Zero Trust: US-Audits zeigen, worauf es ankommt

Zero Trust prüft jede Zugriffsanfrage einzeln, statt einem internen Netz pauschal zu vertrauen. US-Behörden setzen das Modell seit Jahren um. Prüfberichte von GAO, TIGTA und dem DoD-Generalinspekteur offenbaren, woran Projekte in der Praxis scheitern – und welche Schritte tatsächlich Sicherheit schaffen.

Auf einen Blick: Zero Trust

Definition: Sicherheitsmodell ohne pauschales Vertrauen – jede Anfrage durchläuft eine Prüfung von Identität, Gerät und Kontext.
Ursprung: Google führte 2011 mit BeyondCorp die erste Zero-Trust-Architektur ein, ausgelöst durch die Angriffsserie Operation Aurora.
Rechtlicher Rahmen: Executive Order 14028 verpflichtet seit 2021 US-Behörden zu Zero-Trust-Maßnahmen, NIST SP 800-207 liefert die technische Grundlage.
Prüfbefund: Das U.S. Government Accountability Office fand 2025 bei 21 von 23 untersuchten Behörden unvollständige Netzwerk- und Datenschutzfähigkeiten.
Größte Lücke: Die Steuerbehörde IRS hatte laut TIGTA-Bericht im Oktober 2025 erst 41 von 187 Datenbanken zentral erfasst.

Bei Zero Trust entscheiden in der Praxis vier Faktoren über Erfolg oder Verzögerung: die Komplexität bestehender Systeme, die Integration in gewachsene Infrastrukturen, eine durchdachte Segmentierung samt Datenschutz und nicht zuletzt die Akzeptanz der Nutzer. Prüfberichte US-amerikanischer Aufsichtsbehörden liefern dazu handfeste Belege – ein seltener Einblick, wie Zero Trust in großen, komplexen Organisationen tatsächlich funktioniert oder scheitert.

Komplexität: Verzeichnisdienste bremsen einheitliche Regeln

US-Unternehmen betreiben oft mehrere Cloud-Plattformen parallel zu eigenen Rechenzentren, während Anwendungen und Verzeichnisdienste aus unterschiedlichen Jahrzehnten stammen oder infolge früherer Übernahmen hinzukamen.

Wie stark sich diese Strukturen im Alltag bemerkbar machen, zeigt eine Befragung der Cloud Security Alliance unter 950 IT-Fachleuten: 75 Prozent der Unternehmen verwalten mindestens zwei Identity-Provider, elf Prozent sogar fünf oder mehr.

Ein Beispiel aus der Praxis liefert der Prüfbericht des DoD-Generalinspekteurs: Die Defense Media Activity musste ihren Zero-Trust-Plan 2025 laut Bericht überarbeiten, weil zunächst sämtliche Netzwerk-Assets fehlten – ohne vollständiges Inventar bleiben Zugriffsregeln lückenhaft.

Integration: Legacy-Systeme erfordern ein schrittweises Vorgehen

Ein Neustart auf der grünen Wiese bleibt Wunschdenken, denn Mitarbeiter und Partner benötigen durchgehend Zugriff auf zentrale Anwendungen. Sicherheitsteams ergänzen deshalb bestehende VPN-Infrastrukturen schrittweise um Zero-Trust-Komponenten, statt bestehende Systeme abzuschalten.

Selbst der Vorreiter Google beschreibt die eigenen Erfahrungen nüchtern: Die letzten Arbeiten der BeyondCorp-Migration verursachten einen unverhältnismäßig großen Aufwand, weil veraltete Protokolle und schwer greifbare Altanwendungen den Fortschritt bremsten.

Zu einem ähnlichen Ergebnis kommen NIST-Labortests mit 19 Referenzarchitekturen und 24 Anbietern, wobei vor allem die Anbindung von Identitätsplattformen an die Netzwerktechnik Schwierigkeiten bereitete. Viele Sicherheitsteams schützen deshalb ältere Systeme über vorgelagerte Gateways, ohne deren Code zu verändern.

Nutzerfreundlichkeit: Single Sign-on erhöht die Akzeptanz

Zusätzliche Prüfungen kosten Zeit und senken die Akzeptanz, sobald Mitarbeiter mehrmals täglich unterschiedliche Zugangsdaten eingeben müssen, wodurch sich Arbeitsabläufe verzögern.

Single Sign-on reduziert diese Reibung: Nutzer melden sich einmal über ein zentrales Portal an und greifen danach auf mehrere Anwendungen zu, ohne sich erneut ausweisen zu müssen.

Kontextabhängige Prüfungen ergänzen dieses Prinzip und fragen zusätzliche Faktoren nur dann ab, wenn ein Zugriffsort ungewöhnlich wirkt oder eine Aktion besondere Sensibilität erfordert.

Segmentierung: Feine Zonen begrenzen die Angriffsfläche

Zero Trust trennt Anwendungen, Nutzer und Daten in einzelne Zonen, sodass sich ein Angreifer nach einer erfolgreichen Attacke nicht ungehindert im Netzwerk ausbreiten kann.

Wie groß der Rückstand in der Praxis oft ausfällt, zeigt der GAO-Bericht: 21 von 23 geprüften Behörden wiesen 2025 unvollständige Fähigkeiten bei Netzwerksicherheit und Datenschutz auf, obwohl die Vorgaben seit Jahren feststehen.

Besonders der Daten-Pfeiler erwies sich als schwächste Stelle. Die IRS hatte laut TIGTA-Bericht erst 41 von 187 Datenbanken zentral erfasst, eine automatisierte Klassifizierung fehlte zu diesem Zeitpunkt vollständig.

Der Federal Zero Trust Data Security Guide empfiehlt deshalb, Data Owner und Sicherheitsteams von Beginn an zusammenzubringen, damit Zugriffsregeln später auch in der Praxis greifen.

Reifegradmodell: CISA-Stufen zeigen den eigenen Standort

Die US-Cybersicherheitsbehörde CISA ordnet den Zero-Trust-Fortschritt in vier Stufen ein: traditionell, initial, fortgeschritten und optimal. Fünf Bereiche fließen dabei in die Bewertung ein – Identität, Geräte, Netzwerke, Anwendungen und Daten.

Am Beispiel der Authentifizierung zeigt sich der Unterschied besonders deutlich: Während traditionelle Stufen die Identität einmalig per Passwort oder MFA prüfen, validieren optimale Stufen die Identität fortlaufend und nicht nur beim Log-in. Unternehmen stufen mit diesem Raster jeden Bereich einzeln ein und leiten daraus ihre nächsten Schritte ab.

Drei Lehren aus der Praxis

Integration schlägt Technik
Die größte Hürde stellen bestehende Systeme dar, nicht einzelne Sicherheitsprodukte.
Ausnahmen sind Schulden
Jede Ausnahme braucht einen Verantwortlichen, ein Ablaufdatum und einen Abbauplan.
Prozess statt Projekt
Zero Trust entwickelt sich über Jahre, ein fester Endpunkt existiert nicht.

Betriebsaufwand: Automatisierung entlastet Sicherheitsteams

Die Einführung erhöht zunächst den Aufwand im laufenden Betrieb, denn Teams pflegen zusätzliche Richtlinien, verwalten Ausnahmen für ältere Anwendungen und werten wachsende Mengen an Zugriffsprotokollen aus.

Wie viel Aufwand ein Vollausbau tatsächlich bedeutet, zeigt das Beispiel des US-Bildungsministeriums: Mit 20 Millionen US-Dollar Förderung entstand ein eigenes Programmbüro, das Sicherheitsfunktionen an 15 Außenstellen und zwei Rechenzentren bündelte.

Zentrale Plattformen entlasten die Teams, indem sie Zugriffsentscheidungen, Identitätsmanagement und Bedrohungserkennung an einer Stelle zusammenfassen. Automatisierte Regeln blockieren verdächtige Zugriffe sofort, sodass Mitarbeiter nicht jede Ausnahme einzeln freigeben müssen.

Praxis-Tipp: Schrittweise starten

Beginnen Sie mit einer sensiblen Anwendung oder einer kleinen Nutzergruppe. Legen Sie vorab fest, was bei fehlenden oder widersprüchlichen Signalen passieren soll – Zugriff blockieren oder zulassen.

IT-Landschaft erfassen und eigenen Reifegrad in jedem Bereich bestimmen.
Identitätsmanagement zentralisieren und Zugriffsrichtlinien festlegen.
Netzwerk in kleine Zonen segmentieren.
Single Sign-on und kontextabhängige Prüfungen einführen.
Regeln automatisieren und Protokolle laufend auswerten.

Fazit: Prüfberichte schaffen Klarheit über die nächsten Schritte

Zero Trust scheitert selten an der Technik. Oft scheitert die Umsetzung an unvollständigen Inventaren, einer lückenhaften Segmentierung und unklaren Datenverantwortlichkeiten. Wer diese drei Punkte früh klärt, reduziert Reibung im Tagesgeschäft spürbar.

Entscheidend bleibt am Ende die Fähigkeit, bestehende Infrastrukturen schrittweise weiterzuentwickeln, statt sie komplett zu ersetzen. Sicherheit wächst so mit, ohne den laufenden Betrieb zu gefährden.

Der perfekte Baustein für Ihr Zero-Trust-Konzept

Häufige Fragen zu Zero Trust

Ersetzt Zero Trust eine bestehende VPN-Lösung?
Zero Trust ersetzt eine VPN-Infrastruktur nur selten vollständig. Unternehmen ergänzen das VPN meist um Identitätsmanagement, Gerätestatusprüfung und kontinuierliche Zugriffskontrolle.

Wie lange dauert die Einführung von Zero Trust in der Praxis?
Einzelne Anwendungen laufen oft nach wenigen Monaten stabil unter Zero Trust. Eine komplette Systemlandschaft benötigt dagegen mehrere Jahre, wie Googles BeyondCorp-Projekt zeigt.

Warum gilt Datensicherheit als schwächster Baustein von Zero Trust?
Unternehmen katalogisieren ihre Datenbestände oft unvollständig und klassifizieren sie selten automatisiert. Ohne klare Datenverantwortung bleiben Zugriffsregeln lückenhaft.

Wie lässt sich der eigene Zero-Trust-Reifegrad einordnen?
Die CISA unterscheidet vier Reifegrade – von traditionell bis optimal – und bewertet Organisationen in fünf Bereichen, darunter Identitäten und Daten. Auf den höchsten Reifegraden erfolgt die Überprüfung der Nutzeridentität kontinuierlich und nicht nur beim Anmelden.

Wie regelt Zero Trust den Zugriff für externe Lieferanten und Dienstleister?
Externe Partner erhalten nur Zugriff auf einzelne Anwendungen. Diese Einzelfreigabe begrenzt den Schaden bei kompromittierten Partnerzugängen, einem häufigen Einfallstor für Angriffe.