87 Prozent. Das ist laut Bitkom der Anteil deutscher Unternehmen, die in den letzten zwölf Monaten Opfer eines Cyberangriffs geworden sind. Der jährliche Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage erreichte 2025 mit 289,2 Milliarden Euro einen neuen Rekordwert (so die Bitkom-Wirtschaftsschutzstudie 2025).

Und dennoch verlassen sich viele Unternehmen noch immer auf ein Sicherheitsmodell, das aus einer anderen Zeit stammt: eine starke Firewall nach außen, dahinter volles Vertrauen für alle. Dieses Modell hat ausgedient. Zero Trust ist die Antwort und immer mehr deutsche Firmen, das Bundesamt für Sicherheit in der Informatiktechnik (BSI) und die EU-Gesetzgebung setzen genau darauf.

Was bedeutet Zero Trust? 

Der Name ist Programm: Zero Trust bedeutet wörtlich übersetzt „null Vertrauen”. Früher funktionierte IT-Sicherheit wie eine „Burgmauer”. Die Firewall (also die Burgmauer) trennte das sichere Innere von der gefährlichen Außenwelt. Die Regel war simpel: Wer es über die Mauer schaffte, dem vertrauten die Systeme im Inneren. Die moderne Arbeitswelt mit Cloud-Diensten, Homeoffice und mobilen Geräten hat diese klare Grenze jedoch aufgelöst. 

Zero Trust dreht diese Logik vollständig um. Das System behandelt jeden Zugriffsversuch als potenzielles Risiko und prüft fünf zentrale Punkte: Identität, Gerätezustand, Standort, Absicht und Zeitpunkt. Nur wer alle Checks besteht, erhält Zugang und dies zeitlich begrenzt und zweckgebunden. 

Das BSI definiert Zero Trust als ein Architekturdesign-Paradigma, das aus dem „Assume Breach”-Ansatz entwickelt wurde. Übersetzt bedeutet das: Man geht davon aus, dass die eigene Verteidigung jederzeit gebrochen werden kann oder sogar bereits gebrochen ist. 

Die drei Grundprinzipien des BSI lauten dabei: 

1. Jede Verbindung authentifizieren. 
2. Keinen Vertrauensvorschuss gewähren. 
3. Feingranulare Segmentierung durchsetzen.

Warum das alte Modell gescheitert ist

Das Problem des klassischen „Burgmauer-Modells“ ist nicht die Mauer selbst, sondern das, was nach dem Einlass ins Netzwerk passiert. Sobald sich ein Angreifer mit gestohlenen Zugangsdaten Zugriff verschafft hat, beginnt das sogenannte „Lateral Movement“, die seitliche Bewegung von einem System zum nächsten. Das klassische Modell erkennt diese Gefahr nicht, da es schlichtweg nicht dafür ausgelegt ist, den internen Datenverkehr zu prüfen. Es basiert auf dem Prinzip des blinden Vertrauens, sobald die äußere Barriere erst einmal überwunden ist. 

Die Zahlen zeigen, wie real dieses Risiko ist. Der Verizon Data Breach Investigations Report 2025 belegt: Ransomware war an 44 Prozent aller bestätigten Datenpannen beteiligt. Ein deutlicher Anstieg gegenüber dem Vorjahr. Gestohlene Anmeldedaten tauchten in 22 Prozent der Vorfälle als Eintrittspunkt auf. Und der Anteil von Datenpannen, an denen externe Partner beteiligt waren, hat sich auf 30 Prozent verdoppelt. 

Quelle: Verizon Data Breach Investigations Report 2025

Ein konkretes Beispiel, wie das Zero-Trust-Modell im Alltag gegen solche Angriffe vorgehen würde: Ein Mitarbeiter arbeitet im Homeoffice und verbindet sich per VPN mit dem Firmennetzwerk. Beim alten Modell ist er damit „drin” und hat somit breiten Zugriff. Beim Zero-Trust-Modell wird jede einzelne Anfrage neu bewertet. Selbst wenn die Zugangsdaten des Mitarbeiters gestohlen wurden, kann der Angreifer nicht einfach von System zu System springen.

Warum Zero Trust in Deutschland 2026 besonders relevant ist

NIS2 macht Zero Trust faktisch zur Pflicht

Das im November 2025 verabschiedete NIS-2-Umsetzungsgesetz macht Zero-Trust-Prinzipien für rund 30.000 deutsche Unternehmen praktisch unumgänglich — bei persönlicher Haftung der Geschäftsführung. Die Bußgelder sind drastisch: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. 

Dabei nennt das Gesetz Zero Trust nicht beim Namen. Aber die geforderten technischen und organisatorischen Maßnahmen lesen sich wie ein Pflichtenheft dafür: kontinuierliche Authentifizierung, Multi-Faktor-Authentifizierung, Netzwerksegmentierung, Zugriffskontrolle nach dem Prinzip der minimalen Rechte und Sicherheit der Lieferkette. 

Das BSI empfiehlt Zero Trust offiziell

Das BSI hat im Juli 2023 ein Positionspapier zu Zero Trust veröffentlicht, das drei Grundsätze definiert. Im Oktober 2025 folgte gemeinsam mit acht internationalen Sicherheitsbehörden der MDA-Leitfaden (Modern Defensible Architecture), der Zero Trust als Kernprinzip moderner Sicherheitsarchitektur positioniert. Im August 2025 kamen ergänzend die Zero-Trust-Designprinzipien für LLMs, ein Leitfaden für den sicheren Einsatz von KI-Systemen.

Das offizielle BSI-Positionspapier sowie das Management Blitzlicht zum Einstieg sind kostenlos verfügbar unter: bsi.bund.de/zero-trust

Deutsche Unternehmen investieren — aber hinken noch hinterher

72 Prozent der deutschen Firmen erhöhen ihre Security-Budgets. Der Cybersecurity-Markt in Deutschland wächst auf 12,2 Milliarden Euro in 2026. Gleichzeitig gilt: Weltweit haben 63 Prozent der Organisationen Zero Trust begonnen, aber laut Gartner werden bis 2026 nur 10 Prozent der Großunternehmen ein wirklich reifes Programm betreiben. 

Das bedeutet: Anfangen ist Mainstream geworden. Der echte Wettbewerbsvorteil entsteht aber durch konsequente Umsetzung.

Zero Trust in der Praxis: Wie funktioniert die Umsetzung?

Eine der häufigsten Fehlannahmen lautet: Zero Trust ist teuer und kompliziert. Das stimmt so nicht. KMU müssen für Zero Trust keine komplett neue Infrastruktur aufbauen, da sich bestehende Firewalls und VPN-Lösungen oft als zentrale Bausteine integrieren lassen. Durch einen schrittweisen Ansatz lassen sich sowohl Risiken als auch Kosten wirksam begrenzen, indem Firmen zunächst ihre kritischsten Ressourcen identifizieren. 

Die Implementierung erfolgt sinnvollerweise in Phasen: 

• Multi-Faktor-Authentifizierung (MFA) und Basis-Identity & Access Management (IAM): 2 bis 4 Wochen. 
• Netzwerksegmentierung: 3 bis 6 Monate. 
• Vollständige Architektur mit Continuous Monitoring: 12 bis 24 Monate. 

Jede Phase bringt dabei einen eigenständigen Sicherheitsgewinn mit sich, so dass man nicht auf den Abschluss des Gesamtprojekts warten muss. 

Die Kostenfrage lässt sich konkret beantworten: VPN kostet 5 bis 15 Euro pro Nutzer und Monat ohne granulare Zugriffskontrolle. Zero Trust Network Access kostet 8 bis 25 Euro, läuft aber dafür mit identitätsbasierten Policies und Compliance-Nachweisen. Der Mehraufwand ist überschaubar, der Sicherheitsgewinn erheblich. 

Und der Return on Investment ist messbar: Eine Forrester-Studie belegt 92 Prozent ROI innerhalb von drei Jahren, Payback in unter sechs Monaten und 50 Prozent geringeres Datenleck-Risiko bei Zero-Trust-Implementierung. 

Praxisbeispiel aus Deutschland: Siemens setzt auf Zero Trust in der Industrie

Siemens hat auf der it-sa Expo 2025 in Nürnberg SINEC Secure Connect vorgestellt: die erste dedizierte Zero-Trust-Plattform für industrielle Netzwerke. Die Plattform ersetzt traditionelle VPN-Tunnel durch identitätsbasierte und verschlüsselte Verbindungen. Jede Maschine, jeder Sensor und jeder Wartungstechniker muss sich authentifizieren, bevor er Zugang zu einem spezifischen System erhält. Die Plattform ist IEC-62443-konform, welches der wichtigste Sicherheitsstandard für industrielle Automatisierungssysteme ist. 

Was bedeutet das für KMU?

Rund 80 Prozent der angezeigten Ransomware-Angriffe richteten sich gegen kleine und mittlere Unternehmen. Gleichzeitig glauben viele KMU, Zero Trust sei nur etwas für Großkonzerne. Das ist ein Irrtum.

Laut einer aktuellen Studie wollen 79 Prozent der befragten KMU ihre Cybersicherheit trotz Personalmangels selbst managen. Dieses Vorhaben kollidiert jedoch häufig mit begrenzten Mitteln und fehlendem Expertenwissen. 

Drei konkrete erste Schritte, mit denen jedes Unternehmen sofort starten kann:

1. Multi-Faktor-Authentifizierung (MFA) aktivieren: Der wichtigste und günstigste erste Schritt. MFA für alle Konten (auch OT-Admins) ist die wirksamste einzelne Maßnahme gegen Phishing und Ransomware. Viele Cloud-Dienste bieten MFA bereits standardmäßig an. 

2. Zugriffsrechte nach dem Prinzip der minimalen Rechte vergeben: Jeder Nutzer bekommt nur die Berechtigungen, die er für seine konkrete Aufgabe benötigt – nicht mehr. Ein kompromittierter Account verschafft Hackern so keine dauerhaften Administratorrechte mehr. 

3. Netzwerksegmentierung einführen: Mikrosegmentierung (die Unterteilung von Netzwerken in isolierte Zonen) verhindert, dass sich Schadsoftware lateral von System zu System ausbreitet. In Kombination mit MFA ist das die wirksamste Maßnahme gegen Ransomware. 

Ein kostenloser Einstiegspunkt für KMU: Der BSI CyberRisikoCheck bietet eine standardisierte Beratung durch IT-Dienstleister und hilft dabei, den eigenen Sicherheitsstand schnell einzuschätzen, erreichbar unter bsi.bund.de.

Fazit: Zero Trust ist kein Trend — es ist eine Notwendigkeit

Zero Trust ist keine Modeerscheinung und kein reines IT-Projekt. Es ist die logische und notwendige Antwort auf eine Bedrohungslage, die mit der alten Firewall schlicht nicht mehr beherrschbar ist.

Zero Trust ist jedoch keine Einmalinvestition, sondern ein langfristiges Vorhaben, das dauerhaft Ressourcen bindet (das BSI weist im Positionspapier ausdrücklich darauf hin). Aber jede Phase bringt einen eigenständigen Sicherheitsgewinn mit sich. 

NIS2 macht den Handlungsdruck konkret. Das BSI liefert den Rahmen. Und die wirtschaftlichen Argumente (92 Prozent ROI in drei Jahren, 50 Prozent weniger Datenleck-Risiko) sprechen eine klare Sprache.

Wer noch kein Zero-Trust-Konzept hat, sollte jetzt mit dem ersten Schritt beginnen. Warten Sie nicht, bis ein Angriff Sie dazu zwingt! Der Schaden wäre ungleich höher als der Aufwand und die Kosten für den Schutz.