In einem Satz. Zero Trust ist die Architektur-Philosophie, die das Netzwerk-Perimeter durch ein Identitäts-Perimeter ersetzt — kein impliziter Trust auf Basis Netzwerk-Standort, jeder Zugriff wird kontinuierlich verifiziert. BSI veröffentlichte 2023 einen Orientierungsleitfaden, NIST SP 800-207 ist internationaler De-facto-Standard.
Zero Trust kann geeignete technische Maßnahmen für eine risikobasierte DSGVO Art. 32-Implementierung unterstützen. Siehe auch BSI-Grundschutz.
Wichtige Punkte
- “Never trust, always verify” als Kernprinzip.
- Identitäts-, Geräte-, Anwendungs- und Datenebene.
- Microsegmentierung und Policy-Engine.
- Continuous Authentication / Authorization.
- BSI-Leitfaden seit 2023; NIST SP 800-207 als Standard.
1. Kernprinzipien
- Verifiziere explizit jede Anfrage.
- Least-Privilege-Zugriff.
- Annahme Compromise (Breach Assumption).
- Microsegmentierung.
- Verschlüsselung Ende-zu-Ende.
2. Komponenten nach NIST SP 800-207
| Komponente | Funktion |
|---|---|
| Policy Engine (PE) | Entscheidet über Zugriff |
| Policy Administrator (PA) | Setzt Policy um |
| Policy Enforcement Point (PEP) | Führt Entscheidung aus |
| Identity Provider | Authentisiert |
| Asset Management | Inventar |
| Threat Intelligence | Risikofeed |
3. Identity ist das neue Perimeter
- Single Sign-On (SSO) für alle Anwendungen.
- Multi-Faktor-Authentisierung nach Schutzbedarf und einschlägigen Vorgaben.
- Conditional Access basierend auf Risikosignalen.
- Privileged Access Management (PAM).
- Just-in-Time Access für Admin-Rechte.
Die SSO-Prüfung für Datenschutz und Sicherheit ergänzt diese Architektur um Attributfreigaben, Token, Sitzungen und den Entzug bereits bestehender Zugriffe.
4. Device Trust
- Geräteinventar (CMDB) als Single Source of Truth.
- Compliance-Status (Patch-Level, Antivirus, Disk-Encryption).
- Zertifikatsbasierte Geräteauthentisierung.
- Mobile Device Management (siehe MDM-Artikel).
Für Geräte ohne klassisches Endpoint-Management gelten die Empfehlungen aus unserem Leitfaden zur IoT-Sicherheit nach BSI.
5. Microsegmentierung
Aufteilung des Netzwerks in feinkörnige Zonen mit eigenen Policies. Beispiel: jede Microservice-Instanz in eigener Zone, Kommunikation nur über explizit erlaubte Pfade. Tools: Illumio, Cisco ACI, VMware NSX, Calico. In Cloud-Umgebungen liefert der BSI-C5-Katalog für Cloud Computing die passenden Prüfkriterien.
6. Datenebene
- Klassifikation aller Daten.
- DLP (Data Loss Prevention).
- Verschlüsselung at-rest und in-transit (siehe TLS-Mindeststandard).
- Rechte-Management (RMS, AIP).
7. Continuous Authentication
Nicht nur Login prüfen, sondern Session-übergreifend:
- Behavioral Biometrics.
- Risikobewertung (UEBA).
- Re-Authentisierung bei Anomalien.
- Session-Timeout bei Inaktivität.
8. BSI-Orientierungsleitfaden 2023
BSI empfiehlt mehrstufiges Vorgehen:
- Reifegrad-Assessment.
- Identity-Foundation aufbauen.
- Schrittweise Microsegmentierung.
- Continuous Monitoring etablieren.
9. Bezug zu IT-Grundschutz
Zero Trust ergänzt klassischen IT-Grundschutz: Bausteine wie ORP.4 (Identitätsmanagement), NET.1.1 (Netzwerkarchitektur), SYS.1.1 (Allgemeiner Server) lassen sich Zero-Trust-konform umsetzen. In Windows-Umgebungen beginnt der Identitäts-Perimeter mit der Härtung des Active Directory nach BSI-Vorgaben.
10. DSGVO-Relevanz
Zero Trust adressiert direkt mehrere Art. 32-Anforderungen:
- Pseudonymisierung und Verschlüsselung.
- Vertraulichkeit, Integrität, Verfügbarkeit.
- Belastbarkeit der Systeme.
- Regelmäßige Überprüfung der Wirksamkeit.
11. Konkrete Implementierungsschritte
- Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
- Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
- Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
- Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
- Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
- Rollout mit Rollbackplan, Change-Management, Schulungen.
- Monitoring über SIEM, regelmäßige Vulnerability-Scans.
- Wirksamkeitsprüfung mit geeigneten Verfahren in begründeten Intervallen und nach relevanten Änderungen.
- Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
- Zertifizierungen nur soweit vorgesehen nach dem tatsächlich gewählten Schema und dessen Fristen erneuern.
12. Tool-Empfehlungen (Open-Source und kommerziell)
| Bereich | Open-Source | Kommerziell |
|---|---|---|
| ISMS | verinice., OpenVAS | RSA Archer, ServiceNow GRC |
| SIEM | Wazuh, Graylog, ELK | Splunk, Microsoft Sentinel, IBM QRadar |
| Pentest | Kali Linux, Metasploit Framework | Burp Suite Pro, Cobalt Strike |
| Vulnerability-Scan | OpenVAS, Nuclei | Tenable Nessus, Qualys VMDR |
| Endpoint Detection | Wazuh, OSSEC | CrowdStrike Falcon, SentinelOne |
| Backup | Bacula, Restic | Veeam, Rubrik |
Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.
13. Voraussetzungen und Vorwissen
Für die Umsetzung sind geeignete Kenntnisse und praktische Fähigkeiten erforderlich, beispielsweise praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.
14. ROI-Metriken und Kennzahlen
Typische Kennzahlen zur Erfolgskontrolle:
- Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
- Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
- Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
- Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
- Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
- Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.
Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.
15. Häufige Pitfalls
- Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
- Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
- Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
- Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
- Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
- Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
- Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).
16. Integration mit ISO 27001 und NIS2
ISO 27001:2022 und IT-Grundschutz lassen sich inhaltlich abgleichen; Zuordnungstabellen können gemeinsame Anforderungen und verbleibende Unterschiede sichtbar machen. Ein solcher Abgleich ersetzt keine Prüfung des konkreten Geltungsbereichs. Für NIS2 Deutschland sind insbesondere die Einstufung als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG und die jeweils einschlägigen Pflichten zu prüfen. Auch bei vorhandenen Zertifikaten sind die konkreten DORA-Pflichten betroffener Finanzunternehmen und die Anforderungen an die DSGVO Art. 32 Sicherheit gesondert zu beurteilen.
17. Vergleich BSI vs ANSSI vs NIST
| Aspekt | BSI (DE) | ANSSI (FR) | NIST (US) |
|---|---|---|---|
| Ansatz | Bausteinbasiert (modular) | Risikobasiert (EBIOS) | Funktion-basiert (CSF 2.0) |
| Hauptstandard | IT-Grundschutz / 200-2 | PSSI-E, EBIOS RM | NIST CSF, SP 800-53 |
| Zertifizierung | ISO 27001 auf Basis Grundschutz | LSTI, SecNumCloud | FedRAMP, FISMA |
| Cloud-Bewertung | C5 (Cloud Computing Compliance Criteria Catalogue) | SecNumCloud | FedRAMP High/Moderate |
| Pflichtkraft | KRITIS-Verordnung, NIS2UmsuCG | LPM, NIS2-Transposition | FISMA, Executive Orders |
In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.
Fazit
Zero Trust ist kein Produkt, sondern eine Reise. Wer pragmatisch mit Identity und MFA startet und schrittweise Microsegmentierung ergänzt, kann das Sicherheitsniveau schrittweise verbessern. Zeitbedarf, Wirksamkeit und Datenschutzkonformität sind anhand der tatsächlichen Umsetzung zu beurteilen.
FAQ
Was ist Zero Trust?
Sicherheitsarchitektur ohne implizites Vertrauen — jede Anfrage wird unabhängig vom Netzwerkstandort verifiziert.
Ist Zero Trust gesetzlich vorgeschrieben?
Nicht explizit, aber NIS2 und DORA verlangen Architektur-Prinzipien, die nur mit Zero Trust effizient umsetzbar sind.
Was kostet eine Zero-Trust-Migration?
KMU 100-500k €, Großunternehmen mehrere Millionen über 2-3 Jahre. Hauptkostenblöcke: Identity Provider, Endpoint Management, Netzwerk-Tools.
Welche Reihenfolge bei der Einführung?
Identity (SSO + MFA) → Device Trust → Application Access → Microsegmentierung → Continuous Monitoring.
Welche Tools sind Marktführer?
Identity: Microsoft Entra, Okta, Ping. ZTNA: Zscaler, Cloudflare Access, Cisco Duo. Microsegmentation: Illumio, Akamai Guardicore.
Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?
Zuordnungstabellen helfen, Überschneidungen und Unterschiede zwischen ISO-Controls und Grundschutz-Bausteinen zu prüfen. Gemeinsame Nachweise können Aufwand sparen, sofern sie beide Anforderungsbereiche tatsächlich abdecken. Auditumfang, zugelassene Prüfer und Erneuerungsfristen richten sich nach dem jeweiligen Zertifizierungsverfahren; eine bestimmte Software oder ein gemeinsames Team gewährleistet die Anerkennung nicht.
Welche Kosten entstehen für die Erstimplementierung?
Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).
Wie verhält sich BSI-Grundschutz zu NIS2?
Die NIS2 Deutschland-Umsetzung (NIS2UmsuCG) akzeptiert BSI-Grundschutz und ISO 27001 als geeignete Sicherheitsstandards. KRITIS-Betreiber und wesentliche Einrichtungen müssen alle zwei Jahre den Nachweis erbringen. Wer bereits zertifiziert ist, hat den Compliance-Nachweis für NIS2 weitgehend erbracht.
Welche BSI-Technische-Richtlinien sind besonders relevant?
BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.