Der Begriff geht auf Arbeiten des Analystenhauses Forrester aus dem Jahr 2010 zurück und wurde später durch das US-amerikanische National Institute of Standards and Technology (NIST) in der Publikation SP 800-207 formalisiert. Wichtig ist von Anfang an die richtige Einordnung: Zero Trust ist kein Produkt, das man kauft und installiert. Es ist eine Architektur- und Designphilosophie, die sich durch viele technische Bausteine, Prozesse und organisatorische Entscheidungen zieht. Anbieter, die ein einzelnes Werkzeug als „die Zero-Trust-Lösung“ verkaufen, verkürzen das Modell unzulässig.
Im Kern verschiebt Zero Trust den Schutzfokus weg vom Netzwerk-Perimeter hin zu den eigentlich schützenswerten Ressourcen – Identitäten, Daten, Anwendungen und Diensten. Jede einzelne Zugriffsanfrage wird zu einem Entscheidungspunkt: Wer fragt an? Von welchem Gerät? In welchem Zustand befindet sich dieses Gerät? Auf welche Ressource soll zugegriffen werden, und ist dieser Zugriff in diesem Kontext angemessen? Erst wenn diese Fragen positiv beantwortet sind, wird der Zugriff gewährt – und zwar nur so weit, wie er tatsächlich benötigt wird.
Klassische IT-Sicherheit funktioniert wie eine mittelalterliche Burg: eine starke Mauer nach außen (Firewall), ein Burggraben (VPN) und ein Tor mit Wache (Login). Wer einmal drinnen ist, bewegt sich relativ frei. Genau das ist die Schwachstelle. Gelingt es einem Angreifer, die Außenmauer zu überwinden – etwa über einen Phishing-Erfolg oder gestohlene Zugangsdaten –, steht ihm der Innenraum offen. Diese seitliche Ausbreitung im Netz, im Fachjargon „lateral movement“, ist das Muster fast jedes größeren Sicherheitsvorfalls der letzten Jahre.
Zero Trust ersetzt das Bild der Burg durch das eines Gebäudes, in dem jede Tür einzeln gesichert ist und an jeder Tür erneut ausgewiesen werden muss, wer Zutritt verlangt. Es gibt keinen privilegierten Innenraum mehr. Ob ein Zugriff aus dem Büro, aus dem Homeoffice oder aus einem Rechenzentrum eines Cloud-Anbieters kommt, ist für die Vertrauensentscheidung zunächst irrelevant – geprüft wird in jedem Fall.
Zero Trust ist nicht neu, aber seine Dringlichkeit ist stark gewachsen. Drei Entwicklungen haben das Perimeter-Modell ausgehöhlt: Erstens die Cloud – Anwendungen und Daten liegen längst nicht mehr nur im eigenen Rechenzentrum. Zweitens das mobile und hybride Arbeiten – Mitarbeitende greifen von überall und von unterschiedlichsten Geräten aus zu. Drittens die Professionalisierung der Angreifer: Identitätsdiebstahl, Ransomware und Angriffe über die Lieferkette zielen gezielt auf das schwächste Glied. In dieser Realität gibt es schlicht keinen klar definierten Perimeter mehr, den man verteidigen könnte.
Weil der Begriff so griffig ist, kursieren viele Verkürzungen. Die häufigste lautet, Zero Trust bedeute, „niemandem zu vertrauen“ – das klingt nach einer Kultur des Misstrauens gegenüber den eigenen Mitarbeitenden. Gemeint ist jedoch etwas anderes: Es geht nicht um menschliches Misstrauen, sondern um den Verzicht auf implizites, technisches Vertrauen. Eine Zugriffsanfrage wird nicht deshalb abgelehnt, weil man dem Menschen dahinter misstraut, sondern weil man sie zuvor sauber verifizieren möchte. Richtig umgesetzt verbessert Zero Trust die Arbeitsbedingungen sogar, weil Mitarbeitende sicher von überall arbeiten können, ohne umständliche Sonderwege.
Ein zweites Missverständnis betrifft den Umfang. Zero Trust wird gelegentlich auf die Mehr-Faktor-Authentifizierung reduziert. MFA ist zwar ein zentraler und besonders wirkungsvoller Baustein, aber eben nur einer von vielen. Wer ausschließlich MFA einführt und sonst nichts ändert, hat einen wichtigen ersten Schritt getan – aber noch keine Zero-Trust-Architektur. Erst das Zusammenspiel von Identität, Geräten, Netzwerk-Segmentierung, Datenschutz und durchgängiger Beobachtung ergibt das vollständige Bild.
Explizite Verifizierung bedeutet, dass eine Zugriffsentscheidung niemals auf einem einzelnen Faktor beruht. Ein Passwort allein genügt nicht – es lässt sich stehlen, erraten oder abphishen. Stattdessen werden mehrere Signale kombiniert: Stimmt der zweite Faktor? Ist das Gerät als verwaltet und auf aktuellem Patch-Stand bekannt? Passt der Standort zum üblichen Verhalten? Häufen sich Fehlversuche? Aus der Gesamtschau dieser Signale errechnet das System ein Risiko und entscheidet: Zugriff erlauben, zusätzlich nachfragen oder blockieren. Dieses Prinzip wird oft als „risikobasierter“ oder „adaptiver“ Zugriff bezeichnet.
Das Prinzip der minimalen Rechtevergabe klingt simpel, ist in der Praxis aber die anspruchsvollste Disziplin. In gewachsenen IT-Landschaften sammeln Mitarbeitende über Jahre Berechtigungen an, die längst niemand mehr braucht – ein Phänomen, das als „Berechtigungs-Wildwuchs“ bekannt ist. Least Privilege ist daher kein einmaliges Projekt, sondern eine Daueraufgabe: regelmäßige Rezertifizierung von Rechten, zeitlich befristete Zugriffe (Just-in-Time), und für besonders heikle administrative Rechte ein eigenes Privileged-Access-Management. Wird dieses Prinzip ernst genommen, schrumpft die Angriffsfläche dramatisch – ein kompromittiertes Konto öffnet dann nur noch wenige Türen statt aller.
Wenn der klassische Netzwerk-Perimeter wegfällt, übernimmt die Identität dessen Rolle. Genau deshalb gilt: Eine Zero-Trust-Initiative, die nicht beim Identitätsmanagement beginnt, baut auf Sand. Ein zentrales Verzeichnis als „Single Source of Truth“, eine durchgängige Mehr-Faktor-Authentifizierung, ein sauberer Lebenszyklus von Konten (Eintritt, Wechsel, Austritt) und eine nachvollziehbare Rollenstruktur sind die Voraussetzungen für alles Weitere. Auch maschinelle Identitäten – Dienstkonten, Anwendungen, Schnittstellen – gehören dazu und werden in der Praxis oft sträflich vernachlässigt.
Geräte und Daten bilden gewissermaßen die äußere und die innere Schale rund um die Identität. Auf der Geräteseite geht es darum, den Sicherheitszustand jedes Endpunkts als zusätzliches Signal in die Zugriffsentscheidung einfließen zu lassen – ein nicht verwaltetes Privatgerät erhält eben nur eingeschränkten Zugriff. Auf der Datenseite geht es um den letzten Schutzwall: Selbst wenn alle anderen Kontrollen versagen, sorgen Klassifizierung und Verschlüsselung dafür, dass entwendete Daten nutzlos bleiben. Über alle vier Säulen legt sich ein kontinuierliches Monitoring, das Signale sammelt, korreliert und Anomalien sichtbar macht.
Ein häufiges Missverständnis lautet, Zero Trust mache Firewalls und VPNs überflüssig. Das stimmt so nicht. Perimeter-Kontrollen behalten ihren Wert als eine Schicht unter mehreren – das Prinzip der gestaffelten Verteidigung bleibt gültig. Zero Trust ergänzt diese Schicht jedoch um die entscheidende Einsicht, dass man sich nicht allein auf sie verlassen darf. Eine Firewall, die den Verkehr nach außen kontrolliert, ist sinnvoll; die Annahme, alles dahinter sei sicher, ist es nicht. In der Praxis migrieren viele Organisationen schrittweise – etwa indem sie das klassische VPN durch einen Zero-Trust-Netzwerkzugang ersetzen, ohne die Firewall abzuschaffen.
Zero Trust ist kein Zustand, den man an einem Stichtag erreicht und danach abhakt. Realistisch ist ein Spektrum von Reifegraden: Fast jede Organisation hat bereits einzelne Zero-Trust-Elemente im Einsatz – etwa eine Mehr-Faktor-Authentifizierung für den Web-Mail-Zugang. Der Weg führt von solchen Insellösungen über zunehmend integrierte Kontrollen bis hin zu einer durchgängig automatisierten, signalgesteuerten Architektur. Diese Sichtweise nimmt dem Thema den Schrecken: Es geht nicht um „alles oder nichts“, sondern um kontinuierliche Verbesserung entlang einer klaren Richtung.
Technisch laufen viele dieser Bausteine in zwei zentralen Komponenten zusammen, die NIST in seinem Referenzmodell beschreibt: einem „Policy Decision Point“, der die eigentliche Zugriffsentscheidung trifft, und einem „Policy Enforcement Point“, der sie durchsetzt. Gespeist werden diese Entscheidungen vom zentralen Identitätsanbieter und von Signalquellen wie Geräteverwaltung und Monitoring. Wer eine Zero-Trust-Architektur plant, sollte früh klären, welches System diese Rolle des Entscheidungszentrums übernimmt – denn an dieser Stelle laufen alle Fäden zusammen.
Für viele mittelständische Organisationen ist der Ersatz des klassischen VPN durch ZTNA der erste greifbare Zero-Trust-Schritt mit unmittelbarem Mehrwert. Das klassische VPN gewährt nach erfolgreicher Anmeldung typischerweise breiten Netzzugriff – genau das Vertrauensmodell, das Zero Trust ablehnt. ZTNA dreht die Logik um: Anwendungen sind aus dem Internet nicht sichtbar, und jeder Zugriff wird einzeln nach Identität und Gerätezustand freigegeben. Der Nebeneffekt – häufig bessere Performance und einfachere Bedienung für Remote-Mitarbeitende – sorgt zusätzlich für Akzeptanz im Kollegium.
In einer reinen On-Premises-Welt war das Perimeter-Modell zumindest plausibel: Anwendungen, Daten und Nutzer befanden sich im selben physischen Netz, und die Firewall markierte eine reale Grenze. Diese Welt existiert kaum noch. Geschäftskritische Anwendungen liegen heute bei Software-as-a-Service-Anbietern, Daten verteilen sich über mehrere Clouds, und Mitarbeitende greifen vom Küchentisch, aus dem Zug oder vom Kundenstandort zu. Der „Innenraum“, den die Firewall einst schützte, ist zerfasert.
Wenn eine Anwendung in der Cloud läuft, hilft eine Firewall am Standort wenig – der Datenverkehr fließt am eigenen Netzwerk vorbei direkt zwischen Nutzer und Anbieter. Damit verlieren netzwerkzentrierte Kontrollen ihren Ansatzpunkt. Zero Trust löst dieses Problem, indem es die Kontrolle dorthin verlagert, wo sie auch in der Cloud greift: an die Identität und an die Zugriffsrichtlinie. Egal, ob ein Nutzer auf eine interne Anwendung oder einen Cloud-Dienst zugreift – geprüft wird nach denselben Regeln. Diese Unabhängigkeit vom Standort der Ressource ist der eigentliche Grund, warum Cloud und Zero Trust so eng zusammengehören.
Das verteilte Arbeiten ist kein vorübergehendes Phänomen mehr, sondern Normalität. Damit wird der Anspruch, jeden Zugriff unabhängig vom Standort gleich sicher zu behandeln, zur Grundvoraussetzung. Zero Trust beantwortet die zentrale Frage des hybriden Arbeitens – „Wie gewähre ich sicheren Zugriff von überall, ohne das gesamte Netz zu öffnen?“ – auf eine Weise, die das klassische VPN nicht leisten kann. Gerade für den Mittelstand, der nach der Pandemie dauerhaft auf hybride Modelle setzt, ist dies der unmittelbarste praktische Nutzen.
Die NIS2-Richtlinie der EU verlangt von betroffenen Unternehmen ein angemessenes Risikomanagement und technische sowie organisatorische Maßnahmen, die dem Stand der Technik entsprechen. Genannt werden unter anderem Zugriffskontrolle, Mehr-Faktor-Authentifizierung, Maßnahmen zur Eindämmung von Vorfällen und ein durchdachtes Management von Berechtigungen. Zero Trust ist zwar nirgends als Pflicht vorgeschrieben – aber seine Bausteine decken sich auffällig genau mit den geforderten Maßnahmen. Wer eine Zero-Trust-Architektur aufbaut, erfüllt damit viele dieser Anforderungen quasi nebenbei.
Mehrere typische NIS2-Themen lassen sich direkt mit Zero-Trust-Bausteinen adressieren. Die Forderung nach starker Zugriffskontrolle wird durch MFA und bedingten Zugriff erfüllt. Das Gebot, die Auswirkungen von Vorfällen zu begrenzen, korrespondiert mit Segmentierung und der „Annahme eines Breach“. Die Anforderung nachvollziehbarer Protokollierung deckt sich mit dem durchgängigen Monitoring. Und das Management privilegierter Zugriffe entspricht unmittelbar dem Least-Privilege-Prinzip samt PAM. Diese Nähe ist kein Zufall: Beide – Regulierung und Zero Trust – reagieren auf dieselbe Bedrohungslage.
Auch jenseits von NIS2 fügt sich Zero Trust gut in etablierte Rahmenwerke. Die ISO 27001 verlangt ein Managementsystem für Informationssicherheit, in dem Zugriffskontrolle und Risikomanagement zentrale Bausteine sind – Zero Trust liefert hierfür konkrete technische Antworten. Der BSI IT-Grundschutz formuliert Bausteine, die sich mit Zero-Trust-Prinzipien verzahnen lassen. Und mit der bereits erwähnten Publikation NIST SP 800-207 existiert ein international anerkanntes Referenzmodell, das die Architektur sauber beschreibt. Zero Trust ist damit kein Gegenentwurf zu bestehenden Standards, sondern ein moderner Weg, ihre Anforderungen zu erfüllen.
Die größte Hürde ist selten technischer Natur. Sie liegt in der Versuchung, ein glänzendes Werkzeug zu kaufen, bevor die Grundlagen stehen. Wer Mikrosegmentierung einführt, ohne sein Identitätsmanagement im Griff zu haben, baut auf einem wackligen Fundament. Der typische Reihenfolge-Fehler kostet Geld und Vertrauen: Projekte stocken, Mitarbeitende empfinden die neuen Hürden als Schikane, und am Ende wird das ganze Modell als „zu kompliziert“ abgeschrieben. Zero Trust scheitert fast nie an der Technik – es scheitert an übersprungenen Hausaufgaben.
Eine zweite, oft unterschätzte Herausforderung ist die Nutzererfahrung. Sicherheit, die ständig im Weg steht, wird umgangen – das ist eine eiserne Regel. Gut gemachtes Zero Trust ist für die meisten Nutzer im Alltag kaum spürbar: Eine zusätzliche Prüfung erscheint nur dann, wenn der Kontext sie rechtfertigt. Dieser risikobasierte Ansatz ist der Schlüssel zur Akzeptanz. Wer dagegen pauschal bei jedem Klick eine erneute Anmeldung erzwingt, erzeugt Frust und untergräbt die eigene Initiative. Die Kunst besteht darin, die Reibung dort zu erhöhen, wo das Risiko steigt – und sie sonst minimal zu halten.
Der Reifegrad-Gedanke ist für den Mittelstand befreiend: Niemand startet bei null, und niemand muss alles auf einmal lösen. Sinnvoll ist eine ehrliche Bestandsaufnahme entlang der vier Säulen – Identität, Geräte, Netzwerk, Daten – mit der Frage: Wo stehen wir heute, und was ist der nächste, wirtschaftlich vertretbare Schritt? Aus dieser Standortbestimmung ergibt sich eine Reihenfolge, die in nahezu allen Projekten ähnlich aussieht.
Damit ein Zero-Trust-Vorhaben nicht im Konzeptstadium versandet, sind sichtbare Frühergebnisse wichtig. Drei Maßnahmen liefern in fast jeder Organisation rasch einen messbaren Sicherheitsgewinn: Erstens die flächendeckende Aktivierung von MFA, insbesondere für administrative Konten und für den Zugriff von außen – die wirksamste Einzelmaßnahme überhaupt. Zweitens das Abschalten veralteter, unsicherer Anmeldeverfahren, die MFA umgehen. Drittens eine erste Bereinigung offensichtlich überzogener Berechtigungen, etwa stillgelegter Konten oder breit geteilter Ablagen. Keine dieser Maßnahmen erfordert ein Großprojekt, alle zahlen sofort auf das Modell ein.
Für den Mittelstand ist die wichtigste Botschaft: Es geht um stetigen Fortschritt, nicht um Perfektion. Ein Unternehmen, das von „Passwort allein“ zu „Passwort plus phishing-resistenter MFA und bereinigten Admin-Rechten“ kommt, hat sein Risiko bereits erheblich gesenkt – auch wenn die Mikrosegmentierung noch aussteht. Diese Haltung schützt vor Überforderung und vor teuren Fehlinvestitionen. Eine externe Begleitung kann helfen, die richtige Reihenfolge zu finden und vorhandene Lizenzen und Werkzeuge optimal zu nutzen, statt vorschnell Neues anzuschaffen.
