Zero Trust im Unternehmen: Schritt-für-Schritt-Einführung für IT-Verantwortliche

Klassische Sicherheitsmodelle gehen davon aus, dass alles innerhalb des Unternehmensnetzwerks vertrauenswürdig ist und alles ausserhalb eine potenzielle Bedrohung darstellt. Diese Annahme funktioniert in einer Arbeitswelt mit Homeoffice, Cloud-Diensten und mobilen Geräten nicht mehr. Zero Trust ersetzt diese Netzwerkgrenze durch ein Prinzip: Jeder Zugriff wird geprüft, unabhängig davon, woher er kommt. Als Baggenstos begleiten wir Unternehmen bei genau dieser Umstellung, in diesem Artikel zeigen wir Ihnen, was Zero Trust konkret bedeutet, wie die Architektur mit Microsoft-Technologien aussieht und mit welchen Schritten sich das Prinzip im Unternehmen einführen lässt.

Zero Trust als Sicherheitsprinzip: Vertrauen wird durch Überprüfung ersetzt

Zero Trust ist kein einzelnes Produkt und keine Lizenz, die sich einmalig einkaufen lässt, sondern ein Architekturprinzip, das Identität, Geräte, Netzwerk, Anwendungen und Daten konsequent absichert. Microsoft beschreibt Zero Trust anhand von drei Grundprinzipien:

• Explizit überprüfen: Jede Zugriffsanfrage wird anhand aller verfügbaren Datenpunkte authentifiziert und autorisiert, etwa Identität, Standort, Gerätezustand und Risikostufe, statt sich auf den Netzwerkstandort zu verlassen.
• Zugriff mit den geringsten Rechten: Nutzende erhalten nur genau die Berechtigungen, die für ihre jeweilige Aufgabe nötig sind, zeitlich begrenzt und risikobasiert.
• Von einer Kompromittierung ausgehen: Sicherheitsmassnahmen werden so gestaltet, dass ein einzelner Vorfall den Schaden nicht auf das gesamte Unternehmen ausweiten kann, verbunden mit kontinuierlicher Überwachung auf Bedrohungen.

Der Unterschied zu klassischen Sicherheitsmodellen liegt vor allem darin, dass Vertrauen nicht mehr an den Standort im Netzwerk gekoppelt ist, sondern an eine fortlaufende, risikobasierte Überprüfung jeder einzelnen Zugriffsanfrage.

Die sechs Säulen von Zero Trust nach Microsoft

Microsoft strukturiert Zero Trust in sechs zusammenspielende Säulen, die gemeinsam die gesamte Sicherheitsarchitektur eines Unternehmens abdecken:

‍

Der entscheidende Punkt für die Praxis: Unternehmen müssen nicht alle sechs Säulen gleichzeitig vollständig umsetzen. Wer mit Identität und Geräten beginnt, deckt erfahrungsgemäss den grössten Teil des Risikos ab und schafft die Basis für die übrigen Bereiche.

Zero Trust Architektur mit Microsoft-Technologien umsetzen

Eine funktionierende Zero Trust Architektur entsteht durch das Zusammenspiel mehrerer Microsoft-Dienste, die jeweils eine der Säulen abdecken.

Identität absichern mit Microsoft Entra ID

Identitäten sind der gemeinsame Nenner über Netzwerke, Endpunkte und Anwendungen hinweg. Über Microsoft Entra ID lassen sich starke Authentifizierung, bedingter Zugriff (Conditional Access) und phishing-resistente Multi-Faktor-Authentifizierung zentral steuern. Da ein grosser Teil erfolgreicher Angriffe auf gestohlenen oder erratenen Zugangsdaten beruht, ist diese Säule in der Regel der wirkungsvollste Startpunkt für eine Zero-Trust-Einführung.

Geräte verwalten mit Microsoft Intune

Ohne Kontrolle über den Zustand der zugreifenden Geräte bleibt jede Identitätsprüfung unvollständig. Über Intune lässt sich sicherstellen, dass nur Geräte auf Unternehmensressourcen zugreifen dürfen, die aktuelle Sicherheitsupdates, Verschlüsselung und die vorgegebenen Compliance-Richtlinien erfüllen, unabhängig davon, ob es sich um Firmengeräte oder private Geräte im BYOD-Modell handelt.

Netzwerk- und App-Zugriff mit Microsoft Global Secure Access

Klassische VPN-Lösungen und Netzwerk-Firewalls reichen nicht mehr aus, um Zugriffe auf Cloud-Anwendungen und interne Ressourcen abzusichern, gerade weil Mitarbeitende heute von überall aus arbeiten. Microsoft Global Secure Access bündelt dafür zwei Lösungen: Microsoft Entra Internet Access schützt den Zugriff auf das Internet und SaaS-Anwendungen über ein identitätsbasiertes Secure Web Gateway, während Microsoft Entra Private Access den sicheren Zugriff auf interne, private Ressourcen regelt, ganz ohne klassisches VPN. Beide Dienste lassen sich direkt mit Conditional Access verknüpfen, sodass Netzwerkzugriff und Identitätsprüfung nicht mehr getrennt, sondern als ein durchgängiges System funktionieren. Wie das in der Praxis aussieht, zeigen wir im Webinar „b.Secure: die moderne VPN-Alternative für KMU".

Daten schützen mit Microsoft Purview

Sind Identität, Geräte und Netzwerk abgesichert, rückt der Schutz der Daten selbst in den Fokus. Microsoft Purview ermöglicht die Klassifizierung vertraulicher Informationen sowie Richtlinien, die verhindern, dass sensible Daten unkontrolliert das Unternehmen verlassen, unabhängig davon, über welche Anwendung oder welches Gerät darauf zugegriffen wird.

Schritt-für-Schritt-Einführung von Zero Trust im Unternehmen

Eine Zero-Trust-Einführung gelingt am besten schrittweise, statt alle Säulen gleichzeitig umzusetzen:

1. Bestandsaufnahme von Identitäten und Zugriffen

Verschaffen Sie sich einen Überblick, welche Nutzenden, Dienste und Geräte aktuell auf welche Ressourcen zugreifen können. Diese Bestandsaufnahme bildet die Grundlage für alle weiteren Schritte und deckt oft bereits erste unnötige oder veraltete Berechtigungen auf.

2. Conditional Access und phishing-resistente MFA einführen

Starten Sie mit einer starken Authentifizierung und risikobasierten Zugriffsrichtlinien über Microsoft Entra. Dieser Schritt bringt in der Regel den grössten Sicherheitsgewinn im Verhältnis zum Aufwand.

3. Geräte-Compliance mit Intune etablieren

Legen Sie fest, welche Mindestanforderungen ein Gerät erfüllen muss, um Zugriff zu erhalten, und setzen Sie diese Richtlinien über Intune konsequent durch.

4. Netzwerkzugriff mit Global Secure Access modernisieren

Ersetzen Sie schrittweise klassische VPN-Verbindungen durch identitätsbasierten Zugriff über Global Secure Access, dies schafft eine deutlich feinere und sicherere Kontrolle darüber, wer auf welche Anwendungen und internen Ressourcen zugreifen darf.

5. Daten klassifizieren und schützen

Identifizieren Sie besonders schützenswerte Daten und richten Sie über Microsoft Purview entsprechende Schutzrichtlinien ein, bevor Sie den Zugriff auf weitere Anwendungen und Dienste ausweiten.

6. Kontinuierlich überwachen und anpassen

Zero Trust ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Nutzen Sie die Sichtbarkeit aus Microsoft Defender und den Sicherheitsberichten, um Richtlinien laufend an neue Bedrohungen und veränderte Arbeitsweisen anzupassen.

Zero Trust in der Schweiz: regulatorischer Kontext

Für Unternehmen in der Schweiz ist Zero Trust nicht nur eine technische, sondern zunehmend auch eine regulatorische Fragestellung. Anforderungen aus der Informationssicherheitsverordnung, aus ISO-27001-Zertifizierungen sowie aus Kundenverträgen mit Datenschutzauflagen verlangen zunehmend ein nachvollziehbares Zugriffs- und Berechtigungskonzept. Eine konsequent umgesetzte Zero-Trust-Architektur liefert genau diesen Nachweis, weil jede Zugriffsentscheidung dokumentiert und nachvollziehbar begründet ist. Mehr zu unserem Leistungsangebot im Bereich Cyber Security finden Sie auf unserer Lösungsseite.

Zero Trust im Kontext von KI-Agenten

Mit KI-Agenten entstehen neue digitale Identitäten, die genauso konsequent nach dem Zero-Trust-Prinzip geschützt werden müssen wie menschliche Benutzer. Microsoft behandelt Agenten über Entra Agent ID als eigenständige Identitäten, überprüft Zugriffe mit Conditional Access in Echtzeit und beschränkt Berechtigungen nach dem Least-Privilege-Prinzip. Global Secure Access ermöglicht die Überwachung der Agentenaktivitäten, während Microsoft Purview bestehende Data-Governance-Richtlinien auf deren Nutzung ausweitet. Unternehmen sollten KI-Agenten daher von Beginn an als festen Bestandteil ihrer Zero-Trust-Architektur betrachten und nicht als Ausnahme behandeln. Wie Microsoft Zero Trust für KI und Agenten im Detail umsetzt, zeigt das folgende Video „KI mit Zero-Trust-Sicherheit".

So unterstützt Sie Baggenstos bei der Zero-Trust-Einführung

Als Microsoft-fokussierter IT-Partner begleiten wir Unternehmen von der ersten Standortbestimmung bis zur vollständigen Umsetzung:

• Assessment: Wir analysieren Ihre bestehende Identitäts-, Geräte- und Netzwerklandschaft und zeigen auf, wo das grösste Risiko und der grösste Handlungsbedarf liegen.
• Roadmap: Gemeinsam legen wir fest, in welcher Reihenfolge die einzelnen Säulen umgesetzt werden, angepasst an Ihre vorhandenen Lizenzen und Ihr Risikoprofil.
• Umsetzung: Wir konfigurieren Conditional Access, Intune-Richtlinien, Global Secure Access und die weiteren Bausteine gemeinsam mit Ihrem Team.
• Laufender Betrieb: Über unseren Managed Service behalten wir Ihre Sicherheitsrichtlinien auch nach der Einführung im Blick und passen sie an neue Bedrohungen an.

Einen Einblick in bereits umgesetzte Sicherheitsprojekte finden Sie in unseren Referenzen.

Fazit

Zero Trust ist kein einmaliges Projekt, sondern ein Sicherheitsprinzip, das Identität, Geräte, Netzwerk, Anwendungen und Daten dauerhaft absichert. Mit Microsoft-Technologien wie Entra ID, Intune und Global Secure Access lässt sich diese Architektur schrittweise und ohne grosse Zusatzinvestitionen umsetzen, vorausgesetzt, die Einführung erfolgt strukturiert und in der richtigen Reihenfolge.

Sie möchten wissen, wie eine Zero-Trust-Einführung für Ihr Unternehmen konkret aussehen könnte? Nehmen Sie Kontakt mit uns auf, wir beraten Sie gerne zu Ihrer individuellen Sicherheitsstrategie.

‍