Zero Trust: Das Ende des Perimeter-Schutzes erklärt

Das traditionelle IT-Sicherheitsmodell geht davon aus, dass alles innerhalb des Firmennetzwerks vertrauenswürdig ist. Zero Trust dreht diesen Ansatz um: Niemand und nichts ist vertrauenswürdig, bis das Gegenteil bewiesen ist.

Warum der alte Ansatz versagt

Klassische Netzwerksicherheit funktioniert wie eine Burg mit einem tiefen Graben: Wer drin ist, darf alles. Das Problem ist, dass Angreifer heute nicht mehr von außen einbrechen, sondern durch Phishing, kompromittierte Zugangsdaten oder Insidernazs direkt von innen agieren.

Homeoffice, Cloud-Dienste und mobile Geräte haben den klassischen Perimeter aufgelöst. Die Daten liegen nicht mehr nur im eigenen Rechenzentrum, sondern in Microsoft 365, AWS, Google Cloud und auf Smartphones weltweit.

Die drei Grundsätze von Zero Trust

Erstens: Verify explicitly. Jeder Zugriff wird jedes Mal vollständig authentifiziert und autorisiert. Gerät, Nutzer, Standort, Uhrzeit und Verhalten fließen in die Entscheidung ein. Zweitens: Use least privilege. Jeder Nutzer und jedes System bekommt nur die Zugriffsrechte, die er für die aktuelle Aufgabe braucht. Drittens: Assume breach. Das System geht davon aus, dass ein Angriff bereits stattfindet, und minimiert den potenziellen Schaden durch Segmentierung und Monitoring.

Zero Trust in der Praxis für KMU

Zero Trust klingt komplex, beginnt aber mit einfachen Maßnahmen: Multi-Faktor-Authentifizierung für alle Zugänge, konsequentes Rechtemanagement nach dem Least-Privilege-Prinzip, und Netzwerksegmentierung, die verhindert, dass sich Schadsoftware im Netzwerk frei ausbreiten kann.

Microsoft Entra ID (früher Azure AD) bietet mit Conditional Access Policies eine leistungsstarke Zero-Trust-Basis für Microsoft-365-Umgebungen. Zugriff wird nur gewährt, wenn Gerät, Nutzer und Kontext als vertrauenswürdig bewertet werden.

Die Umsetzung in Schritten

Zero Trust ist eine Reise, kein Schalter. Beginnen Sie mit der Inventarisierung aller Systeme und Nutzer, richten Sie MFA ein, segmentieren Sie Ihr Netzwerk in kritische und unkritische Bereiche, und führen Sie ein Monitoring-System ein, das Anomalien erkennt.

Zero Trust ohne Großprojekt: die ersten Schritte

• Multi-Faktor-Anmeldung für alle Konten, zuerst für Administratoren und E-Mail.
• Bedingter Zugriff: Anmeldungen nur von verwalteten Geräten oder bekannten Standorten zulassen.
• Administratorrechte trennen: getrennte Konten für Verwaltung und Alltag.
• Zugriffe auf Anwendungen statt auf das ganze Netzwerk freigeben.
• Protokolle zentral sammeln und auffällige Anmeldungen melden lassen.

Was Zero Trust nicht ist

Zero Trust ist kein Produkt, das man kauft und installiert, sondern ein Prinzip: Kein Zugriff wird allein deshalb erlaubt, weil er aus dem Firmennetz kommt. Viele Bausteine sind in kleinen Unternehmen bereits vorhanden, etwa in Microsoft 365 oder in der Firewall, werden aber nicht genutzt. Der Einstieg besteht daher meist darin, vorhandene Funktionen konsequent einzuschalten und sauber zu dokumentieren.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Ein Außendienstmitarbeiter meldet sich aus einem Hotel an. Im klassischen Modell genügt ein Passwort, um über das VPN ins gesamte Firmennetz zu gelangen. Nach dem Zero-Trust-Prinzip wird zusätzlich geprüft, ob die Anmeldung mit einem zweiten Faktor bestätigt ist, ob das Gerät vom Unternehmen verwaltet und aktuell ist und ob der Zugriff zum üblichen Verhalten passt. Erlaubt wird dann nur der Zugriff auf die Anwendungen, die er wirklich braucht, etwa das CRM, nicht aber auf die Buchhaltung oder den Server.

Häufige Missverständnisse

• "Zero Trust heißt, wir misstrauen unseren Mitarbeitenden." Nein, es geht um technische Prüfung jedes Zugriffs, nicht um persönliches Misstrauen.
• "Dafür brauchen wir neue Software." Oft sind die Funktionen in vorhandenen Diensten schon enthalten.
• "Das macht die Arbeit umständlich." Gut eingerichtet bemerken Nutzer kaum etwas, auf bekannten Geräten bleibt die Anmeldung bequem.
• "Das ist ein einmaliges Projekt." Zero Trust ist ein Prinzip, das bei jeder Änderung mitgedacht wird.

Aufwand realistisch einschätzen

Die ersten wirksamen Schritte, also Multi-Faktor-Anmeldung, bedingter Zugriff und getrennte Administratorkonten, sind in kleinen Umgebungen oft in wenigen Tagen umgesetzt. Weitere Bausteine wie die Freigabe einzelner Anwendungen statt ganzer Netzwerke folgen sinnvollerweise dann, wenn ohnehin Änderungen anstehen, etwa beim Umzug in die Cloud.

Kurz zusammengefasst

• Jeder Zugriff wird geprüft, egal ob von innen oder außen.
• Identität, Gerät und Kontext entscheiden über den Zugriff.
• Viele Funktionen sind bereits vorhanden und müssen nur aktiviert werden.
• Schrittweise vorgehen, beginnend mit MFA und Administratorkonten.

Fazit

Zero Trust ist nicht nur ein Buzzword, sondern das richtige Sicherheitsmodell für die moderne Arbeitswelt. KMU können den Ansatz schrittweise umsetzen, ohne von Anfang an massive Investitionen zu tätigen. Der erste Schritt ist der entscheidende.