// HEISE ONLINE — CYBERSECURITY
Drei Fragen und Antworten: Wie man Zero Trust mit Minimalansatz einführt
Weniger kann auch in der IT-Sicherheit mehr sein: Wie man mit Minimum Viable Zero Trust in 90 Tagen ans Ziel kommt.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Das Sicherheitskonzept Zero Trust geht davon aus, dass kein Benutzer, Gerät, Dienst oder Netzwerk automatisch als vertrauenswürdig gilt. Die Einführung gilt als langfristig und aufwendig. Doch statt gleich alles zu wollen, kann man sich auch auf einige wenige Basismaßnahmen mit großem Impact konzentrieren. Der Minimum-Viable-Ansatz setzt dort an, wo das Schadenspotenzial im Ernstfall am höchsten ist. Wie man diese Idee bei der Einführung von Zero Trust im Unternehmen umsetzen kann – das erklärt Marcel Küppers, einer der Titelautoren der neuen iX 09/2026, im Interview.
Die Einführung von Zero Trust kann in der Unternehmens-IT schnell zum endlosen Großprojekt ausarten. Woran liegt das?
Das liegt vor allem daran, dass Zero Trust häufig als umfassende Zielarchitektur verstanden wird, die gleichzeitig Netzwerk, Identitäten, Endgeräte, Anwendungen, Cloud-Dienste und Betriebsprozesse verändern soll. In gewachsenen Unternehmensumgebungen trifft dieser Anspruch auf heterogene Verzeichnisdienste, mehrere Identity Provider, Legacy-Anwendungen, historisch gewachsene Admin-Pfade und uneinheitliche Geräteverwaltung. Wenn dann noch versucht wird, alle Applikationen und Nutzergruppen gleichzeitig einzubeziehen, wächst der Scope sehr schnell.
Ein zweites Problem ist, dass Zero Trust oft zu stark auf Produkte oder Netzwerkmodernisierung reduziert wird. Dann stehen ZTNA, Mikrosegmentierung oder VPN-Ablösung im Vordergrund, obwohl privilegierte Identitäten, dauerhafte Admin-Rechte oder schlecht geschützte Service-Konten weiterhin die wesentlich größeren Risiken darstellen. Das Projekt wird technisch breit, ohne zuerst die kritischsten Angriffspfade zu schließen.
Hinzu kommt die fehlende Messbarkeit. Wenn nicht klar definiert ist, welches Risiko innerhalb eines bestimmten Zeitraums reduziert werden soll und anhand welcher Kennzahlen sich das belegen lässt, wird Zero Trust schnell zu einem Programm ohne eindeutigen Endpunkt.
Minimum Viable Zero Trust (MVZT) verspricht dagegen eine Einführung in 90 Tagen. Was macht dieser Ansatz anders?
MVZT versucht nicht, Zero Trust in 90 Tagen vollständig umzusetzen. Der wesentliche Unterschied liegt in der radikalen Eingrenzung des Scopes. Im Mittelpunkt stehen zunächst die Identitäten und Zugriffspfade, deren Kompromittierung den größten Schaden verursachen kann: privilegierte Konten, Cloud- und Directory-Administration, CI/CD, Secrets, Backup und zentrale Security-Systeme.
Statt jede Anwendung neu zu modellieren, behandelt MVZT Zero Trust als Kontrollsystem. Eine Zugriffsentscheidung basiert auf Identität, Authentifizierungsstärke, Gerätezustand, Risikosignalen und Schutzbedarf der Zielressource. Für besonders kritische Zugriffe kann die Policy beispielsweise eine stärkere Authentifizierung verlangen, eine Sitzung zeitlich begrenzen oder den Zugriff vollständig verweigern.