Zero Trust für KMU: Wie das Buzzword Ihren Betrieb wirklich schützt

01 Was Zero Trust wirklich bringt

Den Begriff prägte 2010 der Forrester-Analyst John Kindervag [ Forrester 2010 ] . Die Kernidee ist brutal einfach: Vertraue niemandem. Nicht dem internen Netzwerk, nicht dem VPN, nicht dem Gerät, das sich gestern noch brav authentifiziert hat.

Klassische Netzwerksicherheit funktioniert wie eine Burg mit Wassergraben. Wer drinnen ist, bewegt sich frei. Zero Trust dreht das um. Jeder Zugriff wird geprüft, jedes Mal, egal ob er vom Büro in Zürich oder aus dem Homeoffice in Thun kommt. Drei Prinzipien tragen das:

• Verify explicitly: Jede Anfrage wird anhand aller verfügbaren Datenpunkte geprüft. Identität, Standort, Gerätezustand, angeforderte Ressource.
• Least privilege access: Benutzer und Systeme erhalten nur die minimalen Rechte für ihre aktuelle Aufgabe. Nicht mehr.
• Assume breach: Sie gehen davon aus, dass der Angreifer schon im Netzwerk ist. Jedes Segment wird so geschützt, als wäre der Rest bereits kompromittiert.

Das klingt nach Revolution. In der Praxis ist es eine Evolution, die Sie in konkreten Schritten umsetzen. Am Ende jedes Schritts steht ein Türschloss mehr zwischen dem Angreifer und Ihren Daten.

02 Warum KMU am meisten gewinnen

Grosskonzerne jagen Angreifer nach dem Einbruch mit dedizierten SOC-Teams und SIEM-Systemen. KMU haben das nicht. Dringt jemand ins Netzwerk eines Industriebetriebs in Aarau ein, bemerkt das in den ersten 48 Stunden selten jemand. Die durchschnittliche Verweildauer eines Angreifers im Netzwerk eines Schweizer KMU liegt bei 21 Tagen [ IBM X-Force 2025 ] . 21 Tage, in denen er sich lateral bewegt, Credentials sammelt, Daten exfiltriert und die Ransomware vorbereitet.

Zero Trust verkürzt diese Zeit nicht durch bessere Erkennung, sondern durch Begrenzung der Bewegungsfreiheit. Darf der File-Server nur mit bestimmten Endpoints sprechen und der Domain Controller nur authentifizierte Admin-Workstations akzeptieren, bleibt der Angreifer in einem Segment hängen. Der Explosionsradius schrumpft, ohne dass Sie ein SOC bezahlen.

03 Einführung in 5 Schritten

Vergessen Sie die Hochglanz-Slides der grossen Hersteller. Zero Trust für ein KMU mit 50 bis 300 Mitarbeitenden sieht anders aus als bei einer Grossbank. Der folgende Fahrplan ist realistisch, und jede Zeile nennt das Ergebnis, das Sie danach in der Hand haben.

04 Reifegrad-Check und Kosten

Wo steht Ihr Betrieb? Gehen Sie die Checkliste durch. Jedes «Nein» ist eine offene Flanke, die ein Angreifer als erstes findet. Am Ende wissen Sie, wie viele der sieben Punkte Sie erfüllen und was fehlt.

Die Auswertung ist ehrlich: 0 bis 2 Punkte heisst kritisch, 3 bis 4 Punkte Basisschutz mit Lücken, 5 bis 6 eine gute Basis, 7 Punkte Zero Trust weitgehend umgesetzt. Und dann kommt die Frage, die jedes Gespräch dominiert: Was kostet das? Hier die Rechnung für ein Schweizer KMU mit 100 Mitarbeitenden und bestehender Microsoft-365-Umgebung.

05 Typische Fehler und nDSG

In unseren Bedrohungsanalysen und Penetrationstests sehen wir vier Fehler immer wieder. Jeder von ihnen macht die teure Architektur wirkungslos, obwohl auf dem Papier alles steht.

Zero Trust ist kein nDSG-Compliance-Tool. Aber es erfüllt zentrale Anforderungen des neuen Datenschutzgesetzes. Art. 8 nDSG verlangt «geeignete technische und organisatorische Massnahmen» zum Schutz von Personendaten. Netzwerksegmentierung, Least Privilege und Conditional Access sind genau solche Massnahmen. Art. 7 nDSG schreibt Privacy by Design vor. Eine Zero-Trust-Architektur setzt das auf Infrastrukturebene um: Zugriff auf Personendaten wird nicht pauschal gewährt, sondern bei jeder Anfrage geprüft.

Ein Punkt bleibt: Zero Trust ist die Architektur, der Penetrationstest prüft, ob sie hält. Bei praktisch jedem Test gegen eine «Zero-Trust-Umgebung» finden wir Konfigurationsfehler, vergessene Legacy-Systeme oder übermässige Berechtigungen. Die Frage ist nicht, ob Fehler existieren, sondern ob Sie sie finden, bevor ein Angreifer sie ausnutzt. Genau dafür ist RTP Robin gebaut: das Dashboard, in dem ein Test ein Jahr unbegrenzter Nachtests kauft. Ihre Operatoren wiederholen den Angriff, sobald sich Ihre Angriffsfläche ändert, und ein Mensch prüft jeden Befund, bevor er Sie erreicht.

Sie wissen nicht, wo Ihr Betrieb steht? Ein kostenloses Erst-Audit von Red Team Partners prüft, welche der sieben Reifegrad-Punkte Sie schon erfüllen und wo die grössten Lücken liegen. Danach haben Sie einen konkreten Fahrplan, keine PowerPoint-Slides. Enterprise-grade. Nicht enterprise-priced.