Zero Trust ist einer der am häufigsten missbrauchten Begriffe im Cybersecurity-Marketing. Jeder Anbieter behauptet, es zu verkaufen. Aber Zero Trust ist kein Produkt. Es ist ein Architekturprinzip: Niemals vertrauen, immer verifizieren. Für KMU mit Microsoft 365 ist die Umsetzung praktischer — und günstiger — als die meisten denken.
Was Zero Trust tatsächlich bedeutet
Das traditionelle Sicherheitsmodell geht davon aus, dass alles innerhalb des Firmennetzwerks vertrauenswürdig ist. Zero Trust eliminiert diese Annahme. Jede Zugriffsanfrage wird überprüft, unabhängig vom Herkunftsort. Drei Prinzipien definieren den Ansatz:
- Explizit verifizieren — Authentifizierung und Autorisierung basierend auf allen verfügbaren Datenpunkten: Identität, Standort, Gerätezustand, Dienst, Datenklassifizierung
- Minimale Berechtigungen — Benutzerzugriff auf das Nötigste beschränken, nur so lange wie nötig
- Breach annehmen — Auswirkungsradius minimieren, Zugriff segmentieren, End-to-End-Verschlüsselung verifizieren, Anomalien per Analytics erkennen
Wo Microsoft 365 Zero Trust bereits unterstützt
Die meisten KMU wissen nicht, dass ihre bestehenden Microsoft 365-Lizenzen bereits erhebliche Zero-Trust-Funktionen enthalten. Das Problem sind nicht fehlende Features — es ist fehlende Konfiguration.
Identitätsebene
Entra ID (ehemals Azure AD) bildet die Grundlage. Mit Conditional Access-Richtlinien können Sie MFA basierend auf Risikosignalen erzwingen, Zugriff von nicht vertrauenswürdigen Standorten blockieren und konforme Geräte verlangen. Das sind keine Premium-Features — die meisten sind in Business Premium-Lizenzen verfügbar.
Geräteebene
Intune, enthalten in Business Premium, ermöglicht die Durchsetzung von Geräte-Compliance-Richtlinien. Sie können Verschlüsselung, minimale Betriebssystemversionen und aktiven Bedrohungsschutz als Voraussetzung für den Zugriff auf Unternehmensdaten verlangen. Ein unverwaltetes privates Gerät sollte nicht denselben Zugriff haben wie ein firmenverwalteter Laptop.
Datenebene
Information Protection-Labels klassifizieren und schützen sensible Dokumente. DLP-Richtlinien verhindern das versehentliche Teilen von Finanzdaten, Kundendaten oder geistigem Eigentum. Diese Kontrollen folgen den Daten — innerhalb und außerhalb der Organisation.
Die fünf Konfigurationsschritte
Eine praktische Zero-Trust-Implementierung für M365 folgt dieser Reihenfolge:
- Security Defaults oder Conditional Access aktivieren — MFA für alle Benutzer erzwingen, Legacy-Authentifizierungsprotokolle blockieren, die MFA vollständig umgehen
- Geräte-Compliance-Richtlinien bereitstellen — verwaltete, verschlüsselte, aktuelle Geräte für den Zugriff auf Unternehmensressourcen verlangen
- Risikobasierte Conditional Access konfigurieren — Entra ID Protection-Signale nutzen, um die Authentifizierung zu verstärken oder bei erhöhtem Risiko zu blockieren
- Vertraulichkeits-Labels anwenden — Dokumente und E-Mails nach Vertraulichkeitsstufe klassifizieren; Verschlüsselung und Zugriffsbeschränkungen automatisch durchsetzen
- Privileged Access Management einführen — Admin-Konten von täglichen Benutzerkonten trennen; Just-in-Time-Zugriff für administrative Aufgaben durchsetzen
Häufige Fehler
Der häufigste Fehler ist, Zero Trust als einmaliges Projekt zu behandeln. Es ist eine kontinuierliche Haltung. Der zweithäufigste Fehler: mit der komplexesten Ebene zu beginnen. Starten Sie mit der Identität — sie liefert den höchsten Sicherheitsertrag bei geringstem Aufwand.
Ein weiterer häufiger Fehler: Führungskräfte von MFA-Richtlinien auszunehmen. Geschäftsführer sind die am häufigsten angegriffenen Personen in jeder Organisation. Sie von Sicherheitskontrollen auszunehmen, weil sie MFA unbequem finden, ist der schnellste Weg, die gesamte Sicherheitsstrategie zu untergraben.
Wie das in der Praxis aussieht
Ein 60-Personen-Dienstleistungsunternehmen hat Zero-Trust-Prinzipien in seiner M365-Umgebung in drei Wochen implementiert. Das Ergebnis: Legacy-Authentifizierung blockiert, MFA für alle Benutzer erzwungen, Geräte-Compliance für mobilen Zugriff erforderlich, Vertraulichkeits-Labels auf Kundendokumente angewendet.
Es wurden keine neuen Produkte angeschafft. Die Sicherheitsverbesserungen kamen ausschließlich aus der Konfiguration bestehender Lizenzfunktionen, die auf Standardeinstellungen belassen worden waren.
Nächste Schritte
Ein Tenant-Audit identifiziert genau, welche Zero-Trust-Kontrollen aktiv, falsch konfiguriert oder vollständig fehlend sind. Die meisten Lücken lassen sich durch reine Konfigurationsänderungen schließen.
Kostenlosen Tenant-Audit buchen, um zu sehen, wo Ihre M365-Umgebung gegenüber Zero-Trust-Prinzipien steht.