Zero Trust für kleine Unternehmen: Einstieg ohne großes Budget

Was Zero Trust für ein kleines Unternehmen bedeutet

Zero Trust ist ein Sicherheitsprinzip, kein Produkt: Kein Benutzer, kein Gerät und keine Verbindung gilt allein deshalb als vertrauenswürdig, weil der Zugriff aus dem Büronetz kommt. Jeder Zugriff auf E-Mail, Dateien oder Fachanwendungen wird daraufhin geprüft, wer sich anmeldet, mit welchem Gerät und in welchem Zusammenhang. Für kleine Unternehmen ist der Einstieg auch ohne großes Budget machbar: MFA für alle Konten, getrennte Admin-Konten, aktuelle Geräte und ein segmentiertes Netzwerk lassen sich oft mit vorhandenen Lizenzen und Netzwerkgeräten umsetzen.

Das klassische Modell funktioniert wie eine Burg mit Graben: Wer die Firewall überwunden oder sich per VPN verbunden hat, erreicht fast alles. Das passte, solange Beschäftigte, Server und Daten im selben Gebäude waren. Heute arbeiten viele im Homeoffice, Daten liegen in Cloud-Diensten, und ein einziges gestohlenes Passwort kann genügen, um hineinzukommen. Die US-Standardisierungsbehörde NIST beschreibt den Ansatz ausführlich in der Publikation SP 800-207.

Die drei Grundprinzipien von Zero Trust

Explizit prüfen

Jede Anmeldung wird anhand mehrerer Merkmale geprüft: Identität, ein zweiter Faktor, der Zustand des Geräts und, wo möglich, Ort oder Uhrzeit. Wer sich um drei Uhr früh von einem unbekannten Laptop im Ausland anmeldet, sollte strenger geprüft werden als jemand an seinem gewohnten Arbeitsplatz.

Minimale Rechte (Least Privilege)

Personen und Systeme erhalten nur die Zugriffe, die sie für ihre Arbeit brauchen, und nur so lange wie nötig. Die Buchhaltung benötigt die Finanzsoftware, aber nicht das Kamerasystem.

Von einem erfolgreichen Angriff ausgehen

Planen Sie so, als wäre ein Angreifer bereits im Netz. Dann lautet die Frage: Wie weit käme er, und wie schnell würden Sie es bemerken? Segmentierung, Protokollierung und getestete Backups begrenzen den Schaden, falls tatsächlich etwas passiert.

Sechs Bausteine, die auch mit kleinem Budget funktionieren

1. Multi-Faktor-Authentifizierung für alle Konten

MFA bringt mit wenig Aufwand viel Schutz, weil ein gestohlenes Passwort allein dann nicht mehr für eine Anmeldung reicht. Beginnen Sie mit E-Mail, Cloud-Diensten, Fernzugriff und allen Administratorkonten und weiten Sie MFA dann auf alle Benutzer aus. Authenticator-Apps oder Hardware-Sicherheitsschlüssel sind SMS-Codes vorzuziehen. Wie die Umstellung gelingt, zeigt unser Leitfaden zur Einführung von Multi-Faktor-Authentifizierung.

2. Den Gerätezustand prüfen

Auf Firmendaten sollten nur Geräte zugreifen dürfen, die einen Mindeststandard erfüllen: aktuelles Betriebssystem, aktive Festplattenverschlüsselung, Endpoint-Schutz und Bildschirmsperre. In Microsoft 365 lassen sich solche Regeln zum Beispiel mit bedingtem Zugriff und Geräteverwaltung (Intune) automatisch durchsetzen, sofern der Lizenzplan diese Funktionen enthält. Private Geräte erhalten dann etwa nur eingeschränkten Zugriff über den Browser.

3. Das Netzwerk segmentieren

In einem flachen Netz, in dem Büro-PCs, Server, Drucker, Kameras und Gäste-WLAN im selben Segment hängen, kann sich ein Angreifer nach dem ersten Zugriff weitgehend ungehindert bewegen. Trennen Sie diese Gruppen in eigene VLANs und erlauben Sie per Firewall-Regel nur die Verbindungen, die wirklich nötig sind. Dafür brauchen Sie verwaltbare Switches und eine Firewall, die den Verkehr zwischen den Segmenten filtert.

4. Fernzugriff, ohne das ganze Netz zu öffnen

Ein klassisches VPN bindet das entfernte Gerät oft direkt ins Firmennetz ein, mit Zugriff auf nahezu alles. Besser sind VPN-Profile je Benutzergruppe, die nur die benötigten Server erreichen, oder ein anwendungsbezogener Zugang (oft ZTNA genannt, Zero Trust Network Access), der einzelne Anwendungen statt des ganzen Netzes freigibt. Cloud-Dienste wie E-Mail brauchen gar kein VPN, wenn sie mit MFA und Geräteprüfung geschützt sind.

5. Admin-Rechte trennen und begrenzen

Administratoren verwenden für Verwaltungsaufgaben ein eigenes Konto und für E-Mail und Internet ein normales Konto. Für die tägliche Arbeit brauchen Benutzer selten lokale Administratorrechte. Eindeutige lokale Admin-Passwörter je Gerät, etwa verwaltet mit Windows LAPS, verhindern, dass ein einziges erbeutetes Passwort alle Rechner öffnet.

6. Protokollieren und auswerten

Anmeldungen, Änderungen durch Administratoren und Firewall-Ereignisse sollten zentral protokolliert und für einen festgelegten Zeitraum aufbewahrt werden. Richten Sie Warnungen für ungewöhnliche Ereignisse ein, etwa Anmeldungen aus unerwarteten Ländern oder neu angelegte Admin-Konten, und legen Sie fest, wer sie prüft. Umfang und Aufbewahrungsdauer stimmen Sie am besten mit den Datenschutzvorgaben und, falls vorhanden, mit dem Betriebsrat ab. Protokolle, die niemand ansieht, schützen nicht.

Klassisches Netzwerkmodell und Zero Trust im Vergleich

Der Unterschied liegt weniger in der Technik als in der Grundannahme:

Stufenplan: Zero Trust in vier Schritten einführen

Zero Trust braucht kein einzelnes Großprojekt. Die vier Stufen bauen aufeinander auf, und jede bringt für sich schon einen Nutzen:

1. Stufe 1: Bestandsaufnahme und Identitäten absichern. Erfassen Sie Benutzer, Geräte, Anwendungen und die Orte, an denen wichtige Daten liegen. Führen Sie MFA für alle Konten ein, zuerst für Administratoren und E-Mail, und entfernen Sie gemeinsam genutzte und verwaiste Benutzerkonten.
2. Stufe 2: Admin-Rechte und Geräte. Legen Sie getrennte Admin-Konten an, entziehen Sie Alltagsbenutzern lokale Administratorrechte und definieren Sie einen Mindeststandard für Geräte: Updates, Verschlüsselung, Endpoint-Schutz.
3. Stufe 3: Netzwerk und Fernzugriff. Teilen Sie das Netz in Segmente für Büro, Server, Gäste und Geräte wie Kameras oder Drucker. Beschränken Sie den VPN-Zugang auf das, was jede Gruppe braucht, oder wechseln Sie zu anwendungsbezogenem Zugriff.
4. Stufe 4: Transparenz und Routine. Sammeln Sie Protokolle zentral, richten Sie Warnungen ein, prüfen Sie Berechtigungen quartalsweise und testen Sie regelmäßig die Wiederherstellung von Backups.

Die erste Stufe lässt sich in vielen kleinen Unternehmen innerhalb weniger Wochen umsetzen. Die späteren Stufen hängen vom bestehenden Netzwerk ab und lassen sich oft am einfachsten angehen, wenn ohnehin Hardware getauscht wird oder das Büro übersiedelt.

Häufige Missverständnisse rund um Zero Trust

• "Zero Trust ist ein Produkt." Keine einzelne Firewall, Lizenz oder Software macht ein Unternehmen zu einem Zero-Trust-Unternehmen. Produkte helfen bei der Umsetzung, die Entscheidungen über Zugriffe, Rechte und Abläufe bleiben aber bei Ihnen.
• "Damit misstrauen wir unseren Mitarbeitern." Das Prinzip richtet sich gegen automatisches Vertrauen in Netze und Geräte, nicht gegen Menschen. Es schützt auch die Beschäftigten, weil ein gestohlenes Passwort allein keinen Zugang mehr verschafft.
• "Das ist nur etwas für Konzerne." Die wichtigsten Bausteine sind auch für kleine Unternehmen leistbar und lassen sich oft mit vorhandenen Lizenzen und Geräten umsetzen.
• "Einmal eingerichtet, ist es erledigt." Neue Beschäftigte, Geräte und Anwendungen verändern das Bild laufend. Regelmäßige Prüfungen von Berechtigungen und Protokollen gehören zum Konzept.
• "Firewall und VPN braucht man dann nicht mehr." Beide bleiben sinnvoll. Sie sind nur nicht mehr die einzige Verteidigungslinie.

Fazit: klein anfangen, aber anfangen

Zero Trust ist für kleine Unternehmen vor allem eine Frage konsequenter Entscheidungen: jeden Zugriff prüfen, nur nötige Rechte vergeben und die Folgen eines Vorfalls begrenzen. MFA und getrennte Admin-Konten bringen schnell viel, Segmentierung und kontrollierter Fernzugriff folgen Schritt für Schritt. Wenn Sie bei Bestandsaufnahme oder Umsetzung Unterstützung möchten, hilft Ihnen Q-entra mit Cyber Security und einer sauber segmentierten Netzwerk- und WLAN-Infrastruktur.