|
17.08.2026 16:44 Uhr |
Die Einführung von Zero Trust in Unternehmen oder Organisationen wird in der Praxis häufig als Großprojekt begonnen – und später als Großprojekt beendet. Die Ursachen liegen meist in einem zu breit gewählten Anwendungsbereich (Scope), in Abhängigkeiten zwischen Teams und Systemen sowie in der Erwartung, dass sich Zero Trust wie ein Produkt einführen lässt.
In vielen Organisationen und Unternehmen aus dem deutschsprachigen Raum kommt dazu, dass die typische Ausgangslage aus historisch gewachsenen Identitätslandschaften besteht (oft Active Directory plus mehrere Identity Provider und mehrere Cloud-Tenants), dass außerdem Schatten-IT durch SaaS, uneinheitliche Adminpfade und Legacy-Authentifizierung existieren und die Engineering-Kapazitäten begrenzt sind. Genau hier ist ein Minimalansatz sinnvoll. Minimum Viable Zero Trust (MVZT) beschränkt den Geltungsbereich bewusst so, dass innerhalb von 90 Tagen Risiken messbar reduziert werden, ohne Buzzword-Architektur und ohne Vendor-Vorgaben.
MVZT versteht Zero Trust nicht als Aktion, bei der ein Netzwerk umgerüstet wird, sondern als Kontrollsystem. Entscheidend ist nicht, ob ein VPN ersetzt oder ein Gateway modernisiert wird, sondern ob sich kontrollieren lässt, wer auf welche Ressource zugreift, von welchem Gerät, unter welchen Bedingungen – und ob sich eine Sitzung schnell beenden lässt, wenn diese Bedingungen verletzt werden. Ein Zero-Trust-Programm gewinnt dann an Bodenhaftung, wenn Identität, Gerätezustand, Policy und Telemetrie ein zusammenhängendes System bilden.