Zero Trust im Mittelstand: Wie moderne Netzwerksicherheit ohne Millionenbudget gelingt

Das Ende des klassischen Burggrabens im Firmennetzwerk

Eine Firewall am Übergang zum Internet und ein VPN für den Zugriff von außen waren lange das Standardbild der Unternehmenssicherheit. Dieses Modell setzt jedoch voraus, dass sich die wichtigen Anwendungen und Daten innerhalb eines klar abgegrenzten Firmennetzes befinden. Heute arbeiten Beschäftigte aus dem Homeoffice, greifen mit mobilen Geräten auf Cloud-Dienste zu und nutzen externe Plattformen gemeinsam mit Kunden, Partnern oder Dienstleistern. Ein einmal erfolgreich aufgebauter VPN-Tunnel sagt deshalb wenig darüber aus, ob die konkrete Anfrage tatsächlich berechtigt und das verwendete Gerät sicher ist.

Gleichzeitig geraten KMU zunehmend in den Fokus automatisierter Angriffe. Kriminelle Gruppen scannen das Internet nach verwundbaren Diensten, gestohlenen Zugangsdaten und schlecht geschützten Fernzugängen. Zero Trust ist darauf keine einzelne Produktantwort, sondern ein Architekturprinzip. Die Leitidee lautet „Assume Breach“: Ein Einbruch kann trotz Schutzmaßnahmen stattfinden, daher muss jeder Zugriff überprüft und der mögliche Schaden begrenzt werden. Das BSI erläutert die Grundprinzipien von Zero Trust und empfiehlt eine schrittweise, an der eigenen Infrastruktur ausgerichtete Umsetzung.

Drei Grundpfeiler des Zero-Trust-Modells im Alltagsbetrieb

Der erste Grundpfeiler ist die kontinuierliche, explizite Verifizierung. Eine Anmeldung wird nicht allein deshalb akzeptiert, weil sie aus dem Büro oder über eine bekannte IP-Adresse kommt. Bewertet werden Identität, Endgerät, Standort, Zeitpunkt, Anwendung und gegebenenfalls das Verhalten während der Sitzung. Ein Zugriff aus Deutschland mit einem verwalteten Firmen-Notebook kann anders behandelt werden als eine Anmeldung aus einem unbekannten Netzwerk mit einem nicht gepatchten Privatgerät.

Der zweite Pfeiler ist die geringste Rechtevergabe, auch Least Privilege genannt. Benutzer, Dienste und Maschinen erhalten nur die Berechtigungen, die für eine konkrete Aufgabe notwendig sind. Das verhindert, dass ein kompromittiertes Standardkonto automatisch auf Dateiserver, Datenbanken oder Administrationsschnittstellen zugreifen kann. Besonders wichtig ist diese Trennung bei privilegierten Konten. Administratorrechte sollten zeitlich begrenzt, mit zusätzlicher MFA abgesichert und regelmäßig überprüft werden.

Der dritte Pfeiler heißt Assume Breach. Dabei geht es nicht um Pessimismus, sondern um Schadensbegrenzung. Wenn ein Phishing-Angriff ein Passwort offenlegt, darf dieses Ereignis nicht den gesamten Betrieb gefährden. Zero Trust verteilt Schutzbarrieren über Identitäten, Endgeräte, Anwendungen und Netzwerkbereiche. Eine ressourcenschonende Umsetzung kann deshalb mit vorhandenen Verzeichnisdiensten, Bordmitteln der Cloud-Plattform und Netzwerkfunktionen beginnen. Auch eine praxisnahe Least-Privilege-Strategie lässt sich schrittweise einführen, ohne sofort eine umfassende Enterprise-Suite zu kaufen.

• Identität prüfen: MFA, starke Authentifizierung und eindeutige Konten statt geteilter Zugangsdaten.
• Geräte bewerten: Patchstand, Verschlüsselung, Virenschutz und Gerätezustand in die Entscheidung einbeziehen.
• Rechte begrenzen: Rollen, zeitlich begrenzte Freigaben und regelmäßige Bereinigungen etablieren.
• Verbindungen kontrollieren: Interne Kommunikation nicht pauschal erlauben, sondern gezielt freischalten.

Vom Hype zur Realität und was Enterprise-Suiten wirklich kosten

Große Zero-Trust- und SASE-Plattformen bündeln Identitätsmanagement, Endgeräteschutz, sicheren Webzugriff, private Anwendungszugriffe, Datenkontrolle, Protokollierung und Analyse. Das kann technisch sinnvoll sein, verursacht aber laufende Kosten pro Benutzer, Gerät, Anwendung oder Datenvolumen. Hinzu kommen Beratungsleistungen, Migration, Schulungen und der interne Aufwand für Richtlinienpflege. Bei einem wachsenden Unternehmen steigt die Rechnung nicht nur einmalig, sondern mit jeder zusätzlichen Person, jedem neuen Dienst und jedem weiteren Modul.

Für KMU ist daher die entscheidende Frage nicht, welche Plattform die längste Funktionsliste besitzt. Wichtiger ist, welche Risiken mit vertretbarem Aufwand reduziert werden können. Ein modularer Ansatz nutzt vorhandene Komponenten und ergänzt nur fehlende Funktionen. Ein Verzeichnisdienst kann Rollen und MFA verwalten, Managed Switches übernehmen VLANs und ACLs, Betriebssysteme liefern Host-Firewalls und zentrale Protokolle können zunächst mit vorhandenen Log- oder Monitoring-Werkzeugen ausgewertet werden. Die folgende Einordnung zeigt typische Unterschiede:

Das bedeutet nicht, dass kommerzielle Plattformen grundsätzlich überdimensioniert sind. Sie können den Betrieb vereinfachen, wenn ein kleines IT-Team viele Standorte, Cloud-Anwendungen oder externe Benutzer absichern muss. Entscheidend bleibt jedoch eine nüchterne Gesamtkostenrechnung. Der Preis einer Lösung umfasst Lizenzen, Einführung, Betrieb, Fehlkonfigurationen und Zeit für die Administration. Eine wissenschaftliche Arbeit zu einer leichtgewichtigen Zero-Trust-Architektur für KMU beschreibt, wie Kontextprüfung, MFA und rollenbasierte Zugriffskontrolle auch ressourcenschonend kombiniert werden können. Die Studie zur Lightweight Zero-Trust-Architektur ordnet diesen Ansatz ausdrücklich unter dem Gesichtspunkt von Leistung und Bezahlbarkeit ein.

Pragmatische Mikrosegmentierung mit vorhandener Netzwerkhardware

Mikrosegmentierung bedeutet, Kommunikationswege in kleine, kontrollierte Bereiche zu zerlegen. Ein flaches Netzwerk, in dem jeder Rechner jeden Server erreichen kann, erleichtert Angreifern die seitliche Bewegung. Nach einer erfolgreichen Anmeldung können sie weitere Systeme suchen, Zugangsdaten abgreifen und ihre Rechte ausweiten. VLANs auf Managed Switches schaffen zunächst getrennte logische Netze, etwa für Büroarbeitsplätze, Server, Verwaltung, Gäste und IoT-Geräte. Routing und Zugriffe zwischen diesen Bereichen werden anschließend über Firewall-Regeln oder ACLs begrenzt.

Ein sinnvoller Startpunkt ist das Default-Deny-Prinzip. Erlaubt wird nur, was fachlich erforderlich ist. Ein Arbeitsplatznetz darf beispielsweise auf DNS, Verzeichnisdienst, Druckserver und bestimmte Anwendungen zugreifen. Direkte Verbindungen zu Datenbankservern oder Administrationsschnittstellen bleiben gesperrt. Für IoT-Geräte, Kameras und Gebäudeautomation gelten besonders strenge Regeln, da diese Systeme oft lange Laufzeiten haben und nicht immer zeitnah gepatcht werden können. Eine Einordnung zur Netzwerksegmentierung zeigt, wie solche Zonen laterale Bewegungen begrenzen und Sicherheitsvorfälle eindämmen können.

VLANs allein sind allerdings noch keine vollständige Mikrosegmentierung. Sie orientieren sich hauptsächlich an Netzwerkstrukturen und IP-Adressen. Für feinere Kontrollen kommen Host-basierte Firewalls hinzu. Auf Windows-, Linux- oder macOS-Systemen lassen sich eingehende Verbindungen auf bestimmte Ports, Dienste und Quellnetze reduzieren. Für administrative Zugriffe kann ein separates Managementnetz genutzt werden. WireGuard-Verbindungen bieten zusätzlich verschlüsselte, softwaredefinierte Verbindungen zwischen Standorten, einzelnen Servern oder ausgewählten Arbeitsplätzen. Das ersetzt keine Identitätsprüfung, ergänzt sie aber kostengünstig.

• Arbeitsplätze, Server, Management und IoT in eigene VLANs aufteilen.
• ACLs mit konkreten Quell-, Ziel- und Portregeln statt pauschaler Freigaben konfigurieren.
• Host-Firewalls auf Servern und Endgeräten aktivieren und zentral dokumentieren.
• Administrationszugriffe über ein separates Netz oder einen kontrollierten Bastion-Host führen.
• Regeln zunächst beobachten, testen und erst danach verbindlich erzwingen.

Schritt für Schritt zur sicheren Umgebung in vier Etappen

Zero Trust scheitert in KMU selten an fehlender Technik allein. Häufiger fehlen vollständige Übersichten, klare Verantwortlichkeiten und Zeit für die Pflege. Deshalb sollte die Einführung mit einem begrenzten, messbaren Programm beginnen. Kritische Systeme verdienen Vorrang, während weniger wichtige Bereiche später folgen. Das BSI beschreibt Zero Trust als langfristige Aufgabe, die dauerhaft personelle und finanzielle Ressourcen benötigt. Ein Etappenplan verhindert, dass Sicherheitsziele zu einem unüberschaubaren Großprojekt werden.

1. Inventarisieren: Alle Benutzerkonten, Servicekonten, Endgeräte, Server, Netzwerkkomponenten, Cloud-Dienste und externen Zugänge erfassen. Für jedes Objekt sollte feststehen, wem es gehört, welche Daten verarbeitet werden und welche Abhängigkeiten bestehen. Veraltete Konten, unbekannte Geräte und nicht mehr benötigte VPN-Zugänge werden markiert und bereinigt.
2. MFA und Rollen durchsetzen: MFA zunächst für Administratoren, Fernzugänge, E-Mail und Cloud-Dienste verpflichtend machen, danach auf weitere Anwendungen ausweiten. Rollen sollten sich an Aufgaben orientieren, nicht an Einzelpersonen. Ein Sachbearbeiter benötigt beispielsweise keinen dauerhaften Zugriff auf Serveradministration oder vollständige Personalakten.
3. Kritische Bereiche segmentieren: Server, Backup-Systeme, Datenbanken, Managementschnittstellen und IoT-Geräte voneinander trennen. Zugriffe über ACLs, Firewalls und Host-Regeln begrenzen. Backup-Netze müssen so gestaltet sein, dass ein kompromittiertes Benutzerkonto nicht ohne Weiteres Sicherungen löschen oder verschlüsseln kann.
4. Protokollieren und nachjustieren: Anmeldungen, fehlgeschlagene MFA-Versuche, privilegierte Aktionen, Firewall-Verstöße und auffällige Datenzugriffe zentral sammeln. Standardfunktionen aus Verzeichnisdienst, Betriebssystem, Firewall und Cloud-Plattform reichen für einen ersten Überblick oft aus. Monatliche Regelprüfungen zeigen, wo Berechtigungen zu weit gefasst sind oder Anwendungen unerwartete Verbindungen benötigen.

Im laufenden Betrieb braucht jede Regel einen fachlichen Eigentümer. Die IT kann technische Freigaben umsetzen, sollte aber nicht allein entscheiden, ob ein Zugriff geschäftlich notwendig ist. Fachabteilungen müssen bestätigen, welche Anwendungen und Daten tatsächlich benötigt werden. Ebenso wichtig sind Notfallwege. Ein gesperrtes Konto, ein ausgefallener Identitätsdienst oder ein falsch gesetztes ACL darf den Betrieb nicht dauerhaft blockieren. Getestete Break-Glass-Konten, dokumentierte Wiederherstellungsprozesse und regelmäßige Backups gehören deshalb ebenfalls zum Zero-Trust-Programm.

Auch die Belegschaft sollte schrittweise eingebunden werden. MFA lässt sich verständlich erklären, wenn der konkrete Nutzen sichtbar wird. Neue Anmeldeanforderungen, Gerätevorgaben und Einschränkungen benötigen klare Hinweise und einen erreichbaren Support. Sicherheitskontrollen dürfen nicht durch Schatten-IT umgangen werden, weil ein Geschäftsprozess sonst ins Stocken gerät. Ein begrenzter Pilot mit einer Abteilung oder einem kritischen Dienst liefert belastbare Erfahrungen, bevor Regeln auf das gesamte Unternehmen ausgerollt werden.

Nachhaltige Sicherheit entsteht durch Konsequenz statt hoher Lizenzkosten

Zero Trust ist kein starrer Softwarekauf und kein Siegel, das nach einer einmaligen Einführung dauerhaft gilt. Identitäten ändern sich, Geräte werden ersetzt, Cloud-Dienste kommen hinzu und Angreifer passen ihre Methoden an. Nachhaltige Sicherheit entsteht daher durch wiederholte Prüfungen, saubere Dokumentation und konsequente Rechtepflege. Entscheidend ist nicht, möglichst viele Produkte einzusetzen, sondern jede relevante Verbindung nachvollziehbar zu machen und unnötige Möglichkeiten zu entfernen.

Für viele Mittelständler liegen die ersten wirksamen Maßnahmen bereits nahe: MFA ohne Ausnahmen für privilegierte Konten und Fernzugriffe, getrennte Rollen, aktualisierte Endgeräte, segmentierte Server- und IoT-Netze sowie zentrale Protokollierung. Kleine Etappenziele schaffen schnelle Verbesserungen, ohne die Belegschaft oder das IT-Team zu überfordern. Wer anschließend Regeln testet, Messwerte auswertet und die Architektur regelmäßig anpasst, kann mit Standard-Hardware ein hohes Schutzniveau erreichen, ohne automatisch in ein Millionenbudget für Enterprise-Lizenzen investieren zu müssen.