Zero Trust im Mittelstand Netzwerksicherheit neu denken – ohne Riesenbudget!

Anbieter zum Thema

GEMAKOM GmbH

cidaas by Widas ID GmbH

FAST LTA GmbH

Das klassische Sicherheitsmodell „innen sicher, außen gefährlich“ hat ausgedient: Cloud, hybrides Arbeiten und KI-Angriffe lösen die Netz­werk­gren­ze auf. NIS2 verlangt mit § 30 BSIG explizit Zugangskontrolle und Netzwerksegmentierung. Zero Trust erfüllt beide Anforderungen und lässt sich auch ohne Millionenbudget stufenweise einführen.

„Vertraue allem, was sich im eigenen Netzwerk befindet“ war lange die implizite Grund­an­nah­me vieler IT-Architekturen. Wer einmal die Firewall passiert hatte, bewegte sich in einer Zone des Vertrauens. Dieses Modell hat ein strukturelles Problem: Es setzt voraus, dass der Perimeter hält. Das tut er nicht mehr.

Grenzen der IT-Security

Network-Perimeter durch Zero-Trust-Modelle ersetzen

Laut BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 wurden 80 Prozent der dokumentierten Ransomware-Angriffe gegen KMU gerichtet. Die Angreifer nutzten dabei selten spektakuläre Zero-Day-Lücken, sondern arbeiteten sich durch kompromittierte Benutzer­konten, schwache Passwörter und ungesicherte Fernzugänge vor, weil flache Netzwerkarchitekturen einer seitlichen Bewegung (Lateral Movement) wenig entgegensetzen. Das BSI hält im selben Bericht fest: KMU und Verwaltungen sehen die gleichen Bedrohungen wie Konzerne, verfügen aber über deutlich weniger Ressourcen für die Abwehr.

Die Bitkom-Wirtschaftsschutzstudie 2025 zeigt, dass 87 Prozent aller deutschen Unternehmen in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen waren. Hinzu kommt die veränderte Arbeitsrealität: Mitarbeiter greifen von Heimnetzwerken, öffentlichem WLAN und mobilen Geräten auf Unternehmensanwendungen zu. Die Vorstellung eines sicheren „Innen" ist damit konzeptionell überholt.

Zero Trust als neues Paradigma der IT-Sicherheit

Zero Trust in der Praxis: Chancen, Stolperfallen und NIST-Leitlinien

Was Zero Trust bedeutet, und was nicht

Zero Trust ist kein Produkt, das man kauft, sondern ein Architekturprinzip. Es lässt sich in einem Satz zusammenfassen: Kein Nutzer, kein Gerät und keine Anwendung erhält automatisch Vertrauen, nur weil sie sich im internen Netzwerk befinden. Jeder Zugriff wird verifiziert, jede Identität geprüft, jedes Gerät bewertet, unabhängig vom Standort. Das US-amerikanische NIST hat dieses Prinzip im Special Publication 800-207 als verbindlichen Rahmen beschrieben.

In der Praxis ist Zero Trust kein Einmalprojekt, sondern ein iterativer Architekturumbau, der mit vorhandenen Mitteln beginnen kann. Microsoft 365 und Azure Active Directory (Entra ID) enthalten bereits Werkzeuge für Conditional Access Policies, mit denen sich Zero-Trust-Prinzipien schrittweise einführen lassen.

Was Zero Trust nicht ist: ein Ersatz für guten Betrieb. Ungepatchte Systeme bleiben ungepatchte Systeme, auch in einer Zero-Trust-Architektur. Das Prinzip reduziert die Auswirkung eines erfolgreichen Angriffs, es verhindert ihn nicht vollständig.

Zero-Trust in Microsoft 365 und Azure umsetzen

Conditional Access und Richtlinien für mehr Schutz in der Microsoft-Cloud

Fünf Kernprinzipien und ihre praktische Umsetzung

• 1. Identität als primäre Sicherheitsgrenze: Im Zero-Trust-Modell ist die Identität das neue Perimeter. Jeder Zugriff basiert auf starker Authentifizierung: mindestens MFA für alle Konten, privilegierte Konten mit besonders abgesicherten Verfahren. Der BSI-Lagebericht 2025 hält fest, dass privilegierte Konten nach wie vor zu den bevorzugten Angriffszielen gehören. Admin-Konten von Alltagskonten zu trennen und inaktive Benutzerkonten zu deaktivieren sind Maßnahmen, die heute umsetzbar sind.

• 2. Gerätevertrauen vor Zugriffsgewährung: Nicht nur der Nutzer, auch das Gerät wird geprüft. Conditional Access Policies können Zugriffe automatisch ablehnen oder einschränken, wenn ein Gerät definierten Mindestanforderungen wie aktuellen Patches und aktivem Endpunktschutz nicht entspricht.

• 3. Netzwerksegmentierung und minimale Zugriffsrechte: VLAN-basierte Segmentierung trennt Produktionssysteme, Büronetzwerke, IoT-Geräte und Backupsysteme voneinander. Das Prinzip der minimalen Rechte (Least Privilege) stellt sicher, dass ein kompromittiertes Konto nur auf Ressourcen zugreifen kann, die es tatsächlich benötigt. Das BSI empfiehlt Netzwerksegmentierung im IT-Grundschutz-Kompendium als Basismaßnahme für alle Unternehmensgrößen.

• 4. Kontinuierliche Überprüfung statt einmaliger Authentifizierung: Zero Trust kennt kein dauerhaftes Vertrauen. Zugriffsrechte werden kontinuierlich neu bewertet: ungewöhnliche Herkunftsländer, Zugriffe auf sensible Daten außerhalb der Arbeitszeiten oder veränderte Gerätekonfigurationen lösen automatische Prüfungen aus. Moderne NDR-Lösungen (Network Detection and Response) mit Machine-Learning-Komponenten liefern die dafür notwendige Telemetrie in Echtzeit.

• 5. Verschlüsselung überall: Datentransporte zwischen Systemen werden grundsätzlich verschlüsselt, auch intern. TLS für alle Verbindungen, Festplattenverschlüsselung auf allen Endgeräten, verschlüsselte Datenbanken für sensible Informationen. Selbst bei erfolgreichem Datenzugriff bleibt das Datenmaterial für den Angreifer unlesbar.

Neues eBook „Zero-Trust-Sicherheitsmodelle“

Zero Trust als Basis sicherer Digitalisierung

Der pragmatische Einstieg: Was KMU und Kommunen heute tun können

Der Einstieg beginnt nicht mit Hardware-Investitionen, sondern mit einer ehrlichen Bestandsaufnahme: Wer hat gerade auf was Zugriff? Sind alle Zugänge bekannt? Welche Konten sind inaktiv? Welche Systeme kommunizieren miteinander, obwohl sie es nicht müssen? Das BSI stellt für diesen ersten Schritt kostenlose Hilfsmittel bereit, darunter den IT-Grundschutz-Check und den CyberRisikoCheck nach DIN SPEC 27076.

• Phase 1, Quick Wins (1 bis 3 Monate): MFA für alle Cloud-Dienste aktivieren. Admin-Konten von Alltagskonten trennen. Inaktive Benutzerkonten deaktivieren. Passwortrichtlinien verschärfen und einen Passwort-Manager einführen. Diese Maßnahmen kosten wenig, schließen aber einige der häufigsten Einfallstore.

• Phase 2, Strukturelle Maßnahmen (3 bis 6 Monate): Netzwerksegmentierung per VLAN einführen. Remote-Zugänge auf Zero Trust Network Access (ZTNA) umstellen, weg von VPNs mit Vollzugriff auf das gesamte LAN. Logging für kritische Systeme aktivieren. Endpunktschutz mit zentraler Verwaltung einführen.

• Phase 3, Kontinuierliche Weiterentwicklung: Conditional Access Policies konfigurieren und verfeinern. NDR-Lösungen mit Machine Learning einführen, die Anomalien im Netzverkehr in Echtzeit erkennen. Regelmäßige Penetrationstests durchführen, um den Reifegrad der Zero-Trust-Architektur zu messen.

Sichere und nachweisbare Datenverarbeitung

Best Practices für den Umgang mit DIN SPEC 27076

NIS2, Cyberversicherung und Zero Trust: Ein Zusammenhang

NIS2 Artikel 21 fordert explizit Konzepte für die Zugangskontrolle und Sicherheit bei der Beschaffung. Zero-Trust-Prinzipien erfüllen diese Anforderungen strukturell. Wer Zero Trust implementiert, erfüllt gleichzeitig Kernanforderungen aus NIS2. Die vollständigen Anforderungen sind auf der Plattform OpenKRITIS dokumentiert.

Ein praktisch unterschätzter Treiber sind Cyberversicherungen. Versicherer haben ihre Mindestanforderungen für eine Policierung deutlich verschärft. MFA, Netzwerksegmentierung und dokumentierte Zugriffskontrollen gelten heute branchenweit als Voraussetzung für eine Cyberversicherung. Wer Zero Trust umsetzt, verbessert seine Versicherbarkeit und kann in Verhandlungen belastbare technische Nachweise vorlegen.

Für Kommunen und öffentliche Verwaltungen kommt ein weiterer Aspekt hinzu: Cyberangriffe auf kommunale IT führen direkt zu Einschränkungen bei Bürgerservices. Der BSI-Lagebericht 2025 bescheinigt Kommunen weiterhin erhebliche Defizite bei Netzwerksegmentierung und Patchmanagement, genau die Bereiche, die Zero Trust adressiert.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Besondere Relevanz für OT-Umgebungen

In Fertigungsunternehmen, Versorgern und Kommunen mit technischen Anlagen existieren oft parallele Netzwerke für industrielle Steuerungssysteme (OT). Diese OT-Netzwerke sind häufig schlecht dokumentiert und enthalten Systeme mit langen Lebenszyklen ohne integrierte Sicherheitsmechanismen. Zero Trust greift nur dort vollständig, wo es auf alle Netzwerk­seg­men­te ausgerollt wird.

Der Dragos OT Cybersecurity Year in Review 2025 dokumentiert einen Anstieg von Ransomware-Angriffen auf Industrieorganisationen um 87 Prozent gegenüber dem Vorjahr. Dragos verfolgt 23 aktive OT-Angreifergruppen, darunter staatlich gestützte Akteure, die sich gezielt in kritischen Infrastrukturen positionieren. Das typische Muster: Angreifer kompromittieren zunächst ein IT-System und bewegen sich dann seitlich in das OT-Netzwerk vor. Segmentierung und Zero Trust sind die wirksamsten architekturellen Gegenmaßnahmen.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

Fazit

Zero Trust ist kein Trend, der sich erledigt. Es ist die logische Antwort auf eine Bedrohungs­land­schaft, in der der Perimeter verschwunden ist. Für mittelständische Unternehmen, Kommunen und Versorger bedeutet das: Der Einstieg ist heute möglich, mit vorhandener Infrastruktur, in überschaubaren Schritten und mit messbarem Nutzen. NIS2 liefert den regulatorischen Rahmen, die tägliche Bedrohungslage die Begründung. Beides zusammen macht Zero Trust nicht zur Option, sondern zur Notwendigkeit.

Über den Autor: Rainer Albrecht ist Geschäftsführer der GEMAKOM GmbH IT & Te­le­kom­mu­ni­ka­ti­on in Ketsch (Baden-Württemberg) und begleitet seit über 30 Jahren mittelständische Unternehmen, Kommunen und Versorger in der Metropolregion Rhein-Neckar bei IT-Security, Infrastruktur und Cloud. Sein Arbeitsschwerpunkt 2026 liegt auf NIS2-Compliance und Penetrationstests als strategischem Sicherheitsinstrument für den Mittelstand.

(ID:50950621)