BSI Zero-Trust-Architektur: Leitfaden 2026

In einem Satz. Zero Trust ist die Architektur-Philosophie, die das Netzwerk-Perimeter durch ein Identitäts-Perimeter ersetzt — kein impliziter Trust auf Basis Netzwerk-Standort, jeder Zugriff wird kontinuierlich verifiziert. BSI veröffentlichte 2023 einen Orientierungsleitfaden, NIST SP 800-207 ist internationaler De-facto-Standard.

Zero Trust ist 2026 nicht mehr Buzzword, sondern Pflichtprogramm für jede ernstzunehmende DSGVO Art. 32-Implementierung. Siehe auch BSI-Grundschutz.

Wichtige Punkte

• “Never trust, always verify” als Kernprinzip.
• Identitäts-, Geräte-, Anwendungs- und Datenebene.
• Microsegmentierung und Policy-Engine.
• Continuous Authentication / Authorization.
• BSI-Leitfaden seit 2023; NIST SP 800-207 als Standard.

1. Kernprinzipien

• Verifiziere explizit jede Anfrage.
• Least-Privilege-Zugriff.
• Annahme Compromise (Breach Assumption).
• Microsegmentierung.
• Verschlüsselung Ende-zu-Ende.

2. Komponenten nach NIST SP 800-207

Komponente	Funktion
Policy Engine (PE)	Entscheidet über Zugriff
Policy Administrator (PA)	Setzt Policy um
Policy Enforcement Point (PEP)	Führt Entscheidung aus
Identity Provider	Authentisiert
Asset Management	Inventar
Threat Intelligence	Risikofeed

3. Identity ist das neue Perimeter

• Single Sign-On (SSO) für alle Anwendungen.
• Multi-Faktor-Authentisierung Pflicht.
• Conditional Access basierend auf Risikosignalen.
• Privileged Access Management (PAM).
• Just-in-Time Access für Admin-Rechte.

4. Device Trust

• Geräteinventar (CMDB) als Single Source of Truth.
• Compliance-Status (Patch-Level, Antivirus, Disk-Encryption).
• Zertifikatsbasierte Geräteauthentisierung.
• Mobile Device Management (siehe MDM-Artikel).

Für Geräte ohne klassisches Endpoint-Management gelten die Empfehlungen aus unserem Leitfaden zur IoT-Sicherheit nach BSI.

5. Microsegmentierung

Aufteilung des Netzwerks in feinkörnige Zonen mit eigenen Policies. Beispiel: jede Microservice-Instanz in eigener Zone, Kommunikation nur über explizit erlaubte Pfade. Tools: Illumio, Cisco ACI, VMware NSX, Calico. In Cloud-Umgebungen liefert der BSI-C5-Katalog für Cloud Computing die passenden Prüfkriterien.

6. Datenebene

• Klassifikation aller Daten.
• DLP (Data Loss Prevention).
• Verschlüsselung at-rest und in-transit (siehe TLS-Mindeststandard).
• Rechte-Management (RMS, AIP).

7. Continuous Authentication

Nicht nur Login prüfen, sondern Session-übergreifend:

• Behavioral Biometrics.
• Risikobewertung (UEBA).
• Re-Authentisierung bei Anomalien.
• Session-Timeout bei Inaktivität.

8. BSI-Orientierungsleitfaden 2023

BSI empfiehlt mehrstufiges Vorgehen:

1. Reifegrad-Assessment.
2. Identity-Foundation aufbauen.
3. Schrittweise Microsegmentierung.
4. Continuous Monitoring etablieren.

9. Bezug zu IT-Grundschutz

Zero Trust ergänzt klassischen IT-Grundschutz: Bausteine wie ORP.4 (Identitätsmanagement), NET.1.1 (Netzwerkarchitektur), SYS.1.1 (Allgemeiner Server) lassen sich Zero-Trust-konform umsetzen. In Windows-Umgebungen beginnt der Identitäts-Perimeter mit der Härtung des Active Directory nach BSI-Vorgaben.

10. DSGVO-Relevanz

Zero Trust adressiert direkt mehrere Art. 32-Anforderungen:

• Pseudonymisierung und Verschlüsselung.
• Vertraulichkeit, Integrität, Verfügbarkeit.
• Belastbarkeit der Systeme.
• Regelmäßige Überprüfung der Wirksamkeit.

11. Tool-Unterstützung

Legiscope ordnet Zero-Trust-Komponenten DSGVO-Pflichten zu und dokumentiert deren Wirksamkeit für Aufsichtsbehörden.

11. Konkrete Implementierungsschritte

1. Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
2. Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
3. Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
4. Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
5. Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
6. Rollout mit Rollbackplan, Change-Management, Schulungen.
7. Monitoring über SIEM, regelmäßige Vulnerability-Scans.
8. Wirksamkeitsprüfung über interne Audits und Pentests, mindestens jährlich.
9. Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
10. Re-Zertifizierung spätestens alle drei Jahre.

12. Tool-Empfehlungen (Open-Source und kommerziell)

Bereich	Open-Source	Kommerziell
ISMS	verinice., OpenVAS	RSA Archer, ServiceNow GRC
SIEM	Wazuh, Graylog, ELK	Splunk, Microsoft Sentinel, IBM QRadar
Pentest	Kali Linux, Metasploit Framework	Burp Suite Pro, Cobalt Strike
Vulnerability-Scan	OpenVAS, Nuclei	Tenable Nessus, Qualys VMDR
Endpoint Detection	Wazuh, OSSEC	CrowdStrike Falcon, SentinelOne
Backup	Bacula, Restic	Veeam, Rubrik

Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.

13. Voraussetzungen und Vorwissen

Für die Umsetzung empfiehlt der BSI mindestens: ISO 27001 Foundation oder BSI IT-Grundschutz-Praktiker-Zertifizierung, praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.

14. ROI-Metriken und Kennzahlen

Typische Kennzahlen zur Erfolgskontrolle:

• Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
• Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
• Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
• Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
• Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
• Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.

Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.

15. Häufige Pitfalls

• Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
• Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
• Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
• Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
• Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
• Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
• Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).

16. Integration mit ISO 27001 und NIS2

ISO 27001:2022 und BSI-Grundschutz sind weitgehend kompatibel; eine Mapping-Tabelle des BSI ordnet die ISO-Controls (Annex A) den Grundschutz-Bausteinen zu. Doppelzertifizierungen sind möglich und reduzieren Audit-Aufwand um ca. 30 %. Für NIS2 Deutschland-pflichtige Einrichtungen (KRITIS, wesentliche/wichtige Einrichtungen nach § 28 NIS2UmsuCG) gilt: BSI-Grundschutz wird als geeigneter Sicherheitsstandard akzeptiert, ISO 27001 ebenso. Wer beides hat, deckt zugleich DORA-Anforderungen (für Finanzinstitute) und DSGVO Art. 32 Sicherheit ab.

17. Vergleich BSI vs ANSSI vs NIST

Aspekt	BSI (DE)	ANSSI (FR)	NIST (US)
Ansatz	Bausteinbasiert (modular)	Risikobasiert (EBIOS)	Funktion-basiert (CSF 2.0)
Hauptstandard	IT-Grundschutz / 200-2	PSSI-E, EBIOS RM	NIST CSF, SP 800-53
Zertifizierung	ISO 27001 auf Basis Grundschutz	LSTI, SecNumCloud	FedRAMP, FISMA
Cloud-Bewertung	C5 (Cloud Computing Compliance Criteria Catalogue)	SecNumCloud	FedRAMP High/Moderate
Pflichtkraft	KRITIS-Verordnung, NIS2UmsuCG	LPM, NIS2-Transposition	FISMA, Executive Orders

In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.

Fazit

Zero Trust ist kein Produkt, sondern eine Reise. Wer pragmatisch mit Identity und MFA startet und schrittweise Microsegmentierung ergänzt, erreicht in 18-24 Monaten ein deutlich höheres Sicherheitsniveau — bei klarer DSGVO-Konformität.

FAQ

Was ist Zero Trust?

Sicherheitsarchitektur ohne implizites Vertrauen — jede Anfrage wird unabhängig vom Netzwerkstandort verifiziert.

Ist Zero Trust gesetzlich vorgeschrieben?

Nicht explizit, aber NIS2 und DORA verlangen Architektur-Prinzipien, die nur mit Zero Trust effizient umsetzbar sind.

Was kostet eine Zero-Trust-Migration?

KMU 100-500k €, Großunternehmen mehrere Millionen über 2-3 Jahre. Hauptkostenblöcke: Identity Provider, Endpoint Management, Netzwerk-Tools.

Welche Reihenfolge bei der Einführung?

Identity (SSO + MFA) → Device Trust → Application Access → Microsegmentierung → Continuous Monitoring.

Welche Tools sind Marktführer?

Identity: Microsoft Entra, Okta, Ping. ZTNA: Zscaler, Cloudflare Access, Cisco Duo. Microsegmentation: Illumio, Akamai Guardicore.

Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?

Mapping-Tabellen des BSI zeigen Äquivalenzen zwischen Annex A und Grundschutz-Bausteinen. Praxis: Ein ISMS-Dokument für beide Standards, Audit kombiniert, Zertifizierungsaufwand sinkt um ca. 30 %. Voraussetzung ist ein zentrales ISMS-Tool wie verinice. mit beiden Profilen. Für die Re-Zertifizierung alle drei Jahre reicht ein gemeinsames Audit-Team.

Welche Kosten entstehen für die Erstimplementierung?

Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).

Wie verhält sich BSI-Grundschutz zu NIS2?

Die NIS2 Deutschland-Umsetzung (NIS2UmsuCG) akzeptiert BSI-Grundschutz und ISO 27001 als geeignete Sicherheitsstandards. KRITIS-Betreiber und wesentliche Einrichtungen müssen alle zwei Jahre den Nachweis erbringen. Wer bereits zertifiziert ist, hat den Compliance-Nachweis für NIS2 weitgehend erbracht.

Welche BSI-Technische-Richtlinien sind besonders relevant?

BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.