An einem Dienstagmorgen oeffnet Sophie B. die Buchhaltungssoftware ihrer Kanzlei vom Zug aus, wie so oft. Ein Passwort, und schon ist sie drin: Loehne, Steuererklaerungen, Bankverbindungen von Hunderten von Kundinnen und Kunden — alles mit einem einzigen Handgriff erreichbar. Diesen Komfort hatte sie nie wirklich hinterfragt, bis ihr IT-Dienstleister zwei Woerter fallen liess, die wie ein Slogan klangen: "Zero Trust". Hinter dem etwas schillernden Begriff steckt jedoch eine sehr einfache Idee — und eine sehr nuetzliche fuer ein Treuhandbuero.
Zero Trust: niemals standardmaessig vertrauen, immer pruefen
Uebersetzen wir zunaechst den Begriff. Zero Trust — woertlich "null Vertrauen" — ist ein Prinzip zur Organisation der Sicherheit, das in einem Satz Platz findet: niemals standardmaessig Vertrauen gewaehren und jeden Zugriff pruefen. Es ist weder eine Software, die man kauft, noch ein Knopf, den man drueckt. Es ist eine Denkweise, die einen Reflex ersetzt, der aus den Jahren stammt, als noch alles in einem Buero Platz fand.
Um zu sehen, was Zero Trust behebt, muss man das Modell betrachten, das es ersetzt. Lange hat man ein Unternehmen wie eine Festung gesichert: eine Mauer um das Bueronetzwerk, ein gut bewachtes Tor und drinnen nahezu vollstaendiges Vertrauen. War man einmal drin — im Buero oder aus der Ferne ueber ein VPN (einen verschluesselten Tunnel, der Ihren Computer mit dem Firmennetzwerk verbindet, als waeren Sie vor Ort) —, galt man als legitim und hatte Zugriff auf fast alles.
Dieses Modell beruhte auf einer Annahme: dass ein "Drinnen" existiert und dass es sicher ist. Fuer ein heutiges Treuhandbuero ist dieses Drinnen jedoch dahingeschmolzen. Die Mitarbeitenden arbeiten von zu Hause, aus dem Zug, bei einem Kunden. Die Daten liegen nicht mehr in einem Schrank am Ende des Flurs, sondern in der Cloud — E-Mail, ein geteilter Arbeitsbereich, eine Online-Buchhaltungssoftware. Jeder verbindet sich vom eigenen Geraet aus, manchmal einem privaten. Die Festungsmauer umschliesst nichts mehr.
Das Problem springt dann ins Auge: Ist das Passwort die einzige Huerde, muss es nur erraten, wiederverwendet oder per Phishing abgegriffen werden, damit eine fremde Person "drinnen" landet — mit demselben vollstaendigen Vertrauen wie Sophie B. In einer Kanzlei, die das Steuer- und Bankgeheimnis ihrer Kundschaft verwaltet, ist das kein technisches Detail: Hier ist der Kern des Geschaefts exponiert.
Zero Trust dreht die Annahme um. Statt allem zu vertrauen, was "drinnen" ist, geht es davon aus, dass keine Verbindung verlaesslich ist, solange sie nicht geprueft wurde. Bei jedem Zugriff stellen sich drei Fragen: Wer verbindet sich, von welchem Geraet und worauf soll zugegriffen werden? Ein korrektes Passwort reicht nicht mehr, um jede Tuer zu oeffnen. Genau das fehlte in der Szene im Zug: sicherzustellen, dass der Diebstahl eines einzigen Passworts nicht von allein die ganze Kanzlei oeffnet.
Was Sie sich merken sollten
Drei Gedanken genuegen, um sich das Thema anzueignen, ohne Informatikerin zu werden.
Zero Trust ist eine Haltung, kein Produkt. Kein Anbieter kann Ihnen "die Zero-Trust-Box" verkaufen. Es ist eine Richtung, die man einschlaegt, bestehend aus mehreren kleinen Reflexen, die zusammen die Auswirkung eines Vorfalls verkleinern. Fuer ein KMU ist die gute Nachricht: Die ersten Schritte kosten fast nichts und erfordern kein schweres IT-Projekt.
Das Prinzip zielt auf den banalsten Vorfall, nicht auf den Angriff aus dem Film. Die allermeisten Einbrueche in ein KMU stammen nicht von einem genialen Hacker, sondern von einem schwachen, wiederverwendeten oder per Phishing erlangten Passwort. Zero Trust setzt genau an diesem Glied an: Es sorgt dafuer, dass ein gestohlener Zugang nicht alles auf einmal oeffnet.
Es deckt sich mit dem, was ohnehin von Ihnen erwartet wird. Das revDSG — das revidierte Datenschutzgesetz, seit September 2023 in Kraft — verlangt von jeder Organisation, die Personendaten bearbeitet, "angemessene" Sicherheitsmassnahmen. Fuer ein Treuhandbuero mit besonders sensiblen Daten ist das Begrenzen und Pruefen von Zugriffen kein technischer Luxus: Es ist eine sehr konkrete Umsetzung dieser Pflicht. Und selbst wenn Ihre Geschaeftsdaten in der Schweiz liegen, ist das, was den Zugang zu diesen Daten schuetzt — Ihre Passwoerter, Ihre Anmeldungen —, es nicht unbedingt.
Die Schritte fuer diese Woche
Hier ist die KMU-Version von Zero Trust: drei Reflexe, die Sophie B. ohne Budget und ohne technische Kenntnisse starten kann, bei Bedarf mit Unterstuetzung ihres Dienstleisters.
1. Bei jeder Anmeldung einen zweiten Nachweis verlangen
Das ist der Schritt mit dem groessten Nutzen. Die Zwei-Faktor-Authentifizierung (MFA) verlangt zusaetzlich zum Passwort einen zweiten Identitaetsnachweis: einen Einmalcode auf dem Telefon oder eine Bestaetigung in einer eigenen App. Konkret: Selbst wenn jemand Ihr Passwort erraet oder stiehlt, fehlt ihm immer noch Ihr Telefon.
Aktivieren Sie sie zuerst dort, wo es am sensibelsten ist: bei der Geschaefts-E-Mail, im Dokumenten-Arbeitsbereich und in der Buchhaltungssoftware. Das Bundesamt fuer Cybersicherheit (BACS, frueher NCSC) setzt diese Massnahme an die Spitze seiner Empfehlungen fuer KMU. Sie ist der sichtbarste Grundpfeiler des Prinzips "immer pruefen".
2. Jeder erhaelt nur, was er braucht
Das ist die zweite Saeule von Zero Trust: das Minimalprinzip (least privilege). Die Idee: Jede Person hat nur Zugriff auf die Daten und Werkzeuge, die ihre Arbeit erfordert, und auf nichts weiter. Ein Praktikant am Empfang muss die Lohndossiers nicht oeffnen; wer ein Kundenportfolio betreut, hat keinen Grund, die anderen einzusehen.
In der Praxis machen Sie Inventur: Wer sieht heute was? Fast immer entdecken Sie Zugriffe, die aus alten Beduerfnissen stammen und die niemand mehr nutzt. Diese Tueren zu schliessen behindert die Arbeit nicht — es sorgt nur dafuer, dass ein kompromittiertes Konto einen Raum exponiert, nicht das ganze Gebaeude.
3. Regelmaessig pruefen, wer hereinkommt und womit
Zero Trust ist keine Einstellung, die man einmal vornimmt und vergisst: Es ist eine Pruefung, die wiederkehrt. Gewoehnen Sie sich an, jedes Quartal die Kontenliste durchzugehen: Haben ausgeschiedene Personen noch einen aktiven Zugang? Behaelt ein frueherer Dienstleister einen vergessenen Zugang? Erkennen Sie auch die Geraete, die sich mit Ihren Werkzeugen verbinden, und entfernen Sie jene, die Sie nicht wiedererkennen.
Dieses regelmaessige Aufraeumen ist wenig spektakulaer, aber es verhindert die stille Ansammlung halboffener Tueren — jener, die niemand ueberwacht, gerade weil man ein fuer alle Mal "vertraut" hatte.
Wo stehen Sie wirklich?
Zero Trust ist kein Haekchen zum Abhaken und schon gar kein Label, das man erlangt. Es ist eine Richtung: Man geht sie Schritt fuer Schritt, und man ist nie wirklich "fertig". Die eigentliche Frage lautet also nicht "Sind wir Zero Trust?", sondern "Wo verlassen wir uns noch auf ein Vertrauen, das wir nie geprueft haben?".
Genau das hilft die Cyber-Passport-Selbsteinschaetzung zu erkennen. Sie zertifiziert nichts und vergibt kein Label: Frage fuer Frage zeigt sie Ihnen, wo Ihre Organisation solide ist und wo sie vor allem aus Gewohnheit und zwischenmenschlichem Vertrauen zusammenhaelt. Um weiterzugehen und diese Reflexe in einen klaren Plan zu verwandeln — wer macht was, in welcher Reihenfolge, mit welchem Aufwand —, fuehrt Sie unser eigener Blueprint Schritt fuer Schritt durch das Vorgehen.
