Was bedeutet Zero Trust?
Klassische Netze funktionieren wie eine Burg: Wer die Mauer überwunden hat, etwa per VPN oder als Gerät im Büro, gilt als vertrauenswürdig. Genau das nutzen Angreifer. Ein einziges gestohlenes Passwort oder ein infiziertes Notebook genügt, um sich im Netz seitlich zu bewegen und bis zu Servern und Backups vorzudringen.
Zero Trust dreht diese Annahme um. Der Standort im Netz begründet kein Vertrauen, jeder Zugriff auf eine Ressource wird einzeln geprüft und nur für diese Ressource erlaubt. Der Referenztext ist NIST SP 800-207 von 2020. Das BSI hat 2023 ein Positionspapier zu Zero Trust veröffentlicht. Es hält zwei Punkte fest, die in Herstellerunterlagen gern fehlen: Zero Trust schützt vor allem Vertraulichkeit und Integrität, nicht die Verfügbarkeit, und es ist keine Einmalinvestition, sondern ein langfristiges Vorhaben. Praktische Umsetzungen zeigt NIST seit Juni 2025 im Leitfaden SP 1800-35 mit 19 Beispielarchitekturen. Zero Trust ist also eine Architektur und ein Betriebsmodell. Kaufen kann man nur die Bausteine.
Für die Mitarbeitenden ändert sich bei guter Umsetzung weniger als befürchtet. Sie melden sich einmal mit MFA an und erreichen ihre Anwendungen, egal ob im Büro, im Homeoffice oder beim Kunden. Was sich ändert, sieht vor allem die IT: Zugriffe sind an Rollen gebunden, Geräte müssen bestimmte Mindestanforderungen erfüllen, und das Netz kennt keine Bereiche mehr, in denen alles erlaubt ist.
Die Grundprinzipien von Zero Trust
NIST SP 800-207 formuliert sieben Grundsätze, das BSI stellt „Assume Breach“ und minimale Rechte in den Mittelpunkt. Für die Praxis lassen sie sich so zusammenfassen:
- Explizit prüfen: Jede Anmeldung und jeder Zugriff wird anhand aller verfügbaren Signale bewertet: wer, mit welchem Gerät, von wo, zu welcher Zeit, auf welche Daten.
- Minimale Rechte: Zugriff nur auf das, was für die Aufgabe nötig ist, möglichst zeitlich begrenzt. Administratorrechte nur bei Bedarf und mit eigenem Konto.
- Von einem Einbruch ausgehen: Das Netz so bauen, dass ein übernommenes Gerät möglichst wenig erreicht. Segmentierung und Überwachung begrenzen den Schaden.
- Pro Sitzung entscheiden: Vertrauen gilt für eine Sitzung und eine Ressource, nicht dauerhaft. Ändert sich der Gerätezustand, ändert sich die Entscheidung.
- Jede Verbindung absichern: Verschlüsselung und Authentisierung gelten auch im internen Netz, nicht nur auf dem Weg ins Internet.
- Alles protokollieren: Zugriffe, Entscheidungen und Auffälligkeiten werden zentral erfasst und ausgewertet, um Richtlinien laufend zu verbessern.
Technisch beschreibt NIST dafür eine Entscheidungsinstanz (Policy Engine und Policy Administrator) und Durchsetzungspunkte (Policy Enforcement Points), die jeden Zugriff zwischen Nutzer und Ressource vermitteln. In der Praxis übernehmen Identitätsdienst, Firewall, ZTNA-Gateway und Netzwerkzugangskontrolle diese Rollen gemeinsam.
Welche Bausteine gehören zu einer Zero-Trust-Architektur?
| Baustein | Aufgabe | Typische Technik |
|---|---|---|
| Identität | Eindeutige, starke Anmeldung für Menschen und Dienste | Zentraler Verzeichnisdienst, Single Sign-on, phishingresistente MFA mit FIDO2, getrennte Admin-Konten |
| Gerätezustand | Nur verwaltete, aktuelle und geschützte Geräte erhalten Zugriff | Geräteverwaltung (MDM), Endpunktschutz (EDR), Gerätezertifikate, Compliance-Prüfung |
| Segmentierung | Seitliche Bewegung im Netz verhindern | VLANs, Firewall zwischen Zonen, Mikrosegmentierung, Netzwerkzugangskontrolle (NAC) |
| Anwendungszugriff | Zugriff auf einzelne Anwendungen statt auf ganze Netze | ZTNA, Reverse Proxy mit Anmeldung, Jump-Host für die Administration |
| Daten | Wissen, wo schützenswerte Daten liegen und wer sie braucht | Klassifizierung, Verschlüsselung, Rechtekonzept |
| Protokollierung und Analyse | Auffälligkeiten erkennen, Entscheidungen nachvollziehen | Zentrales Log-Management oder SIEM, Alarmierung |
Die Identität ist der wichtigste Baustein, weil alle anderen darauf aufbauen. Wie Sie MFA ohne Widerstand im Haus einführen, beschreibt MFA im Unternehmen einführen. Wann sich eine Netzwerkzugangskontrolle lohnt, erklärt der Ratgeber NAC: wann lohnt sich das?.
Fahrplan: Zero Trust in fünf Etappen einführen
Die folgenden Etappen sind ein Beispiel mit typischen Werten für ein Unternehmen mit 100 bis 500 Arbeitsplätzen. Sie überlappen sich, und nicht jede muss vollständig abgeschlossen sein, bevor die nächste beginnt.
- Bestandsaufnahme und Schutzbedarf (1 bis 3 Monate): Welche Anwendungen, Daten, Konten und Geräte gibt es, wer greift worauf zu, welche Zugriffe sind kritisch? Ergebnis ist eine priorisierte Liste von Schutzbereichen.
- Identitäten härten (2 bis 6 Monate): ein zentrales Verzeichnis, MFA für alle Fernzugriffe und Administratoren, getrennte Admin-Konten, Bereinigung verwaister Konten und Gruppen. Diese Etappe bringt im Verhältnis zum Aufwand den größten Sicherheitsgewinn.
- Geräte und Segmentierung (3 bis 9 Monate): nur verwaltete Geräte an zentralen Anwendungen, das Netz in Zonen teilen (Clients, Server, Verwaltung, Produktion, Gäste) und Firewall-Regeln zwischen den Zonen.
- Anwendungsbezogener Zugriff (6 bis 12 Monate): Fernzugriff schrittweise von VPN auf ZTNA umstellen, beginnend mit Webanwendungen und externen Dienstleistern. Details im Vergleich ZTNA oder VPN.
- Überwachen und verfeinern (laufend): zentrale Protokollierung, Alarmregeln, regelmäßige Überprüfung der Rechte und Penetrationstests, die zeigen, ob die Segmentierung hält.
Insgesamt sind 12 bis 36 Monate realistisch. Wichtiger als das Tempo ist, dass jede Etappe für sich einen messbaren Gewinn bringt. Zur Selbsteinschätzung eignet sich das Zero Trust Maturity Model der US-Behörde CISA (Version 2.0) mit den fünf Säulen Identität, Geräte, Netze, Anwendungen und Workloads sowie Daten.
Beispiel mit typischen Werten: Ein externer Wartungsdienstleister betreut das Warenwirtschaftssystem. Bisher hatte er ein dauerhaftes VPN-Konto mit Zugriff auf das gesamte Servernetz. Nach der Umstellung erhält er über ZTNA Zugriff auf einen einzigen Jump-Host, nur nach Freigabe für ein Zeitfenster, mit MFA und persönlichem Konto. Jede Sitzung wird protokolliert. Steht die ZTNA-Plattform bereits, ist diese Umstellung eine Sache weniger Tage. Ein gestohlenes Dienstleisterkonto öffnet danach nicht mehr das ganze Netz.
Woran Sie den Fortschritt messen
Zero Trust ist nie fertig. Damit Fortschritt sichtbar wird, eignen sich wenige, regelmäßig erhobene Kennzahlen, die auch die Geschäftsleitung versteht:
- Anteil der Konten mit MFA, getrennt nach Mitarbeitenden, Administratoren und Dienstleistern.
- Zahl der Konten mit dauerhaften Administratorrechten.
- Anteil der verwalteten Geräte, die die Mindestanforderungen erfüllen.
- Zahl der Firewall-Regeln, die ganze Netze oder alle Dienste freigeben.
- Anteil der Anwendungen, die nur noch über anwendungsbezogenen Zugriff erreichbar sind.
- Befunde aus dem letzten Penetrationstest zu seitlicher Bewegung und Rechteausweitung.
Erheben Sie die Werte zu Beginn als Ausgangslage und danach vierteljährlich. So sehen Sie, welche Etappe wirkt und wo nachgesteuert werden muss.
Typische Fehler bei der Einführung
- Zero Trust wird als Produkt gekauft. Ein Hersteller verspricht alles aus einer Hand, doch ohne Bestandsaufnahme, Rollenmodell und Betrieb bleibt es beim Etikett.
- Alles soll auf einmal kommen. Großprojekte über alle Bereiche scheitern an Komplexität und Widerstand. Beginnen Sie mit einem klar abgegrenzten Schutzbereich.
- Die Identitäten werden unterschätzt. Wer ZTNA einführt, aber schwache Passwörter, gemeinsame Konten und dauerhafte Adminrechte behält, verlagert das Problem nur.
- Altsysteme werden vergessen. Maschinensteuerungen, Drucker und ältere Fachanwendungen können oft keine moderne Anmeldung. Sie brauchen eigene Netzsegmente und kontrollierte Zugänge, für Produktionsumgebungen siehe OT-Sicherheit in der Produktion.
- Die Nutzer werden nicht mitgenommen. Zu viele MFA-Abfragen oder blockierte Arbeitsabläufe führen zu Umgehungen. Testen Sie Richtlinien vorher mit Pilotgruppen.
- Niemand wertet die Protokolle aus. Dann bemerkt auch niemand, wenn eine erlaubte Identität missbraucht wird.
Zero Trust und NIS2
NIS2 schreibt Zero Trust nicht vor. Mehrere Pflichten aus § 30 Abs. 2 BSIG lassen sich damit aber strukturiert erfüllen: Konzepte für die Zugriffskontrolle und die Verwaltung von IKT-Systemen (Nr. 9), Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung (Nr. 10) und die Bewertung der Wirksamkeit von Maßnahmen (Nr. 6). Die zentrale Protokollierung hilft außerdem, Vorfälle früh zu erkennen und die Meldefristen nach § 32 BSIG einzuhalten. Einen Überblick über alle Pflichten gibt unser Beitrag zu den NIS2-Risikomanagementmaßnahmen. Dieser Artikel ersetzt keine Rechtsberatung.
Wie Unite2Link Sie unterstützt
Unser Team plant Zero-Trust-Architekturen herstellerneutral und setzt sie um: Bestandsaufnahme, Rollen- und Rechtekonzept, MFA, Segmentierung mit Firewalls und VLANs, sicherer Fernzugriff und Protokollierung. Zertifiziert ist unser Team für WatchGuard, HPE Aruba und HPE Juniper Mist. Fortinet und Check Point setzen wir ebenso ein. Ob die Segmentierung hält, prüfen wir abschließend mit einem Penetrationstest. Mehr zu unseren Leistungen in der IT-Sicherheit.