Zero Trust: Warum VPN allein 2026 fahrlässig ist

Ein Szenario, wie es sich in der Großregion so oder ähnlich immer wieder abspielt: Ein Mitarbeiter im Homeoffice klickt morgens auf einen Link in einer scheinbar internen E-Mail. Sein Laptop ist per VPN mit dem Firmennetz verbunden — und genau diese eine Verbindung reicht. Wenige Stunden später sind Fileserver verschlüsselt, das ERP steht, die Disposition arbeitet mit Excel und Telefon. Tage Stillstand, erheblicher Schaden — und das eigentliche Problem war nicht der Klick. Es war die Architektur dahinter.

Das Problem: VPN vertraut zu viel

VPN war eine gute Idee — für 2010. Es öffnet einen Tunnel, und alles auf der anderen Seite gilt als „drinnen". Drinnen heißt: vertrauenswürdig. Drinnen heißt: Zugriff auf Fileserver, Datenbanken, alle internen Systeme. Ein moderner Angreifer braucht aber nur einen einzigen kompromittierten Endpunkt mit aktivem Tunnel — dann ist er drin, mit allem, was „drinnen" bedeutet. Ransomware bewegt sich dann seitlich durchs Netz, weil sie es kann.

Der Gedanke hinter Zero Trust: niemandem trauen, immer prüfen

Zero Trust ist kein Produkt, sondern eine Haltung mit drei Sätzen: Niemand bekommt automatisch Vertrauen — nicht der Mitarbeiter im Büro, nicht der Geschäftsführer im Hotel, nicht der Server im eigenen Rechenzentrum. Jeder Zugriff wird einzeln geprüft — wer fragt, von welchem Gerät, in welchem Zustand, auf was? Es wird angenommen, dass Angreifer schon drin sind — also wird das Netz so gebaut, dass sie nicht weiterkommen. Das klingt paranoid. Es ist die realistische Antwort auf die Bedrohungslage 2026.

Wie das im Mittelstand wirklich aussieht

Sie brauchen keinen Konzern-Stack mit 14 Tools. Im KMU fußt Zero Trust meist auf drei Säulen:

Säule 1: Identität als neuer Perimeter. Statt „wer ist im Netz drin" lautet die Frage: „Wer ist die Person, von welchem Gerät, in welchem Kontext?" Konkret: Microsoft Entra ID mit erzwungener Multi-Faktor-Authentifizierung für jeden Login; Conditional Access — ein Login aus Luxemburg um 9:00 Uhr ist normal, einer aus Singapur um 3:00 Uhr nicht; privilegierte Zugänge nur zeitlich begrenzt und mit Extra-Prüfung.

Säule 2: Der Endpunkt muss sich ausweisen. Das Gerät ist der zweite Schlüssel. Ist der Laptop nicht aktuell gepatcht, läuft kein EDR oder zeigt er verdächtiges Verhalten, gibt es keinen Zugriff — egal, wer sich anmeldet. Typischer Baustein: Microsoft Defender for Endpoint, kombiniert mit Geräte-Compliance-Richtlinien und — wo nötig — einer Securepoint UTM als zweiter Verteidigungslinie am Standort.

Säule 3: Das Netzwerk in Zonen denken. Die aufwendigste, aber wirkungsvollste Maßnahme: Statt eines flachen Firmennetzes werden Zonen gebaut — Buchhaltung, Produktion, Gäste, Server —, die nur das miteinander reden dürfen, was sie wirklich brauchen. In einem segmentierten Netz bleibt Ransomware in der ersten Zone stecken, statt das ganze Unternehmen zu verschlüsseln.

Ein realistischer Fahrplan

So sieht die Einführung in einem typischen KMU mit zwei Standorten aus: Monat 1 — MFA für alle, Conditional Access für die kritischen Apps, Inventur „wer greift eigentlich worauf zu?". Monat 2–3 — EDR ausrollen, Geräte-Compliance erzwingen, alte Admin-Konten aufräumen. Monat 4–6 — Netz segmentieren, ZTNA für Remote-Zugriffe statt VPN, Logging zentralisieren. Danach reicht im Quartals-Audit oft ein Blick ins Dashboard statt einer Woche Aktenarbeit.

Wann Sie starten sollten

Bevor der Anruf kommt. Wenn heute noch ein VPN existiert, an dem alles hängt, und ein Domain-Admin, der überall Zugriff hat, sind Sie genau das, was Zero Trust ablösen will. Der gute Teil: Es muss nicht alles auf einmal sein — MFA und Conditional Access in vier Wochen einzurichten, senkt Ihr Risiko bereits spürbar. Der Rest kommt in Etappen.

Reden wir 30 Minuten

Der kostenfreie Zero-Trust-Quickcheck: keine Verkaufsshow, sondern eine ehrliche Einschätzung, wo Sie stehen und welche zwei, drei Schritte für Ihr Unternehmen die wichtigsten sind. — 📞 +352 20 60 12 44 · 📧 mail@local-it-partner.lu