Zero Trust für den Mittelstand: Was davon Marketing ist und was Architektur

„Zero Trust" steht 2026 auf jeder zweiten Verkaufsfolie. Firewalls sind Zero Trust, VPN-Boxen sind Zero Trust, Cloud-Konsolen sind Zero Trust. Wenn ein Begriff auf alles passt, sagt er nichts mehr. Dabei steckt dahinter eine der wenigen Sicherheitsideen der letzten zwanzig Jahre, die für einen Mittelständler wirklich etwas ändert, wenn man sie als das nimmt, was sie ist: ein Architekturprinzip, kein Produkt.

Zero Trust heißt: Kein Zugriff bekommt Vertrauen, nur weil er aus dem eigenen Netz kommt. Jede Anfrage weist sich aus, jedes Mal.

Ich arbeite seit über zwanzig Jahren in Netzen von Mittelständlern, als Architektin und als Network Security Engineer, und ich sehe in fast jedem dasselbe Muster: eine harte Schale und ein weiches Inneres. Wer einmal drin ist, per VPN, per WLAN, per infiziertem Laptop eines Mitarbeiters, erreicht alles. Den Dateiserver, die Warenwirtschaft, die Datenbank, den Drucker im Chefbüro. Genau dieses Muster ist es, gegen das Zero Trust gebaut wurde. Dieser Beitrag erklärt, was das Prinzip wirklich verlangt, was davon für einen Betrieb mit fünfzig Mitarbeitern relevant ist, und wie man es einführt, ohne eine Plattform zu kaufen.

Was Zero Trust wirklich sagt, in vier Sätzen

Wenn man die Verkaufsfolien wegräumt, bleiben vier Prinzipien übrig, die in jeder ernsthaften Beschreibung stehen:

• Der Netzstandort ist kein Vertrauensbeweis. Ob eine Anfrage aus dem Büro-LAN, aus dem VPN oder aus dem Internet kommt, sagt nichts darüber, ob sie berechtigt ist. Das interne Netz wird behandelt wie ein fremdes.
• Jeder Zugriff wird explizit autorisiert. Wer, mit welchem Gerät, auf welche Ressource, und ist das in diesem Moment erlaubt. Nicht einmal beim Einloggen morgens für den ganzen Tag, sondern pro Ressource und mit Ablauf.
• So wenig Rechte wie nötig. Ein Nutzer, eine Anwendung, ein Dienst bekommt Zugriff auf das, was er für seine Aufgabe braucht, und auf nichts sonst. Kein „Vollzugriff, weil das einfacher ist".
• Alles wird beobachtet. Wer wann was erreicht hat, ist protokolliert und auswertbar, weil das Prinzip davon ausgeht, dass Angreifer irgendwann drin sind und man sie dann finden muss.

Das ist alles. Keine Box, kein Abo, keine Zertifizierung. Alles Weitere, was unter dem Namen verkauft wird, ist entweder ein Werkzeug, das eines dieser Prinzipien umsetzt, oder Marketing.

Was davon Marketing ist

Der Test für jede Folie ist einfach: Verändert das Angebot, was ein Angreifer erreicht, der bereits im Netz ist? Wenn nein, ist es Perimeter mit neuem Etikett.

Was davon für den Mittelstand zählt

Die Beschreibungen von NIST und CISA sind für Konzerne mit eigenen Sicherheitsabteilungen geschrieben. Das CISA-Reifegradmodell ordnet Zero Trust in fünf Säulen: Identität, Geräte, Netze, Anwendungen und Daten, mit Sichtbarkeit und Automatisierung als querliegenden Fähigkeiten. Für einen Betrieb mit fünfzig Mitarbeitern, einer IT-Kraft und einem externen Dienstleister übersetze ich das in fünf Etappen plus eine, die ich hier nur streife, und gehe sie in dieser Reihenfolge an:

1. Identität wird der Perimeter

Wenn der Netzstandort nichts mehr beweist, muss es die Identität tun. Das heißt praktisch: ein zentrales Verzeichnis für Nutzer, an dem alle Anwendungen hängen, Zwei-Faktor-Anmeldung überall, wo es geht, und keine geteilten Konten. Der Punkt, an dem die meisten Betriebe heute stehen: Das Verzeichnis gibt es, aber die Warenwirtschaft hat eigene Nutzer, der Dateiserver auch, und der Admin-Zugang zur Firewall ist ein Passwort im Tresor, das drei Leute kennen. Solange das so ist, gibt es keine Anfrage, die sich sauber ausweisen kann. Und Identität heißt nicht nur Menschen: Die Anwendung, die sich mit einem Konto für alles an der Datenbank anmeldet, der Dienst, der mit einem geteilten Schlüssel die Schnittstelle aufruft, das sind Dienst- und Maschinenidentitäten, und sie sind im Mittelstand ein mindestens so großes Loch wie die geteilten Nutzerkonten.

2. Das flache Netz teilen

Ein Angreifer, der über einen Phishing-Laptop hereinkommt, sollte von dort aus nicht die Datenbank sehen. Segmentierung heißt: Arbeitsplätze, Server, Drucker, Gäste-WLAN, Produktionsanlagen in getrennten Netzen, und zwischen ihnen nur die Verbindungen, die gebraucht werden. Das ist oft mit vorhandener Technik machbar: VLANs, getrennte Netze und kontrollierte Regeln auf der Firewall, die ohnehin da ist. Es ist Arbeit, selten eine Anschaffung, und es ist die Maßnahme, die den Schaden eines Vorfalls am deutlichsten begrenzt.

3. Zugriff pro Anwendung statt pro Netz

Der Außendienstler braucht das Kundenportal und die Zeiterfassung, nicht das Netz, in dem sie stehen. Statt eines VPN, das ihn in das Bürosegment stellt, bekommt er Zugang zu genau diesen zwei Anwendungen, mit seiner Identität und seinem zweiten Faktor. Für Webanwendungen ist das heute der Normalfall: Sie stehen hinter einem Reverse Proxy, der die Anmeldung erzwingt, und sonst nirgends erreichbar. Für alte Fat-Client-Anwendungen ist es der schwierigste Punkt, und oft der Grund, warum eine Modernisierung ansteht, die sonst niemand angefasst hätte.

4. Gerätezustand mitprüfen

Eine Identität auf einem ungepatchten Privatrechner ist eine halbe Identität. Zero Trust im vollen Sinn prüft auch, ob das Gerät bekannt, verwaltet und aktuell ist. Für den Mittelstand heißt das meist: Firmengeräte über eine Geräteverwaltung, verschlüsselte Platten, automatische Updates, und für Privatgeräte nur die Anwendungen, die auch aus dem Internet erreichbar sein dürfen. Das ist der Punkt, an dem man ehrlich Grenzen zieht, statt alles für alle zu öffnen.

5. Sehen, was passiert

Das Prinzip „alles wird beobachtet" ist das, das in jeder Einführung zuletzt kommt und in jedem Vorfall zuerst fehlt, bei CISA keine eigene Säule, sondern die Fähigkeit, die über allen liegt. Anmeldungen, Zugriffe auf sensible Systeme, Änderungen an Rechten: zentral gesammelt, mit einem Alarm für das, was nicht passieren sollte, etwa eine Admin-Anmeldung um drei Uhr nachts aus einem Land, in dem niemand arbeitet. Wie man das aufbaut, ohne in Alarmen zu ertrinken, steht im Beitrag über Monitoring und Observability.

Und die Säule, die hier nur gestreift wird: Daten

CISA führt Daten als eigene Säule, und zu Recht: Am Ende schützt man nicht Netze, sondern Kundendaten, Konstruktionspläne, Verträge. Für den Mittelstand heißt das mindestens: wissen, wo die wichtigen Daten liegen, sie dort verschlüsselt ablegen, und den Zugriff auf Datensatzebene protokollieren, nicht nur auf Systemebene. Das ist ein eigener Beitrag, und er hängt an den fünf Etappen davor, weil ein Recht pro Datensatz ohne Identität und ohne Anwendungsschicht nicht durchsetzbar ist.

Ein Fall, verfremdet

Ein Betrieb mit rund sechzig Mitarbeitern, Produktion und Verwaltung, ein VPN für alle mit Vollzugriff ins Büronetz, eine Warenwirtschaft, die sich mit einem Datenbankkonto für alles anmeldet. Der Anlass war kein Vorfall, sondern die Frage eines Kunden nach einem Sicherheitsnachweis. Die Bestandsaufnahme an einem Tag ergab: Wer das VPN-Passwort eines Mitarbeiters hatte, erreichte den Datenbankserver direkt, mit dem Konto, das in der Konfigurationsdatei jeder Arbeitsstation stand. Was danach kam, war keine Plattform: Zwei-Faktor auf dem VPN und dem Verzeichnisdienst, drei VLANs mit Regeln dazwischen, die Warenwirtschaft in ein eigenes Segment mit einem Dienstkonto, das nur von ihrem Anwendungsserver aus gilt, und ein zentrales Log für Anmeldungen. Vier Wochen, verteilt, mit vorhandener Technik. Der Kunde bekam seinen Nachweis, und der Betrieb einen Angreifer weniger, der es bis zur Datenbank geschafft hätte.

Wo Zero Trust an Grenzen stößt

Ein Prinzip, das alles prüft, hat einen Preis, und der gehört auf den Tisch, bevor man beginnt:

• Alte Systeme. Eine Warenwirtschaft von 2009, die nur mit einem Datenbankbenutzer für alle spricht, kann keine Anfrage einzeln prüfen. Man kann sie einkapseln, in ein eigenes Segment stellen, über einen Wrapper erreichbar machen. Das Altsystem selbst wird dadurch nicht plötzlich Zero-Trust-fähig, aber sein Umfeld wird es, und das reicht oft, bis der Ersatz ansteht. Wie das Einkapseln geht, steht im Beitrag über API-Wrapper für Legacy-Systeme.
• Produktion und Technik. Maschinensteuerungen, Gebäudetechnik, Kassensysteme. Vieles davon kann sich nicht ausweisen und darf nicht angefasst werden. Die Antwort ist Segmentierung und ein kontrollierter Übergang, nicht die Illusion, alles auf ein Prinzip zu bringen.
• Reibung. Zwei Faktoren, verwaltete Geräte und strengere Zugriffsregeln erzeugen zunächst Aufwand. Eine gute zentrale Identitätslösung mit Single Sign-on macht einen großen Teil davon für die Mitarbeiter wieder unsichtbar. Ganz ohne Reibung gibt es zusätzliche Sicherheit trotzdem nicht, und was bleibt, kostet Erklärungsarbeit. Diese Reibung ist der Preis, und sie ist kalkulierbar. Der Vorfall, den sie verhindert, ist es nicht.
• Der Dienstleister. Wer den Weg geht, braucht jemanden, der Netz, Identität und Anwendungen zusammen denkt. Das ist Architekturarbeit, keine Installation.

Was das für Ihr Unternehmen bedeutet

Die Frage ist nicht, ob Sie Zero Trust einführen. Die Frage ist, wie viel stilles Vertrauen heute in Ihrem Netz steckt, und was ein Angreifer damit anfangen kann, der einmal drin ist. Diese Frage lässt sich in einem Tag beantworten: Wer kommt wie herein, was erreicht er dann, und welche der fünf Etappen ändert daran am meisten. Das Ergebnis ist selten eine Plattform. Meistens ist es eine Liste aus Zwei-Faktor-Anmeldung, drei VLANs, einem Reverse Proxy und einem Log, das jemand liest.

Und es ist derselbe Blick, den ein Prüfer oder ein Käufer auf das Unternehmen wirft. Wer ihn selbst zuerst wirft, entscheidet, was er sieht. Was bei einem Audit zählt, steht im Beitrag über die Vorbereitung eines Security-Audits.

Quellen & weiterführende Belege

Zero Trust ist ein Feld mit viel Marketing und wenigen Primärquellen. Die drei, die zählen:

• NIST SP 800-207, Zero Trust Architecture (2020): die Ursprungsbeschreibung der Prinzipien und Bausteine, herstellerneutral.
• BSI, Positionspapier Zero Trust (2023): die Einordnung für deutsche Organisationen, mit dem ausdrücklichen Hinweis, dass Zero Trust kein Produkt ist.
• CISA, Zero Trust Maturity Model, Version 2.0 (2023): die fünf Säulen Identität, Geräte, Netze, Anwendungen und Daten mit den querliegenden Fähigkeiten Sichtbarkeit und Automatisierung; die Etappen dieses Beitrags sind eine Übersetzung davon für kleine Betriebe, keine Eins-zu-eins-Abbildung.
• John Kindervag, Forrester Research (2010) und Google BeyondCorp (ab 2014): Herkunft des Begriffs und die erste große dokumentierte Umsetzung.

Zahlen zu Angriffshäufigkeit oder Schadenshöhe fehlen in diesem Beitrag bewusst. Die Argumentation braucht sie nicht, und die verfügbaren Studien sind meist von Anbietern finanziert.

Verwandt auf die.entwicklerin.net: Login-Sicherheit: 2FA und Passkeys für Geschäftsanwendungen, wie die Anmeldung einer Webanwendung konkret gebaut wird, mit zweitem Faktor und Passkeys.

Carola Schulte

Software-Architektin und Network Security Engineer. Findet Schwachstellen, bevor ein Angreifer oder Auditor sie findet, auch die, die im eigenen Netz als Vertrauen getarnt sind.

Beratung anfragen