heise+ | Sicherheitskonzept Minimum Viable Zero Trust in 90 Tagen einführen

Ein pragmatischer Ansatz für die IT-Sicherheit

Die Einführung von Zero Trust wird in vielen Unternehmen oft als ein Mammutprojekt wahrgenommen, das sich über Jahre hinweg zieht und häufig an seiner eigenen Komplexität scheitert. Marcel Küppers, Experte für Cybersicherheit, schlägt in seinem Fachbeitrag einen radikal anderen Weg vor: das Prinzip des „Minimum Viable Zero Trust“ (MVZT). Inspiriert von agilen Methoden aus der Produktentwicklung, bei denen ein minimal funktionsfähiges Produkt den Grundstein für weitere Entwicklungen legt, lässt sich dieses Konzept auf die IT-Sicherheit übertragen. Anstatt das gesamte Netzwerk in einem einzigen Kraftakt umbauen zu wollen, konzentriert sich MVZT auf einen eng begrenzten Anwendungsbereich. Innerhalb eines Zeitraums von 90 Tagen sollen dabei messbare Risikoreduzierungen erzielt werden. Dieser Ansatz verzichtet bewusst auf überladene Architekturen oder die strikte Bindung an spezifische Herstellerlösungen. Ziel ist es, ein Kontrollsystem zu etablieren, das auf den kritischsten Punkten ansetzt, anstatt den Anspruch zu erheben, sofort jede einzelne Anwendung im Unternehmen vollständig Zero-Trust-konform zu gestalten. Es geht um Effizienz und eine klare Priorisierung, die besonders für Organisationen mit begrenzten Engineering-Kapazitäten einen gangbaren Weg aus der Sicherheitsfalle bietet.

Die Herausforderungen der modernen IT-Landschaft

Warum scheitern viele Zero-Trust-Projekte bereits in der Planungsphase? Die Gründe sind vielfältig und in der Praxis tief verwurzelt. Viele Unternehmen im deutschsprachigen Raum kämpfen mit historisch gewachsenen Identitätslandschaften. Oft existiert ein komplexes Geflecht aus einem zentralen Active Directory, ergänzt durch diverse weitere Identity Provider und eine Vielzahl an Cloud-Tenants. Hinzu kommt die schleichende Ausbreitung von Schatten-IT durch unkontrolliert genutzte SaaS-Anwendungen sowie uneinheitliche Administrationspfade, die Sicherheitslücken begünstigen. Auch die Abhängigkeiten zwischen verschiedenen Teams und IT-Systemen bremsen den Fortschritt massiv. Ein weiteres Hindernis ist das weit verbreitete Missverständnis, dass Zero Trust wie ein fertiges Produkt „gekauft“ und implementiert werden könne. Dieser Trugschluss führt dazu, dass der Anwendungsbereich – der sogenannte Scope – von Anfang an viel zu breit gewählt wird. Die Folge ist eine Überforderung der IT-Teams, die in einem komplexen Großprojekt mündet, das oft ohne greifbare Ergebnisse abgebrochen wird. Der MVZT-Ansatz setzt genau hier an, indem er die Komplexität durch eine bewusste Beschränkung des Geltungsbereichs reduziert und den Fokus auf das Wesentliche lenkt.

Zero Trust als Kontrollsystem statt als Produkt

Ein zentraler Aspekt des Konzepts von Marcel Küppers ist das Verständnis von Zero Trust als ein dynamisches Kontrollsystem. Es ist keineswegs eine einmalige Aktion, bei der lediglich das Netzwerk umgerüstet oder Hardware ausgetauscht wird. Es spielt für den Erfolg des Vorhabens keine entscheidende Rolle, ob ein bestehendes VPN durch eine neue Technologie ersetzt oder ein Gateway modernisiert wird. Vielmehr kommt es auf die grundlegende Fähigkeit an, jeden einzelnen Zugriff auf eine Ressource exakt zu kontrollieren. Die Kernfrage lautet: Wer greift von welchem Gerät aus unter welchen Bedingungen auf welche Ressource zu? Ein effektives Zero-Trust-System muss in der Lage sein, diese Parameter in Echtzeit zu bewerten und bei Abweichungen sofort zu reagieren – etwa durch das Beenden einer Sitzung, wenn die Sicherheitsbedingungen verletzt werden. Ein solches Programm gewinnt erst dann an Bodenhaftung, wenn Identität, Gerätezustand, Sicherheitsrichtlinien und Telemetriedaten zu einem zusammenhängenden, intelligenten System verschmelzen, das kontinuierlich arbeitet und nicht nur als statische Barriere fungiert.

Fokus auf privilegierte Identitäten und Adminpfade

Der Kern des Minimum Viable Zero Trust liegt in der gezielten Auswahl der Angriffspunkte. Da es nicht möglich ist, jede Anwendung im Unternehmen gleichzeitig abzusichern, konzentriert sich das MVZT-Konzept auf die Bereiche mit dem höchsten Schadenspotenzial. Hierbei stehen insbesondere die Administrationspfade und die privilegierten Identitäten im Fokus. Wenn ein Angreifer Zugriff auf diese hochsensiblen Bereiche erhält, ist der Schaden für das Unternehmen meist am größten. Indem man genau hier ansetzt, lässt sich das Risiko bereits mit wenigen, aber hochwirksamen Maßnahmen signifikant senken. Das Konzept sieht vor, innerhalb der 90 Tage fünf Kernmaßnahmen umzusetzen, die ein stabiles Grundgerüst bilden. Diese Maßnahmen sollen nicht nur die aktuelle Sicherheitslage verbessern, sondern auch die notwendige Basis schaffen, um das Zero-Trust-Modell bei Bedarf schrittweise auszubauen und weiter zu verfeinern. Dieser fokussierte Ansatz verhindert, dass sich die IT-Abteilung in Details verliert, und stellt sicher, dass die begrenzten Ressourcen dort eingesetzt werden, wo sie den größten Schutz für die kritische Infrastruktur bieten.

Einordnung der Strategie im Sicherheitsumfeld

Einzuordnen ist das MVZT-Konzept als eine Antwort auf die zunehmende Überforderung durch komplexe Sicherheitsarchitekturen. Den Berichten zufolge ist die Strategie besonders für Unternehmen attraktiv, die trotz begrenzter personeller Ressourcen eine spürbare Verbesserung ihrer Cyber-Resilienz erreichen wollen. Die Bewertung des Ansatzes zeigt, dass der Verzicht auf „Buzzword-Architekturen“ und starre Herstellervorgaben ein strategischer Vorteil ist. Anstatt sich in die Abhängigkeit von einzelnen Anbietern zu begeben, fördert MVZT eine herstellerunabhängige Denkweise, die sich an den tatsächlichen Risiken orientiert. Kritisch zu betrachten bleibt jedoch, dass ein solches Vorhaben eine hohe Disziplin bei der Definition der „Minimum Viable“-Kriterien erfordert. Wenn der Scope zu stark ausgeweitet wird, droht das Projekt trotz des guten Vorsatzes in die Falle der Komplexität zu tappen. Dennoch bietet der 90-Tage-Rahmen eine wertvolle Struktur, um den Erfolg der Maßnahmen messbar zu machen und den Verantwortlichen in der IT-Leitung greifbare Nachweise über die verbesserte Sicherheitslage vorzulegen.

Die Rolle der Beteiligten und Experten

Marcel Küppers, der Autor und Experte hinter diesem Ansatz, bringt für diese Einschätzung eine umfassende Expertise mit. Mit über zwei Jahrzehnten Erfahrung in der Cybersicherheit, unter anderem als CISO und Ethical Hacker, kennt er die Herausforderungen aus der Praxis. Heute ist er als Unternehmer und Gründer von Cycademy tätig und vermittelt sein Fachwissen an Unternehmen, die vor der Transformation ihrer Sicherheitsarchitektur stehen. Die Beteiligten in einem solchen Prozess sind in der Regel die IT-Sicherheitsverantwortlichen, Administratoren und die Geschäftsführung, die das Budget und die strategische Ausrichtung freigeben müssen. Der Erfolg des MVZT-Programms hängt maßgeblich davon ab, wie gut diese Gruppen zusammenarbeiten. Da das Konzept Abhängigkeiten zwischen Teams und Systemen explizit adressiert, ist eine klare Kommunikation über die Ziele und die Beschränkung des Scopes unerlässlich. Die Entscheidungsträger müssen verstehen, dass der 90-Tage-Plan kein abgeschlossenes Projekt ist, sondern der Beginn einer kontinuierlichen Sicherheitskultur, die auf dem Prinzip beruht, grundsätzlich keinem Netzwerkzugriff blind zu vertrauen.

Offene Fragen zur praktischen Umsetzung

Obwohl das Konzept des Minimum Viable Zero Trust einen klaren Rahmen bietet, bleiben einige Fragen für die praktische Umsetzung im Einzelfall offen. Der Quelltext macht beispielsweise keine detaillierten Angaben dazu, welche spezifischen fünf Kernmaßnahmen in den 90 Tagen genau umzusetzen sind, da diese stark von der individuellen IT-Infrastruktur des jeweiligen Unternehmens abhängen. Es wird nicht konkretisiert, wie die Integration in extrem heterogene Umgebungen gelingt, in denen Legacy-Systeme und moderne Cloud-Dienste aufeinandertreffen. Zudem bleibt offen, welche Kennzahlen (KPIs) genau herangezogen werden sollen, um die „messbare Risikoreduzierung“ zu belegen. Auch die Frage, wie mit dem Widerstand innerhalb der Belegschaft umgegangen werden soll, wenn durch die strengere Kontrolle der Adminpfade Arbeitsabläufe verändert werden, wird nicht explizit beantwortet. Diese Lücken müssen von den jeweiligen IT-Verantwortlichen durch eine gründliche Bestandsaufnahme und eine individuelle Risikoanalyse geschlossen werden, bevor der 90-Tage-Plan in die Tat umgesetzt werden kann.

Ausblick auf die Weiterentwicklung der Sicherheitsstrategie

Der 90-Tage-Zeitraum markiert lediglich den Startpunkt für eine langfristige Sicherheitsstrategie. Nach Abschluss dieser Phase ist vorgesehen, die erzielten Ergebnisse und Nachweise zu bewerten, um darauf aufbauend weitere Schritte zu planen. Die ausstehenden Entscheidungen betreffen vor allem die Skalierung des Konzepts auf weitere Unternehmensbereiche, die bisher nicht Teil des initialen Scopes waren. Sobald das Grundgerüst steht und die kritischen Administrationspfade abgesichert sind, kann das Unternehmen beginnen, weitere Anwendungen in das Zero-Trust-Modell zu integrieren. Der Zeitplan für diese Erweiterungen ist flexibel und hängt von der Geschwindigkeit ab, mit der die Organisation die neuen Kontrollmechanismen adaptiert. Die kontinuierliche Überprüfung der Policy und der Telemetriedaten wird auch nach den ersten 90 Tagen ein fester Bestandteil der täglichen Arbeit sein, um auf neue Bedrohungslagen reagieren zu können. Das Ziel bleibt eine adaptive Sicherheitsarchitektur, die mit dem Unternehmen mitwächst, ohne dabei die Kontrolle über die Identitäten und Zugriffe zu verlieren.