Zero Trust im KMU: wo anfangen, ohne die IT zu verkomplizieren?
Ein schrittweiser Ansatz, um Zugänge besser zu beherrschen, kritische Ressourcen zu schützen und Risiken zu senken, ohne das gesamte IT-System umzukrempeln.
In vielen KMU beruht die Sicherheit noch auf einer Idee, die brüchig geworden ist: Wer einmal mit dem Unternehmensnetzwerk verbunden ist — Nutzer, Arbeitsplatz oder Dienstleister —, gilt als hinreichend vertrauenswürdig. Diese Logik erschien lange natürlich. Die Teams arbeiteten hauptsächlich im Büro, die Anwendungen blieben im Rechenzentrum, und externe Zugänge waren die Ausnahme.
Heute hat sich die Nutzung verändert. Mitarbeiter wechseln zwischen Büro, Homeoffice und Reisen. Anwendungen verteilen sich auf Microsoft 365, Cloud-Dienste, interne Server und manchmal historische Software. Dienstleister verbinden sich aus der Ferne. Endgeräte sind zahlreicher, mobiler und schwerer zu überwachen. In diesem Umfeld reicht die Grenze zwischen innerhalb und außerhalb des Netzwerks nicht mehr aus, um zu entscheiden, wer worauf zugreifen darf.
Zero Trust reagiert auf diese Entwicklung mit einem einfachen Prinzip: Ein Zugang darf nicht allein deshalb gewährt werden, weil sich ein Nutzer oder Gerät am richtigen Ort befindet. Er muss anhand von Identität, Endgerät, angeforderter Ressource, Kontext und Risikoniveau autorisiert werden.
Für ein KMU liegt die Schwierigkeit also nicht darin, das Schlagwort zu verstehen. Sie liegt darin, zu wissen, wo man anfängt, ohne Werkzeuge zu vervielfachen, Teams zu blockieren oder ein unverhältnismäßiges Programm zu starten. Die richtige Antwort ist kein großer Austausch. Es ist ein schrittweiser Fahrplan, geleitet von kritischen Aktivitäten und realen Risiken.
Warum dieses Thema auch die Geschäftsführung betrifft
Zero Trust wird oft dem IT-Team überlassen, weil es Konten, Firewalls, Endgeräte und Anwendungen betrifft. Doch die wichtigsten Entscheidungen sind nicht rein technisch. Wer kann einen Dienstleisterzugang unterbrechen? Welche Abteilung akzeptiert eine zusätzliche Einschränkung, um sensible Daten zu schützen? Welche Tätigkeit muss verfügbar bleiben, selbst wenn das Identitätssystem eine Störung hat? Diese Abwägungen betreffen die Fachbereiche, die Kontinuität und die Verantwortung der Geschäftsführung.
Die Rolle der Führungskraft besteht nicht darin, Konfigurationsregeln auszuwählen. Sie besteht darin, Prioritäten zu klären, Verantwortliche für kritische Ressourcen zu benennen und ein explizites Risikoniveau zu akzeptieren. Ohne diese Einbindung kann das IT-Team leistungsfähige, aber schlecht auf die Nutzung abgestimmte Kontrollen einführen oder zu viele Ausnahmen beibehalten, um Konflikte zu vermeiden. Ein wirksames Projekt verknüpft daher jede Sicherheitsmaßnahme mit einem Geschäftsprozess, einem Verantwortlichen und einem beobachtbaren Ergebnis.
Warum das traditionelle Modell an seine Grenzen stößt
Der Unternehmensperimeter hat sich zersplittert
Das interne Netzwerk ist nicht mehr der einzige Ort, an dem wichtige Ressourcen liegen. Eine Rechnung kann in einer SaaS-Anwendung liegen, eine Vertriebsakte in Microsoft 365, eine Produktionsdatenbank auf einem lokalen Server und eine Sicherung in der Cloud. Ein und derselbe Mitarbeiter kann mehrere Geräte nutzen und sich von mehreren Orten aus verbinden. Die Zugangskontrolle muss der Ressource und der Nutzung folgen, nicht nur der IP-Adresse oder dem Gebäude.
Ein zu weiter Zugang macht aus einer Störung eine Krise
Wenn ein kompromittiertes Konto oder ein infizierter Arbeitsplatz über einen weitreichenden Zugang verfügt, kann der Angreifer nach weiteren Ressourcen suchen, Freigaben durchsuchen, Administrationsoberflächen erreichen oder sich zu sensibleren Systemen bewegen. Die Frage lautet nicht mehr nur: „Darf der Nutzer hinein?“ Sie wird zu: „Welche Ressource benötigt er, unter welchen Bedingungen, wie lange und mit welchem Kontrollniveau?“
Dienstleister schaffen eine oft unterschätzte Abhängigkeit
Wartung, Telefonie, Fachanwendungen, IT-Support, Industrieanlagen: Zahlreiche Anbieter verfügen über einen Fernzugang. Diese Zugänge sind manchmal dauerhaft, gemeinsam genutzt, schlecht dokumentiert oder weiter gefasst als nötig. Ein gut abgegrenztes Zero-Trust-Projekt beginnt oft hier, denn die Verringerung des Umfangs und die Nachverfolgbarkeit der Dienstleisterzugänge bringen schnell einen Nutzen, ohne alle internen Abläufe umzukrempeln.
Die Identität ist zu einem neuen Durchgangspunkt geworden
Wenn Anwendungen verstreut sind, verknüpft die Identität einen Großteil der Nutzung. Ein und dasselbe Konto kann E-Mail, gemeinsame Dateien, ein Vertriebswerkzeug und manchmal interne Ressourcen öffnen. Das vereinfacht die Arbeit, erhöht aber auch die Auswirkung einer Kompromittierung. Der Schutz kann sich daher nicht auf ein Passwort oder eine punktuelle starke Authentifizierung beschränken. Er muss den Lebenszyklus des Kontos, Stellenwechsel, vererbte Rechte, aktive Sitzungen und die Fähigkeit umfassen, alle Zugänge bei Bedarf schnell zu kappen.
Zero Trust ohne Fachjargon erklärt
Das NIST beschreibt Zero Trust als eine Weiterentwicklung der Sicherheit, die den Fokus von statischen Netzwerkperimetern auf Nutzer, Assets und Ressourcen verlagert. Der Standort im Netzwerk gilt nicht mehr als Hauptnachweis für Vertrauen. Ziel ist es, Ressourcen zu schützen und Zugänge ausdrücklich zu autorisieren.
In der Praxis kann eine Zugangsentscheidung mehrere Elemente kombinieren:
- die Identität des Nutzers und die Robustheit seiner Authentifizierung;
- die Rolle, den geschäftlichen Bedarf und das Berechtigungsniveau;
- den Zustand des Endgeräts: Verwaltung, Verschlüsselung, Patches, aktiver Schutz;
- die Sensibilität der angeforderten Anwendung oder Daten;
- den Ort, die Uhrzeit, das Verhalten und die Risikosignale;
- die Sitzungsdauer und die Möglichkeit, den Zugang neu zu bewerten oder zu widerrufen.
Drei Entscheidungen für jeden sensiblen Zugang
Eine nützliche Zero-Trust-Richtlinie lässt sich als Schleife aus drei Entscheidungen verstehen. Vor dem Zugang prüft das Unternehmen Identität, Bedarf und Mindestbedingungen. Während der Sitzung begrenzt es den Umfang, überwacht nützliche Signale und kann eine erneute Überprüfung verlangen. Nach der Nutzung bewahrt es eine nutzbare Spur, widerruft temporäre Rechte und nutzt die Erkenntnisse, um die nächste Regel zu verbessern. Diese Schleife verhindert, dass eine erfolgreiche Authentifizierung als dauerhafte Berechtigung gilt.
Die Regel muss auch verständlich bleiben. Kann niemand erklären, warum ein Zugang gewährt, verweigert oder ausnahmsweise beibehalten wird, wird es schwierig, ihn zu betreiben und im Störungsfall zu rechtfertigen. Eine einfache, dokumentierte, auf eine kritische Ressource angewendete Regel ist oft mehr wert als eine hochkomplexe Richtlinie, deren Ausnahmen unsichtbar werden.
Nicht alle diese Kontrollen erfordern eine sofortige Einführung. Ein KMU kann mit den kritischsten Zugängen beginnen, daraus lernen, die Regeln anpassen und das Modell dann schrittweise erweitern.
Was Zero Trust nicht ist
Das Thema wird oft als eine zu kaufende Technologie dargestellt. Dieser Ansatz weckt unrealistische Erwartungen und kann dazu führen, eine neue Lösung auf eine bereits komplexe Umgebung zu stapeln.
| Irrtum | Was zu beachten ist |
|---|---|
| „Es reicht, das VPN zu ersetzen“ | Ein VPN kann weiterhin nützlich sein. Das eigentliche Thema ist die Präzision, der Kontext und die Nachverfolgbarkeit der Zugänge, die es ermöglicht. |
| „Man muss alles mikrosegmentieren“ | Die Segmentierung sollte bei kritischen Datenflüssen und Ressourcen beginnen. Übermäßige, schlecht genutzte Granularität wird zu einer neuen Schuld. |
| „Es ist ein einziges Produkt“ | Zero Trust koordiniert Identität, Endgeräte, Netzwerk, Anwendungen, Daten, Protokollierung und Governance. |
| „Man muss alles gleichzeitig transformieren“ | Ein schrittweiser Fahrplan verringert das Risiko und begrenzt die betrieblichen Auswirkungen. |
| „Das betrifft nur große Unternehmen“ | Auch KMU haben hybride Umgebungen, Dienstleister und privilegierte Zugänge zu beherrschen. |
Situationen, die ein KMU aufhorchen lassen sollten
Es ist nicht nötig, auf eine Störung zu warten, um festzustellen, dass das aktuelle Zugangsmodell an seine Grenzen gestoßen ist. Mehrere Situationen rechtfertigen eine vorrangige Überprüfung:
- gemeinsam genutzte Konten oder täglich verwendete Administratorzugänge;
- VPNs, die Zugang zu einem Großteil des Netzwerks gewähren, obwohl nur eine Anwendung nötig ist;
- dauerhaft aktive Dienstleisterkonten ohne Ablaufdatum;
- Nutzer, die sich von einem nicht verwalteten oder nicht überprüften Endgerät aus verbinden können;
- kritische Anwendungen, die mit einfacher Authentifizierung zugänglich sind;
- Rechte, die sich im Laufe von Stellenwechseln angehäuft haben und selten überprüft werden;
- verstreute Protokolle, die es nicht erlauben, einen Zugang zu rekonstruieren;
- eine Abhängigkeit von einem Verzeichnis, einer Verbindung oder einem Werkzeug ohne getestete Ausweichlösung.
Ein einzelnes dieser Signale bedeutet nicht, dass das Unternehmen ein globales Programm starten muss. Es zeigt einen Bereich, in dem implizites Vertrauen durch eine klare Regel und einen nutzbaren Nachweis ersetzt werden sollte.
Vor dem Kauf: definieren, was geschützt werden muss
Der Ausgangspunkt ist kein Lösungskatalog. Er ist geschäftlicher Natur. Die Geschäftsführung muss die Tätigkeiten identifizieren, deren Unterbrechung, Veränderung oder Offenlegung erhebliche Auswirkungen hätte. Das kann die Auftragsvorbereitung, die Rechnungsstellung, die Produktion, die Kundenbeziehung, die Lohnabrechnung, das geistige Eigentum oder die Verwaltung des Informationssystems sein.
1. Kritische Ressourcen identifizieren
Für jede vorrangige Tätigkeit müssen die nötigen Anwendungen, Daten, Server, Konten, Endgeräte und Datenflüsse verknüpft werden. Diese Kartierung kann einfach beginnen. Sie muss präzise genug sein, um eine Frage zu beantworten: Was passiert für das Unternehmen, wenn diese Ressource kompromittiert oder nicht verfügbar ist?
2. Die Zugangswege verstehen
Wer verbindet sich? Von welchem Gerätetyp aus? Über welchen Weg? Mit welchem Berechtigungsniveau? Welche Anbieter sind beteiligt? Welche Zugänge sind dauerhaft, temporär oder außergewöhnlich? Diese Sicht deckt oft zu weit gefasste Rechte und unsichtbare Abhängigkeiten auf.
3. Einige vorrangige Szenarien auswählen
Ein KMU profitiert davon, zunächst zwei oder drei Szenarien mit hohem Mehrwert zu behandeln: Dienstleisterzugang zu einer Anwendung, Administratorzugang zu Geräten, Fernzugriff auf sensible Daten oder Verbindung zu einer kritischen Anwendung von einem nicht verwalteten Endgerät aus. Ein begrenzter Umfang erleichtert Tests, Kommunikation und Messung.
4. Verantwortlichkeiten vor den Regeln definieren
Jede kritische Ressource muss einen fachlichen Verantwortlichen haben, der Zugangsbedarfe validieren kann, und einen technischen Verantwortlichen, der die Regeln anwenden und kontrollieren kann. Es muss auch festgelegt werden, wer eine Ausnahme genehmigt, wer sie dokumentiert und wer ihr Ablaufdatum überprüft. Ohne diese Aufteilung werden temporäre Rechte dauerhaft, und sensible Entscheidungen verwässern sich zwischen Geschäftsführung, Fachbereichen, IT und Dienstleistern.
5. Nutzererfahrung und Kontinuität schützen
Eine zu sichtbare oder schlecht synchronisierte Kontrolle kann Umgehungen begünstigen. Vor der Einführung muss das Unternehmen die realen Abläufe beobachten: Dienstreisen, Bereitschaftsdienste, Gerätewechsel, dringende Eingriffe und Arbeit ohne Verbindung. Ziel ist nicht, jede Reibung zu beseitigen, sondern sie auf Situationen zu beschränken, in denen sie das Risiko tatsächlich verringert. Ausweichverfahren müssen mit derselben Sorgfalt konzipiert und getestet werden wie der Normalbetrieb.
Praxisbeispiel: ein hybrides KMU mit 120 Mitarbeitern
Stellen Sie sich ein Dienstleistungsunternehmen an zwei Standorten vor. Es nutzt Active Directory für interne Konten, Microsoft 365 für die Zusammenarbeit, ein auf einem lokalen Server gehostetes ERP, mehrere SaaS-Anwendungen und einen Cloud-Speicher. Die Mitarbeiter arbeiten zwei Tage pro Woche im Homeoffice. Der IT-Dienstleister und der ERP-Hersteller verfügen über VPN-Zugang. Administratoren nutzen für Eingriffe manchmal ihr alltägliches Konto.
Alles funktioniert, aber die Geschäftsführung weiß nicht genau, welche Zugänge möglich wären, wenn ein Dienstleisterkonto, ein Arbeitsplatz oder ein Administratorkonto kompromittiert würde.
| Schritt | Pragmatische Entscheidung | Erwartetes Ergebnis |
|---|---|---|
| Priorität 1 | Administratorkonten trennen, starke Authentifizierung vorschreiben und Administrationsoberflächen begrenzen. | Das mit Berechtigungen verbundene Risiko verringern und die Nachverfolgbarkeit verbessern. |
| Priorität 2 | Zu weit gefasste VPN-Zugänge der Dienstleister durch namentliche, begrenzte, temporäre und protokollierte Zugänge ersetzen. | Verhindern, dass ein Lieferantenzugang das Netzwerk unnötig öffnet. |
| Priorität 3 | Den Zugang zu sensiblen Anwendungen an ein verwaltetes, konformes Endgerät knüpfen. | Den Zustand des Endgeräts in die Zugangsentscheidung einbeziehen. |
| Priorität 4 | Die Datenflüsse von ERP und Administrationsdiensten segmentieren, dann Ausweichszenarien testen. | Die Ausbreitung begrenzen und die Kontinuität wahren. |
Was sich bei einer Störung ändert
Vor diesem Vorgehen konnte die Kompromittierung eines Dienstleisterkontos eine VPN-Verbindung ermöglichen, gefolgt von der Erkundung mehrerer Segmente, um das ERP oder eine Administrationsoberfläche zu finden. Das Team musste die Spuren manuell in mehreren Geräten suchen und war sich nicht sicher, alle Sitzungen gekappt zu haben. Die für das Verständnis des Störungsumfangs aufgewendete Zeit verzögerte die Entscheidung und erhöhte die Unsicherheit für die Geschäftsführung.
Nach den ersten Maßnahmen ist das Konto namentlich, für eine festgelegte Dauer aktiviert und auf den nötigen Dienst begrenzt. Starke Authentifizierung ist vorgeschrieben, das erwartete Endgerät ist identifiziert, und die nützlichen Aktionen sind zentralisiert. Zeigt sich ein anormales Verhalten, kann der Zugang widerrufen werden, ohne alle Mitarbeiter zu unterbrechen. Die Segmentierung verhindert anschließend, dass sich die Sitzung frei zu anderen Ressourcen bewegt. Das Risiko wird nicht beseitigt, aber seine potenzielle Auswirkung und die Reaktionszeit werden stark verringert.
Für die Führungskraft ist der Unterschied konkret: Sie weiß, welche Tätigkeit betroffen sein könnte, wer die Entscheidung trifft, wie der Zugang gekappt wird und welche Nachweise verfügbar sein werden. Diese Beherrschungsfähigkeit, mehr als die Anhäufung von Werkzeugen, spiegelt den Wert von Zero Trust wider.
Dieses Unternehmen ersetzt nicht sein gesamtes Netzwerk und führt nicht alle möglichen Kontrollen ein. Es transformiert zunächst die Abläufe, bei denen implizites Vertrauen die größte Auswirkung haben könnte.
Wie man die NIST-Referenzwerke nutzt, ohne das Projekt zu einer akademischen Übung zu machen
NIST CSF 2.0: die erwarteten Ergebnisse festlegen
Das Cybersecurity Framework 2.0 hilft Organisationen jeder Größe, ihre Risiken zu verstehen, zu bewerten, zu priorisieren und zu kommunizieren. Es schreibt keine Technologie vor. Für ein Zero-Trust-Projekt kann es dazu dienen, eine aktuelle Situation zu beschreiben, ein Ziel zu definieren und Maßnahmen an Governance-, Identifikations-, Schutz-, Erkennungs-, Reaktions- und Wiederherstellungsergebnisse zu knüpfen.
NIST SP 800-207: die Architekturprinzipien verstehen
Die Publikation SP 800-207 liefert das Referenzvokabular und die Grundprinzipien: Ressourcen schützen, kein Vertrauen allein aufgrund des Netzwerkstandorts gewähren, explizite und neu bewertbare Zugangsentscheidungen treffen und mehrere Informationsquellen berücksichtigen. Sie hilft zu vermeiden, Zero Trust auf ein Produkt oder eine einfache VPN-Weiterentwicklung zu reduzieren.
NIST SP 1800-35: realistische Umsetzungen beobachten
Der 2025 in endgültiger Fassung veröffentlichte praktische Leitfaden SP 1800-35 stellt 19 mit 24 Technologiepartnern realisierte Architekturbeispiele vor. Für ein KMU liegt der Nutzen nicht darin, eine vollständige Architektur zu reproduzieren, sondern die möglichen Kombinationen, Abhängigkeiten und Anwendungsfälle zu beobachten, um einen zum Bestehenden passenden Fahrplan zu wählen.
Die richtige Nutzung der Referenzwerke: Das CSF 2.0 hilft, Ergebnisse zu definieren und das Risiko zu steuern. Die SP 800-207 erklärt die Prinzipien. Die SP 1800-35 zeigt Umsetzungsbeispiele. Keines dieser Dokumente ersetzt die Analyse des Unternehmenskontexts.
Die Fehler, die das Projekt teuer oder wirkungslos machen
Kaufen vor dem Abgrenzen
Eine Lösung kann technisch leistungsfähig und dennoch schlecht auf das erste zu behandelnde Risiko abgestimmt sein. Ohne eine minimale Kartierung der Ressourcen, Identitäten, Endgeräte und Datenflüsse riskiert das Unternehmen, für ungenutzte Funktionen zu zahlen oder das Problem zu verschieben, statt es zu lösen.
Von Anfang an maximale Granularität anstreben
Zu feingliedrige Regeln erzeugen einen erheblichen Konzeptions- und Betriebsaufwand. Die Präzision muss der Kritikalität entsprechen. Mit wenigen sensiblen Ressourcen zu beginnen, erlaubt es, eine Methode aufzubauen, bevor verallgemeinert wird.
Historische Systeme ignorieren
Manche Anwendungen unterstützen keine modernen Identitäts- oder Kontextkontrollmechanismen. Sie vom Projekt auszuschließen, lässt das Hauptrisiko manchmal unangetastet. Es müssen kompensierende Maßnahmen vorgesehen werden: Zwischenzugang, Segmentierung, verstärkte Überwachung, dedizierte Konten oder ein Ersatzfahrplan.
Die Betriebskontinuität vergessen
Eine strengere Zugangskontrolle kann zu einem Blockadepunkt werden, wenn das Verzeichnis, die Internetverbindung oder der Authentifizierungsdienst nicht verfügbar ist. Ausweichszenarien, Notfallkonten, Widerruf und Rückkehr zum Normalbetrieb müssen konzipiert und getestet werden.
Die Einführung statt des Ergebnisses messen
Die Anzahl der aktivierten Lizenzen, erstellten Regeln oder installierten Agenten belegt keine Risikoverringerung. Die Geschäftsführung muss Ergebnisse verfolgen: weniger dauerhafte Zugänge, schnellerer Widerruf, Abdeckung kritischer Anwendungen, verringerte Berechtigungen und verbesserte Nachverfolgbarkeit.
Den täglichen Betrieb unterschätzen
Jede neue Regel erzeugt Anfragen, Warnmeldungen, Ausnahmen und Supportbedarf. Ist niemand für deren Analyse zuständig, wird das System schließlich gelockert, um wieder Flüssigkeit zu erlangen. Die tatsächlichen Kosten umfassen daher Verwaltung, Überwachung, Dokumentation und Schulung. Bevor ein Werkzeug hinzugefügt wird, muss das Unternehmen prüfen, wer es betreiben wird, mit welchen Kompetenzen und nach welchem Entscheidungsprozess.
Lösungen stapeln, die nicht denselben Kontext teilen
Eine Identitätsplattform, ein Endgeräteschutzwerkzeug und ein Netzwerkgerät können jeweils ein nützliches Signal liefern. Sind sie nicht integriert, bleibt die Zugangsentscheidung fragmentiert, und die Teams müssen die Informationen manuell abgleichen. Der Fahrplan sollte Interoperabilität, Datenqualität und Betriebseinfachheit gegenüber der Vervielfachung von Funktionen bevorzugen.
Ein realistischer Fahrplan über 12 bis 18 Monate
Die Dauer hängt von der Größe, der Heterogenität und den Prioritäten des Unternehmens ab. Der folgende Fahrplan bildet einen Entscheidungsrahmen, keinen universellen Kalender.
| Zeitraum | Prioritäten | Fortschrittskriterium |
|---|---|---|
| 0 bis 2 Monate | Kritische Tätigkeiten und Ressourcen kartieren. Privilegierte und Dienstleisterzugänge inventarisieren. Zwei oder drei vorrangige Szenarien auswählen. Verantwortlichkeiten festlegen. | Die Geschäftsführung weiß, welche Ressourcen zuerst zu schützen sind, gegen welche Szenarien und mit welchem erwarteten Ergebnis. |
| 2 bis 5 Monate | Administratorkonten trennen. Authentifizierung stärken. Dienstleisterzugänge verringern und befristen. Erste nützliche Protokolle zentralisieren. | Die risikoreichsten Zugänge sind namentlich, begrenzt, widerrufbar und nachverfolgbar. |
| 5 bis 9 Monate | Zugänge schrittweise an Identität, Rolle und Endgerätezustand knüpfen. Nutzererfahrung und Ausweichverfahren testen. | Die Kontrollen funktionieren unter normalen und eingeschränkten Bedingungen, ohne von dauerhaften Ausnahmen abzuhängen. |
| 9 bis 18 Monate | Kritische Datenflüsse segmentieren, weitere Signale integrieren, Zugangsüberprüfungen industrialisieren und das Modell auf andere Ressourcen ausweiten. | Das Unternehmen misst die Risikoverringerung und kann das Modell ohne unverhältnismäßige Komplexität ausweiten. |
In jeder Phase sollte die Geschäftsführung eine kurze Überprüfung organisieren, an der der fachliche Verantwortliche, die IT und, falls nötig, der Sicherheitsverantwortliche oder ein spezialisierter Partner beteiligt sind. Diese Überprüfung untersucht Störungen, ungerechtfertigte Ablehnungen, Ausnahmen und Auswirkungen auf den Betrieb. Sie entscheidet dann, ob der Umfang stabilisiert, die Regel korrigiert oder zum nächsten Schritt übergegangen wird. Diese Governance verhindert, dass ein theoretischer Kalender die Erweiterung eines noch nicht betriebsbereiten Systems erzwingt.
Das Budget muss derselben Logik folgen. Die ersten Ausgaben können die Bereinigung von Konten, die Dokumentation und die Aktivierung bereits verfügbarer Funktionen betreffen. Zusätzliche Investitionen schließen dann eine präzise Lücke: fehlende Kontrolle über Endgeräte, Unmöglichkeit, einen Anwendungszugang zu begrenzen, unzureichende Protokollierung oder zu schwache Segmentierung. Die Geschäftsführung kann so jede Ausgabe mit einem Risiko und einem erwarteten Ergebnis verknüpfen.
Für die Geschäftsführung nützliche Kennzahlen
Ein Zero-Trust-Dashboard sollte kurz bleiben und mit Entscheidungen verknüpft sein. Fünf Kennzahlen reichen oft aus, um einen ersten Fahrplan zu verfolgen:
- der Anteil kritischer Anwendungen, die durch explizite Zugangsregeln abgedeckt sind;
- die Abdeckung der starken Authentifizierung bei sensiblen Zugängen;
- die tatsächlich benötigte Zeit, um ein Konto zu widerrufen und dessen Sitzungen zu kappen;
- der Anteil der Administrator- und Dienstleisterzugänge, die namentlich, temporär und nachverfolgt sind;
- die Anzahl aktiver Ausnahmen, ihr Verantwortlicher und ihr Ablaufdatum.
Diese Kennzahlen dürfen nicht zu isolierten Zielen werden. Eine überall aktivierte starke Authentifizierung bringt nicht denselben Wert, wenn gemeinsam genutzte Konten, übermäßige Berechtigungen oder unkontrollierte Endgeräte unverändert bleiben.
Um nützlich zu sein, müssen sie mit einer Ausgangssituation verglichen und mit einem Trend versehen werden. Von drei Tagen auf zwei Stunden zu kommen, um einen Zugang vollständig zu widerrufen, ist aussagekräftiger als eine abstrakte Quote. Ebenso ist ein Rückgang der Anzahl von Ausnahmen nur positiv, wenn er keine Umgehungen verdeckt. Das Dashboard sollte daher einige Zahlen mit einer kurzen Analyse der Störungen, Schwierigkeiten und erwarteten Entscheidungen verbinden.
Die Rolle von ARCrezo bei einem Zero-Trust-Fahrplan
ARCrezo begleitet KMU beim Netzwerkfundament und der Zugangssicherheit: Verständnis des Bestehenden, Kartierung der Datenflüsse, Segmentierung, Absicherung von Firewalls und VPNs, Beherrschung von Fern- und Administratorzugängen, Dokumentation und Definition eines schrittweisen Fahrplans.
Die Begleitung beginnt mit einer gezielten Diagnose und übersetzt die technischen Feststellungen dann in für die Geschäftsführung verständliche Prioritäten. Für jedes Vorhaben verfügt das Unternehmen über einen Umfang, ein behandeltes Risiko, eine identifizierte Abhängigkeit und ein Erfolgskriterium. Diese Methode erleichtert Budgetabwägungen, vermeidet zu umfassende Transformationen und ermöglicht es den internen Teams, nach dem Einsatz eine tatsächlich nutzbare Dokumentation zu behalten.
Je nach Umfang kann das Vorgehen ergänzende Kompetenzen in den Bereichen Identitätsmanagement, Endgerätesicherheit, Anwendungen, Daten, Governance oder Konformität erfordern. ARCrezo legt die Verantwortlichkeiten klar fest und koordiniert die technischen Abhängigkeiten, um Grauzonen zu vermeiden.
Häufige Fragen
Zwingt Zero Trust dazu, das VPN abzuschaffen?
Nein. Ein VPN kann für bestimmte Nutzungen weiterhin relevant sein. Es geht darum zu prüfen, dass es keinen zu weiten Zugang gewährt und dass die Entscheidungen auf Identität, Bedarf, Endgerät, Kontext und Sensibilität der Ressource beruhen.
Muss man mit der Mikrosegmentierung beginnen?
Nicht zwangsläufig. Viele KMU erzielen zunächst bessere Ergebnisse, indem sie Administratorkonten, Dienstleisterzugänge und die Authentifizierung kritischer Anwendungen absichern. Die Segmentierung unterstützt anschließend die identifizierten Prioritäten.
Wie lange dauert es, Zero Trust einzuführen?
Zero Trust ist kein durch eine einzige Migration erreichter Endzustand. Ein erster Umfang kann innerhalb weniger Monate verbessert werden, während die Ausweitung auf eine gesamte hybride Umgebung 12 bis 18 Monate oder mehr erfordern kann.
Riskiert Zero Trust, die Nutzer zu verlangsamen?
Schlecht konzipierte Kontrollen können Reibung erzeugen. Ein schrittweiser Ansatz testet die tatsächliche Nutzung, automatisiert Entscheidungen, wo möglich, und beschränkt verstärkte Prüfungen auf Situationen, die sie rechtfertigen.
Kann ein KMU ohne neues Werkzeug beginnen?
Ja. Die Bestandsaufnahme der Zugänge, die Trennung der Administratorkonten, das Entfernen unnötiger Konten, die Begrenzung der Rechte, die Aktivierung bestehender Funktionen und die Dokumentation stellen bereits konkrete Fortschritte dar. Die Investitionen müssen dann auf die tatsächlich identifizierten Lücken reagieren.
Wie vermeidet man, dass das Projekt zu komplex wird?
Indem jeder Schritt auf eine Ressource, ein Risikoszenario und ein messbares Ergebnis begrenzt wird. Regeln, Ausnahmen und Verantwortlichkeiten müssen bereits ab dem Pilotprojekt dokumentiert werden. Kann das Team den ersten Umfang nicht ordnungsgemäß betreiben, muss er vereinfacht oder stabilisiert werden, bevor er erweitert wird. Der Fortschritt hängt von der erreichten Beherrschung ab, nicht von der Anzahl eingesetzter Technologien.
Wie man jetzt sofort beginnt
Ein KMU kann den Prozess starten, ohne sofort eine technologische Ausschreibung zu starten. Die erste Sequenz besteht darin, die heute impliziten Zugangsentscheidungen sichtbar zu machen.
Dieser Ansatz schafft einen ersten Wertnachweis. Er erlaubt auch, Governance- und Konfigurationsmaßnahmen von den tatsächlich nötigen Investitionen zu unterscheiden.