Zero Trust wird zum Standard: was NIS-2 jetzt von Unternehmen verlangt

Zero Trust ist vom Schlagwort zum Standard geworden. Was lange als Zukunftsthema galt, wird 2026 zur Grundlage jeder ernsthaften Sicherheitsarchitektur. Der Auslöser ist nicht allein die Technik, sondern die Regulatorik: Mit NIS-2 wird ein Zero-Trust-Ansatz für rund 30.000 Unternehmen in Deutschland faktisch zur Pflicht, samt persönlicher Haftung der Geschäftsführung.

Warum das Burgmauer-Modell nicht mehr trägt

Jahrzehntelang galt: innen vertrauenswürdig, außen gefährlich. Eine starke Firewall am Rand sollte das interne Netz schützen. Drei Entwicklungen haben dieses Bild aufgelöst: Daten und Anwendungen liegen in der Cloud, Mitarbeitende arbeiten von überall, und Partner sind tief in die eigenen Prozesse eingebunden. Der klassische Perimeter hat damit keine klare Grenze mehr.

Das eigentliche Problem zeigt sich nach dem ersten Eindringen. Wer einmal im flachen Netz ist, wird vom System wie ein vertrauenswürdiger Kollege behandelt und bewegt sich seitlich weiter. Genau diese laterale Bewegung macht aus einem kleinen Vorfall einen unternehmensweiten Schaden.

Zero Trust ist kein Produkt

Zero Trust lässt sich nicht kaufen und ist kein Firewall-Ersatz. Es ist ein Architekturprinzip, das von einer nüchternen Annahme ausgeht: Ein Angreifer ist möglicherweise bereits im Netz (Assume Breach). Daraus folgen drei Grundsätze:

• Jede Verbindung wird geprüft, unabhängig davon, ob sie von innen oder außen kommt.
• Kein Vertrauensvorschuss, weder für Nutzer noch für Server oder Dienste.
• Segmentierung, damit ein kompromittiertes System nicht das ganze Unternehmen mitreißt.

Drei Säulen tragen das Modell

In der Praxis ruht Zero Trust auf drei Säulen:

• Identität: Mehrstufige Authentifizierung (MFA) wird zum Mindeststandard für alle Zugänge, ausdrücklich auch für Administrations- und Dienstkonten. Die Identität wird zum eigentlichen Perimeter.
• [Mikrosegmentierung](/mikrosegmentierung/): Kritische Systeme werden voneinander isoliert, die Kommunikation zwischen den Zonen wird kontrolliert. So bleibt ein Vorfall lokal begrenzt.
• Kontinuierliche Überprüfung: Zugriffe werden laufend neu bewertet. Die Anmeldung ist der Anfang der Prüfung, nicht ihr Ende.

Sicheren, identitätsbasierten Zugriff auf Anwendungen liefert dabei eine SASE/SSE-Architektur : geprüfter Zugang statt offenem Netzzugang, aus der Cloud und an jedem Standort gleich.

NIS-2 macht Zero Trust verbindlich

Mit NIS-2 ist Cybersicherheit für viele Unternehmen kein freiwilliges Projekt mehr. Die Vorgaben betreffen rund 30.000 Organisationen in Deutschland und verlangen unter anderem kontinuierliche Authentifizierung, MFA, Netzwerksegmentierung, Zugriff nach dem Least-Privilege-Prinzip und Sicherheit in der Lieferkette. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, und die Geschäftsführung haftet persönlich.

Diese Anforderungen lesen sich wie eine Zero-Trust-Checkliste. Wer NIS-2 sauber umsetzt, baut damit faktisch eine Zero-Trust-Architektur.

Wie reif ist der Markt?

Der Trend ist eindeutig, der Reifegrad noch nicht. Laut Gartner haben rund 63 Prozent der Organisationen weltweit mit Zero Trust begonnen, doch bei den meisten deckt es weniger als die Hälfte der IT-Umgebung ab. Für 2026 erwartet Gartner, dass nur etwa 10 Prozent der großen Unternehmen ein wirklich ausgereiftes Programm betreiben.

Warum sich der Aufwand lohnt, zeigen die Vorfallszahlen. Der Verizon Data Breach Investigations Report 2025 nennt Ransomware bei 44 Prozent der Datenpannen, gestohlene Zugangsdaten als Einstieg bei 22 Prozent und externe Partner bei rund 30 Prozent der Fälle. Der Vorsprung entsteht dabei durch Tiefe, nicht durch einen schnellen Start.

Der Weg dorthin führt über Phasen

Zero Trust ist kein Stichtag. Es ist ein Weg über mehrere Jahre, und drei Phasen haben sich bewährt:

• Bestandsaufnahme: Zuerst werden kritische Prozesse, Daten und Kommunikationsflüsse kartiert. Diese Karte ist die Grundlage jeder gezielten Architektur.
• MFA flächendeckend: Mehrstufige Authentifizierung ohne Ausnahmen bringt das beste Verhältnis von Aufwand und Schutz, gerade bei lange unangetasteten Dienstkonten.
• Segmentierung Schritt für Schritt: Statt das gesamte Netz auf einmal umzustellen, sichern wir zuerst die kritischen Prozesse. So entsteht früh Schutzwirkung, ohne den Betrieb zu blockieren.

Der häufigste Fehler ist, Zero Trust als Projekt mit Enddatum zu sehen. Realistisch sind drei bis fünf Jahre bis zur Reife, mit dauerhafter Pflege statt einmaliger Investition. Genau deshalb entstehen aus halben Umsetzungen oft Sicherheitsinseln statt einer durchgehenden Abdeckung.

Zero Trust mit KAEMI

Als Managed Service Provider begleitet KAEMI diesen Weg von der Analyse bis zum Dauerbetrieb. Wir nehmen Ihre Umgebung auf, entwerfen die Zielarchitektur und setzen sie ohne Betriebsunterbrechung um: Professional Services für Beratung und Umsetzung, dazu SASE/SSE, ZTNA und Mikrosegmentierung im laufenden Betrieb. So wird aus der Pflicht ein belastbarer Standard.

Sie möchten wissen, wo Ihre Umgebung heute steht? Sprechen Sie mit uns .

*Dieser Beitrag orientiert sich an einem Fachartikel von Beck Consult: Zero Trust: Der neue Sicherheitsstandard .*