Glossar Zero Trust

Zero Trust ist ein Sicherheitsmodell für IT-Netzwerke, das auf dem Grundsatz „never trust, always verify“ („niemals vertrauen, immer überprüfen“) beruht. Kein Nutzer, kein Gerät und keine Anwendung erhält automatisch Vertrauen – auch dann nicht, wenn sich der Zugriff bereits innerhalb des Firmennetzwerks befindet. Jede Anfrage auf eine Ressource wird stattdessen einzeln authentifiziert, autorisiert und laufend neu bewertet. Zero Trust ersetzt damit die klassische Vorstellung eines vertrauenswürdigen „Innen“ und eines gefährlichen „Außen“ durch eine konsequente, ressourcenbezogene Zugriffskontrolle.

Der Begriff geht auf ein Konzept des Analysten John Kindervag (Forrester Research, 2010) zurück und wurde durch das US-amerikanische NIST in der Publikation SP 800-207 „Zero Trust Architecture“ als Referenzrahmen standardisiert. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) greift Zero Trust in seinen Empfehlungen auf. Häufig verwendete Synonyme sind Zero-Trust-Modell, Zero-Trust-Security oder Zero-Trust-Architektur (ZTA).

Die Kernprinzipien von Zero Trust

Zero Trust ist kein einzelnes Produkt, sondern eine Sicherheitsstrategie, die auf mehreren Grundprinzipien aufsetzt:

• Explizit verifizieren: Jeder Zugriff wird anhand aller verfügbaren Signale geprüft – Identität, Gerätezustand, Standort, Uhrzeit und Sensibilität der angefragten Daten.
• Least Privilege (minimale Rechte): Nutzer und Systeme erhalten nur genau die Berechtigungen, die sie für eine konkrete Aufgabe benötigen – und diese nur so lange wie nötig.
• Kompromittierung annehmen (assume breach): Die Architektur geht davon aus, dass Angreifer bereits im Netzwerk sein könnten. Schäden werden durch Segmentierung und enge Rechtegrenzen eingedämmt.
• Kontinuierliche Überprüfung: Vertrauen ist kein einmaliger Zustand. Sitzungen werden fortlaufend neu bewertet und bei Auffälligkeiten unterbrochen.

Zentrale Komponenten eines Zero-Trust-Modells

In der Praxis stützt sich Zero Trust auf mehrere technische und organisatorische Bausteine, die ineinandergreifen:

• Identität und Multi-Faktor-Authentifizierung (MFA): Die Identität ist der neue Perimeter. Starke Authentifizierung – idealerweise mit Multi-Faktor-Authentifizierung und einem zentralen Identity-Provider – bildet die Grundlage jeder Zugriffsentscheidung.
• Least-Privilege-Berechtigungen: Rollen- und rechtebasierte Zugriffssteuerung (RBAC) sowie Just-in-Time-Zugriffe begrenzen, worauf ein Konto überhaupt zugreifen kann.
• Mikrosegmentierung: Das Netzwerk wird in kleine, voneinander isolierte Zonen unterteilt. So kann sich ein Angreifer nach einem erfolgreichen Zugriff nicht ungehindert seitlich („lateral movement“) ausbreiten.
• Kontinuierliche Verifikation und Monitoring: Geräte-Compliance, Anomalie-Erkennung und Protokollierung – etwa über ein Managed SOC – sorgen dafür, dass verdächtiges Verhalten in Echtzeit auffällt.
• Zero Trust Network Access (ZTNA): ZTNA-Lösungen ersetzen das klassische VPN. Statt eines pauschalen Netzwerkzugangs erhalten Nutzer anwendungsbezogenen Zugriff – strikt an Identität und Kontext gebunden.

Abgrenzung zum klassischen Perimeter-Modell

Traditionelle Sicherheitskonzepte funktionieren nach dem Prinzip „Burg und Burggraben“: Eine Firewall schützt die Netzwerkgrenze, und alles, was einmal drinnen ist, gilt als vertrauenswürdig. Dieses Modell stößt an seine Grenzen, sobald Mitarbeitende im Homeoffice arbeiten, Cloud-Dienste genutzt werden und Geräte von überall zugreifen – denn dann gibt es kein klar definiertes „Innen“ mehr.

Zero Trust dreht die Logik um: Es gibt keine automatisch vertrauenswürdige Zone. Der Schutz verlagert sich von der Netzwerkgrenze auf die einzelne Ressource, den Nutzer und das Gerät. Ein einmal überwundener Perimeter führt damit nicht mehr zum Vollzugriff auf das gesamte Netzwerk. Gerade in hybriden IT-Landschaften mit Cloud-Anwendungen und mobilen Arbeitsplätzen ist dieser Ansatz deutlich tragfähiger.

Zero Trust im Mittelstand umsetzen

Zero Trust lässt sich nicht über Nacht einführen – es ist ein schrittweiser Transformationsprozess. Für mittelständische Unternehmen hat sich ein pragmatisches Vorgehen bewährt:

1. Schützenswerte Ressourcen erfassen: Zunächst klären, welche Daten, Anwendungen und Dienste besonders kritisch sind und wer darauf zugreift.
2. Identitäten konsolidieren und MFA einführen: Ein zentraler Identity-Provider und flächendeckende Multi-Faktor-Authentifizierung sind der wirkungsvollste erste Schritt.
3. Berechtigungen aufräumen (Least Privilege): Übermäßige und historisch gewachsene Rechte reduzieren, Zugriffe rollenbasiert vergeben.
4. Netzwerk segmentieren: Kritische Systeme voneinander isolieren und den internen Datenverkehr kontrollieren.
5. VPN durch ZTNA ablösen: Für Remote-Zugriffe anwendungsbezogene, identitätsgebundene Zugänge etablieren.
6. Kontinuierlich überwachen und nachschärfen: Monitoring, Logging und regelmäßige Überprüfung der Richtlinien fest verankern.

Wichtig ist ein realistischer Fahrplan: Man beginnt mit den größten Risiken und den einfachsten Hebeln (Identität und MFA) und baut das Modell iterativ aus.

Zero Trust als Managed Service – die Einordnung von NetPlans

Als IT-Systemhaus und Managed-Service-Provider begleitet NetPlans mittelständische Unternehmen bei der schrittweisen Einführung von Zero Trust – von der Bestandsaufnahme über Identitäts- und Zugriffsmanagement bis zur laufenden Überwachung im Betrieb. Zero Trust ist dabei kein einmaliges Projekt, sondern ein dauerhafter Prozess, der als Managed Service betreut werden kann. So bleibt die Sicherheitsarchitektur auch bei wachsenden Anforderungen und neuen Bedrohungslagen wirksam. Weitere Grundlagen finden Sie in unserem Bereich IT-Security.

Häufige Fragen zu Zero Trust

Was bedeutet Zero Trust einfach erklärt?

Zero Trust bedeutet, dass grundsätzlich niemandem und keinem Gerät automatisch vertraut wird. Jeder Zugriff auf Daten oder Anwendungen muss einzeln überprüft und autorisiert werden – unabhängig davon, ob die Anfrage von innerhalb oder außerhalb des Firmennetzwerks kommt.

Was heißt „never trust, always verify“?

Der Leitsatz „never trust, always verify“ („niemals vertrauen, immer überprüfen“) ist das Grundprinzip von Zero Trust. Vertrauen wird nicht einmalig gewährt, sondern bei jeder Anfrage anhand von Identität, Gerätezustand und Kontext neu bewertet.

Worin unterscheidet sich Zero Trust vom klassischen Perimeter-Modell?

Das klassische Modell schützt die Netzwerkgrenze und vertraut allem, was sich innerhalb befindet. Zero Trust kennt keine automatisch vertrauenswürdige Zone und verlagert den Schutz auf die einzelne Ressource, den Nutzer und das Gerät.

Ist Zero Trust ein Produkt, das man kaufen kann?

Nein. Zero Trust ist eine Sicherheitsstrategie, kein einzelnes Produkt. Sie wird durch das Zusammenspiel mehrerer Bausteine umgesetzt – etwa Multi-Faktor-Authentifizierung, Least-Privilege-Berechtigungen, Mikrosegmentierung und Zero Trust Network Access (ZTNA).

Ist Zero Trust auch für den Mittelstand geeignet?

Ja. Zero Trust lässt sich skalierbar und schrittweise einführen. Für mittelständische Unternehmen empfiehlt sich der Start bei Identität und MFA, gefolgt von der Bereinigung von Berechtigungen und der Segmentierung kritischer Systeme.

Was ist Zero Trust Network Access (ZTNA)?

ZTNA ist ein Baustein von Zero Trust, der das klassische VPN ersetzt. Statt pauschalem Netzwerkzugang erhalten Nutzer ausschließlich anwendungsbezogenen Zugriff, der strikt an Identität und Kontext gebunden ist.