Zero Trust ist ein Sicherheitsprinzip nach dem Motto „niemals vertrauen, immer überprüfen": Nutzer, Geräte und Anwendungen müssen sich bei jedem Zugriff neu ausweisen, unabhängig davon, ob sie im Firmennetz, im Homeoffice oder unterwegs sind. Für kleine und mittelständische Unternehmen ist das kein Großprojekt: Mit Microsoft 365, Entra ID, Conditional Access und Intune lassen sich die Kernprinzipien in 8 bis 12 Wochen umsetzen, meist ohne Zusatzlizenzen. Dieser Beitrag erklärt, was hinter Zero Trust steckt, warum das Modell gerade für den Mittelstand relevant ist, wie die Umsetzung mit Bordmitteln von Microsoft 365 aussieht und welche Fehler Sie dabei vermeiden sollten.
Was Zero Trust ist
Zero Trust ist ein Sicherheitsmodell, bei dem keinem Nutzer, keinem Gerät und keinem Netzwerk automatisch vertraut wird, auch nicht innerhalb der Firmenumgebung. Jeder Zugriff wird individuell geprüft, jedes Gerät muss den Sicherheitsstandard erfüllen, und Berechtigungen werden auf das Notwendige beschränkt.
Zur Einordnung: Eine Zero-Trust-Architektur geht von der Annahme aus, dass jeder Zugriffsversuch, intern wie extern, potenziell schädlich ist, und verifiziert ihn deshalb explizit, bevor Zugriff gewährt wird. Der klassische Ansatz „Firewall außen, Vertrauen innen" ist überholt: Mitarbeitende arbeiten aus dem Homeoffice, Daten liegen in der Cloud, und Angreifer bewegen sich nach dem ersten Einbruch oft wochen- oder monatelang unentdeckt im Netz, weil ihnen innerhalb des Perimeters niemand mehr Fragen stellt. Genau hier setzt Zero Trust an.
Die fünf Prinzipien hinter Zero Trust
- Explizite Verifizierung: Jeder Zugriff wird anhand von Identität, Gerät, Standort und Verhalten geprüft.
- Least Privilege: Nutzer erhalten nur die minimalen Rechte, die sie brauchen, zeitlich und funktional begrenzt.
- Assume Breach: Systeme werden so gebaut, als sei der Angreifer bereits im Netz.
- Kontinuierliche Bewertung: Sicherheitsentscheidungen werden nicht einmalig beim Login getroffen, sondern laufend.
- Segmentierung: Netzwerk, Daten und Anwendungen werden in kleine Zonen unterteilt, damit ein Angriff eingedämmt bleibt, statt sich auszubreiten.
Warum Zero Trust gerade für KMU relevant ist
Drei Entwicklungen machen Zero Trust für den Mittelstand unumgänglich:
- Homeoffice und hybrides Arbeiten: Mitarbeitende arbeiten aus wechselnden Netzwerken, oft mit privaten Geräten.
- Cloud-Dienste: Daten liegen in Microsoft 365, in der Sage X3 Cloud oder bei DATEV Online, nicht mehr hinter der Firmenfirewall.
- Regulatorik: NIS2, Cyberversicherer und Anforderungen aus der Lieferkette verlangen zunehmend Zero-Trust-Prinzipien wie Multi-Faktor-Authentifizierung, Zugriffskontrolle und Segmentierung.
Gleichzeitig ist der Mittelstand ein bevorzugtes Angriffsziel: Der überwiegende Teil der vom BSI erfassten Ransomware-Angriffe richtet sich gegen kleine und mittlere Unternehmen. Die Zahlen und die typischen Angriffswege haben wir in unserem Beitrag zu Cyberangriffen in Südwestfalen aufgeschlüsselt. Der wirksamste einzelne Hebel ist dabei die Identität: Nach Angaben von Microsoft verhindert allein Multi-Faktor-Authentifizierung mehr als 99 Prozent der Kontoübernahmen.
Zero Trust in Microsoft 365: Prinzip, Werkzeug, Maßnahme
Für ein KMU mit Microsoft 365 lassen sich die Zero-Trust-Prinzipien mit den vorhandenen Werkzeugen abbilden:
| Prinzip | Microsoft-Werkzeug | Praktische Maßnahme |
|---|---|---|
| Starke Authentifizierung | Entra ID mit MFA | Multi-Faktor für alle Konten, phishing-resistente Verfahren (Passkeys, FIDO2) für Admins |
| Kontextbezogener Zugriff | Conditional Access | Zugriff nur von firmenkonformen Geräten, kein Zugriff aus Risikoländern |
| Gerätekonformität | Intune | Verschlüsselung, aktueller Patch-Stand und aktiver Virenschutz als Voraussetzung |
| Minimale Rechte | Entra ID Privileged Identity Management | Adminrechte nur auf Zeit (Just-in-Time), mit Freigabe und Protokoll |
| Datenklassifizierung | Purview | Vertrauliche Dokumente kennzeichnen, Weitergabe automatisch einschränken |
| Bedrohungserkennung | Defender for Business / Defender XDR | Verhaltensanalyse, automatische Reaktion auf verdächtige Aktivitäten |
Für die meisten dieser Punkte reicht Microsoft 365 Business Premium aus, weil Entra ID P1, Intune und Defender for Business enthalten sind. Privileged Identity Management und risikobasierte Zugriffsregeln setzen Entra ID P2 voraus, das als Zusatzlizenz oder über E5 dazukommt; umfassendes Monitoring über Defender XDR ist ebenfalls eine Ergänzung für höhere Ansprüche. Welcher Plan die passende Basis ist, zeigt unser Vergleich der Microsoft-365-Lizenzen.
Zero Trust in 8 bis 12 Wochen einführen
Ein realistischer Fahrplan für ein KMU sieht so aus:
Phase 1 – Bestandsaufnahme (2 Wochen). Rollen, Konten, Berechtigungen, Geräte und kritische Anwendungen erfassen, den aktuellen Reifegrad bewerten. Hier zeigt sich meist schon, welche Konten ohne MFA laufen und welche Geräte niemand mehr auf dem Schirm hat.
Phase 2 – Identitäten härten (2 Wochen). MFA verpflichtend für alle Nutzer, phishing-resistente Verfahren für Adminkonten, passwortloses Anmelden vorbereiten.
Phase 3 – Geräte einbinden (3 Wochen). Alle Firmengeräte in Intune registrieren, Verschlüsselung erzwingen, Compliance-Richtlinien einrichten.
Phase 4 – Conditional Access (2 Wochen). Regeln aktivieren: Zugriff nur von konformen Geräten, keine Legacy-Authentifizierung, bei Bedarf risikobasierte Freigaben. Jede Regel läuft zuerst im Report-Only-Modus, bevor sie scharf geschaltet wird.
Phase 5 – Berechtigungen straffen (2 Wochen). SharePoint, Teams und Dateiablagen bereinigen, Privileged Identity Management für Adminrollen aktivieren. Dieser Schritt ist auch die Voraussetzung dafür, dass Microsoft Copilot später nur zeigt, was der jeweilige Nutzer sehen darf.
Phase 6 – Monitoring und Optimierung (fortlaufend). Defender-Warnungen prüfen, Anmeldeberichte monatlich sichten, Regeln nachschärfen. Wer diese Aufgabe intern nicht dauerhaft besetzen kann, übergibt sie an einen Managed Service mit Managed Detection and Response; was dahintersteckt, erklären wir in einem eigenen Beitrag im Blog.
Typische Fehler, die KMU vermeiden sollten
- MFA nur für Admins: Angreifer zielen längst auf Standardkonten. MFA gehört für alle Nutzer aktiviert.
- Legacy-Authentifizierung offen lassen: Alte Protokolle wie POP und IMAP umgehen Conditional Access und müssen konsequent deaktiviert werden.
- Zu strenge Regeln zu Beginn: Regeln zunächst im Report-Only-Modus beobachten, um Produktivitätsbrüche und Aussperrungen zu vermeiden.
- Berechtigungen ignorieren: Ohne aufgeräumte SharePoint-Berechtigungen bringt Zero Trust nur die halbe Wirkung, besonders vor einem Copilot-Rollout.
- Keine Awareness-Schulung: Technik ohne Verständnis führt zu Umgehungsversuchen. Kurze Schulungen von 30 bis 45 Minuten je Rolle sind Pflicht; wie Mitarbeitende Phishing-Mails erkennen, haben wir in einem Praxis-Guide zusammengefasst.
Was Zero Trust in einem KMU kostet
Bei bestehender Microsoft-365-Business-Premium-Lizenz entstehen für die Basisumsetzung keine Zusatzlizenzen. Der einmalige Umsetzungsaufwand liegt für ein Unternehmen mit 50 Mitarbeitenden typischerweise bei 6.000 bis 12.000 Euro externer Beratung plus 10 bis 20 Personentagen interner IT-Arbeit. Für höhere Anforderungen, etwa Entra ID P2, Defender XDR oder umfassendes Monitoring, kommen laufende Lizenzkosten von 5 bis 15 Euro pro Nutzer und Monat hinzu. Wie sich diese Posten in ein Gesamtbudget für IT-Sicherheit einordnen, zeigt unser Beitrag Was kostet IT-Sicherheit für KMU.
Das Wichtigste in Kürze
- Zero Trust ist ein Sicherheitsprinzip nach dem Motto „niemals vertrauen, immer überprüfen": Nutzer, Geräte und Anwendungen müssen sich bei jedem Zugriff neu authentifizieren und autorisieren.
- Für KMU ist Zero Trust kein Großprojekt: Mit Microsoft 365, Entra ID, Conditional Access und Intune sind die Kernprinzipien in 8 bis 12 Wochen umsetzbar.
- Die wichtigsten Bausteine sind starke Authentifizierung (MFA), gerätebasierte Zugriffsregeln, minimale Berechtigungen und kontinuierliche Überwachung.
- Der Effekt: Nach Microsoft-Angaben verhindert MFA allein mehr als 99 Prozent der Kontoübernahmen; das Ransomware-Risiko im Homeoffice sinkt deutlich.
- IWM unterstützt Mittelständler in Südwestfalen mit einem pragmatischen Zero-Trust-Assessment und der schrittweisen Umsetzung.
Fazit: Zero Trust ist ein Prinzip, keine Produktkategorie
Zero Trust ist keine Technologie zum Kaufen, sondern ein Prinzip zum Umsetzen. Für den Mittelstand ist der Weg dorthin klarer, als viele annehmen: Microsoft 365 Business Premium liefert die Werkzeuge, ein strukturierter Fahrplan über 8 bis 12 Wochen liefert die Umsetzung, und der Effekt zeigt sich in messbar weniger Sicherheitsvorfällen.
FAQ: Häufige Fragen zu Zero Trust für KMU
Was unterscheidet Zero Trust von einer klassischen VPN-Lösung?
Ein VPN erweitert das Firmennetz nach außen und vertraut allen Nutzern innerhalb des Tunnels. Zero Trust prüft jeden Zugriff individuell, unabhängig vom Netzwerk, aus dem er kommt. Beides lässt sich kombinieren, aber das VPN allein ist kein Sicherheitskonzept mehr.
Brauchen wir für Zero Trust neue Hardware?
Nein. Zero Trust ist primär ein Prinzip, das mit vorhandenen Werkzeugen wie Microsoft 365, Entra ID und Intune umgesetzt wird. Neue Hardware wird nur nötig, wenn Endgeräte keine Sicherheitsupdates mehr erhalten und damit die Konformitätsregeln nicht erfüllen können.
Was, wenn wir kein Microsoft 365 nutzen?
Es gibt Alternativen, etwa Google Workspace mit BeyondCorp oder Okta in Kombination mit Jamf. Die Prinzipien bleiben identisch, nur die Werkzeuge unterscheiden sich.
Wie stellen wir sicher, dass Mitarbeitende nicht ausgesperrt werden?
Regeln werden zunächst im Report-Only-Modus geprüft, bevor sie greifen. Zusätzlich wird ein dokumentierter Notfallzugang (Break-Glass-Account) eingerichtet, der von den Regeln ausgenommen und besonders überwacht ist.
Reicht MFA als Basis für Zero Trust?
Nein. MFA ist der wichtigste erste Baustein, aber ohne Gerätekonformität, kontextbezogene Regeln und minimale Berechtigungen bleibt es bei einem Teilschutz.
Passt Zero Trust zu NIS2?
Ja. NIS2 verlangt Maßnahmen zu Zugriffskontrolle, Multi-Faktor-Authentifizierung, Segmentierung und Monitoring; Zero Trust liefert einen Umsetzungsrahmen dafür. Ob Ihr Unternehmen betroffen ist und wo Sie stehen, zeigt unser NIS2-Readiness-Check.
Wie lange dauert die Einführung im KMU?
Realistisch 8 bis 12 Wochen für ein Unternehmen mit 20 bis 100 Mitarbeitenden, bei laufendem Betrieb und ohne größere Produktivitätsbrüche.
Können wir Zero Trust ohne externen Dienstleister umsetzen?
Grundsätzlich ja. Praktisch fehlen intern häufig Zeit und Erfahrung in Entra ID, Conditional Access und Intune, und Fehlkonfigurationen führen schnell zu Aussperrungen oder Sicherheitslücken. Ein extern begleiteter Umsetzungspfad reduziert Risiko und Aufwand erheblich.
Ihren Zero-Trust-Reifegrad prüfen lassen
Als IT-Dienstleister und Microsoft-Partner aus Plettenberg bieten wir Unternehmen im Sauerland und in Südwestfalen ein kompaktes Zero-Trust-Assessment an: Wir bewerten Identitäten, Geräte, Zugriffsregeln und Berechtigungen, priorisieren die Lücken und liefern Sofortmaßnahmen für die ersten zwei Wochen mit. Sprechen Sie uns an, wenn Sie wissen wollen, wo Ihr Unternehmen steht.
- Mehr zu unseren Cloud-Lösungen rund um Microsoft 365 erfahren Sie auf unserer Leistungsseite.
- Vom Assessment bis zur Umsetzung begleitet Sie unsere IT-Beratung.
- Jetzt unverbindlich anfragen und Ihr Zero-Trust-Assessment vereinbaren.
