Zero-Trust-Sicherheit: Was ist das, warum ist sie wichtig und wie lässt sie sich umsetzen?

Laut dem „Kaseya State of the MSP Report 2026“ gaben 71 % der MSPs an , im Vergleich zum Vorjahr ein Umsatzwachstum im Bereich Cybersicherheit verzeichnet zu haben , und die Zero-Trust-Architektur ist zunehmend das Rahmenkonzept, nach dem Kunden fragen, wenn sie prüfen, wie ihr MSP das Thema Sicherheit angeht . Laden Sie den vollständigen Bericht herunter.

„Niemals vertrauen, immer überprüfen.“ Das ist das Kernprinzip von Zero Trust, einem Sicherheitsmodell, das sich im Laufe des letzten Jahrzehnts vom akademischen Rahmenkonzept zur Grundlage moderner Sicherheitsarchitekturen in Unternehmen entwickelt hat.

Das traditionelle Sicherheitsmodell ging davon aus, dass alles innerhalb des Netzwerkperimeters vertrauenswürdig sei. Benutzer, Geräte und Anwendungen hinter der Firewall wurden standardmäßig als sicher eingestuft. Diese Annahme war sinnvoll, als Mitarbeiter noch von Büros aus auf firmeneigenen Geräten arbeiteten, die mit einem Unternehmensnetzwerk verbunden waren. In einer Umgebung, in der von überall und auf jedem Gerät gearbeitet wird und auf Cloud-Dienste zugegriffen wird, die vollständig außerhalb des Perimeters liegen, macht sie jedoch keinen Sinn mehr. Die Sicherheitsplattform von Kaseya schützt mehr als 50.000 MSPs und IT-Teams, die genau diesen Wandel durchlaufen. Dadurch erhalten wir einen klaren Einblick in die Praxis, wo das Perimeter-Modell versagt und was es tatsächlich ersetzt.

Integrieren Sie das Zero-Trust-Prinzip in Ihren IT-Betrieb

Kaseya 365 vereint Endpunktüberwachung, Identitätsschutz, Cloud-Erkennung und -Reaktion sowie ZTNA, um eine praxisorientierte, schrittweise Zero-Trust-Implementierung für MSPs und IT-Teams zu unterstützen.

Entdecken Sie die Sicherheitslösungen von Kaseya

Was „Zero Trust“ ist

„Zero Trust“ ist ein Sicherheitskonzept und kein Produkt, das eine kontinuierliche Überprüfung jeder Zugriffsanfrage erfordert, unabhängig davon, woher diese stammt. Es geht davon aus, dass das Netzwerk bereits kompromittiert wurde, und gestaltet die Zugriffskontrollen entsprechend: Es schränkt die laterale Bewegung ein, indem es festlegt, worauf ein authentifizierter Benutzer oder ein Gerät zugreifen darf, und überprüft kontinuierlich, ob sich authentifizierte Sitzungen wie erwartet verhalten.

Das NIST definiert die Zero-Trust-Architektur (ZTA) in der Sonderveröffentlichung 800-207 als eine Verlagerung der Sicherheitskontrollen vom Netzwerkperimeter hin zu einzelnen Ressourcen, wobei jede Ressource ihre eigene Zugriffsrichtlinie durchsetzt, anstatt sich auf eine vertrauenswürdige Netzwerkgrenze zu verlassen.

In der Praxis bedeutet „Zero Trust“, dass Benutzer vor dem Zugriff auf eine Ressource mittels einer starken Authentifizierung überprüft werden, dass Geräte vor der Gewährung des Zugriffs auf die Einhaltung der Sicherheitsanforderungen überprüft werden, dass der Zugriff ausschließlich auf die spezifischen Ressourcen beschränkt ist, die der Benutzer tatsächlich benötigt, dass jeder Zugriff protokolliert und überwacht wird und dass der Zugriff neu bewertet wird, wenn sich Kontextfaktoren wie Standort, Gerätestatus oder ungewöhnliches Verhalten ändern.

Warum das traditionelle Perimeter-Modell gescheitert ist

Das traditionelle Modell von Burg und Burggraben – Bedrohungen draußen fernhalten und allem im Inneren vertrauen – beruhte auf drei Annahmen, die heute nicht mehr zutreffen.

Die Grenzen sind nicht mehr klar definiert. Die Arbeit wird von zu Hause aus, in Cafés und auf privaten Geräten erledigt. Anwendungen laufen in Cloud-Umgebungen, die vollständig außerhalb des Unternehmensnetzwerks liegen. Der Begriff „intern“ ist mittlerweile unscharf geworden.

Interne Bedrohungen – seien es böswillige Mitarbeiter oder kompromittierte Konten – haben ihren Ursprung innerhalb des Netzwerks. Ein Modell, das allem innerhalb des Netzwerks vertraut, bietet keinen Schutz vor dem erheblichen Anteil an Sicherheitsverletzungen, bei denen niemals ein Zugriff von außen auf das Netzwerk stattfindet.

Angreifer, denen es gelingt, die Sicherheitsperimeter durch Phishing, den Diebstahl von Zugangsdaten oder die Kompromittierung der Lieferkette zu durchbrechen, können sich in einem flachen, vertrauenswürdigen Netzwerk nahezu ungehindert lateral ausbreiten. Durch diese laterale Ausbreitung wird aus einem einzelnen kompromittierten Endpunkt ein unternehmensweiter Vorfall. Der Kaseya-VSA-Lieferkettenangriff aus dem Jahr 2021 veranschaulicht dies sehr deutlich: Der Zugriff über einen einzigen vertrauenswürdigen Kanal breitete sich gerade deshalb aus, weil nachgelagerte Umgebungen implizit darauf vertrauten, was von den übergeordneten Ebenen kam.

Zero Trust behebt alle drei Fehlermodi, indem es das implizite Vertrauen, das auf dem Standort im Netzwerk basiert, durch eine kontinuierliche, kontextbezogene Überprüfung ersetzt.

Die drei Grundprinzipien von Zero Trust

Führen Sie eine explizite Überprüfung durch. Authentifizieren und autorisieren Sie jede Zugriffsanfrage unter Berücksichtigung aller verfügbaren Signale: Benutzeridentität, Gerätestatus, Standort, die angeforderte Ressource und Verhaltensmuster. Der Netzwerkstandort gilt nicht als Vertrauenssignal.

Wenden Sie das Prinzip der geringsten Berechtigungen an. Beschränken Sie den Zugriff der Benutzer auf das für ihre Rolle erforderliche Minimum und begrenzen Sie die Dauer dieses Zugriffs. Die Just-in-Time-Zugriffsgewährung für privilegierte Vorgänge sowie zeitlich begrenzte Zugriffsrechte für vorübergehende Anforderungen verringern das Risiko, wenn Anmeldedaten kompromittiert werden. Ein Konto, das nur auf das zugreifen kann, was es benötigt, und zwar nur so lange, wie es benötigt wird, ist für einen Angreifer deutlich weniger wertvoll.

Gehen Sie von einem Sicherheitsverstoß aus. Entwerfen Sie Kontrollmaßnahmen unter der Annahme, dass das Netzwerk bereits kompromittiert wurde. Segmentieren Sie den Zugriff, um die laterale Bewegung einzuschränken. Verschlüsseln Sie alle Daten sowohl während der Übertragung als auch im Ruhezustand. Überwachen Sie alle Aktivitäten auf Anzeichen einer Kompromittierung. Planen Sie die Reaktion auf Vorfälle für den Fall, dass ein Angreifer bereits Fuß in der Umgebung gefasst hat.

Zero Trust in der Praxis: So setzen Sie das Konzept um

„Zero Trust“ ist ein Prozess und kein Schalter, den man einfach umlegen kann. Die meisten Unternehmen setzen das Konzept schrittweise in fünf Dimensionen um, wobei jede auf der vorherigen aufbaut.

Identitäts- und Zugriffsmanagement. Das ist die Grundlage. Eine starke Authentifizierung (MFA, idealerweise phishing-resistente Hardware-Schlüssel oder app-basierte Authentifizierungsfaktoren), Identitäts-Governance, die regelt, wer wann und warum Zugriff auf welche Ressourcen hat, sowie das Privileged-Access-Management für Administratorzugangsdaten bilden den Ausgangspunkt. Jede Zugriffsentscheidung basiert auf einer verifizierten Identität. „ Dark Web ID “, ein Bestandteil von „ Kaseya 365 User“, bietet eine kontinuierliche Überwachung der Zugangsdaten, um kompromittierte Identitäten zu erkennen, bevor sie zu aktiven Angriffsvektoren werden.

Gerätekonformität. Der Zugriff sollte nicht nur davon abhängen, wer Sie sind, sondern auch vom Zustand des von Ihnen verwendeten Geräts. Richtlinien für den bedingten Zugriff, die verlangen, dass Endgeräte bestimmte Sicherheitsanforderungen erfüllen, bevor sie auf sensible Ressourcen zugreifen dürfen, setzen das Prinzip der Geräteüberprüfung um. Datto EDR, Teil von „ Kaseya 365 Endpoint“, bietet die kontinuierliche Endgeräteüberwachung, auf der Richtlinien zur Gerätekonformität basieren: Ein Endgerät, auf dem eine Verhaltensbedrohung aktiv ist oder das eine kritische, ungepatchte Sicherheitslücke aufweist, sollte nicht dieselben Zugriffsrechte haben wie ein sauberes, gepatchtes und vollständig verwaltetes Gerät.

Netzwerkzugangskontrolle. Ersetzen Sie den pauschalen, VPN-basierten Netzwerkzugang durch anwendungsspezifischen Zugriff. Benutzer authentifizieren sich bei bestimmten Anwendungen und nicht beim Netzwerk als Ganzes. Dies ist das Fachgebiet von ZTNA (Zero Trust Network Access), und „Datto Secure Edge “ ist die speziell von Kaseya entwickelte ZTNA- und SASE-Lösung für MSPs, die den Remote-Zugriff ihrer Kunden in großem Maßstab verwalten. Eine detaillierte technische Betrachtung dazu, wie ZTNA das VPN ersetzt, finden Sie in unserem Leitfaden „ZTNA vs. VPN“.

Kontrollen auf Anwendungsebene. Zugriffsrichtlinien auf der Anwendungsebene legen nicht nur fest, wer eine Verbindung herstellen darf, sondern auch, welche Aktionen nach dem Verbindungsaufbau durchgeführt werden dürfen. Der rollenbasierte Zugriff innerhalb von Anwendungen in Verbindung mit der Überwachung des Verhaltens auf der Anwendungsebene schließt die Lücke, die durch Kontrollen auf Netzwerkebene allein nicht geschlossen werden kann.

Kontinuierliche Überwachung. Zero Trust erfordert eine kontinuierliche Überwachung authentifizierter Sitzungen auf Verhaltensauffälligkeiten: Zugriff auf ungewöhnliche Ressourcen, ungewöhnlich hohe Datenübertragungsvolumina, Authentifizierungen von unerwarteten Standorten oder Versuche der Berechtigungserweiterung. „ SaaS Alerts “, ein Bestandteil von „ Kaseya 365 User“, bietet diese kontinuierliche Überwachung für Cloud- und SaaS-Anwendungsumgebungen, erkennt Kontokompromittierungen und verdächtige Aktivitäten nahezu in Echtzeit und löst automatisierte Reaktionsmaßnahmen aus.

Zero Trust für MSPs

MSPs haben starke Anreize, Zero Trust sowohl intern als auch als Dienstleistungsangebot umzusetzen.

Intern sind MSP-Umgebungen besonders wertvolle Ziele. Ein Missbrauch von MSP-Zugangsdaten kann sich auf jede vom MSP verwaltete Kundenumgebung auswirken. Ein MSP-Partner, der Datto Secure Edge nutzt, beschrieb dies folgendermaßen: „Wir verwenden Datto Secure Edge , um den Zugriff unserer eigenen Techniker zu sichern. Sie können sich nicht bei KaseyaOne anmelden, es sei denn, sie sind über Datto Secure Edge verbunden, was mir Sicherheit gibt.“ Eine Zero-Trust-Architektur, die bei jedem Zugriff MFA erzwingt, ein Privileged-Access-Management für RMM-Anmeldedaten implementiert und Kundenumgebungen voneinander trennt, begrenzt den Schadensumfang, wenn eine Komponente kompromittiert wird.

Für Kunden wird „Zero Trust“ zunehmend zu einer Anforderung im Hinblick auf Compliance und Cyberversicherung, insbesondere für Kunden aus den Bereichen Gesundheitswesen, Finanzwesen und öffentlicher Sektor. Ein MSP, der sich mit der „Zero Trust“-Architektur auskennt, die Kundenumgebungen anhand ihrer Prinzipien abbilden und die technischen Komponenten schrittweise bereitstellen kann, positioniert sich als strategischer Sicherheitsberater und nicht als reaktiver Helpdesk.

Die geschäftliche Chance ist real. „Zero Trust“ ist kein einzelnes Projekt mit einem einzigen Ergebnis, sondern ein kontinuierlicher Beratungs- und Implementierungsservice. Jede der fünf oben aufgeführten Dimensionen stellt einen eigenständigen Auftrag dar und stärkt jeweils die Abhängigkeit des Kunden vom Fachwissen und den Tools des MSP.

Häufige Missverständnisse zum Thema „Zero Trust“

„Zero Trust bedeutet, niemandem zu vertrauen.“ Zero Trust bedeutet, implizites Vertrauen durch verifiziertes Vertrauen zu ersetzen. Verifizierte Benutzer, Geräte und Sitzungen erhalten uneingeschränkten Zugriff. Bei diesem Prinzip geht es um die Grundlage dieses Vertrauens, nicht um dessen Vorhandensein.

„Zero Trust ist ein Produkt, das man kauft.“ Kein einzelnes Produkt allein sorgt für Zero Trust. Es erfordert eine koordinierte Umsetzung in den Bereichen Identitätsmanagement, Geräte, Netzwerkzugang, Anwendungen und Überwachung. Produkte unterstützen die Umsetzung; die Architektur erfordert Entscheidungen und eine kontinuierliche Steuerung.

„Zero Trust erfordert einen kompletten Neuanfang.“ Die Umsetzung erfolgt schrittweise. Durch die Einführung von MFA für alle Konten und die Festlegung von Richtlinien zur Gerätekonformität lassen sich die risikoreichsten Sicherheitslücken sofort schließen. Netzwerksegmentierung und Kontrollen auf Anwendungsebene können folgen, sobald das Programm ausgereift ist. Ein MSP, der EDR bereitgestellt, MFA durchgesetzt und ZTNA für den Fernzugriff implementiert hat, hat die Sicherheitslage bereits deutlich näher an ein Zero-Trust-Modell herangeführt.

Die wichtigsten Erkenntnisse

• Zero Trust ersetzt das implizite, auf dem Netzwerkstandort basierende Vertrauen durch eine kontinuierliche Überprüfung jeder Zugriffsanfrage und geht damit direkt auf die Schwachstellen des traditionellen Perimeter-Modells ein.
• Die drei Grundprinzipien – „Explizite Überprüfung“, „Prinzip der geringsten Berechtigungen“ und „Annahme eines Sicherheitsverstoßes“ – gelten gleichermaßen für Identitäten, Geräte, Netzwerkzugriff und Anwendungen.
• Die Umsetzung erfolgt schrittweise: Beginnen Sie mit Identitätsmanagement und Multi-Faktor-Authentifizierung (MFA), fügen Sie anschließend Gerätekonformität und bedingten Zugriff hinzu und gehen Sie dann zu ZTNA für den Netzwerkzugriff und die kontinuierliche Verhaltensüberwachung über.
• MSPs profitieren im Zusammenhang mit Zero Trust sowohl von internen Sicherheitsanreizen als auch von geschäftlichen Chancen: zum einen durch den Schutz des MSP-Zugriffs mit hohen Berechtigungen auf Kundenumgebungen und zum anderen durch die Bereitstellung von Zero-Trust-Beratungs- und Implementierungsdienstleistungen für Kunden.