Zero Trust: Was das Sicherheitsmodell für den Mittelstand bedeutet

Warum das alte Sicherheitsdenken nicht mehr funktioniert

Jahrzehntelang funktionierte IT-Sicherheit wie eine Burg: Innen, im Firmennetz, war alles vertrauenswürdig. Außen war die Gefahr. Eine Firewall bewachte den Übergang, und wer einmal drin war, durfte sich frei bewegen.

Dieses Modell ist überholt. Mitarbeitende arbeiten aus dem Homeoffice, unterwegs und mit dem Handy. Daten liegen nicht mehr auf dem Server im Keller, sondern in Microsoft 365, in der Cloud, bei Dienstleistern. Es gibt kein klares „innen” und „außen” mehr. Und die gefährlichste Bedrohung kommt heute oft nicht von außen, sondern über ein gestohlenes Passwort – jemand, der von innen aussieht, es aber nicht ist. Mit verwalteten Geräten aus einer zentralen Geräteverwaltung lässt sich der erste Schritt sofort umsetzen.

Genau hier setzt Zero Trust an.

Das Prinzip: vertraue niemandem, prüfe alles

Zero Trust dreht die Grundannahme um. Statt „innen ist sicher” gilt: Niemand ist automatisch vertrauenswürdig – auch nicht im eigenen Netz. Jeder Zugriff auf Daten oder Anwendungen wird einzeln geprüft, jedes Mal aufs Neue. Der Leitsatz lautet „never trust, always verify”.

Konkret heißt das: Wenn eine Mitarbeiterin auf eine Datei zugreifen will, fragt das System nicht nur „Ist das ein Firmenkonto?”, sondern: Ist die Identität mit einem zweiten Faktor bestätigt? Ist das Gerät bekannt, aktuell und verschlüsselt? Passt der Standort? Und braucht diese Person diesen Zugriff überhaupt für ihre Arbeit?

Die drei Säulen von Zero Trust

1. Identität streng prüfen. Das Passwort allein reicht nicht. Multi-Faktor-Authentifizierung (MFA) ist Pflicht, denn sie macht ein gestohlenes Passwort wertlos. Ergänzend prüfen Regeln wie Conditional Access, ob ein Anmeldeversuch plausibel ist.

2. Geräte kontrollieren. Nur bekannte, verwaltete und aktuell gehaltene Geräte bekommen Zugriff. Ein privater, ungepatchter Laptop wird nicht behandelt wie ein zentral verwaltetes Firmennotebook.

3. Berechtigungen begrenzen. Jeder bekommt genau die Rechte, die er für seine Aufgabe braucht – nicht mehr. So bleibt der Schaden begrenzt, falls ein Konto doch einmal kompromittiert wird. Fachlich heißt das „Prinzip der minimalen Rechte”.

Wie der Mittelstand mit Zero Trust anfängt

Zero Trust klingt nach einem Großprojekt, ist aber vor allem eine Haltung, die man Schritt für Schritt umsetzt. Wer Microsoft 365 nutzt, hat die wichtigsten Werkzeuge bereits lizenziert – sie müssen nur richtig eingerichtet und konsequent durchgesetzt werden.

Ein realistischer erster Schritt ist MFA für wirklich alle Konten, gefolgt von einer sauberen Geräteverwaltung und dem Aufräumen überzogener Berechtigungen. Genau diese Bausteine gehören bei kjello zum Standard: Sicherheit ist nicht ein Modul, das man dazukauft, sondern von Anfang an eingebaut. Wie das im Betrieb aussieht, zeigt die Übersicht zu Sicherheit und Compliance.