Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Netz automatisch vertraut: Jeder Zugriff wird einzeln authentifiziert, autorisiert und im Kontext geprüft, unabhängig vom Standort.
Zero Trust ist kein Produkt, sondern ein Architekturprinzip. Es bricht mit der klassischen Annahme, dass alles innerhalb des Unternehmensnetzes vertrauenswürdig ist und nur die Außengrenze geschützt werden muss. Stattdessen gilt: Jede Zugriffsanfrage, ob aus dem Büro, dem Homeoffice oder der Cloud, wird so behandelt, als käme sie aus einem feindlichen Netz. Identität, Gerätezustand, Standort und Verhalten werden bei jedem Zugriff geprüft, und die erteilte Berechtigung ist so eng wie möglich.
Das Modell ist in NIST SP 800-207 beschrieben und reagiert auf eine Realität, in der Mitarbeitende mobil arbeiten, Anwendungen in der Cloud laufen und Angreifer sich mit gültigen Zugangsdaten bewegen, nachdem sie die Außengrenze einmal überwunden haben.
Die Bausteine von Zero Trust
- Starke Identität: Multi-Faktor-Authentifizierung, möglichst phishing-resistent, für alle Nutzer und Dienste; zentrales Identitäts- und Berechtigungsmanagement.
- Gerätevertrauen: Zugriff nur von verwalteten, gepatchten Geräten mit aktivem Endpunktschutz.
- Kontextbasierte Zugriffsentscheidung: Richtlinien wie Conditional Access bewerten Risiko je Anfrage und fordern bei Abweichungen zusätzliche Nachweise oder blockieren.
- Minimale Rechte: Least Privilege und zeitlich begrenzte Berechtigungen (Just-in-Time).
- Segmentierung: Anwendungen sind einzeln erreichbar, nicht ganze Netze; Mikrosegmentierung statt VPN-Vollzugriff.
- Durchgehende Überwachung: Jeder Zugriff wird protokolliert und auf Anomalien ausgewertet.
Bedeutung für Unternehmen
Zero Trust adressiert den Angriffsweg, der heute dominiert: den Missbrauch legitimer Identitäten. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei, und Credential Abuse war laut Verizon DBIR 2025 an 22 Prozent der Breaches beteiligt. Ein Angreifer mit gültigem Passwort stößt in einer Zero-Trust-Umgebung auf Gerätebindung, MFA und Richtlinien, die den Zugriff von einem unbekannten Gerät verweigern.
Was wir in Einsätzen sehen: Zero Trust ist meist ein mehrjähriges Programm, und Angreifer suchen die Teile, die noch nicht umgestellt sind. Typisch sind Altanwendungen, die nur Passwort-Anmeldung unterstützen und deshalb von den Richtlinien ausgenommen wurden, Dienstkonten ohne MFA, ein klassisches VPN parallel zum neuen Zugangsmodell, und Ausnahmen für Führungskräfte oder externe Dienstleister. Für ein Red Team ist die Ausnahmeliste der Conditional-Access-Richtlinien eines der interessantesten Dokumente im Unternehmen.
Praxis: Umsetzung und Prüfung
- Mit Identität beginnen: MFA für alle, Abschaltung veralteter Authentifizierungsprotokolle, Inventur aller Dienstkonten. Das bringt den größten Effekt pro Aufwand.
- Ausnahmen befristen: Jede Ausnahme braucht Eigentümer, Begründung und Ablaufdatum. Prüfen Sie quartalsweise, ob sie noch nötig ist.
- Gerätezustand erzwingen: Zugriff auf Unternehmensdaten nur von verwalteten Geräten; private Geräte nur über abgesicherte Browser-Sitzungen.
- Altsysteme kapseln: Anwendungen, die nicht modernisiert werden können, hinter einen Zugangs-Proxy legen, der MFA und Gerätebindung vorschaltet.
- Aus Angreifersicht testen: Ein Red Teaming mit Fokus auf Identitäten und Cloud zeigt, welche Wege an den Richtlinien vorbeiführen, welche Ausnahmen ausnutzbar sind und ob die Überwachung ungewöhnliche Zugriffe tatsächlich meldet. Der Befund ist eine priorisierte Liste der Lücken im Zero-Trust-Programm.