„Vertraue niemandem" klingt paranoid – und ist trotzdem richtig
Ich gebe zu: „Zero Trust" ist einer dieser IT-Begriffe, die so klingen, als wären sie von einem Marketing-Team erfunden worden. Kein Vertrauen? Niemandem? Das klingt nach einem anstrengenden Arbeitsumfeld.
Aber wenn man sich anschaut, wie die meisten Unternehmensnetzwerke heute funktionieren, wird schnell klar, warum der Ansatz Sinn ergibt. Das klassische Sicherheitsmodell funktioniert wie eine Burg: dicke Mauer drumherum, und wer einmal drin ist, darf sich frei bewegen. Das Problem? Wenn jemand die Mauer überwindet – und das passiert regelmäßig – hat er Zugang zu allem.
80% aller Datenverletzungen nutzen kompromittierte Zugangsdaten. Und wenn ein Angreifer erstmal im Netzwerk ist, bewegt er sich im Durchschnitt 277 Tage lang unentdeckt. Fast zehn Monate. In dieser Zeit hat er Zugriff auf alles, was die kompromittierte Person auch erreichen kann – und oft noch mehr.
Was Zero Trust wirklich bedeutet
Vergessen Sie für einen Moment den Buzzword-Charakter und konzentrieren Sie sich auf den Kerngedanken: Jeder Zugriff wird überprüft. Jedes Mal. Egal, ob der Nutzer im Büro sitzt oder zu Hause, ob er gestern schon verifiziert wurde oder nicht.
Das heißt nicht, dass Ihre Mitarbeiter sich ständig einloggen müssen. Moderne Zero-Trust-Systeme arbeiten im Hintergrund: Sie prüfen nicht nur, wer jemand ist, sondern auch von welchem Gerät er zugreift, zu welcher Uhrzeit, von welchem Standort, und ob sein Verhalten dem Üblichen entspricht. Wenn alles normal aussieht, merkt der Nutzer nichts. Wenn etwas auffällt – etwa ein Login um 3 Uhr nachts aus einem anderen Land – wird automatisch eine zusätzliche Verifikation angefordert.
Dazu kommt das Prinzip der minimalen Rechte: Jeder bekommt nur Zugang zu dem, was er für seine aktuelle Aufgabe braucht. Die Buchhaltung muss nicht auf die Entwicklungsserver zugreifen können. Der Marketingpraktikant braucht keinen Admin-Zugang. Klingt selbstverständlich? Sie wären überrascht, wie viele Unternehmen das anders handhaben.
Warum das für den Mittelstand funktioniert
Wenn ich „Zero Trust" sage, sehe ich oft ein wissendes Nicken, gefolgt von: „Ja, aber das ist doch nur was für Konzerne." Stimmt nicht. Zero Trust lässt sich schrittweise umsetzen, und die ersten Schritte kosten fast nichts.
Nehmen Sie MFA. In Microsoft 365 Business Premium ist Conditional Access bereits enthalten. Sie können damit festlegen, dass Mitarbeiter sich nur von vertrauenswürdigen Geräten anmelden können, dass Logins aus bestimmten Ländern blockiert werden, und dass bei ungewöhnlichem Verhalten automatisch eine zusätzliche Authentifizierung erfolgt. Das einzurichten dauert einen Nachmittag. Die Wirkung ist enorm.
Dann separieren Sie Ihre Admin-Konten von den normalen Benutzerkonten. Viele IT-Verantwortliche nutzen dasselbe Konto für ihre tägliche Arbeit und für die Serveradministration. Das ist, als würde ein Bankdirektor seinen Tresorschlüssel am selben Schlüsselbund tragen wie seinen Haustürschlüssel. Zwei separate Konten zu erstellen dauert fünf Minuten und eliminiert ein erhebliches Risiko.
Im nächsten Schritt kommt die Netzwerksegmentierung. Klingt nach einem Großprojekt, beginnt aber ganz einfach: Gäste-WLAN komplett vom Firmennetzwerk trennen. IoT-Geräte wie Drucker und Kameras in ein eigenes VLAN packen. Server in ein separates Segment. Die meisten modernen Switches und Firewalls können das bereits – es ist eine Frage der Konfiguration, nicht des Budgets.
Der pragmatische Weg: Phase für Phase
In den ersten drei Monaten konzentrieren Sie sich auf die Quick Wins: MFA überall aktivieren, Admin-Konten separieren, einen Passwort-Manager einführen, Conditional Access einrichten. Kosten: minimal. Wirkung: massiv.
In den Monaten vier bis neun legen Sie das Fundament: EDR auf allen Geräten ausrollen, Netzwerk segmentieren, regelmäßige Zugriffs-Reviews einführen. Hier fallen moderate Kosten an – etwa 5-15 Euro pro Gerät im Monat für EDR – aber die Investition lohnt sich.
Ab Monat zehn geht es an die fortgeschrittenen Themen: VPN durch Zero Trust Network Access ersetzen, Data Loss Prevention einführen, zentrales Security-Monitoring aufbauen. Das sind die Maßnahmen, die Sie vom „gut geschützt" zum „professionell geschützt" bringen.
Für ein Unternehmen mit 100 Mitarbeitern rechnen wir mit laufenden Kosten von etwa 2.500-3.000 Euro im Monat, wenn alles ausgerollt ist. Das klingt nach viel, bis man bedenkt, dass ein einziger Sicherheitsvorfall im Durchschnitt 150.000 Euro kostet.
Die häufigsten Einwände – und warum sie nicht stichhaltig sind
„Unsere Mitarbeiter werden das nicht akzeptieren." Das Gegenteil ist der Fall. Moderne Zero-Trust-Lösungen sind oft benutzerfreundlicher als alte VPN-Clients. Und MFA kennt inzwischen jeder vom Online-Banking.
„Wir sind zu klein, um Ziel zu sein." Gerade KMU sind bevorzugte Ziele, weil Angreifer geringeren Widerstand erwarten. Ransomware-Gruppen scannen automatisiert – Ihre Unternehmensgröße ist ihnen egal.
„Unsere IT hat keine Kapazität dafür." Dann ist Managed Security eine Option. Viele Zero-Trust-Komponenten gibt es als Managed Service, bei dem ein externer Partner die Implementierung und den Betrieb übernimmt.
Die Welt hat sich verändert. Ihre Sicherheit sollte es auch.
Mitarbeiter arbeiten von überall. Daten liegen in der Cloud. Die Grenzen Ihres Netzwerks sind verschwommen. Das alte Modell – alles hinter eine Firewall packen und hoffen – funktioniert nicht mehr.
Zero Trust ist keine Modeerscheinung. Es ist die logische Antwort auf die Realität von 2026. Und es beginnt mit einem simplen Schritt: MFA aktivieren. Heute.
*Wo steht Ihr Unternehmen in Sachen Zero Trust? Im kostenlosen Erstgespräch schauen wir gemeinsam hin. Jetzt Termin vereinbaren*
