Lange galt in der IT eine einfache Regel: Wer im Firmennetz ist, gehört dazu. Draußen die Firewall, drinnen Vertrauen. Dieses Modell funktioniert nicht mehr. Beschäftigte arbeiten im Homeoffice, Anwendungen laufen in der Cloud, Dienstleister greifen aus der Ferne zu, und Angreifer kommen meist mit gestohlenen Zugangsdaten, die von innen ganz normal aussehen. Ist ein Angreifer erst einmal im Netz, kann er sich oft ungehindert ausbreiten.
Zero Trust dreht die alte Regel um: Kein Nutzer, kein Gerät und keine Anwendung erhält automatisch Vertrauen, auch nicht im eigenen Netz. Jeder Zugriff wird geprüft, jedes Mal.
In diesem Beitrag erfahren Sie, was Zero Trust bedeutet, welche Prinzipien und Bausteine dazugehören, was BSI und NIST empfehlen, wie sich Zero Trust von VPN unterscheidet und wie Unternehmen Schritt für Schritt einsteigen.
Was ist Zero Trust?
Zero Trust ist ein Sicherheitsmodell, das grundsätzlich keinem Nutzer, Gerät oder Dienst vertraut, unabhängig davon, ob er sich innerhalb oder außerhalb des Firmennetzes befindet. Der Zugriff auf Daten und Anwendungen wird erst erlaubt, nachdem Identität, Gerätezustand und Berechtigung geprüft wurden, und nur so weit, wie es für die Aufgabe nötig ist.
Das BSI beschreibt Zero Trust als Architekturansatz, der aus dem Gedanken „Assume Breach“ entstanden ist, also der Annahme, dass ein Angreifer bereits im Netz sein könnte. Im Kern steht das Prinzip der minimalen Rechte für alle Beteiligten in der gesamten Infrastruktur.
Wichtig: Zero Trust ist kein Produkt, das man kauft und installiert. Es ist ein Leitbild für die Architektur, das sich mit vielen vorhandenen und neuen Werkzeugen umsetzen lässt.
Zero Trust und das klassische Burg-und-Graben-Modell
| Merkmal | Klassischer Perimeterschutz | Zero Trust |
|---|---|---|
| Grundannahme | innen vertrauenswürdig, außen gefährlich | nichts ist automatisch vertrauenswürdig |
| Prüfung | einmal am Netzrand, etwa beim VPN-Login | bei jedem Zugriff, laufend |
| Zugriff | oft auf das ganze Netz | nur auf die benötigte Anwendung |
| Gerät | spielt meist keine Rolle | Zustand des Geräts wird geprüft |
| Folgen eines Einbruchs | Angreifer kann sich frei bewegen | Ausbreitung wird begrenzt |
| Sicht | Fokus auf Datenverkehr am Netzrand | Fokus auf Identitäten, Geräte, Daten und Verbindungen im Inneren |
Das alte Modell scheitert vor allem an einer Stelle: Hat ein Angreifer einmal die Zugangsdaten eines Mitarbeiters erbeutet oder einen Laptop infiziert, gilt er als Insider. Genau darauf bauen Ransomware-Angriffe auf. Wie Angreifer sich nach dem Einstieg im Netz bewegen, beschreiben wir im Beitrag Lateral Movement erkennen.
Die Grundprinzipien von Zero Trust
Aus den Empfehlungen von BSI und der US-Standardisierungsbehörde NIST lassen sich drei Kernprinzipien ableiten:
- Immer prüfen: Jeder Zugriff wird anhand aller verfügbaren Informationen geprüft, etwa Identität, Gerät, Standort, Uhrzeit und Verhalten. Eine einmalige Anmeldung am Morgen genügt nicht.
- Minimale Rechte: Nutzer und Systeme erhalten nur die Rechte, die sie für ihre Aufgabe brauchen, und nur so lange wie nötig.
- Von einem Einbruch ausgehen: Die Architektur wird so gebaut, dass ein erfolgreicher Angriff auf einen kleinen Bereich begrenzt bleibt und schnell auffällt.
Was NIST unter einer Zero-Trust-Architektur versteht
Das US-amerikanische National Institute of Standards and Technology hat mit der Veröffentlichung SP 800-207 im August 2020 die bis heute meistzitierte Beschreibung einer Zero-Trust-Architektur vorgelegt. Danach wird Vertrauen nicht mehr aufgrund des Netzwerkstandorts oder des Eigentums an einem Gerät gewährt. Authentifizierung und Autorisierung erfolgen, bevor eine Verbindung zu einer Ressource aufgebaut wird. Zu den Grundsätzen gehören unter anderem:
- Alle Daten und Dienste gelten als schützenswerte Ressourcen.
- Jede Kommunikation wird abgesichert, egal ob im Firmennetz oder außerhalb.
- Zugriff wird pro Sitzung und pro Ressource gewährt.
- Über den Zugriff entscheidet eine dynamische Richtlinie, die Identität, Gerätezustand und weitere Merkmale berücksichtigt.
- Der Sicherheitszustand aller Geräte wird laufend überwacht.
- Das Unternehmen sammelt möglichst viele Informationen über Geräte, Netz und Verbindungen, um die Sicherheit fortlaufend zu verbessern.
Technisch beschreibt NIST dafür eine zentrale Entscheidungsstelle, die Richtlinien auswertet, und Durchsetzungspunkte vor den Ressourcen, die Verbindungen nur nach positiver Entscheidung zulassen.
Die Bausteine einer Zero-Trust-Architektur
Die US-Behörde CISA gliedert Zero Trust in ihrem Zero Trust Maturity Model in fünf Säulen. Auch das BSI nutzt in seinem Positionspapier ein Modell mit fünf Säulen, das sich teilweise daran anlehnt. Für Unternehmen lassen sich daraus diese Bausteine ableiten:
| Säule | Was dazugehört | Beispiele für Maßnahmen |
|---|---|---|
| Identitäten | Nutzer, Administratoren, Dienstkonten | Multi-Faktor-Authentifizierung, zentrale Identitätsverwaltung, getrennte Admin-Konten, regelmäßige Rechteprüfung |
| Geräte | Laptops, Smartphones, Server | Gerätemanagement, Endpoint Security, Zugriff nur für verwaltete und aktuelle Geräte |
| Netzwerke | Verbindungen zwischen Systemen | Segmentierung, Mikrosegmentierung, verschlüsselte Verbindungen, Zugriff auf Anwendungen statt auf das ganze Netz |
| Anwendungen und Workloads | Fachanwendungen, Cloud-Dienste | Zugriff pro Anwendung, sichere Konfiguration, Prüfung von Schnittstellen |
| Daten | Dokumente, Datenbanken | Klassifizierung, Verschlüsselung, Zugriff nach Bedarf, Schutz vor Abfluss |
Über alle Säulen hinweg braucht es Sichtbarkeit und Auswertung, Automatisierung und klare Verantwortlichkeiten. Ohne Überwachung bleibt Zero Trust ein Regelwerk auf dem Papier.
Identität als neue Außengrenze
Wenn das Netz keine Grenze mehr ist, wird die Identität zur wichtigsten Kontrollstelle. Starke Anmeldung mit Multi-Faktor-Authentifizierung ist deshalb der erste und wirksamste Schritt. Dazu kommen getrennte Konten für Administratoren und die konsequente Entfernung von Rechten, die niemand mehr braucht.
Gerätezustand als Bedingung
Ein Zugriff von einem privaten, nicht verwalteten Gerät ist ein anderes Risiko als einer vom aktuellen Firmenlaptop. Zero Trust bezieht den Gerätezustand in die Entscheidung ein: Ist das Gerät bekannt, aktuell, verschlüsselt, ist der Schutz aktiv? Mehr dazu im Beitrag Was ist Endpoint Security?.
Mikrosegmentierung gegen die Ausbreitung
Im Inneren des Netzes sorgt Mikrosegmentierung dafür, dass Systeme nur die Verbindungen aufbauen dürfen, die sie wirklich brauchen. Ein infizierter Arbeitsplatz kann dann nicht mehr beliebig Server ansprechen. Das ist der Kern von Assume Breach. Die Grundlagen erklären wir im Beitrag Was ist Mikrosegmentierung?, die Begrenzung des internen Datenverkehrs im Beitrag Ost-West-Traffic eingrenzen.
Zero Trust oder VPN?
Ein klassisches VPN verbindet ein Gerät mit dem Firmennetz. Nach der Anmeldung steht oft das ganze Netz offen. Das ist bequem, aber riskant: Mit gestohlenen VPN-Zugangsdaten hat ein Angreifer denselben Zugang wie ein Mitarbeiter, und VPN-Gateways sind selbst ein häufiges Angriffsziel.
Zero Trust Network Access (ZTNA) geht anders vor: Nutzer werden nicht mit dem Netz verbunden, sondern nur mit der einzelnen Anwendung, für die sie berechtigt sind. Identität und Gerätezustand werden bei jedem Zugriff geprüft. Die Anwendungen selbst sind aus dem Internet nicht sichtbar.
| Merkmal | VPN | ZTNA |
|---|---|---|
| Zugriff auf | Netzwerk | einzelne Anwendung |
| Prüfung | bei der Anmeldung | bei jedem Zugriff |
| Gerätezustand | meist nicht geprüft | Teil der Entscheidung |
| Sichtbarkeit der Dienste | Gateway im Internet erreichbar | Anwendungen verborgen |
| Risiko bei gestohlenen Zugangsdaten | hoch | begrenzt |
In der Praxis lösen viele Unternehmen das VPN nicht auf einen Schlag ab, sondern stellen Anwendung für Anwendung um.
Was Zero Trust leistet und was nicht
Das BSI benennt Nutzen und Grenzen klar. Zero Trust verhindert Angriffe nicht vollständig, kann aber das Schadensausmaß deutlich verringern. Der Ansatz schützt vor allem Vertraulichkeit und Integrität von Daten, weniger die Verfügbarkeit. Ein Angriff auf die Erreichbarkeit von Diensten wird durch Zero Trust allein nicht abgewehrt.
Außerdem betont das BSI, dass Zero Trust keine einmalige Investition ist, sondern ein langfristiges Vorhaben, das dauerhaft Personal und Budget braucht. Die Zusammenarbeit von Produkten verschiedener Hersteller ist mangels Standards noch eine Herausforderung. Für Unternehmen bedeutet das: realistisch planen, in Stufen vorgehen und vorhandene Werkzeuge nutzen, statt alles neu zu kaufen.
Warum Zero Trust gerade jetzt wichtig ist
- Angriffe nutzen Identitäten: Gestohlene Zugangsdaten und Phishing sind häufige Einstiegswege. Laut Bitkom-Studie Wirtschaftsschutz 2025 waren 87 Prozent der befragten Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen.
- Ransomware breitet sich im Netz aus: Das Bundeslagebild Cybercrime 2025 weist 1.041 angezeigte Ransomware-Angriffe in Deutschland aus. Je weniger sich ein Angreifer bewegen kann, desto kleiner der Schaden.
- Arbeit findet überall statt: Homeoffice, Cloud und mobile Geräte haben den Netzrand aufgelöst.
- Regulierung verlangt es indirekt: NIS2 fordert in § 30 BSIG unter anderem Zugriffskontrolle, Multi-Faktor-Authentifizierung und die Bewertung der Wirksamkeit von Maßnahmen. Zero Trust ist ein Weg, diese Anforderungen in einer stimmigen Architektur umzusetzen. Mehr dazu im Beitrag NIS2-Richtlinie einfach erklärt.
Zero Trust in Cloud und Microsoft 365
Für viele Unternehmen beginnt Zero Trust ganz praktisch in der Cloud. E-Mail, Dateien und Zusammenarbeit liegen in Microsoft 365 oder vergleichbaren Diensten, die direkt aus dem Internet erreichbar sind. Ein Firmennetz, das davor schützen könnte, gibt es hier nicht. Die Prüfung muss also beim Zugriff selbst stattfinden.
Typische Maßnahmen sind:
- Bedingter Zugriff: Anmeldungen werden nur zugelassen, wenn Bedingungen erfüllt sind, etwa Multi-Faktor-Authentifizierung, ein verwaltetes Gerät oder ein erwarteter Standort.
- Veraltete Anmeldeverfahren abschalten: Protokolle, die keine Multi-Faktor-Authentifizierung unterstützen, sind ein beliebtes Einfallstor.
- Administratorrechte nur auf Zeit: Hohe Rechte werden bei Bedarf und befristet vergeben, nicht dauerhaft.
- Freigaben prüfen: Dateien und Ordner, die nach außen oder an alle im Unternehmen freigegeben sind, regelmäßig kontrollieren.
- Anmeldungen überwachen: Ungewöhnliche Anmeldungen, etwa aus fremden Ländern oder mit unmöglichen Reisezeiten, lösen Alarme aus.
Diese Maßnahmen lassen sich oft mit vorhandenen Lizenzen umsetzen und bringen schnell einen spürbaren Gewinn an Sicherheit. Weitere Hinweise gibt unser Beitrag Was ist Cloud Security?.
Zero Trust in sieben Schritten einführen
Zero Trust wird nicht in einem Projekt umgesetzt, sondern in Etappen. Bewährt hat sich diese Reihenfolge:
- Schutzbedarf klären: Welche Geschäftsprozesse, Daten und Anwendungen sind am wichtigsten? Dort beginnen.
- Bestand erfassen: Alle Nutzer, Geräte, Anwendungen und Verbindungen. Was nicht bekannt ist, kann nicht geschützt werden.
- Identitäten absichern: Multi-Faktor-Authentifizierung für alle, getrennte Admin-Konten, überflüssige Rechte entfernen.
- Geräte einbinden: Gerätemanagement und Endpoint Security, Zugriff nur für verwaltete Geräte.
- Netz segmentieren: Kritische Systeme abschotten, Verbindungen auf das Nötige begrenzen, Schritt für Schritt bis zur Mikrosegmentierung.
- Zugriff auf Anwendungen umstellen: Fernzugriff anwendungsbezogen statt netzweit, beginnend mit den wichtigsten Anwendungen.
- Überwachen und nachschärfen: Zugriffe und Verbindungen auswerten, Auffälligkeiten erkennen, Regeln anpassen, Wirksamkeit regelmäßig testen, etwa mit einem Penetrationstest.
Typische Fehler bei der Einführung
- Zero Trust als Produkt kaufen: Kein einzelnes Werkzeug macht ein Unternehmen zu einer Zero-Trust-Organisation.
- Alles auf einmal wollen: Große Umstellungen scheitern an Komplexität und Widerstand. Besser mit einem klar umrissenen Bereich beginnen.
- Identitäten vergessen: Segmentierung ohne starke Anmeldung lässt die wichtigste Tür offen.
- Dienstkonten und Administratoren ausnehmen: Gerade diese Konten sind das Hauptziel von Angreifern.
- Nutzer nicht mitnehmen: Wenn neue Abläufe die Arbeit unnötig erschweren, entstehen Umgehungen.
- Keine Überwachung: Ohne Auswertung der Zugriffe bleibt unbemerkt, wenn Regeln nicht greifen.
Für welche Unternehmen eignet sich Zero Trust?
Zero Trust ist kein Konzept nur für Konzerne. Die Prinzipien passen für jedes Unternehmen, der Umfang unterscheidet sich:
| Unternehmen | Sinnvoller Einstieg |
|---|---|
| Kleine Unternehmen | Multi-Faktor-Authentifizierung, Gerätemanagement, keine lokalen Adminrechte, Cloud-Zugriff nur von verwalteten Geräten |
| Mittelstand | zusätzlich Segmentierung kritischer Systeme, anwendungsbezogener Fernzugriff, zentrale Überwachung |
| KRITIS, Gesundheitswesen, Industrie | zusätzlich Mikrosegmentierung auch für OT- und Medizingeräte, laufende Auswertung aller Verbindungen |
Praxisbeispiel: Ein Maschinenbauer mit 300 Beschäftigten
Ein Maschinenbauer hat ein flaches Netz: Büro, Produktion und Server sind miteinander verbunden, Fernzugriff läuft über ein VPN, das nach der Anmeldung das gesamte Netz öffnet. Ein Dienstleister wartet die Anlagen über ein eigenes Konto mit weitreichenden Rechten.
In der ersten Etappe führt das Unternehmen Multi-Faktor-Authentifizierung für alle Konten ein und trennt Administratorkonten. In der zweiten werden alle Laptops verwaltet, nur diese dürfen auf Cloud-Dienste zugreifen. In der dritten wird das Netz segmentiert: Produktion, Büro und Server sind getrennt, der Dienstleister erreicht nur noch die Anlagen, die er betreut, und nur nach Freigabe. Ein Jahr später öffnet ein Mitarbeiter einen präparierten Anhang. Der Laptop wird infiziert, doch die Schadsoftware erreicht weder die Server noch die Produktion. Der Vorfall bleibt auf ein Gerät beschränkt.
Zero Trust mit der Deutschen Cyberkom
Wir begleiten Unternehmen auf dem Weg zu Zero Trust, von der Bestandsaufnahme über die Planung bis zur Umsetzung in Etappen. Für die Mikrosegmentierung setzen wir als Partner auf die Plattform Xshield von ColorTokens. Laut ColorTokens wurde das Unternehmen in der Forrester Wave für Microsegmentation Solutions im dritten Quartal 2024 als Leader eingestuft. Xshield macht die Verbindungen im Netz sichtbar und lässt Regeln vor der Durchsetzung testen, auch für OT- und Medizingeräte. Ergänzend unterstützen wir bei Multi-Faktor-Authentifizierung, Endpoint Security und Überwachung. Mehr dazu auf unserer Seite zur Mikrosegmentierung.
Fazit: Vertrauen ist gut, Prüfen ist Pflicht
Zero Trust ersetzt das Vertrauen in den Netzwerkstandort durch eine Prüfung bei jedem Zugriff. Starke Identitäten, geprüfte Geräte, segmentierte Netze und laufende Überwachung sorgen dafür, dass ein einzelner Fehler nicht zum Totalschaden wird. Zero Trust ist ein Weg, kein Produkt: Wer mit den wichtigsten Daten und Anwendungen beginnt und Schritt für Schritt vorgeht, erhöht die Sicherheit spürbar, ohne den Betrieb zu überfordern.
Sie möchten wissen, wo Ihr Unternehmen auf dem Weg zu Zero Trust steht? Wir analysieren Ihre Ausgangslage und zeigen die sinnvollsten ersten Schritte. Jetzt kostenlose Erstberatung buchen.
