15 Oktober 2026

Zero Trust ist ein Sicherheitskonzept, bei dem Zugriffe auf Ressourcen gezielt geprüft und begrenzt werden. Die Zugehörigkeit zu einem internen Netzwerk oder der Besitz eines firmeneigenen Geräts begründet allein noch kein Vertrauen. In Produktionsumgebungen muss die Umsetzung die Verfügbarkeit, das Zeitverhalten und die Sicherheit der betroffenen Prozesse berücksichtigen.

Was bedeutet Zero Trust?

NIST SP 800-207 beschreibt Zero Trust als Ansatz, der den Schutz auf Benutzer, Systeme und Ressourcen ausrichtet. Vor einem Zugriff werden Identität und Berechtigung betrachtet; der Standort innerhalb einer Netzwerkgrenze reicht als Begründung nicht aus. Eine Zero-Trust-Architektur setzt diese Grundsätze in technischen und organisatorischen Abläufen um.

Im Betrieb bedeutet das beispielsweise: Ein Wartungskonto erhält nicht automatisch Zugriff auf jede Maschine, nur weil die Verbindung über ein internes Netz erfolgt. Der Zugriff wird für eine bestimmte Aufgabe, ein bestimmtes Ziel und einen passenden Umfang geregelt. Die Entscheidung kann zusätzliche Informationen über Gerät und Nutzungssituation berücksichtigen.

Zero Trust ist kein einzelnes Produkt. Auch der Einsatz einer modernen Zugangslösung macht eine Organisation nicht automatisch vollständig zu einer Zero-Trust-Umgebung. Entscheidend sind nachvollziehbare Regeln, geeignete technische Durchsetzung und ein tragfähiger Betrieb dieser Funktionen.

Identität, Berechtigung und Kontext unterscheiden

Aspekt	Leitfrage	Beispiel in der Produktion
Identität	Wer oder was fordert Zugriff an?	Benannter Servicetechniker oder technischer Dienst
Berechtigung	Welche Tätigkeit ist erlaubt?	Diagnose lesen oder ein Programm ändern
Ressource	Worauf bezieht sich der Zugriff?	Eine festgelegte Maschine oder Anwendung
Kontext	Unter welchen Bedingungen erfolgt er?	Freigegebenes Wartungsfenster und geeigneter Zugangsweg
Nachvollziehbarkeit	Wie wird die Nutzung geprüft?	Protokollierte Sitzung und dokumentierte Änderung

Authentisierung und Autorisierung sind unterschiedliche Schritte. Eine eindeutig erkannte Person darf nicht zwangsläufig jede Funktion nutzen. Ebenso muss ein technischer Dienst nicht dieselben Rechte besitzen wie eine Person, die das System administriert.

Ein sinnvoller Umfang folgt der benötigten Aufgabe. Ein Dienst zur Übertragung von Produktionsmeldungen benötigt beispielsweise nicht automatisch Rechte zur Änderung eines Steuerungsprogramms. Diese Trennung sollte aus den fachlichen Anforderungen abgeleitet und technisch überprüfbar umgesetzt werden.

Zero Trust und Netzwerksegmentierung

Netzwerksegmentierung begrenzt Kommunikationsbeziehungen zwischen Bereichen. Zero Trust betrachtet zusätzlich die konkreten Zugriffe auf Ressourcen. Beide Ansätze können sich ergänzen. Die Existenz eines geschützten Segments soll nicht dazu führen, dass innerhalb dieses Bereichs jeder Zugriff ungeprüft als berechtigt gilt.

Umgekehrt macht Zero Trust Netzgrenzen nicht überflüssig. In industriellen Anlagen können kontrollierte Übergänge und die Begrenzung erreichbarer Systeme weiterhin wichtige Schutzmaßnahmen sein. Die Architektur muss die jeweils passenden Maßnahmen miteinander verbinden.

Auch ein VPN ist allein kein vollständiges Zero-Trust-Konzept. Es schützt eine Verbindung entsprechend seiner Auslegung, entscheidet aber nicht automatisch über jede fachlich erforderliche Berechtigung. Nach dem Aufbau einer Verbindung bleibt zu klären, welche Zielsysteme und Funktionen tatsächlich zugänglich sein sollen.

Besonderheiten bei industriellen Anlagen

Bestehende Komponenten berücksichtigen

Ältere Steuerungen und Bediengeräte unterstützen möglicherweise keine modernen Identitäts- oder Zugriffsverfahren. In solchen Fällen muss geprüft werden, welche Schutzfunktionen an geeigneten Übergängen umgesetzt werden können. Zusätzliche Komponenten verändern allerdings ebenfalls die Architektur und benötigen eine Bewertung ihrer Verfügbarkeit und ihres Ausfallverhaltens.

Zeitkritische Kommunikation schützen

Ein Ansatz für Benutzerzugriffe lässt sich nicht unverändert auf jede zyklische Steuerungsverbindung übertragen. Zusätzliche Prüfungen dürfen das notwendige Zeitverhalten nicht unkontrolliert beeinflussen. Die Umsetzung muss zwischen administrativen Zugriffen, übergeordneten Datenflüssen und prozessnaher Kommunikation unterscheiden.

Ausfälle von Sicherheitsdiensten einplanen

Wenn eine Zugriffsentscheidung einen zentralen Dienst benötigt, entsteht eine zusätzliche Abhängigkeit. Für dessen Ausfall muss feststehen, welche Funktionen weiterlaufen und welche Zugriffe nicht mehr möglich sind. Ein pauschales Offenlassen aller Zugänge ist ebenso wenig ein geeignetes Standardverfahren wie eine ungeprüfte Unterbrechung kritischer Prozesse.

Die internationale OT-Leitlinie „Principles of operational technology cyber security“ betont die Abstimmung von Sicherheitsmaßnahmen mit dem physischen Betrieb. Für Zero Trust bedeutet das, die Schutzentscheidung zusammen mit Anlagen- und Prozessverantwortlichen zu gestalten. Die gewünschte Zugriffsbegrenzung muss mit einem beherrschbaren Betriebsverhalten verbunden werden.

Praxisbeispiel: Diagnosezugriff eines Dienstleisters

Das folgende Beispiel ist fiktiv. Ein externer Dienstleister soll eine Störung an einer Maschine untersuchen. Der Betrieb richtet den Zugriff für eine benannte Person und das vorgesehene Zielsystem ein. Die Aufgabe umfasst zunächst nur Diagnoseinformationen; eine Programmänderung ist nicht Bestandteil dieser Freigabe.

Die Verbindung wird über den vorgesehenen Zugangsweg aufgebaut. Der Betrieb prüft die Identität und die für den Auftrag geltenden Berechtigungen. Die Sitzung ist auf den vereinbarten Umfang begrenzt und wird nachvollziehbar dokumentiert. Andere Maschinen werden dadurch nicht automatisch erreichbar.

Ergibt die Diagnose, dass ein Programm geändert werden muss, wird dafür der entsprechende Freigabeprozess ausgelöst. Die ursprüngliche Diagnoseberechtigung wird nicht stillschweigend zu einer allgemeinen Änderungsberechtigung. Nach Abschluss werden temporäre Rechte und offene Sitzungen überprüft.

Zusätzlich wird erprobt, wie sich ein Verbindungsabbruch oder ein Ausfall des Zugangsdienstes auswirkt. Der Produktionsprozess muss dabei in einem für die Anlage definierten Zustand bleiben. Das Beispiel zeigt eine begrenzte Anwendung der Grundsätze, keine vollständige Referenzarchitektur für jedes Werk.

Zero Trust schrittweise einführen

Ressourcen und Aufgaben erfassen: Welche Systeme werden von wem zu welchem Zweck genutzt?
Berechtigungen beschreiben: Lese-, Änderungs- und Verwaltungsaufgaben unterscheiden.
Abhängigkeiten prüfen: Identitätsdienste, Kommunikationswege und betriebliche Voraussetzungen berücksichtigen.
Begrenzten Anwendungsfall wählen: Einen nachvollziehbaren Zugriffspfad kontrolliert umsetzen.
Normal- und Fehlerfälle testen: Auch Wiederanlauf, Verbindungsabbruch und notwendige Ausnahmeverfahren prüfen.
Betrieb regeln: Rechte, Protokolle und Änderungen dauerhaft betreuen.

Ein klar abgegrenzter Wartungs- oder Administrationszugriff kann ein sinnvoller Ausgangspunkt sein. Die Auswahl sollte sich nach Risiko und Umsetzbarkeit richten. Eine flächendeckende Umstellung ohne ausreichende Kenntnis der Anlage kann neue Abhängigkeiten erzeugen, die im Störungsfall schwer beherrschbar sind.

Nutzen, Grenzen und typische Missverständnisse

Das Konzept kann helfen, unnötig weitreichende Zugriffe zu vermeiden und Entscheidungen nachvollziehbarer zu machen. Seine Wirksamkeit hängt jedoch von der Qualität der Identitäten, Regeln und technischen Umsetzung ab. Veraltete Rollen oder gemeinsam genutzte Konten können den beabsichtigten Nutzen begrenzen.

Zero Trust bedeutet nicht, Beschäftigten grundsätzlich zu misstrauen oder jede Tätigkeit manuell bestätigen zu lassen. Gut gestaltete Verfahren können zulässige Aufgaben automatisiert ermöglichen. Entscheidend ist, dass der Umfang begründet ist und relevante Änderungen der Situation berücksichtigt werden.

Das Konzept ersetzt weder Instandhaltung noch sichere Prozessgestaltung. Auch Business Continuity bleibt erforderlich. Ein wirksam begrenzter Zugriff ist nur ein Teil der Voraussetzungen für einen belastbaren Produktionsbetrieb.

Häufige Fragen zu Zero Trust

Ist Zero Trust eine Software?

Nein. Es handelt sich um ein Sicherheitskonzept, das durch verschiedene technische und organisatorische Funktionen umgesetzt wird. Dazu können Identitätsverwaltung, Zugriffsregeln und deren Durchsetzung gehören. Eine einzelne Software kann Bestandteile unterstützen, ersetzt aber keine abgestimmte Architektur und keine Pflege der Berechtigungen im laufenden Betrieb.

Muss sich ein Benutzer bei jeder Aktion neu anmelden?

Nicht zwangsläufig. Die konkrete Umsetzung legt fest, wie Sitzungen und Zugriffsentscheidungen behandelt werden. Ziel ist ein angemessen geprüfter und begrenzter Zugriff, nicht eine möglichst hohe Zahl von Anmeldevorgängen. Bedienbarkeit, Schutzbedarf und die Möglichkeiten der verwendeten Systeme müssen gemeinsam berücksichtigt werden.

Ersetzt Zero Trust eine Firewall?

Nein. Firewalls und andere Mechanismen zur Begrenzung von Kommunikation können Bestandteil der Architektur bleiben. Zero Trust richtet den Blick zusätzlich auf Ressourcen, Identitäten und konkrete Berechtigungen. Die Maßnahmen sollten sich ergänzen. Welche Funktion wo benötigt wird, ergibt sich aus dem Anwendungsfall und den betrieblichen Anforderungen.

Ist Zero Trust für ältere Maschinen geeignet?

Einzelne Grundsätze lassen sich auch dort anwenden, beispielsweise durch begrenzte Wartungszugänge. Nicht jede ältere Komponente unterstützt jedoch moderne Verfahren direkt. Schutz an Übergängen kann eine Möglichkeit sein, muss aber hinsichtlich Zeitverhalten und Ausfallwirkung geprüft werden. Eine pauschale Umsetzbarkeit für alle Maschinen lässt sich nicht zusagen.

Was passiert, wenn ein Identitätsdienst ausfällt?

Das muss bereits bei der Planung festgelegt und getestet werden. Je nach Anwendung können bestehende Funktionen weiterlaufen, während neue Zugriffe eingeschränkt sind. Notwendige Ausnahmeverfahren brauchen eindeutige Zuständigkeiten und Grenzen. Die Antwort hängt vom konkreten System ab und darf nicht erst während einer Produktionsstörung improvisiert werden.

Quellen und fachliche Einordnung

NIST SP 800-207: Zero Trust Architecture, 2020, Grundkonzept und ressourcenbezogene Zugriffsentscheidung.
ASD’s ACSC und internationale Partner: Principles of operational technology cyber security, 2024, Einordnung betrieblicher OT-Anforderungen.

Das Diagnosebeispiel und die Einführungsfragen sind eigenständige Erläuterungen. Stand: Oktober 2026.