Zero Trust und SASE: Sicherheit ohne Firmennetz

Zero Trust ist ein Architekturprinzip: Kein Zugriff gilt als vertrauenswürdig, nur weil er aus dem eigenen Netz kommt. Geprüft wird bei jeder Anfrage, wer zugreift und mit welchem Gerät. SASE ist dagegen kein Prinzip, sondern eine Lieferform — ein Bündel aus Netzwerk- und Sicherheitsdiensten aus der Cloud. Man kann das eine ohne das andere haben.

1. Warum der Perimeter verschwunden ist

Das klassische Modell war einfach: Innen ist das Firmennetz, außen das Internet, dazwischen die Firewall. Wer drinnen war, galt als vertrauenswürdig. Dieses Bild trug, solange Server im eigenen Keller standen und Mitarbeitende an festen Arbeitsplätzen saßen.

Beides ist heute nicht mehr die Regel. Die Fachanwendung läuft beim Anbieter, die Mails liegen bei Microsoft, das Notebook steht am Küchentisch, und der Steuerberater greift von außen auf einen Ordner zu. Es gibt kein „innen" mehr, das man bewachen könnte.

Der praktische Schaden zeigt sich beim VPN. Wer sich per Tunnel einwählt, ist danach im Netz — mit allem, was daran hängt. Ein übernommenes Notebook bringt den Angreifer damit nicht an eine Anwendung, sondern an alle. Genau diesen Effekt adressiert Zero Trust: nicht ein Tunnel ins Netz, sondern Zugriff auf genau die eine Anwendung, für die eine Berechtigung besteht.

2. Was Zero Trust ist — und was es ausdrücklich nicht leistet

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Zero Trust als ein aus dem Ansatz „Assume Breach" entwickeltes Architekturparadigma, das im Kern auf dem Prinzip der minimalen Rechte aller Beteiligten in der gesamten Infrastruktur beruht. „Assume Breach" heißt: Sie planen nicht für den Fall, dass jemand hereinkommt, sondern für den Fall, dass jemand bereits drin ist.

Zwei Feststellungen des BSI fehlen auf praktisch jeder Herstellerseite — und beide ändern die Erwartungshaltung.

Erstens der Schutzumfang. Der Fokus liegt laut BSI auf Integrität und Vertraulichkeit, nicht aber auf Verfügbarkeit. Zero Trust verhindert also, dass jemand unbefugt liest oder verändert. Gegen einen Ausfall hilft es nicht. Wer glaubt, mit einem Zero-Trust-Projekt auch die Ausfallsicherheit erledigt zu haben, spart am falschen Ende — Backup, Redundanz und ein geprüfter Wiederanlauf bleiben eigene Themen, die unser Überblick zur IT-Sicherheit im Mittelstand einordnet.

Zweitens die Aufwandsart. Das BSI stellt klar, dass die Umsetzung dauerhaften finanziellen und personellen Aufwand erfordert und keine einmalige Investition ist. Richtlinien veralten, Ausnahmen sammeln sich an, neue Anwendungen kommen hinzu. Wer das als Projekt mit Abschlussdatum plant, plant falsch.

3. Die Grundsätze dahinter

Der internationale Referenztext ist die Veröffentlichung SP 800-207 des US-Normungsinstituts NIST. Sie formuliert sieben Grundsätze. Verdichtet auf das, was im Betrieb zählt:

• Jede Datenquelle und jeder Dienst gilt als Ressource — nichts ist per se vertrauenswürdig.
• Jede Verbindung wird abgesichert, unabhängig davon, aus welchem Netz sie kommt.
• Zugriff wird je Sitzung gewährt, nicht dauerhaft.
• Die Entscheidung folgt einer dynamischen Richtlinie aus Identität, Gerätezustand und Kontext.
• Alle Geräte werden fortlaufend überwacht, nicht einmalig geprüft.
• Anmeldung und Berechtigung werden laufend neu bewertet und strikt durchgesetzt.

Eine Einordnung lohnt sich hier, weil sie oft falsch zitiert wird: Die griffige Dreierformel „explizit prüfen, minimale Rechte, von einem Angriff ausgehen" stammt aus Microsofts Zusammenfassung des Themas — sie steht so nicht im NIST-Text. Als Merkhilfe ist sie gut, als Quellenangabe falsch.

4. SASE, SSE, ZTNA — die Begriffe sortiert

Rund um Zero Trust hat sich ein Vokabular gebildet, das in Angeboten gern vermischt wird. Der Begriff SASE wurde 2019 vom Gartner-Analysten Neil MacDonald geprägt. Er beschreibt die Zusammenführung von Netzwerkfunktionen mit Sicherheitsfunktionen, geliefert überwiegend als Cloud-Dienst.

Ein Unterschied lohnt dabei die Aufmerksamkeit, weil er die Verbindlichkeit der beiden Begriffe betrifft: Zu Zero Trust gibt es eine Position des BSI und mit NIST SP 800-207 einen internationalen Referenztext. Für SASE gibt es beides nicht — der Begriff stammt aus der Marktbeobachtung und wird von Anbietern unterschiedlich weit ausgelegt. Was genau in einem SASE-Angebot steckt, steht deshalb nicht in einer Norm, sondern im Leistungsschein Ihres Anbieters. Fragen Sie danach.

Der entscheidende Satz für Ihre Angebotsprüfung lautet: Zero Trust ist das Prinzip, SASE ist eine Lieferform. Sie können Zero Trust erreichen, ohne je eine SASE-Plattform zu kaufen. Und Sie können eine SASE-Plattform betreiben, ohne dass daraus Zero Trust wird — nämlich dann, wenn die Richtlinien darin großzügig bleiben.

5. Was Ihre Microsoft-365-Lizenz schon kann

Hier liegt der Punkt, der die meisten Gespräche abkürzt. Der wichtigste technische Baustein von Zero Trust ist der bedingte Zugriff: die Regel, die Identität, Gerätezustand und Kontext auswertet, bevor sie eine Anwendung freigibt. In der Microsoft-Welt heißt das Conditional Access und setzt eine Lizenz namens Entra ID P1 voraus.

Diese Lizenz ist in mehreren gängigen Paketen bereits enthalten:

Für den typischen Mittelstandsbetrieb heißt das: Wer Business Premium einsetzt — und das ist das gängige Paket in dieser Größenordnung —, hat den Baustein bereits bezahlt. Er ist nur nicht eingerichtet. In der Praxis sehen wir das regelmäßig: Die Lizenz läuft seit Jahren, die Richtlinien stehen auf Werkszustand.

Der Sprung auf E5 bringt zusätzlich risikobasierte Richtlinien, die etwa eine Anmeldung aus einem ungewöhnlichen Land automatisch höher bewerten. Das ist nützlich, aber es ist die Kür. Zuerst kommt die Pflicht. Welche Pakete sich sonst noch unterscheiden, ordnet unsere Seite zu Office-365-Migration und Lizenzen ein. Stand der Lizenzangaben: September 2026 — Microsoft ändert Paketumfänge regelmäßig, prüfen Sie den aktuellen Stand vor einer Kaufentscheidung.

6. Wo tatsächlich Kosten entstehen

Wenn die Lizenz oft schon da ist — wo geht dann das Geld hin? An drei Stellen, und keine davon ist ein Produktkauf.

Erstens Arbeitszeit für die Einrichtung. Richtlinien zu entwerfen, im Berichtsmodus zu beobachten und dann scharf zu schalten, ist Handarbeit. Wer das übers Knie bricht, sperrt am Montagmorgen die halbe Belegschaft aus.

Zweitens die Geräteverwaltung. Ohne verwaltete Geräte fehlt Ihnen das Signal, auf das sich die halbe Logik stützt: Ist dieses Notebook verschlüsselt, gepatcht, überhaupt bekannt? Wie das aufgesetzt wird, beschreibt unser Beitrag zu Microsoft Intune im Mittelstand.

Drittens der laufende Betrieb. Genau der Punkt, auf den das BSI hinweist. Jede neue Anwendung braucht eine Entscheidung, jede Ausnahme eine Überprüfung. Rechnen Sie das als feste Aufgabe ein, nicht als Restposten.

7. Die ersten fünf Schritte

Sie brauchen für den Anfang keine Plattform und keinen Anbieterwechsel. Diese Reihenfolge hat sich bewährt:

01 — Inventar der Identitäten

Wer hat welches Konto, welche Rechte, welche Ausnahmen? Verwaiste Konten und Sammelzugänge sind der häufigste Einstiegspunkt und kosten nichts außer Aufräumen.

02 — Starke Anmeldung überall

Zweiter Faktor für alle, ohne Ausnahmeliste für Führungskräfte. Phishing-resistente Verfahren sind dabei deutlich wirksamer als Einmalcodes per SMS.

03 — Geräte in die Verwaltung

Erst wenn Sie den Zustand eines Geräts kennen, können Sie ihn zur Bedingung machen. Ohne Geräteverwaltung bleibt jede Zugriffsregel halbblind.

04 — Erste Richtlinien scharf schalten

Beginnen Sie mit wenigen, klaren Regeln im Berichtsmodus und schalten Sie erst danach durch. So sehen Sie vorab, wen eine Regel treffen würde.

05 — Ausnahmen befristen

Jede Ausnahme bekommt ein Ablaufdatum und einen Verantwortlichen. Unbefristete Ausnahmen sind der Weg, auf dem jedes Sicherheitsmodell still wieder verschwindet.

Schritt zwei ist dabei der mit dem größten Hebel je Aufwand. Wie Sie ihn ausrollen, ohne den Betrieb zu stören, zeigt der Beitrag zur Multi-Faktor-Authentifizierung; welche Verfahren dabei wirklich gegen Phishing helfen, behandelt der Text zu Passkeys im Unternehmen. Die Anmeldung selbst bündeln Sie sinnvollerweise vorher, wie im Beitrag zu Single Sign-on beschrieben.

8. Fazit: erst die Richtlinien, dann die Plattform

Zero Trust ist kein Einkauf, sondern eine Reihenfolge. Identität, Gerätezustand und klare Regeln bringen den Großteil der Wirkung — meist mit Lizenzen, die bereits laufen. Eine SASE-Plattform lohnt sich, wenn mehrere Standorte oder eigene Rechenzentren im Spiel sind; für einen Betrieb, der ohnehin in der Cloud arbeitet, steht sie am Ende der Liste, nicht am Anfang.

Wenn Sie wissen wollen, was in Ihrer Umgebung schon lizenziert ist und welche fünf Regeln zuerst greifen sollten, sehen wir uns das gemeinsam an — den Rahmen dafür gibt unsere Digitalisierungsberatung.

9. Häufige Fragen zu Zero Trust und SASE

Was ist Zero Trust einfach erklärt?

Ein Architekturmodell, das keinem Zugriff allein deshalb vertraut, weil er aus dem eigenen Netz kommt. Jede Anfrage wird geprüft: Wer greift zu, mit welchem Gerät, in welchem Zustand. Das BSI beschreibt es als Paradigma aus dem Ansatz „Assume Breach" mit möglichst geringen Rechten für alle Beteiligten.

Was ist der Unterschied zwischen Zero Trust und SASE?

Zero Trust ist ein Prinzip, SASE eine Lieferform. Der Begriff SASE stammt von Gartner und beschreibt, wie Netzwerk- und Sicherheitsfunktionen gebündelt aus der Cloud kommen. Sie können Zero Trust ohne SASE umsetzen — und SASE einkaufen, ohne dadurch automatisch Zero Trust zu erreichen.

Was ist der Unterschied zwischen SASE und SSE?

SSE steht für Security Service Edge und umfasst nur die Sicherheitsdienste: Secure Web Gateway, CASB, Firewall as a Service und ZTNA. SASE ist der größere Rahmen und enthält zusätzlich die Netzwerkschicht SD-WAN, die Standorte, Geräte und Nutzer miteinander verbindet. Wer SSE kauft, hat also einen Teil von SASE.

Brauche ich für Zero Trust neue Software?

Oft nicht sofort. Wer Microsoft 365 Business Premium oder E3 einsetzt, hat mit Entra ID P1 den wichtigsten Baustein bereits lizenziert: bedingten Zugriff. Viele Betriebe zahlen bereits dafür, haben die Richtlinien aber nie eingerichtet. Der erste Schritt kostet damit Arbeitszeit, keine Lizenz.

Schützt Zero Trust vor Ausfällen?

Nein, und das wird häufig verwechselt. Das BSI stellt ausdrücklich klar, dass der Schutzfokus auf Integrität und Vertraulichkeit liegt, nicht auf Verfügbarkeit. Für Ausfallsicherheit brauchen Sie weiterhin Backup, Redundanz und ein geprüftes Wiederanlaufkonzept — Zero Trust ersetzt das nicht, sondern ergänzt es.

Ist Zero Trust ein Projekt mit Enddatum?

Nein. Das BSI weist darauf hin, dass die Umsetzung dauerhaften finanziellen und personellen Aufwand erfordert und keine einmalige Investition darstellt. Richtlinien müssen gepflegt, Ausnahmen überprüft und neue Anwendungen eingebunden werden. Planen Sie es deshalb als dauerhafte Betriebsaufgabe, nicht als Projekt mit Abschlussdatum.

Lohnt sich SASE für kleine Unternehmen?

Meist erst ab mehreren Standorten oder starker Nutzung eigener Rechenzentren. Wer ohnehin überwiegend Cloud-Dienste nutzt und keine Filialstruktur hat, erreicht mit Identität, Geräteverwaltung und bedingtem Zugriff deutlich mehr Wirkung je investiertem Euro als mit einer Netzwerkplattform. Die Plattform steht am Ende der Liste, nicht am Anfang.

Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand September 2026). Externe Links öffnen in einem neuen Tab.

• BSI: Zero Trust — Definition als „Assume Breach"-Paradigma, Schutzfokus auf Integrität und Vertraulichkeit statt Verfügbarkeit, Hinweis auf den dauerhaften Ressourcenaufwand; dort auch das Positionspapier Zero Trust (Stand 4. Juli 2023) und das Management Blitzlicht.
• NIST Special Publication 800-207: Zero Trust Architecture — der internationale Referenztext mit den sieben Grundsätzen.
• Secure access service edge (englische Wikipedia) — Herkunft des Begriffs (2019 vom Gartner-Analysten Neil MacDonald geprägt) und Abgrenzung der enthaltenen Dienste. Wir verlinken hier bewusst einen Lexikoneintrag statt Gartner selbst: Der Glossareintrag des Analystenhauses ist unter seiner bisherigen Adresse nicht mehr abrufbar und leitet auf eine allgemeine Übersichtsseite um (geprüft am 8. September 2026).
• Microsoft Learn: Bedingter Zugriff in Microsoft Entra — Funktionsweise der Richtlinien-Auswertung.
• Microsoft Learn: Microsoft-Entra-Lizenzierung — welche Pakete Entra ID P1 beziehungsweise P2 enthalten.

Hinweis: Dieser Beitrag beschreibt allgemeine Architekturprinzipien und ersetzt keine auf Ihre Umgebung bezogene Sicherheitsberatung. Lizenzumfänge und Produktnamen ändern sich bei Herstellern regelmäßig; maßgeblich ist die jeweils aktuelle Herstellerdokumentation. Stand der Recherche: September 2026.