Zero-Trust-Sicherheit für kleine Unternehmen: Ein praktischer Einstieg

Zero Trust ist einer der am stärksten überladenen Begriffe der Cybersicherheit. Hersteller vermarkten es als Produktkategorie. Frameworks beschreiben es in architektonischen Abstraktionen. Für ein kleines oder mittleres Unternehmen bedeutet es in der Praxis etwas Konkretes: Hören Sie auf, Nutzern und Geräten standardmäßig zu vertrauen, prüfen Sie kontinuierlich, und begrenzen Sie, was ein einzelnes kompromittiertes Konto erreichen kann.

Die gute Nachricht für Berliner KMU auf Microsoft 365: Der Großteil der Infrastruktur für eine solide Zero-Trust-Haltung ist bereits in Ihrer Lizenzierung enthalten. Die Lücke liegt meistens in der Konfiguration, nicht in den Kosten.

Was Zero Trust tatsächlich bedeutet

Das traditionelle Sicherheitsmodell ging davon aus, dass alles im Unternehmensnetzwerk vertrauenswürdig ist. VPN verbunden = vertrauenswürdig. Im Büronetzwerk = vertrauenswürdig. Dieses Modell ist gescheitert, als die Arbeit in Cloud-Dienste, Homeoffices und mobile Geräte verlagert wurde. Der Perimeter hat sich aufgelöst.

Zero Trust ersetzt das Perimeter-Vertrauen durch kontinuierliche Prüfung:

• Niemals vertrauen, immer prüfen. Jede Zugriffsanfrage wird authentifiziert und autorisiert — unabhängig davon, woher sie kommt.
• Minimalprivileg. Nutzer und Geräte erhalten nur Zugriff auf das, was sie benötigen, nicht standardmäßig auf alles.
• Vom Kompromiss ausgehen. Sicherheitskontrollen sind so konzipiert, dass davon ausgegangen wird, dass einige Konten und Geräte kompromittiert werden. Laterale Bewegung sollte eingedämmt werden.

Der Microsoft-365-Zero-Trust-Stack für KMU

Identität: Entra ID + Conditional Access

Identität ist die primäre Steuerungsebene in einem Zero-Trust-Modell. Jede Zugriffsentscheidung läuft über Authentifizierung und Autorisierung.

• MFA überall. Keine Ausnahmen. Phishing-resistente MFA (Microsoft Authenticator mit Number-Matching oder FIDO2-Schlüssel) ist die Basis. SMS-MFA ist besser als nichts, sollte aber durch sicherere Methoden ersetzt werden.
• Conditional-Access-Richtlinien. Diese sind der Durchsetzungsmechanismus. Ein grundlegendes Richtlinienset für KMU: Legacy-Authentifizierungsprotokolle blockieren, MFA von allen Standorten erzwingen, konformes Gerät für den Zugriff auf sensible Daten verlangen, Zugriff von Hochrisikostandorten blockieren.
• Anmelderisiko-Richtlinien. Entra ID Identity Protection bewertet Anmeldeversuche nach Risiko. Automatisierte Reaktionen auf mittelhohe und hohe Anmeldungsrisiken stoppen die meisten Credential-Stuffing- und Password-Spray-Angriffe, bevor sie erfolgreich sind.
• Kennwortlos wo möglich. Windows Hello for Business, Microsoft Authenticator Passwordless und FIDO2-Schlüssel eliminieren das Passwort als Angriffsfläche vollständig.

Gerät: Intune + Defender

In einem Zero-Trust-Modell sollte das Gerät, das eine Zugriffsanfrage stellt, verifiziert werden — nicht nur der Nutzer. Ein gültiger Benutzername und ein gültiges Passwort auf einem kompromittierten Privatgerät ist keine vertrauenswürdige Zugriffsanfrage.

• Intune-Geräte-Compliance-Richtlinien. Definieren Sie Mindestsicherheitsanforderungen: Betriebssystemversion, Festplattenverschlüsselung, Endpunktschutz aktiv, kein Jailbreak. Conditional-Access-Richtlinien können dann ein „konformes Gerät“ als Bedingung für den Zugriff auf Microsoft 365 verlangen.
• Microsoft Defender for Business. In Microsoft 365 Business Premium enthalten — dies ist eine vollwertige EDR-Lösung (Endpoint Detection and Response), kein bloßes Antivirusprogramm. Es erkennt verhaltensbasierte Bedrohungen und bietet Angriffsflächenreduzierungsregeln.
• Intune-App-Schutzrichtlinien. Für mobile Geräte (BYOD) erzwingen App-Schutzrichtlinien Verschlüsselung und Löschmöglichkeit für Microsoft-365-App-Daten, ohne eine vollständige MDM-Registrierung zu erfordern.

Daten: Vertraulichkeitsbezeichnungen + DLP

Minimalprivileg auf Datenebene bedeutet, dass sensible Informationen nur für diejenigen zugänglich sind, die sie benötigen, und nicht leicht über E-Mail-Weiterleitung, externe Freigabe oder persönlichen Cloud-Speicher abfließen können.

• Microsoft Purview Vertraulichkeitsbezeichnungen. Bezeichnen Sie Dokumente und E-Mails nach Vertraulichkeitsstufe. Bezeichnungen können Verschlüsselung anwenden, Weiterleitung einschränken und externe Freigabe steuern. Der Aufwand liegt in der Definition der Bezeichnungstaxonomie und der Schulung der Mitarbeiter.
• SharePoint-Einstellungen für externe Freigabe. Die Standard-Freigabeeinstellungen in Microsoft 365 sind großzügig. Schränken Sie diese für alle SharePoint-Sites mit geschäftssensiblen Daten ein.

Eine praktische Implementierungsreihenfolge für KMU

1. Sicherheitsstandards oder Conditional-Access-Basis aktivieren. Wenn Sie keine Conditional-Access-Richtlinien haben, erzwingt die Aktivierung der Sicherheitsstandards in Entra ID sofort MFA für alle Benutzer und blockiert Legacy-Authentifizierung. Dieser einzelne Schritt beseitigt die Mehrheit der anmeldedatenbasierten Angriffe.
2. Defender for Business und Intune bereitstellen. Beide sind in Microsoft 365 Business Premium enthalten. Alle Geräte einbinden. Compliance-Richtlinien setzen.
3. Conditional-Access-Richtlinien für konforme Geräte ergänzen. Sobald Intune-Compliance läuft, erweitern Sie Conditional Access, um ein konformes Gerät für den Zugriff auf Microsoft 365 zu verlangen.
4. Vertraulichkeitsbezeichnungen für Ihre wichtigsten Datenkategorien einführen. Beginnen Sie mit drei Bezeichnungen: Öffentlich, Intern, Vertraulich. Standardbezeichnungen anwenden. Team schulen.
5. Privilegierte Konten überprüfen. Admin-Konten sollten von täglich genutzten Konten getrennt sein, mit Phishing-resistenter MFA geschützt und nur für Admin-Aufgaben verwendet werden.
6. Netzwerk segmentieren. Wenn Sie lokale Infrastruktur haben, implementieren Sie VLAN-Segmentierung.

Wo anfangen

Für die meisten Berliner KMU ist der wirkungsvollste Ausgangspunkt: MFA für alle Nutzer aktivieren, Legacy-Authentifizierung blockieren und Defender for Business mit Intune-Compliance bereitstellen. Diese drei Schritte, die in einem fokussierten halben Tag erreichbar sind, adressieren die Mehrheit der Angriffsvektoren, die heute auf KMU abzielen.

Wenn Sie einen objektiven Überblick darüber möchten, wo Ihre aktuelle Sicherheitslage im Vergleich zu einer Zero-Trust-Basis steht, umfasst unsere kostenlose IT-Analyse genau dies — einschließlich Ihres Microsoft Secure Score und Ihrer Conditional-Access-Konfiguration.