Zero Trust ist die fundamentale Neuausrichtung der IT-Sicherheits-Architektur — weg vom „Burg-und-Wassergraben"-Modell hin zu einem identitäts-zentrierten Ansatz mit dem Grundsatz „Niemals vertrauen, immer verifizieren" (Never Trust, Always Verify). Das Modell wurde 2010 von Forrester Research geprägt und 2020 durch NIST SP 800-207 zum De-facto-Standard formalisiert. Anders als der traditionelle Perimeter-Schutz geht Zero Trust davon aus, dass das Netzwerk bereits kompromittiert ist — und schützt jeden einzelnen Zugriff individuell. Für deutsche Unternehmen ist Zero Trust ein zentraler Baustein der NIS2-Compliance (insbesondere Pflicht-Bereich 9: Personal/Zugriff/Asset und 10: MFA), der DORA-Resilienz, und ein expliziter Empfehlungs-Schwerpunkt des BSI. Der globale Zero-Trust-Markt wächst mit etwa 17 % jährlich — Tendenz beschleunigend nach hochkarätigen Cyber-Vorfällen wie SolarWinds und der zunehmenden Cloud-Migration.
Kerntatsachen
- „Never Trust, Always Verify" — der Grundsatz von Zero Trust: kein impliziter Vertrauensvorschuss, jede Anfrage individuell geprüft.
- NIST SP 800-207 ist der maßgebliche Referenz-Standard — sieben Grundprinzipien.
- Identity-Centric Security — Identität ist der neue Perimeter, nicht das Netzwerk.
- Microsegmentation — feine Netzwerk-Trennung pro Anwendung / Workload.
- Continuous Verification — kontinuierliche Re-Authentifizierung statt einmaliger Login.
- BSI-Empfehlung: Zero Trust ist explizit empfohlen — keine Pflicht, aber Best Practice.
- NIS2-Bezug: Pflicht-Bereiche 9 und 10 stark Zero-Trust-affin.
- Implementierungs-Dauer: typisch 18-36 Monate für vollständige Migration; in Phasen schon nach 6 Monaten erste Ergebnisse.
Inhalt
- Was ist Zero Trust?
- Vom Perimeter-Modell zu Zero Trust
- NIST SP 800-207 — die sieben Prinzipien
- Drei Kern-Komponenten
- Identity-Centric Security
- Microsegmentation
- Continuous Verification
- Zero Trust Network Access (ZTNA)
- BSI-Empfehlungen
- NIS2 und Zero Trust
- Migrations-Roadmap
- Tool-Landschaft
- Häufige Fehler
- Häufig gestellte Fragen
- Fazit
Was ist Zero Trust?
Zero Trust ist eine Sicherheits-Philosophie und -Architektur, die das traditionelle Perimeter-Sicherheits-Modell ablöst. Statt einer „Burg-und-Wassergraben"-Logik (innen sicher, außen unsicher) geht Zero Trust davon aus:
- das Netzwerk ist bereits kompromittiert
- kein Nutzer und kein Gerät verdient automatisches Vertrauen
- jeder einzelne Zugriff wird individuell verifiziert
Der Kerngrundsatz
„Never Trust, Always Verify" — niemals vertrauen, immer verifizieren.
Konkret bedeutet das: jeder Zugriff auf eine Ressource — sei es durch einen Mitarbeiter im Büro, von zu Hause oder durch einen automatisierten Prozess — wird in Echtzeit auf:
- Identität des Anfragenden
- Sicherheits-Status des Geräts
- Kontext (Standort, Zeit, Verhaltensmuster)
- Ressourcen-Sensitivität
geprüft und abhängig vom Risiko gewährt oder verweigert.
Kennzahl
17 % jährliches Wachstum des globalen Zero-Trust-Marktes (laut Gartner und Forrester) — getrieben durch Cloud-Migration, hybride Arbeit, hochkarätige Cyber-Vorfälle und die regulatorische Verschärfung durch NIS2, DORA und EU-Cyber-Resilience-Act.
Vom Perimeter zu Zero Trust
Das traditionelle Perimeter-Modell
Das klassische „Burg-und-Wassergraben"-Modell der 1990er und 2000er Jahre:
| Aspekt | Mechanismus |
|---|---|
| Perimeter-Schutz | Firewall trennt „innen" (vertrauenswürdig) von „außen" (untrustworthy) |
| Authentifizierung | einmalig beim Login, dann freier Zugriff |
| Netzwerk-Vertrauen | wer einmal drin ist, hat weitreichenden Zugriff |
| VPN-Zugang | erweitert das vertraute Netzwerk auf Remote-Mitarbeiter |
Warum das Modell scheitert
| Faktor | Auswirkung |
|---|---|
| Cloud-Migration | Daten und Anwendungen sind nicht mehr „innen" |
| Mobile Arbeit / BYOD | Geräte sind außerhalb der Kontrolle |
| Lieferanten-Zugriffe | externe Akteure müssen Zugriff haben |
| Insider-Bedrohungen | „Innen-Vertrauen" wird missbraucht |
| Lateral Movement | Angreifer bewegen sich frei nach Initial-Kompromittierung |
| Zunehmende Komplexität | Perimeter wird unscharf |
Der Übergang zu Zero Trust
| Aspekt | Perimeter-Modell | Zero Trust |
|---|---|---|
| Vertrauens-Grundlage | Netzwerk-Standort | Identität + Kontext |
| Zugangs-Entscheidung | einmalig | kontinuierlich |
| Lateral Movement | weitreichend möglich | durch Microsegmentation begrenzt |
| Remote-Zugang | VPN | ZTNA mit kontinuierlicher Verifikation |
NIST sieben Prinzipien
NIST SP 800-207 definiert die sieben Grundprinzipien der Zero-Trust-Architektur.
Die sieben Prinzipien
| Prinzip | Bedeutung |
|---|---|
| 1. Alle Datenquellen und Computing-Dienste als Ressourcen betrachten | Microservices, IoT, OT — nicht nur klassische Server |
| 2. Alle Kommunikation unabhängig vom Standort sicher | TLS, mTLS, Zero-Trust-Verbindungen |
| 3. Zugriff auf einzelne Ressourcen pro Sitzung gewähren | nicht netzwerkweit |
| 4. Zugriffs-Entscheidungen dynamisch und richtlinienbasiert | unter Berücksichtigung von Identität, Gerätestatus, Kontext |
| 5. Integrität und Sicherheits-Status aller Geräte überwachen | EDR, MDM, Posture-Assessment |
| 6. Authentifizierung und Autorisierung für jede Ressource | streng und dynamisch |
| 7. Möglichst viele Daten über Sicherheits-Status sammeln und auswerten | KI-gestützte Analyse |
Pratische Konsequenzen
| Prinzip | Praxis |
|---|---|
| 1 | umfassende Asset-Inventarisierung |
| 2 | Verschlüsselung als Standard |
| 3 | application-level access control |
| 4 | Risk-Based Authentication |
| 5 | Endpoint-Security-Posture |
| 6 | starke Authentifizierung + Autorisierung |
| 7 | SIEM, UEBA, AI/ML-Analyse |
Drei Komponenten
Eine Zero-Trust-Architektur besteht aus drei Kern-Komponenten.
Komponente 1 — Policy Engine (PE)
Die Policy Engine ist das Gehirn der Architektur. Sie:
- empfängt Zugangs-Anfragen
- bewertet alle relevanten Signale (Identität, Gerät, Kontext)
- trifft Zugangs-Entscheidungen basierend auf Richtlinien
- protokolliert die Entscheidungen
Komponente 2 — Policy Administrator (PA)
Der Policy Administrator ist der Vermittler zwischen Policy Engine und Datenpfad:
- empfängt Entscheidungen der PE
- konfiguriert die Datenpfad-Komponenten
- verwaltet Sitzungs-Tokens
- terminiert Sitzungen bei Verstößen
Komponente 3 — Policy Enforcement Point (PEP)
Der PEP ist der eigentliche Sicherheits-Wächter. Er:
- befindet sich vor jeder geschützten Ressource
- erlaubt oder blockiert Zugriffe basierend auf PA-Anweisungen
- führt kontinuierliche Verifikation durch
- meldet Verstöße zurück an PE
Architektur-Übersicht
Nutzer / Gerät
│
▼
┌─────────────────────┐
│ Policy Enforcement │ ◄─ PEP
│ Point │
└──────────┬──────────┘
│
▼
┌─────────────────────┐
│ Policy Administrator │ ◄─ PA
└──────────┬──────────┘
│
▼
┌─────────────────────┐
│ Policy Engine │ ◄─ PE
│ (Identity, Risk, │
│ Context, Threat Intel)│
└─────────────────────┘
│
▼
Geschützte Ressource
Identity-Centric
Im Zero-Trust-Modell ist die Identität der neue Perimeter. Entsprechend stehen Identity-Komponenten im Mittelpunkt.
Komponenten der Identity-Centric Security
| Komponente | Funktion |
|---|---|
| Identity Provider (IdP) | zentrale Identitäts-Verwaltung (Microsoft Entra ID, Okta, Auth0) |
| Multi-Faktor-Authentifizierung (MFA) | starke Authentifizierung mit mind. zwei Faktoren |
| Single Sign-On (SSO) | einheitliche Anmeldung für alle Anwendungen |
| Privileged Access Management (PAM) | Verwaltung privilegierter Zugriffe |
| Identity Governance and Administration (IGA) | Lebenszyklus-Management von Identitäten |
| Conditional Access | dynamische Zugangs-Entscheidungen basierend auf Risiko |
Risk-Based Authentication
Die Stärke der erforderlichen Authentifizierung passt sich dem Risiko an:
| Risiko-Faktor | Auswirkung |
|---|---|
| Gerät bekannt + lokales Netzwerk + normale Zeit | normale MFA |
| Gerät bekannt + Reise + ungewöhnliche Zeit | zusätzliche Verifikation (z. B. SMS-Code) |
| Neues Gerät | strenge Verifikation, evtl. manuelle Freigabe |
| Bekanntes Gefährdungs-Szenario | Zugriff blockiert oder mit Step-Up-Authentication |
Continuous Authentication
Im Unterschied zur einmaligen Authentifizierung wird in Zero Trust kontinuierlich verifiziert:
- Sitzungs-Token werden regelmäßig erneuert
- Gerätestatus wird kontinuierlich geprüft
- Verhaltens-Anomalien führen zu Re-Authentifizierung
- Lange Inaktivität führt zu Sitzungs-Beendigung
Microsegmentation
Microsegmentation ist die feinkörnige Netzwerk-Trennung — jede Anwendung, jeder Workload, jeder kritische Service erhält sein eigenes Netzwerk-Segment.
Vorteile
| Vorteil | Beschreibung |
|---|---|
| Begrenzung von Lateral Movement | Angreifer können sich nicht frei bewegen |
| Kleinere Angriffsfläche | jeder Service hat nur die nötigen Verbindungen |
| Bessere Compliance-Trennung | DSGVO-Daten von anderen getrennt |
| Vereinfachte Audits | klare Datenflüsse |
Implementierungs-Optionen
| Option | Beschreibung |
|---|---|
| VLANs | klassisch, grobe Trennung |
| VRFs | virtuelle Routing-Domänen |
| Software-Defined Network (SDN) | flexibel, dynamisch |
| Service Mesh (Istio, Linkerd) | Microservice-Trennung |
| Zero Trust Network Access (ZTNA) | Identity-basierte Trennung |
| Cloud-native Tools (AWS VPC, Azure VNet, GCP VPC) | Cloud-spezifisch |
East-West vs. North-South
| Verkehr | Beschreibung |
|---|---|
| North-South | Verkehr zwischen Internet und internem Netzwerk |
| East-West | Verkehr innerhalb des internen Netzwerks |
Traditioneller Perimeter-Schutz konzentriert sich auf North-South. Zero Trust und Microsegmentation schützen auch East-West — wo die meisten Lateral-Movement-Angriffe stattfinden.
Continuous Verification
Continuous Verification ist die kontinuierliche Validierung der Sicherheits-Annahmen.
Was wird kontinuierlich verifiziert?
| Aspekt | Mechanismus |
|---|---|
| Identität | Token-Erneuerung, Re-Authentifizierung |
| Geräte-Status | EDR, Posture-Assessment, Patch-Status |
| Kontext | Standort, Zeit, Verhaltensmuster |
| Bedrohungs-Landschaft | Threat Intelligence, IOC-Matching |
| Compliance-Status | DSGVO, NIS2, ISO 27001 |
Trigger für Re-Authentifizierung
| Trigger | Aktion |
|---|---|
| Standort-Wechsel | Re-Auth mit zusätzlichem Faktor |
| Geräte-Konfigurations-Änderung | Posture-Re-Check |
| Verhaltens-Anomalie | Step-Up-Authentication |
| Hochrisiko-Aktion | zusätzliche Bestätigung |
| Zeit-Schwelle | reguläre Sitzungs-Erneuerung |
ZTNA
Zero Trust Network Access (ZTNA) ist die identity-basierte Alternative zu klassischen VPNs.
Vergleich VPN vs. ZTNA
| Aspekt | VPN | ZTNA |
|---|---|---|
| Authentifizierung | einmalig | kontinuierlich |
| Zugriff | netzwerkweit | application-level |
| Lateral Movement | möglich | verhindert |
| Performance | oft langsam | optimiert |
| Skalierung | hardware-limitiert | cloud-native |
| Sichtbarkeit | begrenzt | umfassend |
ZTNA-Anbieter
| Anbieter | Schwerpunkt |
|---|---|
| Zscaler ZIA / ZPA | umfassende Plattform |
| Cloudflare Access | Cloud-native, einfach |
| Microsoft Entra Internet/Private Access | Microsoft-Ökosystem-Integration |
| Palo Alto Networks Prisma Access | unternehmensorientiert |
| Cisco Duo + AnyConnect | Cisco-Bestand-orientiert |
| Tailscale | KMU-orientiert, einfach |
BSI-Empfehlungen
Das BSI empfiehlt Zero Trust explizit als modernes Sicherheits-Modell.
BSI-Veröffentlichungen
| Veröffentlichung | Inhalt |
|---|---|
| BSI-Empfehlung Zero Trust | strategische Empfehlung |
| BSI IT-Grundschutz Bausteine | Bezug zu Zero Trust in mehreren Bausteinen |
| BSI-Standard 200-2 | implizit Zero-Trust-orientiert |
BSI-Empfohlene Reihenfolge
- Identity-First — IdP, MFA, IGA, SSO
- Device-Trust — EDR, MDM, Posture
- Microsegmentation — beginnen mit kritischen Anwendungen
- ZTNA — VPN ablösen
- Continuous Verification — vollständige Echtzeit-Bewertung
KRITIS-Bezug
Für KRITIS-Betreiber empfiehlt das BSI Zero Trust als strategische Sicherheits-Architektur — besonders relevant nach NIS2 und KRITIS-Dachgesetz.
NIS2 Zero Trust
NIS2 fordert mehrere Pflicht-Bereiche, die direkt Zero-Trust-affin sind.
Direkte NIS2-Bezüge
| NIS2-Bereich | Zero-Trust-Komponente |
|---|---|
| Bereich 9: Personal/Zugriff/Asset | IAM, IGA, PAM |
| Bereich 10: MFA | starke Authentifizierung als Teil von Zero Trust |
| Bereich 1: Risikoanalyse | risk-based access |
| Bereich 6: Wirksamkeits-Bewertung | continuous verification |
DORA-Bezug
DORA verlangt für Finanzunternehmen ein resilientes IKT-Risiko-Management. Zero Trust ist die natürliche Architektur:
- Säule 1 (IKT-Risikomanagement): Zero Trust als strategischer Rahmen
- Säule 3 (Resilienz-Tests): TLPT testet Zero-Trust-Wirksamkeit
- Säule 4 (IKT-Drittparteien): Zero Trust für Dritt-Anbieter
Migrations-Roadmap
Eine vollständige Zero-Trust-Migration dauert 18-36 Monate.
Phase 1 — Strategie und Mandat (Monate 1-3)
- Geschäftsleitungs-Mandat
- Zero-Trust-Strategie definieren
- aktuelle Sicherheits-Architektur dokumentieren
- Reifegrad-Analyse
Phase 2 — Identity-Foundation (Monate 4-9)
- IdP konsolidieren (möglichst nur ein primärer)
- MFA überall ausrollen
- SSO für alle Anwendungen
- Conditional Access etablieren
- Privileged Access Management einführen
Phase 3 — Device-Trust (Monate 8-12)
- EDR auf allen Endpunkten
- Mobile Device Management
- Geräte-Compliance-Policies
- Posture-Assessment in Zugangs-Entscheidungen
Phase 4 — Erste Microsegmentation (Monate 10-15)
- kritische Anwendungen identifizieren
- East-West-Verkehr analysieren
- Microsegmentation für Top-5-Anwendungen
- Datenfluss-Dokumentation
Phase 5 — ZTNA-Rollout (Monate 12-18)
- ZTNA-Tool auswählen und ausrollen
- VPN schrittweise ablösen
- application-level access policies
Phase 6 — Continuous Verification (Monate 15-24)
- SIEM / UEBA für Verhaltens-Analyse
- KI-gestützte Anomalie-Erkennung
- automatisierte Risk Response
Phase 7 — Vollständige Architektur (Monate 24-36)
- alle Anwendungen Zero-Trust-integriert
- IoT / OT eingebunden
- Lieferanten-Zugriffe Zero-Trust
- vollständige Wirksamkeits-Messung
Tool-Landschaft
Identity-Provider
| Anbieter | Stärken |
|---|---|
| Microsoft Entra ID | dominant in DE, Office-365-Integration |
| Okta | unabhängig, breite App-Integration |
| Ping Identity | Enterprise, hohe Konfigurierbarkeit |
| JumpCloud | KMU-orientiert |
MFA / Strong Authentication
| Anbieter | Anwendung |
|---|---|
| Microsoft Authenticator | Microsoft-Ökosystem |
| Google Authenticator | OTP, einfach |
| YubiKey | hardware-basiert (FIDO2) |
| Duo Security | Cisco-Familie |
EDR / XDR
| Anbieter | Stärken |
|---|---|
| Microsoft Defender XDR | Office-365-Integration |
| CrowdStrike Falcon | Premium-Markt |
| SentinelOne | autonome AI |
| Sophos Intercept X | KMU-orientiert |
ZTNA
| Anbieter | Schwerpunkt |
|---|---|
| Zscaler ZPA | umfassend |
| Cloudflare Access | einfach, Cloud-native |
| Microsoft Entra Private Access | Microsoft-Ökosystem |
| Tailscale | KMU |
SIEM / UEBA
| Anbieter | Anwendung |
|---|---|
| Microsoft Sentinel | Cloud-native, Azure |
| Splunk | Enterprise |
| Elastic Security | open-source-fundiert |
| IBM QRadar | Großunternehmen |
Häufige Fehler
| Fehler | Häufigkeit |
|---|---|
| Zero Trust als Tool-Kauf statt Strategie verstanden | 50 % |
| Zu schnelle vollständige Migration ohne Phasen | 30 % |
| Identity-Foundation übersprungen | 35 % |
| Microsegmentation ohne Datenfluss-Analyse | 25 % |
| User Experience vernachlässigt | 30 % |
| Operative Kosten unterschätzt | 35 % |
| Legacy-Systeme nicht berücksichtigt | 40 % |
| Lieferanten-Zugriffe vergessen | 25 % |
| Continuous Verification nur theoretisch | 30 % |
| Geschäftsleitungs-Mandat fehlt | 20 % |
FAQ
Was ist Zero Trust?
Eine Sicherheits-Philosophie und -Architektur mit dem Grundsatz „Never Trust, Always Verify" — kein impliziter Vertrauensvorschuss, jeder Zugriff wird individuell geprüft.
Was ist NIST SP 800-207?
Der maßgebliche Referenz-Standard für Zero Trust — definiert sieben Grundprinzipien.
Was ist der Unterschied zu klassischen Sicherheits-Modellen?
Klassisch: Perimeter-Schutz mit Vertrauen innerhalb. Zero Trust: jede Anfrage individuell geprüft, kein implizites Vertrauen.
Brauche ich Zero Trust für NIS2-Compliance?
Nicht zwingend, aber sehr empfohlen — die Pflicht-Bereiche 9 (Zugriff/Asset) und 10 (MFA) sind eng mit Zero-Trust-Komponenten verbunden.
Was ist ZTNA?
Zero Trust Network Access — identity-basierte Alternative zu VPN mit kontinuierlicher Verifikation und application-level access.
Wie lange dauert eine Migration?
Vollständig: 18-36 Monate. In Phasen: erste Ergebnisse nach 6-9 Monaten (Identity-Foundation, MFA).
Was kostet Zero Trust?
Stark abhängig von Reifegrad und Größe. Tooling für Mittelstand: 50.000-200.000 EUR/Jahr. Implementierung-Beratung: 100.000-500.000 EUR über 18-24 Monate.
Welcher Anbieter ist der beste?
Es gibt keinen einzelnen „besten" Anbieter — Zero Trust ist eine Multi-Anbieter-Architektur. Wahl abhängig von bestehender Tool-Landschaft, Cloud-Strategie und Größe.
Welche Reihenfolge ist empfohlen?
- Identity-Foundation (IdP, MFA, SSO), 2. Device-Trust (EDR, MDM), 3. Microsegmentation (kritische Apps zuerst), 4. ZTNA, 5. Continuous Verification.
Funktioniert Zero Trust mit Legacy-Systemen?
Teilweise — moderne Zero-Trust-Plattformen unterstützen Legacy via Proxy-Connectors und Identity-Aware Proxies. Vollständige Integration kann aber langwierig sein.
Verwandte Themen
- NIS2 Anforderungen und Umsetzung — Pflicht-Bereiche 9 und 10 stark Zero-Trust-affin
- Penetrationstest: Vollständiger Leitfaden — Wirksamkeits-Test der Zero-Trust-Architektur
- Ransomware Incident Response: Vollständiger Leitfaden — primärer Bedrohungs-Treiber
- ISO 27001 Leitfaden — Annex A 8.27 fordert Zero-Trust-Engineering-Prinzipien
- TOMs nach Art. 32 DSGVO — moderne Authentifizierungs-Anforderungen
Fazit
Zero Trust ist die strategische Antwort auf die moderne Bedrohungslandschaft — Cloud-Migration, hybride Arbeit, immer raffinierter werdende Cyberangriffe. Drei strategische Empfehlungen:
Erstens, Strategie vor Tool. Zero Trust ist eine Philosophie — kein Produkt. Wer mit Tool-Kauf beginnt ohne strategische Vision, scheitert.
Zweitens, Identity-First. Eine solide Identity-Foundation (IdP, MFA, SSO, PAM) ist die Voraussetzung für alle weiteren Phasen.
Drittens, phasenweise Migration. Vollständige Zero-Trust-Migration in einem Schritt scheitert. 18-36 Monate in 7 Phasen, mit Quick Wins nach 6-9 Monaten.
Vision Compliance unterstützt Unternehmen bei der Zero-Trust-Strategie als Teil unserer Cyber-Security-Beratung und NIS2-Beratung — Reifegrad-Analyse, Tool-Auswahl, Implementierungs-Begleitung. Wir kombinieren Cyber-Sicherheits-Architektur-Expertise mit Compliance-Verständnis. Sprechen Sie uns an für ein kostenloses Erstgespräch mit individueller Zero-Trust-Reifegrad-Bewertung.
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.