Zero Trust einführen im Mittelstand: Ein 6-Monats-Fahrplan

Key Takeaways

• Zero Trust ist ein Architekturprinzip, kein Produkt — es lässt sich schrittweise einführen
• Identity-First ist der pragmatischste Einstieg: starke Authentifizierung vor allem anderen
• Microsoft Entra ID / Conditional Access deckt viele Zero-Trust-Grundlagen bei bestehenden M365-Lizenzen ab
• Der vollständige Umbau dauert 12 bis 24 Monate; die wirksamsten Maßnahmen sind in 6 Monaten umsetzbar
• Zero Trust adressiert mehrere NIS-2-Anforderungen gleichzeitig und macht sich damit doppelt bezahlt

---

Was Zero Trust wirklich bedeutet

Zero Trust ist seit Jahren ein Buzzword in der Sicherheitsbranche. Viele Anbieter vermarkten einzelne Produkte als „Zero-Trust-Lösung" — was konzeptionell irreführend ist, weil Zero Trust kein Produkt ist, sondern ein Sicherheitsprinzip.

Das Kernprinzip lautet: Never trust, always verify. Kein Benutzer, kein Gerät und kein Netzwerksegment wird automatisch als vertrauenswürdig eingestuft, nur weil es sich physisch oder logisch intern befindet. Jede Zugriffsanfrage wird explizit geprüft — anhand von Identität, Gerätezustand, Kontext und Angemessenheit des Zugriffs.

Google hat dieses Prinzip mit BeyondCorp 2011 erstmals in großem Maßstab eingeführt und die Architektur später veröffentlicht. Die Erkenntnis: In einer Welt mit mobilen Mitarbeitern, Cloud-Diensten und kompromittierten Netzwerken ist der Netzwerkperimeter als Vertrauensgrenze obsolet.

Für den Mittelstand bedeutet Zero Trust nicht: alles neu kaufen. Es bedeutet: schrittweise Kontrollen einführen, die auf expliziter Verifikation statt auf implizitem Vertrauen basieren.

---

Die drei Säulen von Zero Trust

Säule 1: Identity — Wer bist du?

Identität ist die neue Sicherheitsgrenze. Bevor ein Benutzer auf eine Ressource zugreifen kann, muss seine Identität stark authentifiziert sein. Das umfasst:

• Multi-Faktor-Authentifizierung für alle Zugänge (nicht nur privilegierte)
• Conditional Access: Kontext wird bei der Authentifizierung bewertet (Gerätezustand, Standort, Risikolevel)
• Identitätsgovernance: regelmäßige Überprüfung von Benutzerkonten, Rechten und Dienstkonten
• Single Sign-On: zentralisierte Identitätsverwaltung statt Passwort-Silos

Säule 2: Device — In welchem Zustand ist dein Gerät?

Ein valides Benutzerkonto auf einem infizierten Gerät ist kein sicherer Zugang. Zero Trust überprüft den Gerätezustand bei jeder Zugriffsanfrage:

• Ist das Gerät bekannt und registriert (MDM/Intune)?
• Ist das Betriebssystem aktuell gepatcht?
• Läuft Endpunkt-Schutz und ist er aktuell?
• Ist das Gerät verschlüsselt?

Geräte, die diese Anforderungen nicht erfüllen, erhalten keinen oder nur eingeschränkten Zugriff.

Säule 3: Access — Was brauchst du wirklich?

Least Privilege: Jede Person und jeder Prozess erhält nur die minimalen Rechte, die für die konkrete Aufgabe erforderlich sind. Just-in-Time-Access für privilegierte Konten: Administratorrechte werden nur für die Dauer der tatsächlichen Nutzung vergeben, danach automatisch entzogen.

---

Der 6-Monats-Fahrplan

Monat 1: Bestandsaufnahme und Schwachstellenanalyse

Identitäten inventarisieren:

• Alle Benutzerkonten (aktive, inaktive, Dienstkonten, geteilte Konten) erfassen
• Privilegierte Konten identifizieren
• Accounts ohne MFA auflisten

Geräte inventarisieren:

• Alle verwalteten und nicht verwalteten Geräte mit Netzwerkzugang erfassen
• Betriebssystem-Patch-Status erheben
• Nicht inventarisierte Geräte (Shadow-IT) identifizieren

Anwendungen inventarisieren:

• Welche Anwendungen werden genutzt? Wo sind sie gehostet (Cloud/on-premises)?
• Welche Anwendungen sind von extern erreichbar?

Ergebnis: Eine priorisierte Risikoliste, die zeigt, wo Identity und Device Controls am dringendsten fehlen.

Monat 2: Identity-First — MFA vollständig ausrollen

Das ist die einzelne wirksamste Zero-Trust-Maßnahme, die Sie in kurzer Zeit umsetzen können.

Für Microsoft-365-Umgebungen (Microsoft Entra ID / Azure AD):

1. Security Defaults aktivieren (kostenlos, erzwingt MFA für alle Benutzer und privilegierten Konten)
2. Conditional Access Policies konfigurieren (erfordert P1-Lizenz):
   • Zugriff von unbekannten Geräten erfordert MFA
   • Zugriff aus riskanten Standorten wird blockiert oder mit stärkerem MFA gesichert
   • Veraltete Authentifizierungsprotokolle (Basic Auth, NTLM für Exchange) blockieren

Für Nicht-Microsoft-Umgebungen: Lösungen wie Authentik (Open Source) oder Keycloak bieten Identity-Provider-Funktionen mit Conditional Access auch für gemischte Umgebungen.

Zeitbedarf: 2–4 Wochen für einen strukturierten Rollout inkl. Pilotgruppe, Kommunikation und Support.

Monat 3: Device Compliance einführen

Mobile Device Management (MDM) ausrollen: Microsoft Intune (in den meisten M365 Business/Enterprise-Plänen inklusive) ermöglicht die Verwaltung und Compliance-Prüfung von Windows-, iOS- und Android-Geräten.

Compliance-Richtlinien definieren:

• Mindest-Betriebssystemversion
• Aktiviertes BitLocker / Geräteverschlüsselung
• Aktiver Endpoint-Schutz
• Kein Rooting/Jailbreak

Conditional Access mit Device Compliance verknüpfen: Zugriff auf Unternehmensanwendungen (E-Mail, SharePoint, interne Apps) nur von compliant registrierten Geräten. Nicht registrierte Geräte erhalten keinen Zugriff oder werden auf begrenzte Ressourcen beschränkt (z. B. nur webbasierter Zugriff ohne Download-Rechte).

Zeitbedarf: 4–6 Wochen, abhängig von der Gerätezahl und dem Mix aus Windows/Mobile-Geräten.

Monat 4: Netzwerk-Mikrosegmentierung

Klassische Netzwerksicherheit schützt den Perimeter. Zero Trust schützt lateral — also die Ausbreitung innerhalb des Netzes.

Maßnahmen:

• VLANs für Serverprozess-, Arbeitsplatz- und Produktionsnetz einführen oder optimieren
• East-West-Firewallregeln: Nur explizit erlaubter Traffic zwischen Segmenten
• Zero-Trust-Network-Access (ZTNA) als VPN-Ersatz evaluieren: Tools wie Tailscale, Cloudflare Access oder Zscaler ersetzen das klassische VPN durch applikationsspezifischen Zugang

Der letzte Punkt ist besonders relevant: Ein ZTNA-Dienst gewährt Zugriff genau auf die Anwendung, die der Benutzer benötigt — nicht auf das interne Netz als Ganzes. Lateral Movement wird damit strukturell erschwert.

Monat 5: Privileged Access Management (PAM)

Privilegierte Konten sind das häufigste Endziel bei Angriffen. Just-in-Time-Access und PAM sind Zero-Trust-Mechanismen für diese Konten:

Maßnahmen:

• Privileged Identity Management (PIM) in Microsoft Entra ID: Administratorrechte werden auf Anfrage für definierte Zeiträume vergeben — nicht dauerhaft
• Dedicated Admin Workstations (DAW): Administrative Tätigkeiten nur von dedizierten, gehärteten Geräten
• Alle privilegierten Sitzungen werden geloggt und aufgezeichnet (Session Recording)

Zeitbedarf: 2–3 Wochen für PIM-Rollout; DAW ist ein Prozessthema, das parallel zur Technik eingeführt wird.

Monat 6: Monitoring und kontinuierliche Verifikation

Zero Trust endet nicht bei Zugangskontrolle. Kontinuierliche Verifikation bedeutet, dass auch nach der Authentifizierung das Verhalten überwacht wird:

User and Entity Behavior Analytics (UEBA): Abweichungen vom normalen Nutzungsverhalten — ungewöhnliche Zugriffszeiten, ungewöhnlich hohe Datentransfers, Zugriff auf ungewöhnliche Ressourcen — werden erkannt und alarmiert.

SIEM-Integration: Alle Identity-Events (Anmeldungen, MFA-Failures, Conditional-Access-Blockierungen), Device-Compliance-Events und Netzwerkereignisse fließen in das SIEM ein. Korrelationsregeln erkennen Angriffsmuster.

Vyrex Node-Agents und das Managed SIEM unterstützen diesen letzten Schritt: Kontinuierliche Überwachung auf Basis von Wazuh, betrieben in deutschen Rechenzentren, mit deutschsprachigen Analysten. Mehr Details zu /products/node und /leistungen/soc-as-a-service.

---

Kosten und Realismus

Ein vollständiger Zero-Trust-Umbau ist kein 6-Monats-Projekt. Der oben beschriebene Fahrplan bringt Sie zu einem soliden Zero-Trust-Fundament — die Verfeinerung (granulares Least Privilege, vollständiges UEBA, komplettes PAM) dauert erfahrungsgemäß 12 bis 24 Monate.

Wichtig für die Budgetplanung: Die meisten Kernmaßnahmen sind mit vorhandenen Microsoft-365-Lizenzen (Business Premium, E3/E5) umsetzbar. Entra ID P1 (Conditional Access) ist in M365 Business Premium enthalten. Microsoft Intune ebenfalls. Der Hauptaufwand ist Implementierungszeit, nicht neue Lizenzen.

Ergänzend lohnt der Blick auf Active Directory absichern: 10 Schritte gegen Lateral Movement — viele AD-Härtungsmaßnahmen sind direkte Zero-Trust-Enabler.

---

Zero Trust und NIS-2: Synergien nutzen

Zero Trust adressiert mehrere NIS-2-Anforderungen gleichzeitig:

Zero-Trust-Maßnahme	NIS-2-Anforderung (Art. 21)
MFA + Conditional Access	Abs. 2 lit. i — Zugangskontrolle
Device Compliance	Abs. 2 lit. e — Sicherheit in Entwicklung/Betrieb
Netzwerksegmentierung	Abs. 2 lit. e
PAM / Just-in-Time	Abs. 2 lit. i
SIEM + UEBA	Abs. 2 lit. b — Incident Management
Session Recording	Abs. 2 lit. b

Ein Zero-Trust-Programm ist damit auch ein effektives NIS-2-Compliance-Programm — ohne separate parallele Projekte. Mehr zur NIS-2-Anforderungsstruktur: NIS-2 Checkliste 2026: 10 Fragen zur Compliance.

---

FAQ

Was bedeutet Zero Trust konkret für ein mittelständisches Unternehmen? Zero Trust bedeutet: Kein Netzwerksegment, Gerät oder Benutzer wird automatisch als vertrauenswürdig eingestuft — unabhängig davon, ob er sich intern oder extern im Netz befindet. Jede Zugriffsanfrage wird explizit geprüft: Wer fragt an? Von welchem Gerät? In welchem Sicherheitszustand befindet sich das Gerät? Ist der Zugriff für den Zweck angemessen?

Brauche ich teure Enterprise-Software für Zero Trust? Nein. Zero Trust ist ein Prinzip, keine Produktkategorie. Viele Kernelemente sind mit vorhandenen Microsoft-365-Lizenzen (Conditional Access, Entra ID) oder Open-Source-Lösungen (Authentik, Keycloak) umsetzbar. Der Hauptaufwand liegt in Prozessen und Architektur, nicht in Lizenzen.

Wie unterscheidet sich Zero Trust von VPN? Ein klassisches VPN gewährt nach erfolgreicher Authentifizierung breiten Netzwerkzugang. Zero Trust gewährt stattdessen granularen Zugriff nur auf die konkret benötigte Anwendung oder den Dienst — nicht auf das gesamte interne Netz. Lateral Movement nach einer Kompromittierung ist damit erheblich eingeschränkt.

Ist Zero Trust mit NIS-2 vereinbar? Zero Trust unterstützt mehrere NIS-2-Anforderungen gleichzeitig: Zugangskontrolle (Art. 21 Abs. 2 lit. i), Netzwerksicherheit, Schwachstellenmanagement und Incident-Erkennung. Eine vollständige Zero-Trust-Architektur ist kein NIS-2-Ersatz, aber ein starkes technisches Fundament für Compliance.

Was ist der häufigste Fehler bei Zero-Trust-Einführungen? Der häufigste Fehler ist, Zero Trust als Technologie-Projekt zu behandeln — ein Tool kaufen, ausrollen, fertig. Zero Trust ist ein Architekturprinzip, das Prozesse, Governance und Kultur verändert. Unternehmen, die mit Identity-First beginnen und schrittweise vorgehen, haben deutlich bessere Erfolgschancen als solche, die alles auf einmal umbauen wollen.

---

Möchten Sie Ihren Zero-Trust-Reifegrad bewerten lassen? Fordern Sie einen kostenlosen Security-Check an oder sprechen Sie direkt mit unserem Team.