--- title: "Zero Trust für KMU: 4 Schritte und 90 Tage mit Managed IT" description: "Zero Trust für KMU in 90 Tagen: MFA, kontrollierte Geräte, segmentiertes Netz und minimale Rechte, mit Managed Cybersecurity. Unverbindliches Angebot." language: de url: https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/ source: https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Zero Trust für KMU in 90 Tagen: MFA, kontrollierte Geräte, segmentiertes Netz und minimale Rechte, mit Managed Cybersecurity. Unverbindliches Angebot. # Zero Trust für KMU: 4 Schritte und 90 Tage mit Managed IT Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Zero Trust für KMU: Kein Zugriff gilt, nur weil man im Netz ist; jede Anfrage wird geprüft. - 02 Vier Schritte in Reihenfolge: Identität, Geräte, segmentiertes Netz und minimaler Zugriff. - 03 Bei 10 bis 200 Arbeitsplätzen steht der Kern in rund 90 Tagen, mit Microsoft 365 und Firewall. - 04 Verizon 2026: Bei KMU betrafen 55 % der Verletzungen Dritte, 45 % einen menschlichen Faktor. ### In diesem Artikel Ein einziges per Phishing abgefangenes Passwort genügt, damit sich ein Angreifer im gesamten Netz eines Unternehmens bewegen kann, das jedem vertraut, der „drinnen“ ist. **Zero Trust für KMU** beendet dieses automatische Vertrauen: Jeder Zugriff wird anhand der Person, des Geräts und der angeforderten Ressource geprüft. In einer Organisation mit 10 bis 200 Arbeitsplätzen lässt sich der Kern in rund 90 Tagen umsetzen. Fast immer mit dem, was bereits bezahlt ist: Microsoft 365, Firewall und verwaltete Arbeitsplätze. Man kauft keine Box namens Zero Trust. Es ist eine Methode, Zugriffe zu ordnen – und genau das zeigt dieser Leitfaden. ## Was kostet es ein Unternehmen, weiterhin jedem zu vertrauen, der schon drin ist? Der Data Breach Investigations Report 2026 von Verizon ist zu KMU eindeutig. Bei 55 % der untersuchten Datenschutzverletzungen war ein Dritter beteiligt: Lieferant, Partner oder Dienstleister. Bei 45 % gab es einen menschlichen Faktor, etwa einen falschen Klick oder ein bei einem anderen Dienst wiederverwendetes Passwort. Keine dieser Türen schließt eine Perimeter-Firewall. Der Angreifer bricht nicht ein; er nutzt gültige Zugangsdaten. Ab da liegt im klassischen Modell das ganze Unternehmen vor ihm. Mit Zero Trust bleibt der Schaden eines kompromittierten Kontos auf diese Person und einen Bruchteil der Systeme begrenzt. Für die Geschäftsleitung heißt das: weniger Stillstand, weniger offengelegte Daten und ein ganz anderes Gespräch mit Kunden und Versicherer. ### Spielt NIS2 dabei eine Rolle? Ja. Bei den Risikomanagementmaßnahmen verlangt die NIS2-Richtlinie Zugriffskontrolle, ein Inventar der Assets und Multi-Faktor-Authentifizierung. Der Begriff Zero Trust kommt nicht vor, aber die vier Schritte unten decken einen Großteil dieser technischen Arbeit ab. Ob Sie betroffen sind, lesen Sie in unserem [NIS2-Leitfaden für KMU](https://www.dataroad-it.com/de/nis2-kmu-portugal-leitfaden/). ## Stadtmauer oder Boarding-Kontrolle: Was schützt besser? Das alte Modell war eine Festung. Eine starke Firewall drumherum und volle Freiheit drinnen. Das funktionierte, als alle im Büro arbeiteten und die Daten auf einem lokalen Server lagen. Heute gibt es Homeoffice, Microsoft 365 in der Cloud, Smartphones und Dienstleister mit Fernzugriff. Die Mauer hat überall Löcher. Zero Trust funktioniert wie ein Flughafen. Wer das Terminal betritt, sitzt noch lange nicht im Flugzeug. Die Bordkarte wird bei der Sicherheitskontrolle geprüft, erneut am Gate, und gilt nur für einen Flug und einen Platz. Ihre Systeme folgen künftig derselben Disziplin. ## Die vier Schritte zu Zero Trust für KMU, nach Nutzen geordnet ### Schritt 1 – Identität: das Passwort allein reicht nicht mehr - **MFA verpflichtend** Zuerst für Administratoren und Microsoft 365, dann für alle Dienste. - **Austritte am selben Tag gesperrt** Wer das Unternehmen verlässt, verliert den Zugang an diesem Tag, nicht Wochen später. - **Gezählte Administratoren** Zwei oder drei benannte Personen, mit einem separaten Konto nur für die Administration. - **Schluss mit Sammelkonten** „info@“ oder „laden1“ dienen nicht mehr zur Anmeldung an Systemen. Kein anderer Schritt bringt so viel für so wenig. Mit MFA reicht das per Phishing erbeutete Passwort nicht mehr aus. Bei den meisten Microsoft-365-Lizenzen entstehen keine Zusatzkosten: Die Arbeit ist organisatorisch. Vertiefend: [MFA im Unternehmen](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/) und [Passwortmanager für Teams](https://www.dataroad-it.com/de/passwortmanager-unternehmen-team-tresore/). ### Schritt 2 – Geräte: nur Konformes erhält Zugang - **Vollständiges Inventar** Jeder Laptop, Desktop und jedes Smartphone, das Unternehmensdaten berührt. - **Schutz und Patches** Im gesamten Gerätepark aktiviert und geprüft. - **Bedingter Zugriff** Microsoft 365 öffnet Daten nur für Geräte, die die Regeln erfüllen. Die erste Korrektur betrifft Systeme ohne Support. Windows 10 steht seit dem 14. Oktober 2025 auf dieser Liste. Lesen Sie, [wie Sie mit dem Supportende von Windows 10 umgehen](https://www.dataroad-it.com/de/windows-10-ende-migration-windows-11/). ### Schritt 3 – Netzwerk: ein infizierter Arbeitsplatz erreicht die Server nicht Das flache Netz hat ausgedient. Arbeitsplätze, Server, Besucher, Drucker und Kameras kommen in eigene Segmente. Dazwischen entscheidet die Managed Firewall über den Verkehr. Ergebnis: Ein Laptop mit Malware bleibt in seinem Segment gefangen und kann weder Server noch Backups verschlüsseln. Mit verwaltbaren Switches und Managed Firewall ist das Konfigurationsarbeit, kein Einkauf. ### Schritt 4 – Minimaler Zugriff: jede Person sieht nur ihre eigene Arbeit - **Geprüfte Berechtigungen** Freigaben, SharePoint und Teams überprüft. - **Nutzer ohne Administratorrechte** Auch auf dem eigenen Computer. - **Fernzugriff auf die Anwendung, nicht auf das Netz** Warum, erklären wir unter [VPN reicht nicht mehr](https://www.dataroad-it.com/de/fernzugriff-vpn-mfa-anwendungszugriff/). Dieser Schritt verändert Gewohnheiten und kommt daher zuletzt. Er ist aber dringend geworden: Copilot und andere KI-Werkzeuge zeigen jedem Nutzer alles, wofür er Berechtigungen hat. Legen Sie zuerst [die Regeln für ChatGPT und Copilot im Unternehmen](https://www.dataroad-it.com/de/ki-richtlinie-chatgpt-copilot-unternehmen/) fest. ## Was passiert in jedem Monat des Plans? Typischer Zeitplan für 10 bis 200 Arbeitsplätze, mit einem dedizierten IT-Partner und eingebundener Geschäftsleitung: | Wann | Ergebnisse | Wer entscheidet und wer umsetzt | Was das Team merkt | | --- | --- | --- | --- | | **Monat 1** | MFA für alle aktiv; alte Konten und überzählige Administratoren entfernt; Inventar abgeschlossen | Die Geschäftsleitung genehmigt, die IT setzt um | Eine Bestätigung auf dem Smartphone bei der Anmeldung | | **Monat 2** | Schutz und Patches im gesamten Gerätepark; bedingter Zugriff in Microsoft 365; Plan zum Austausch von Geräten ohne Support | Die IT setzt um; die Finanzabteilung genehmigt den Austausch | Private Geräte laden keine Daten mehr herunter | | **Monat 3** | Netzwerksegmentierung; isoliertes Gäste-WLAN; eingeschränktes VPN und namentliche Konten für Dienstleister | Die IT setzt in einem geplanten Zeitfenster um | Praktisch nichts, wenn gut umgesetzt | | **Danach** | Quartalsweise Berechtigungsprüfung; Entzug von Administratorrechten; schrittweise Umstellung auf anwendungsbezogenen Zugriff | Die Führungskräfte bestätigen, die IT setzt um | Neue Programme nur noch über die IT | ## Wo lohnt es sich noch nicht, Geld auszugeben? Verhaltensanalyse, Mikrosegmentierung pro Anwendung und kontinuierliche Bewertung des Gerätezustands gibt es und sie haben ihren Wert. Für die meisten KMU sind sie jedoch teuer und bringen wenig, solange die vier Schritte nicht abgeschlossen sind. Die Reihenfolge zählt. Nur MFA schützt die Konten und lässt das Netz offen. Nur Segmentierung schützt das Netz und lässt die Konten offen. Sie brauchen beides. ## Wie sieht das in einem echten Windows- und Mac-Gerätepark aus? [Reltio by SAP](https://www.dataroad-it.com/de/reltio-sap-lissabon-meraki-apple-dell/), ein US-amerikanisches Technologieunternehmen für Datensoftware, hat ein Büro in Lissabon, dessen laufende Wartung und Netzwerk von DataRoad betreut werden. Es sind 125 strukturierte Netzwerkanschlüsse, Firewall, drei Switches und Cisco-Meraki-Access-Points, dazu spezialisierter Support für 35 Dell-Geräte und 40 MacBook Pro. Das ist Schritt 2 in der Praxis: ein gemischter Gerätepark mit derselben Richtlinie für alle Betriebssysteme. Wenn das Inventar existiert und das Netz von einem einzigen Punkt aus verwaltet wird, ist Zero Trust keine Theorie mehr, sondern Routine. ## Fragen von Entscheidern ### Muss ich eine Zero-Trust-Lösung kaufen? Nein. Zero Trust ist ein Zugriffsdesign, kein Produkt. In den meisten KMU lassen sich die vier Schritte mit dem vorhandenen Microsoft 365, der Firewall und dem bestehenden Gerätepark umsetzen. ### Verliert das Team an Produktivität? Kaum, wenn die Umsetzung gut ist. MFA fügt eine Bestätigung auf dem Smartphone hinzu, und bedingter Zugriff ist für alle mit konformen Geräten unsichtbar. Spürbar ist nur, dass Software ausschließlich über die IT installiert wird – und das ist beabsichtigt. ### Lohnt es sich bei 15 Arbeitsplätzen? Ja, zumindest teilweise. MFA und ein getrenntes Gäste-WLAN rechtfertigen sich in jeder Größe. Gerätekontrolle und minimaler Zugriff gewinnen an Gewicht, je größer das Team und je sensibler die Daten werden. ### Verlangt NIS2 Zero Trust? Nicht beim Namen, aber inhaltlich: Zugriffskontrolle, Asset-Management und MFA. Die vier Schritte decken einen guten Teil der technischen Maßnahmen ab. DataRoad übernimmt den technischen Teil; die rechtliche Einordnung sollte ein Anwalt prüfen. ## Wissen Sie, wo Ihr Unternehmen steht? Diagnose in 10 Werktagen Wir analysieren Identitäten, Geräte, Netzwerk und Berechtigungen, nennen Ihnen den aktuellen Stand und liefern den Plan für die nächsten 90 Tage. Firewalls, Endpoint-Schutz, MFA und Alarmierung sind Teil der [Managed Cybersecurity](https://www.dataroad-it.com/de/cybersicherheit-unternehmen/) im [Plan IT Unlimited Premium](https://www.dataroad-it.com/de/it-unlimited-premium-vor-ort-service/). Fordern Sie ein unverbindliches Angebot an. **Mehr als 10 Arbeitsplätze · Betreuungsvertrag · Fern-, Vor-Ort- und Telefonsupport.** +351 211 459 950 * · sales@dataroad.pt **Anruf ins portugiesische Festnetz.* ## Quellen - [Verizon – 2026 DBIR, Executive Summary mit KMU-Daten](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) - [EUR-Lex – Richtlinie (EU) 2022/2555, NIS2, Art. 21](https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32022L2555) - [Microsoft Learn – Lebenszyklus von Windows 10](https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed IT für Unternehmen ## One StepAhead of IT. Ein Partner, der für die gesamte IT verantwortlich ist, mit vertraglich festgelegten Reaktionszeiten und einer festen Monatspauschale. - **11** Jahre am Markt, seit 2015 - **5 ★** bei Google · 52 Bewertungen - **1** Vertrag und ein Verantwortlicher für alles We do **IT** right. DataRoad IT Unlimited ## Hängt Ihre IT von einer einzigen Person ab? Dokumentation, Inventar und ein Ansprechpartner, der für alles geradesteht. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/