Früher war IT-Sicherheit oft einfach gedacht: Im Büro ist alles sicher, draußen ist alles gefährlich. Dieses Bild passt nicht mehr. Angebote liegen in Microsoft 365, Fotos werden von der Baustelle hochgeladen, Monteure nutzen Tablets, der Steuerberater bekommt digitale Unterlagen und Support läuft per Fernwartung. Ein einziges schwaches Konto kann reichen, damit Fremde auf E-Mails, Rechnungen oder Kundendaten zugreifen.
Zero Trust bedeutet nicht Misstrauen gegenüber dem Team. Es bedeutet: Jeder Zugriff wird vernünftig geprüft. Wer meldet sich an? Von welchem Gerät? Braucht diese Person wirklich Administratorrechte? Ist der Zugriff ungewöhnlich? Für Handwerk und KMU lässt sich das pragmatisch umsetzen – mit klaren Rollen, starken Anmeldungen, gepflegten Geräten und einfachen Regeln.
1. Konten absichern: Identität zuerst prüfen
Der wichtigste Startpunkt sind Benutzerkonten. In vielen Betrieben werden Passwörter geteilt, alte Konten ehemaliger Mitarbeiter bleiben aktiv oder Adminrechte werden im Alltag genutzt, weil es bequem ist. Genau das macht Angriffe einfach. Jedes Teammitglied sollte ein eigenes Konto haben, Rechte sollten zur Aufgabe passen und Administratorzugänge gehören getrennt vom normalen Arbeitskonto.
Für E-Mail, Microsoft 365, Banking, Backup-Konsole, Domainverwaltung und Fernwartung sind Passkeys oder Multi-Faktor-Authentifizierung Pflicht. Das klingt nach Mehraufwand, spart aber im Ernstfall den Betrieb. Wer eine verdächtige Anmeldung aus dem Ausland sieht, kann reagieren, bevor Rechnungen manipuliert oder Kundendaten abgegriffen werden.
2. Geräte kennen: Nur gepflegte PCs und Smartphones zulassen
Zero Trust schaut nicht nur auf Personen, sondern auch auf Geräte. Ein privater Laptop ohne Updates, ein altes Baustellen-Tablet oder ein PC mit abgelaufenem Virenschutz sollte nicht denselben Zugriff auf Kundendaten haben wie ein gepflegter Firmenrechner. Deshalb braucht der Betrieb eine aktuelle Geräteliste: PC-Name, Nutzer, Aufgabe, Windows-Version, Schutzstatus und wichtige Software.
Diese Liste muss kein Konzerninventar sein. Für kleine Betriebe reichen oft 20 Minuten pro Quartal, um neue Geräte aufzunehmen, alte Geräte zu entfernen und Updates zu prüfen. Besonders wichtig ist das im Zusammenhang mit dem Windows-10-Support-Ende: Veraltete Systeme sollten nicht mehr unkontrolliert auf Cloud, E-Mail oder Fachsoftware zugreifen.
Zero-Trust-Einstieg in sechs Schritten
1. Konten erfassen – aktive Nutzer, Admins, geteilte Logins und externe Zugänge notieren.
2. MFA aktivieren – zuerst für E-Mail, Microsoft 365, Banking, Backup und Fernwartung.
3. Geräte prüfen – Windows-Version, Updates, Virenschutz und Eigentümer dokumentieren.
4. Rollen reduzieren – nur die Rechte vergeben, die für die Aufgabe nötig sind.
5. Externe Zugriffe regeln – Steuerberater, Softwarehaus und IT-Dienstleister mit festen Kanälen einbinden.
6. Notfallweg festlegen – Konto sperren, Passwort ändern, Backup prüfen und Ansprechpartner informieren.
3. Cloud und Fernwartung sauber begrenzen
Cloud-Zugriffe sind praktisch, aber sie sollten nicht grenzenlos sein. Angebote, Personalunterlagen, Rechnungen und Baustellenfotos brauchen unterschiedliche Freigaben. Ein Monteur benötigt vielleicht Zugriff auf Projektfotos, aber nicht auf Lohnunterlagen. Ein externer Dienstleister braucht einen klaren Arbeitsauftrag, aber keinen permanenten Vollzugriff auf alle Systeme.
Gerade bei Cloud-Migration und Microsoft 365 lohnt ein sauberer Rechteplan. Ordner, Teams, SharePoint-Seiten und OneDrive-Freigaben sollten nachvollziehbar benannt und regelmäßig geprüft werden. Für Remote-Support gilt: Sitzung nur mit Freigabe, Zugriff protokollieren und dauerhafte Zugänge nur dort erlauben, wo sie wirklich nötig sind.
4. Notfall und Backup gehören dazu
Zero Trust verhindert nicht jeden Angriff, sorgt aber dafür, dass ein einzelnes Problem nicht sofort den ganzen Betrieb trifft. Wenn ein Konto kompromittiert wird, muss klar sein, wer es sperrt, welche Sitzungen beendet werden, welche Passwörter geändert werden und ob Daten aus dem Backup wiederhergestellt werden müssen.
Ein kurzer Notfallzettel reicht für den Anfang: wichtige Konten, Adminzugang, Backup-Ansprechpartner, Supportnummern und Reihenfolge der ersten Schritte. Dieser Plan sollte ausgedruckt im Büro liegen, weil E-Mail und Cloud im Ernstfall genau die betroffenen Systeme sein können.
Fazit: Zero Trust klein starten, konsequent bleiben
Zero Trust ist kein reines Konzernkonzept. Für Handwerksbetriebe und KMU bedeutet es vor allem: wichtige Zugriffe bewusst prüfen, Rechte begrenzen, Geräte aktuell halten und Notfallwege kennen. Der Einstieg gelingt ohne große Theorie, wenn Sie mit Konten, MFA, Geräteliste und Cloud-Freigaben beginnen.
Ihre Zero-Trust-Checkliste
- Eigene Konten für alle Mitarbeiter statt gemeinsamer Logins einrichten
- MFA oder Passkeys für E-Mail, Cloud, Banking, Backup und Adminzugänge aktivieren
- Administratorrechte vom normalen Arbeitskonto trennen
- Geräteliste mit Update- und Schutzstatus pflegen
- Cloud-Ordner und Freigaben nach Rollen prüfen
- Fernwartung nur mit klarer Freigabe und Dokumentation nutzen
- Notfallplan mit Kontosperre, Backup-Prüfung und Ansprechpartnern ausdrucken
Häufige Fragen zu Zero Trust im KMU-Alltag
Was bedeutet Zero Trust für kleine Betriebe?
Ein Zugriff wird nicht automatisch erlaubt, nur weil er aus dem Büro oder von einem bekannten Gerät kommt. Konto, Gerät, Rolle und Risiko werden geprüft.
Ist Zero Trust teuer?
Nicht zwingend. Viele Grundlagen lassen sich mit Microsoft 365, Passwort-Manager, MFA, Wartung und klaren Rollen umsetzen. Teuer wird meist erst das Nachholen nach einem Vorfall.
Wo sollte ein Betrieb anfangen?
Starten Sie mit wichtigen Konten und MFA, danach folgen Adminrechte, Geräteliste, Cloud-Freigaben und ein einfacher Notfallplan.