Statt einer Burgmauer mit offenem Inneren wird jede Tür einzeln kontrolliert.
Wie funktioniert das Zero-Trust-Prinzip?
Zero Trust ersetzt die alte Vorstellung einer Burgmauer, innerhalb der alles automatisch vertrauenswürdig ist, durch die Regel „nie automatisch vertrauen, immer prüfen“. Jeder Zugriff wird einzeln bewertet, unabhängig davon, ob er aus dem internen Netzwerk oder von aussen kommt.
Nach der offiziellen Definition des amerikanischen Standardisierungsinstituts NIST verschiebt Zero Trust die Verteidigung von statischen, netzwerkbasierten Grenzen hin zu einem Fokus auf Nutzer, Geräte und Ressourcen selbst. In der Praxis bedeutet das: Identität, Gerätezustand, Standort und Risiko fliessen bei jedem Zugriff in eine Entscheidung ein, nicht nur einmal beim Betreten des Netzwerks.
Für wen ist Zero Trust relevant?
Zero Trust ist vor allem für Unternehmen relevant, die Cloud-Dienste nutzen, Homeoffice oder mobile Geräte zulassen und damit keinen klar abgrenzbaren Netzwerkrand mehr haben, also praktisch für die meisten heutigen KMU. Wo Mitarbeitende von überall auf Unternehmensdaten zugreifen, verliert die klassische Firewall-Grenze ihre schützende Wirkung.
Für stark reglementierte Branchen mit hohen Anforderungen an Nachvollziehbarkeit, etwa Luftfahrt, Finanz oder Versicherung, ist Zero Trust darüber hinaus ein zentrales Argument im Audit, weil es zeigt, dass Zugriff nicht pauschal, sondern begründet und dokumentiert gewährt wird.
Wie führen Sie Zero Trust schrittweise ein?
Zero Trust ist kein einzelnes Produkt, sondern ein schrittweiser Umbau. Eine bewährte Reihenfolge sieht so aus.
- Identität als Fundament zuerst: zentrales Verzeichnis, SSO und MFA für alle Konten
- Gerätekonformität als Zugriffsbedingung: nur verwaltete, aktuelle Geräte kommen an sensible Daten
- Zugriff nach Kontext statt pauschal: Conditional Access für Standort, Gerät und Risiko
- Rechte auf das Nötigste begrenzen (Least Privilege) statt dauerhaft weiter Zugriffe zu vergeben
Welche Fehler passieren bei Zero-Trust-Projekten?
Der häufigste Fehler ist, Zero Trust als einmaliges Produkt zu kaufen statt als fortlaufenden Umbau zu verstehen, der Identität, Geräte, Netzwerk und Daten gleichzeitig betrifft. Ebenso häufig wird nur die Technik betrachtet, während Prozesse wie Onboarding, Offboarding und Zugriffs-Reviews unverändert bleiben und die eigentliche Schwachstelle bestehen bleibt.
Drittens wird versucht, alles auf einmal umzusetzen, was Projekte überfordert; sinnvoller ist ein begonnener, aber konsequent fortgesetzter Umbau entlang der Prioritäten Identität, Geräte, dann Netzwerk und Daten.
Worauf sollten Sie bei der Zero-Trust-Umsetzung achten?
Die drei Grundprinzipien nach gängigen Zero-Trust-Rahmenwerken lauten wie folgt.
- Verifizierung ausdrücklich bei jedem Zugriff, nicht nur beim ersten Login (Verify explicitly)
- Rechte konsequent auf das Nötigste begrenzt, zeitlich befristet statt dauerhaft (Least Privilege)
- Kontinuierliche Überwachung nach dem Grundsatz, dass ein Eindringen bereits stattgefunden haben könnte (Assume Breach)
Häufige Fragen
Ist Zero Trust ein Produkt, das man kaufen kann?
Nein. Zero Trust ist ein Sicherheitsprinzip, das über mehrere Bausteine wie Identität, Geräteverwaltung und Zugriffsregeln umgesetzt wird, nicht eine einzelne Software, die man installiert und fertig ist.
Was ist der Unterschied zwischen Zero Trust und einer Firewall?
Eine Firewall kontrolliert die Grenze eines Netzwerks. Zero Trust kontrolliert jeden einzelnen Zugriff, unabhängig davon, ob er von innen oder aussen kommt, und verlässt sich nicht auf eine einzige Grenze.
Was bedeutet Least Privilege im Zero-Trust-Kontext?
Jede Person und jeder Dienst erhält nur die Zugriffsrechte, die für die aktuelle Aufgabe nötig sind, oft zeitlich befristet, statt dauerhaft weiten Zugriff zu behalten.
Ist Zero Trust nur für grosse Unternehmen sinnvoll?
Nein, die Prinzipien lassen sich schrittweise auch in kleinen Unternehmen umsetzen, beginnend mit Identität, SSO und MFA, bevor weitere Bausteine folgen.
Wie lange dauert die Einführung von Zero Trust?
Zero Trust ist ein fortlaufender Umbau statt eines Projekts mit festem Enddatum. Erste, wirksame Schritte wie MFA und Conditional Access lassen sich innerhalb von Wochen umsetzen, der vollständige Umbau über Identität, Geräte, Netzwerk und Daten zieht sich über Monate.
Quellen
- SP 800-207: Zero Trust Architecture, National Institute of Standards and Technology (NIST), 2020
- Zero Trust as a security foundation, Microsoft Learn, 2026