aus Identitäts- und Geräteprüfung bildet das Fundament jeder Zero-Trust-Architektur.
Umsetzung in der Praxis
Zero Trust wird schrittweise eingeführt. Typischerweise beginnt man mit Identity (MFA für alle Nutzer, Conditional Access) und Device Trust (EDR, Gerätecompliance), da diese den größten sofortigen Sicherheitsgewinn bieten. Netzwerksegmentierung und Application Security folgen in späteren Phasen.
Ein pragmatischer Fahrplan für den Mittelstand sieht in der Praxis so aus: In der ersten Phase wird MFA für alle Nutzer aktiviert und Conditional Access in Microsoft Entra ID konfiguriert. In der zweiten Phase folgt die Gerätecompliance — nur verwaltete und aktuell gepatchte Geräte erhalten Zugriff auf Unternehmensressourcen. Die dritte Phase umfasst Mikrosegmentierung des Netzwerks, um Lateral Movement einzuschränken. Und die vierte Phase adressiert die Absicherung privilegierter Konten über PAM und das Tiering-Modell.
Zero Trust und Compliance
Zero Trust ist nicht nur eine technische Strategie, sondern unterstützt auch regulatorische Anforderungen. Die NIS2-Richtlinie fordert explizit Zugangskontrollen und Netzwerksegmentierung. ISO 27001 verlangt eine systematische Zugriffssteuerung. Und der BSI IT-Grundschutz empfiehlt Maßnahmen, die sich direkt auf die Zero-Trust-Säulen abbilden lassen. Wer Zero Trust konsequent umsetzt, erfüllt damit gleichzeitig zentrale Compliance-Anforderungen.
Relevanz für KMUs
Zero Trust klingt nach Enterprise-Architektur, ist aber auch für den Mittelstand umsetzbar. Die meisten KMUs nutzen bereits Microsoft 365 und Entra ID — die Grundbausteine für Conditional Access und MFA sind also vorhanden. Der häufigste Fehler in der Praxis ist, MFA nur für Administratoren zu aktivieren statt für alle Nutzer. Schon dieser eine Schritt schließt den häufigsten Angriffsvektor — kompromittierte Zugangsdaten — erheblich.