Zero Trust ist kein Produkt.

Was Zero Trust nicht ist

Es ist kein Produkt. Niemand kann Ihnen Zero Trust verkaufen, auch wenn der Aufkleber auf mancher Firewall etwas anderes suggeriert. Es ist auch kein Zustand, den man einmal erreicht und abhakt, sondern eine Art, Zugriffe zu entscheiden — die man Schritt für Schritt einführt. Der Nutzen entsteht bereits beim ersten Schritt; man muss nicht alles auf einmal umbauen.

Warum das gerade jetzt ansteht

Die Annahme, dass „drinnen“ vertrauenswürdig ist, hat schon vor Jahren aufgehört zu stimmen — spätestens als Arbeit im Homeoffice normal wurde und die halbe Firmensoftware im Browser läuft. Dazu kommt: Phishing-resistente Anmeldung ist inzwischen alltagstauglich und nicht mehr auf Konzerne beschränkt. Und NIS-2 fragt nicht mehr nur, ob Sie etwas tun, sondern ob Sie es nachweisen können.

Die Reihenfolge, die sich für KMU bewährt

Der häufigste Fehler ist, mit der Netzwerktechnik anzufangen — weil sie greifbar ist. Der Nutzen pro investierter Stunde ist aber ganz oben am größten. Diese Reihenfolge bringt den größten Teil des Schutzes in den ersten beiden Schritten:

• 1. Ein Verzeichnis für alle Zugänge. Solange jede Anwendung ihre eigene Benutzerliste hat, weiß niemand, wer noch überall Zugriff hat. Anmeldung zentral, Austritt an einer Stelle.
• 2. Zweiter Faktor überall — und zwar phishing-resistent. Passkeys statt SMS-Codes: Ein Passkey lässt sich nicht auf einer gefälschten Anmeldeseite abgreifen, ein Code schon.
• 3. Administratorrechte entziehen. Wer täglich als Administrator arbeitet, gibt einem Angriff dieselben Rechte. Getrennte Konten für Verwaltungsaufgaben kosten nichts.
• 4. Fernzugriff auf einzelne Anwendungen statt aufs ganze Netz. Damit ersetzt man die offene Tür, die ein VPN nach dem Einloggen darstellt.
• 5. Protokollieren, wer wann worauf zugegriffen hat. Ohne das kann man nach einem Vorfall nicht sagen, was passiert ist — und genau danach wird gefragt.

Geräte gehören zur Entscheidung dazu

Die richtige Person am falschen Gerät ist immer noch ein Risiko. Es braucht dafür keine aufwendige Verwaltung: Es genügt zu wissen, ob das Gerät die Firma kennt, ob seine Festplatte verschlüsselt ist und ob es seine Updates bekommt. Der private Laptop, der einmal schnell auf die Buchhaltung zugreift, ist genau der Fall, den man ausschließen will.

Was das im Alltag verändert

Für die Belegschaft meist wenig — und das Wenige eher zum Angenehmen. Eine einzige Anmeldung statt sieben Passwörter, Anmeldung per Fingerabdruck statt Zeichenkette, und der Fernzugriff funktioniert ohne VPN-Client, der jeden zweiten Morgen klemmt. Der spürbare Unterschied betrifft Administratoren: Für Verwaltungsaufgaben ist ein zweiter Schritt nötig. Das ist der Punkt, an dem intern am meisten diskutiert wird — und der, der im Ernstfall am meisten verhindert.

Ein realistischer Zeitplan

Für einen Betrieb mit 20 bis 50 Leuten sind die ersten drei Schritte in wenigen Wochen machbar, meist nebenher. Der vierte Schritt ist der größte, weil er den Fernzugriff berührt und mit den Menschen abgestimmt sein will, die ihn täglich nutzen. Der fünfte läuft danach von selbst mit. Wer das in dieser Reihenfolge macht, hat nach dem zweiten Schritt bereits den Großteil der real vorkommenden Angriffe abgedeckt.