In diesem Artikel
Zero Trust ist eine einfache Regel: Mit dem Firmennetz verbunden zu sein, gewährt für sich genommen keinen Zugriff auf irgendetwas. Jede Anfrage wird geprüft: wer die Person ist, von welchem Gerät sie zugreift und welche Ressource sie erreichen will. In einem KMU mit 10 bis 200 Arbeitsplätzen ist das Wesentliche in rund drei Monaten umgesetzt, vor allem mit Werkzeugen, für die das Unternehmen bereits bezahlt: Microsoft 365, Firewall und verwaltete Geräte. Es ist kein Produkt, das man kauft, sondern eine Art, Zugriffe zu organisieren.
Kurz gesagt
- Prinzip Immer prüfen, nur das Nötige gewähren, alles protokollieren.
- Umfang Vier Handlungsfelder in dieser Reihenfolge: Identität, Geräte, Netz und minimaler Zugriff.
- Zeitrahmen Rund drei Monate in einem Unternehmen mit 10 bis 200 Arbeitsplätzen.
- Grund Laut Verizon (2026) betrafen 55 % der Datenschutzverletzungen in KMU Dritte, und 45 % hatten einen menschlichen Faktor.
Von der Burg zum Flughafen: der Modellwechsel
Jahrelang ahmte die Unternehmenssicherheit eine Burg nach: eine starke Mauer (die Firewall) und volles Vertrauen in alle, die drinnen waren. Dieses Modell taugt nicht mehr. Heute gibt es Homeoffice, Microsoft 365 in der Cloud, Smartphones und Dienstleister mit Fernzugriff. Und die meisten Angriffe reißen die Mauer nicht ein: Sie kommen mit dem Passwort von jemandem herein.
Ein Flughafen funktioniert anders. Das Terminal zu betreten reicht nicht zum Einsteigen: Die Bordkarte wird an der Sicherheitskontrolle geprüft, erneut am Gate, und sie gilt nur für ein Flugzeug und einen Platz. Zero Trust wendet dieselbe Logik auf die Systeme des Unternehmens an.
Für die Geschäftsleitung ist der Gewinn greifbar: Wird ein Passwort gestohlen oder ein Laptop infiziert, beschränkt sich der Schaden auf eine Person und einen Teil der Systeme, nicht auf das ganze Unternehmen.
Warum es nicht länger warten kann
Der Verizon-Bericht zu Datenschutzverletzungen 2026 zeigt, dass in KMU 55 % der analysierten Verletzungen Dritte betrafen (Lieferanten, Partner, Dienstleister) und 45 % ein menschliches Element hatten: ein Klick, ein Fehler, ein wiederverwendetes Passwort. Keine Perimeter-Firewall löst das allein.
Die europäische NIS2-Richtlinie verlangt unter den Maßnahmen zum Risikomanagement Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung. Sie spricht nicht von Zero Trust, aber die vier Handlungsfelder decken einen Großteil dieser technischen Arbeit ab. Ist Ihr Unternehmen betroffen, lesen Sie den Leitfaden NIS2 für KMU.
Die vier Handlungsfelder eines realistischen Zero Trust
1. Konten: die Identität als erste Barriere
- MFA überall Beginnend mit Microsoft 365 und den Administratoren.
- Austritte am selben Tag erledigt Konten ehemaliger Mitarbeiter am Tag des Austritts deaktiviert.
- Wenige Administratoren Zwei oder drei benannte Personen, mit separaten Konten für Verwaltungsaufgaben.
- Keine geteilten Konten Kein „info@“ oder „filiale1“ für die Anmeldung an Systemen.
Das ist das Feld mit dem größten Ertrag: Ein per Phishing erbeutetes Passwort reicht nicht mehr. Bei den meisten Microsoft-365-Lizenzen entstehen keine Zusatzkosten; der Aufwand ist organisatorisch. Details unter Multi-Faktor-Authentifizierung im Unternehmen und Passwortmanager für Teams.
2. Geräte: wissen, was existiert und in welchem Zustand
- Inventar Alle Computer und Smartphones mit Zugriff auf Unternehmensdaten.
- Schutz und Updates Auf allen aktiv.
- Bedingter Zugriff In Microsoft 365 erreichen nur konforme Geräte die Daten.
Geräte ohne Support sind die erste Korrektur, etwa Windows 10 seit dem 14. Oktober 2025. Siehe was beim Supportende von Windows 10 zu tun ist.
3. Netz: getrennte Zonen und eine entscheidende Firewall
Das Netz ist kein einheitlicher Raum mehr. Arbeitsplätze, Server, Gäste, Drucker und Kameras liegen in getrennten Zonen, und die Managed Firewall entscheidet, was zwischen ihnen fließt. Ein infizierter Computer bleibt in seiner Zone und erreicht weder Server noch Backups zum Verschlüsseln. Mit verwaltbaren Switches und Managed Firewall ist das Konfiguration, kein Kauf.
4. Minimaler Zugriff: jede Person nur auf das, was sie braucht
- Berechtigungen überprüft Freigegebene Ordner, SharePoint und Teams.
- Keine lokalen Adminrechte Nutzer ohne Administratorrechte am eigenen Computer.
- Fernzugriff pro Anwendung Statt Zugriff auf das ganze Netz, wie wir in warum VPN nicht mehr reicht erklären.
Dieses Feld ist das aufwendigste, weil es an Gewohnheiten rührt, und kommt deshalb zuletzt. Es ist mit Copilot und anderen KI-Werkzeugen dringlicher geworden, die jeder Person alles zeigen, was sie öffnen darf. Lesen Sie die Regeln, die vor ChatGPT und Copilot festzulegen sind.
90-Tage-Zeitplan
Fristen für ein Unternehmen mit 10 bis 200 Arbeitsplätzen, mit eigenem IT-Partner und eingebundener Geschäftsleitung:
| Zeitraum | Arbeiten | Verantwortliche | Auswirkung auf das Team |
|---|---|---|---|
| Monat 1 | MFA auf allen Konten; Bereinigung alter Konten und Administratoren; Geräteinventar | Geschäftsleitung genehmigt; IT setzt um | Bestätigung auf dem Smartphone bei der Anmeldung |
| Monat 2 | Schutz und Updates auf allen Geräten; bedingter Zugriff in Microsoft 365; Ersatzplan für Geräte ohne Support | IT setzt um; Finanzleitung genehmigt Ersatz | Private Geräte laden keine Daten mehr herunter |
| Monat 3 | Segmentiertes Netz; isoliertes Gästenetz; eingeschränktes VPN und eigene Konten für Dienstleister | IT setzt in einem geplanten Eingriff um | Kaum spürbar; gut gemacht, ist es unsichtbar |
| Danach | Vierteljährliche Prüfung der Berechtigungen; Entzug von Adminrechten; schrittweiser Übergang zum Zugriff pro Anwendung | Führungskräfte bestätigen; IT setzt um | Softwareinstallation läuft über die IT |
Was bewusst nicht im Plan steht
Es gibt fortgeschrittene Zero-Trust-Lösungen: Verhaltensanalyse von Nutzern, Segmentierung pro Anwendung, kontinuierliche Prüfung des Zustands jedes Geräts. In den meisten KMU kosten sie viel und bringen wenig, solange die vier Grundfelder nicht erledigt sind.
Die Reihenfolge zählt. MFA ohne Segmentierung schützt die Konten, aber nicht das Netz; Segmentierung ohne MFA schützt das Netz, aber nicht die Konten.
In der Praxis: ein Windows- und Mac-Gerätepark mit denselben Regeln
Im Lissabonner Büro von Reltio by SAP, einem US-Softwareunternehmen für Datenmanagement, sorgt DataRoad für laufende Wartung und Netzverwaltung: 125 strukturierte Netzwerkanschlüsse, Firewall, drei Switches und Cisco-Meraki-WLAN-Access-Points sowie spezialisierten Support für 35 Dell-Geräte und 40 MacBook Pro.
Das ist das Bild des zweiten Handlungsfelds: ein gemischter Gerätepark, in dem die Regeln unabhängig vom System gleich sein müssen. Mit erstelltem Inventar und zentral verwaltetem Netz ist Zero Trust eine Frage der Methode.
Häufige Fragen
Ist Zero Trust ein Produkt?
Nein. Es ist eine Art, Zugriffe zu gestalten. Es gibt Produkte, die helfen, aber in den meisten KMU lassen sich die vier Felder mit Microsoft 365, der Firewall und den vorhandenen Geräten umsetzen.
Wird die Arbeit langsamer?
Kaum, wenn es gut umgesetzt ist. MFA verlangt eine Bestätigung auf dem Smartphone, und bedingter Zugriff fällt nicht auf, wenn das Gerät die Regeln erfüllt. Die sichtbarste Änderung ist, dass Programme nicht mehr ohne IT installiert werden – und das ist gewollt.
Braucht ein Unternehmen mit 15 Arbeitsplätzen das?
MFA und ein getrenntes Gästenetz sind in jedem Unternehmen sinnvoll. Gerätekontrolle und minimaler Zugriff gewinnen mit der Größe und der Sensibilität der Daten an Gewicht.
Schreibt NIS2 Zero Trust vor?
Den Begriff verwendet sie nicht, verlangt aber Zugriffskontrolle, Asset-Management und MFA. Die vier Handlungsfelder decken einen Großteil dieser technischen Arbeit ab. DataRoad setzt die technischen Maßnahmen um; die rechtliche Analyse ist Sache eines Anwalts.
Nächster Schritt: Zero-Trust-Diagnose in 10 Arbeitstagen
Wir bewerten Konten, Geräte, Netz und Berechtigungen, sagen Ihnen, wo Ihr Unternehmen steht, und liefern den Plan für die folgenden drei Monate. Managed Cybersecurity (Firewalls, Geräteschutz, MFA und Alarmierung) ist in IT Unlimited Premium enthalten. Fordern Sie ein unverbindliches Angebot an. Mehr als 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport.
