Zero Trust für KMU: 4 Schritte und 90 Tage mit Managed IT

Der Data Breach Investigations Report 2026 von Verizon ist zu KMU eindeutig. Bei 55 % der untersuchten Datenschutzverletzungen war ein Dritter beteiligt: Lieferant, Partner oder Dienstleister. Bei 45 % gab es einen menschlichen Faktor, etwa einen falschen Klick oder ein bei einem anderen Dienst wiederverwendetes Passwort.

Keine dieser Türen schließt eine Perimeter-Firewall. Der Angreifer bricht nicht ein; er nutzt gültige Zugangsdaten. Ab da liegt im klassischen Modell das ganze Unternehmen vor ihm.

Mit Zero Trust bleibt der Schaden eines kompromittierten Kontos auf diese Person und einen Bruchteil der Systeme begrenzt. Für die Geschäftsleitung heißt das: weniger Stillstand, weniger offengelegte Daten und ein ganz anderes Gespräch mit Kunden und Versicherer.

Das alte Modell war eine Festung. Eine starke Firewall drumherum und volle Freiheit drinnen. Das funktionierte, als alle im Büro arbeiteten und die Daten auf einem lokalen Server lagen.

Heute gibt es Homeoffice, Microsoft 365 in der Cloud, Smartphones und Dienstleister mit Fernzugriff. Die Mauer hat überall Löcher.

Zero Trust funktioniert wie ein Flughafen. Wer das Terminal betritt, sitzt noch lange nicht im Flugzeug. Die Bordkarte wird bei der Sicherheitskontrolle geprüft, erneut am Gate, und gilt nur für einen Flug und einen Platz. Ihre Systeme folgen künftig derselben Disziplin.

Schritt 1 – Identität: das Passwort allein reicht nicht mehr

• MFA verpflichtend Zuerst für Administratoren und Microsoft 365, dann für alle Dienste.
• Austritte am selben Tag gesperrt Wer das Unternehmen verlässt, verliert den Zugang an diesem Tag, nicht Wochen später.
• Gezählte Administratoren Zwei oder drei benannte Personen, mit einem separaten Konto nur für die Administration.
• Schluss mit Sammelkonten „info@“ oder „laden1“ dienen nicht mehr zur Anmeldung an Systemen.

Kein anderer Schritt bringt so viel für so wenig. Mit MFA reicht das per Phishing erbeutete Passwort nicht mehr aus. Bei den meisten Microsoft-365-Lizenzen entstehen keine Zusatzkosten: Die Arbeit ist organisatorisch. Vertiefend: MFA im Unternehmen und Passwortmanager für Teams.

Schritt 2 – Geräte: nur Konformes erhält Zugang

• Vollständiges Inventar Jeder Laptop, Desktop und jedes Smartphone, das Unternehmensdaten berührt.
• Schutz und Patches Im gesamten Gerätepark aktiviert und geprüft.
• Bedingter Zugriff Microsoft 365 öffnet Daten nur für Geräte, die die Regeln erfüllen.

Die erste Korrektur betrifft Systeme ohne Support. Windows 10 steht seit dem 14. Oktober 2025 auf dieser Liste. Lesen Sie, wie Sie mit dem Supportende von Windows 10 umgehen.

Schritt 3 – Netzwerk: ein infizierter Arbeitsplatz erreicht die Server nicht

Das flache Netz hat ausgedient. Arbeitsplätze, Server, Besucher, Drucker und Kameras kommen in eigene Segmente. Dazwischen entscheidet die Managed Firewall über den Verkehr.

Ergebnis: Ein Laptop mit Malware bleibt in seinem Segment gefangen und kann weder Server noch Backups verschlüsseln. Mit verwaltbaren Switches und Managed Firewall ist das Konfigurationsarbeit, kein Einkauf.

Schritt 4 – Minimaler Zugriff: jede Person sieht nur ihre eigene Arbeit

• Geprüfte Berechtigungen Freigaben, SharePoint und Teams überprüft.
• Nutzer ohne Administratorrechte Auch auf dem eigenen Computer.
• Fernzugriff auf die Anwendung, nicht auf das Netz Warum, erklären wir unter VPN reicht nicht mehr.

Dieser Schritt verändert Gewohnheiten und kommt daher zuletzt. Er ist aber dringend geworden: Copilot und andere KI-Werkzeuge zeigen jedem Nutzer alles, wofür er Berechtigungen hat. Legen Sie zuerst die Regeln für ChatGPT und Copilot im Unternehmen fest.

Typischer Zeitplan für 10 bis 200 Arbeitsplätze, mit einem dedizierten IT-Partner und eingebundener Geschäftsleitung:

Verhaltensanalyse, Mikrosegmentierung pro Anwendung und kontinuierliche Bewertung des Gerätezustands gibt es und sie haben ihren Wert. Für die meisten KMU sind sie jedoch teuer und bringen wenig, solange die vier Schritte nicht abgeschlossen sind.

Die Reihenfolge zählt. Nur MFA schützt die Konten und lässt das Netz offen. Nur Segmentierung schützt das Netz und lässt die Konten offen. Sie brauchen beides.

Reltio by SAP, ein US-amerikanisches Technologieunternehmen für Datensoftware, hat ein Büro in Lissabon, dessen laufende Wartung und Netzwerk von DataRoad betreut werden. Es sind 125 strukturierte Netzwerkanschlüsse, Firewall, drei Switches und Cisco-Meraki-Access-Points, dazu spezialisierter Support für 35 Dell-Geräte und 40 MacBook Pro.

Das ist Schritt 2 in der Praxis: ein gemischter Gerätepark mit derselben Richtlinie für alle Betriebssysteme. Wenn das Inventar existiert und das Netz von einem einzigen Punkt aus verwaltet wird, ist Zero Trust keine Theorie mehr, sondern Routine.

Wir analysieren Identitäten, Geräte, Netzwerk und Berechtigungen, nennen Ihnen den aktuellen Stand und liefern den Plan für die nächsten 90 Tage. Firewalls, Endpoint-Schutz, MFA und Alarmierung sind Teil der Managed Cybersecurity im Plan IT Unlimited Premium. Fordern Sie ein unverbindliches Angebot an.

Mehr als 10 Arbeitsplätze · Betreuungsvertrag · Fern-, Vor-Ort- und Telefonsupport. +351 211 459 950 * · sales@dataroad.pt

*Anruf ins portugiesische Festnetz.

• Verizon – 2026 DBIR, Executive Summary mit KMU-Daten
• EUR-Lex – Richtlinie (EU) 2022/2555, NIS2, Art. 21
• Microsoft Learn – Lebenszyklus von Windows 10