Zero Trust: vom Modewort zur praktikablen Strategie – und was aus dem VPN wird

Kaum ein Begriff wird in der IT-Sicherheit so oft benutzt und so selten sauber erklärt wie Zero Trust. Dahinter steckt keine Produktkategorie, die man kauft, sondern eine Grundhaltung: Kein Zugriff gilt allein deshalb als vertrauenswürdig, weil er aus dem „internen" Netz kommt.

Warum das Burg-Modell nicht mehr trägt

Lange funktionierte Sicherheit wie eine Burg: außen eine Mauer, innen darf sich jeder frei bewegen. Sobald aber Mitarbeitende aus dem Homeoffice arbeiten, Daten in der Cloud liegen und Dienstleister Zugriff brauchen, verschwimmt die Grenze zwischen innen und außen. Wer es einmal hinter die Mauer schafft, hat leichtes Spiel.

Genau hier sitzt die Schwäche des klassischen VPN. Es ist das Arbeitspferd des Fernzugriffs: ein verschlüsselter Tunnel ins Firmennetz, und schon arbeitet das Homeoffice, als säße es im Büro. Diese Gleichsetzung ist das Problem. Nach erfolgreicher Anmeldung landet der Nutzer im internen Netz, oft mit weitreichendem Zugriff. Das trägt, solange die Grenze eindeutig ist. Ist sie es nicht – weil ein Gerät kompromittiert wurde, Zugangsdaten in falsche Hände geraten sind oder ein Dienstleister mitverbunden ist – wird der Tunnel zum Türöffner. Ein Angreifer mit gültigem Zugang bewegt sich seitlich durchs Netz (lateral movement) und erreicht Systeme, die mit seiner eigentlichen Aufgabe nichts zu tun haben.

Der Kern in einem Satz: Das VPN prüft, ob jemand hereindarf, aber kaum, worauf.

VPN und Zero Trust im Vergleich

| | Klassisches VPN | Zero Trust | |---|---|---| | Vertrauensgrundlage | Standort im Netz | Identität, Gerätezustand, Kontext | | Umfang des Zugriffs | Netzsegment, oft weit | Einzelne Anwendung | | Zeitpunkt der Prüfung | Einmal beim Login | Fortlaufend bei jedem Zugriff | | Bei gestohlenen Zugangsdaten | Angreifer ist „drin" | Zugriff bleibt auf das Nötige begrenzt | | Seitwärtsbewegung | Kaum gebremst | Durch Segmentierung erschwert |

Das ist kein Glaubenskrieg. Das VPN verschwindet nicht über Nacht – es sollte nur nicht länger der einzige Wächter zwischen einem gestohlenen Passwort und Ihren wichtigsten Systemen sein.

Die tragenden Prinzipien

Die US-Normungsbehörde NIST hat das Modell in SP 800-207 „Zero Trust Architecture" als Referenz beschrieben. Der Kerngedanke dort: Schutz richtet sich auf Ressourcen – Anwendungen, Daten, Dienste, Konten –, nicht auf Netzsegmente, weil der Standort im Netz kein tragfähiges Sicherheitsmerkmal mehr ist. Vier Prinzipien folgen daraus:

Identität zuerst. Jeder Zugriff setzt eine nachgewiesene Identität voraus. In der Praxis heißt das Multi-Faktor-Authentifizierung an allen relevanten Zugängen – nicht nur am VPN, sondern auch an Postfach, Verwaltungsoberflächen und Cloud-Diensten.

Minimale Rechte. Konten und Systeme bekommen genau die Berechtigungen, die sie brauchen. Der häufigste Verstoß dagegen ist kein Fehler, sondern Geschichte: über Jahre gewachsene Zugriffe, die niemand zurückgenommen hat.

Segmentierung. Das Netz wird in Zonen unterteilt, damit ein Vorfall sich nicht ungebremst ausbreitet. Segmentierung ist der Unterschied zwischen einem betroffenen Server und einem betroffenen Unternehmen.

Vom Ernstfall ausgehen. Man plant so, als sei ein Angriff bereits im Gange, und legt den Schwerpunkt auf schnelles Erkennen und Eindämmen statt allein auf Abwehr.

ZTNA: Zugriff auf die Anwendung, nicht aufs Netz

In der Umsetzung tritt an die Stelle des breiten Netzzugangs der anwendungsbezogene Zugriff, meist **Zero Trust Network Access (ZTNA) genannt. Ein Nutzer erhält Zugang zu genau der Anwendung, die er braucht – nicht zum Netzsegment dahinter. Die Prüfung ist fortlaufend und bezieht den Zustand des Geräts mit ein: Ist die Festplatte verschlüsselt, sind die Updates eingespielt, läuft der Virenschutz?

Praktisch angenehm daran: ZTNA lässt sich anwendungsweise einführen. Sie müssen nicht das VPN abschalten, um anzufangen.

Der realistische Weg dorthin

Am Anfang steht keine Technik, sondern eine Inventur. Welche Anwendungen sind geschäftskritisch, wer greift von wo darauf zu, welche Daten hängen daran? Diese „Kronjuwelen" wandern zuerst, der Rest folgt nach Risiko. Eine Reihenfolge, die sich bewährt hat:

1. Kronjuwelen benennen – zehn Systeme, nicht hundert.
2. Multi-Faktor-Authentifizierung dort konsequent erzwingen, ohne Ausnahmen für „die Geschäftsführung" oder „den Dienstleister".
3. Berechtigungen aufräumen. Wer hat Zugriff, wer braucht ihn noch? Dieser Schritt kostet nichts außer Zeit und bringt oft am meisten.
4. Gerätezustand einbeziehen, zumindest für die kritischen Anwendungen.
5. Segmentieren, damit ein kompromittierter Zugang nicht das ganze Haus öffnet.
6. ZTNA** für die kritischen Anwendungen, während das VPN für den Rest weiterläuft.

Jeder dieser Schritte reduziert das implizite Vertrauen für sich genommen. Sie brauchen keinen Big Bang – und sollten auch keinen planen.

Was Zero Trust nicht ist

Kein Produkt. Kein Hersteller verkauft Ihnen Zero Trust; er verkauft Bausteine dafür. Wer eine Lizenz kauft und das Thema abhakt, hat nichts gewonnen.

Kein Projekt mit Enddatum. Es ist eine Denkweise, die in Betrieb und Beschaffung einsickert. Genau deshalb ist es auch mit begrenzten Mitteln machbar: Man beginnt dort, wo der Hebel am größten ist, und wächst mit.

Kein Ersatz für Grundlagen. Ohne gepflegtes Patch-Management, Datensicherung und Protokollierung nützt die feinste Zugriffskontrolle wenig.

Der Druck kommt ohnehin von außen

Für viele Unternehmen ist die Frage längst nicht mehr freiwillig. Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 – ohne allgemeine Übergangsfrist – und verlangt von den betroffenen Einrichtungen Risikomanagementmaßnahmen einschließlich Zugriffskontrolle und Nachvollziehbarkeit. Auch ISO 27001 fordert eine geregelte Zugriffssteuerung nach dem Prinzip der minimalen Rechte. Fein granulierte Zugänge sind damit vom Kür- ins Pflichtprogramm gewandert.

Wenn Sie unsicher sind, wo bei Ihnen der größte Hebel liegt, ist eine strukturierte Bestandsaufnahme der billigste erste Schritt.

Stand: August 2026. NIST SP 800-207 „Zero Trust Architecture" (August 2020) ist die maßgebliche Referenz; die zugehörige Praxisanleitung NIST SP 1800-35 erschien im Juni 2025.

Weiterführend: Cyber-Risiko-Check · NIS2 im Mittelstand · Systemhärtung mit CIS Benchmarks · Schwachstellenmanagement