Zum Inhalt
Kontakt

IT-Sicherheit · Zero Trust

Zero Trust: Zugriff nach Prüfung, nicht aus Gewohnheit.

Wer wir sind, womit wir arbeiten und worauf wir zugreifen wollen – Zero Trust macht daraus bei jeder Anfrage eine nachvollziehbare Entscheidung. Diese Seite zeigt Schritt für Schritt, wie das funktioniert und wo Sie anfangen können.

Zugriffsentscheidung ausprobierenGespräch vereinbaren

  1. Geschützte Daten
  2. MitarbeiterinIdentität
  3. Firmen-NotebookGerät
  4. TeamsAnwendung
  5. DienstleisterIdentität
  6. Privat-TabletGerät
  7. Cloud-SpeicherAnwendung
Jeder Zugriff läuft über eine Richtlinienprüfung – auch im eigenen Netz. Erlaubt, mit zusätzlicher Prüfung oder gesperrt.

Was Zero Trust bedeutet

Kein Zugriff gilt als vertrauenswürdig, nur weil er aus dem eigenen Netz kommt. Jede Anfrage wird im Kontext geprüft – und nur so weit erlaubt, wie sie gebraucht wird.

Zero Trust ist kein Produkt, das man kauft, sondern ein Architekturprinzip. Es verbindet vorhandene Bausteine – Anmeldung, Geräteverwaltung, Berechtigungen, Protokolle – zu einer durchgängigen Entscheidungslogik.

Drei Grundsätze

Worauf Zero Trust aufbaut

Die drei Grundsätze finden sich – in unterschiedlicher Formulierung – in den Leitlinien von NIST, BSI und Microsoft.

  1. Explizit prüfen

    Jede Anfrage wird anhand aller verfügbaren Signale bewertet: Identität, Anmeldeverfahren, Gerätezustand, Ort und Risiko. Der Netzwerkstandort ist ein Signal unter mehreren, kein Freifahrtschein.

  2. So wenig Rechte wie nötig

    Menschen und Dienste erhalten genau den Zugriff, den ihre Aufgabe erfordert – und nur so lange, wie sie ihn brauchen. Rechte werden über Rollen vergeben und regelmäßig überprüft.

  3. Mit einem Vorfall rechnen

    Die Architektur geht davon aus, dass ein Konto oder Gerät kompromittiert sein kann. Segmentierte Zugriffe begrenzen die Auswirkungen, Protokolle machen Auffälligkeiten sichtbar.

Schritt für Schritt

So entsteht eine Zugriffsentscheidung

Scrollen Sie durch die fünf Kapitel. Das Diagramm baut sich mit auf – von der einzelnen Identität bis zum Ergebnis.

IdentitätWer fragt an?AnmeldungWie stark belegt?GerätVerwaltet, aktuell?KontextOrt, Zeit, MusterRisikoAuffälligkeiten?RichtlinienprüfenEntscheidungvier mögliche FolgenRessourcez. B. Personaldaten
Signale fließen in eine Richtlinienprüfung; sie entscheidet, ob und wie auf die Ressource zugegriffen werden darf.

  1. Kapitel 1 · Identität

    Am Anfang steht die Frage: Wer?

    Jede Anfrage gehört zu einer Identität – einer Mitarbeiterin, einem Gastkonto, einem Dienst. Wie gut diese Identität belegt ist, entscheidet das Anmeldeverfahren: Ein Kennwort allein ist schwach, ein zweiter Faktor deutlich stärker, phishing-resistente Verfahren am stärksten.

  2. Kapitel 2 · Gerät

    Womit wird zugegriffen?

    Ein gültiges Konto auf einem veralteten oder unbekannten Gerät ist ein Risiko. Verwaltete Geräte melden ihren Zustand – Updates, Verschlüsselung, Schutzsoftware. Identität und Gerät werden gemeinsam bewertet.

  3. Kapitel 3 · Kontext

    Unter welchen Umständen – und wofür?

    Ort, Zeitpunkt und Anmeldemuster liefern Hinweise auf Auffälligkeiten. Ebenso wichtig ist das Ziel: Ein Teamchat braucht weniger Schutz als die Personalakte. Die angeforderte Ressource bestimmt, wie streng geprüft wird.

  4. Kapitel 4 · Richtlinie

    Die Signale laufen zusammen

    Eine zentrale Richtlinienprüfung wertet alle Signale gemeinsam aus. Die Regeln legt Ihre Organisation fest – etwa: Für vertrauliche Daten nur verwaltete Geräte; für Verwaltungsaufgaben nur starke Anmeldeverfahren.

  5. Kapitel 5 · Ergebnis

    Erlauben, einschränken, nachprüfen oder sperren

    Das Ergebnis ist selten nur Ja oder Nein. Zugriff kann voll erlaubt, eingeschränkt (zum Beispiel nur im Browser), an eine zusätzliche Prüfung geknüpft oder gesperrt werden – und wird neu bewertet, wenn sich die Umstände ändern.

Interaktiv

Probieren Sie es aus: Wie würde entschieden?

Ändern Sie einzelne Signale oder wählen Sie ein Beispiel. Das Modell zeigt, welche Regel greift und warum.

Identität
Anmeldung
Gerät
Kontext
Anmelderisiko

In der Praxis aus Erkennungssystemen berechnet, z. B. bei bekannten Angriffsmustern.

Ressource

Ergebnis

Zugriff erlaubt

Alle Bedingungen sind erfüllt. Der Zugriff wird gewährt – und neu bewertet, wenn sich Umstände während der Sitzung ändern.

  • Alle Bedingungen des Modells sind erfüllt.

Vereinfachtes Lernmodell. Die Regeln zeigen typische Grundsätze, keine echte Konfiguration und keine Nachbildung eines bestimmten Produkts. Alle Regeln werden geprüft, es gilt die strengste zutreffende Folge. In der Praxis legen Sie Richtlinien passend zu Ihren Anforderungen, Lizenzen und Abläufen fest – in Microsoft 365 etwa mit dem bedingten Zugriff von Microsoft Entra ID.

Modellregeln als Text

Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Zugriff erlaubt → Eingeschränkt erlaubt → Zusätzliche Prüfung → Blockiert).

  • Blockiert, wenn Anmelderisiko: hoch – Hohes Anmelderisiko: Der Zugriff bleibt gesperrt, bis das Risiko geklärt ist, etwa durch Zurücksetzen des Kennworts.
  • Blockiert, wenn Gerät: Verwaltet, Update fehlt oder Privatgerät und Ressource: Verwaltungsoberfläche – Verwaltungsaufgaben nur von verwalteten, aktuellen Geräten.
  • Blockiert, wenn Identität: Externe Person (Gastkonto) und Ressource: Verwaltungsoberfläche – Gastkonten erhalten keinen Zugang zu Verwaltungsoberflächen.
  • Blockiert, wenn Gerät: Verwaltet, Update fehlt und Ressource: Vertrauliche Daten – Vertrauliche Daten nur auf konformen Geräten – das fehlende Update muss zuerst installiert werden.
  • Zusätzliche Prüfung, wenn Anmeldung: Nur Kennwort – Ein Kennwort allein reicht nicht: Ein zweiter Faktor ist erforderlich.
  • Zusätzliche Prüfung, wenn Anmeldung: MFA per App und Identität: Administratives Konto – Administrative Konten melden sich mit einem phishing-resistenten Verfahren an.
  • Zusätzliche Prüfung, wenn Anmeldung: MFA per App und Ressource: Verwaltungsoberfläche – Für Verwaltungsoberflächen ist ein phishing-resistentes Verfahren vorgesehen.
  • Zusätzliche Prüfung, wenn Anmelderisiko: mittel – Mittleres Risiko: Eine zusätzliche Bestätigung schafft Klarheit.
  • Zusätzliche Prüfung, wenn Kontext: Ungewöhnliches Muster – Ungewöhnliches Anmeldemuster: zusätzliche Bestätigung erforderlich.
  • Zusätzliche Prüfung, wenn Kontext: Neuer Ort (Reise) und Ressource: Vertrauliche Daten – Neuer Ort und vertrauliche Daten: Die Anmeldung wird erneut bestätigt.
  • Eingeschränkt erlaubt, wenn Gerät: Privatgerät und Ressource: Vertrauliche Daten – Auf Privatgeräten nur Ansicht im Browser, kein Download.
  • Eingeschränkt erlaubt, wenn Identität: Externe Person (Gastkonto) und Ressource: Vertrauliche Daten – Externe sehen nur ausdrücklich für sie freigegebene Inhalte.
  • Eingeschränkt erlaubt, wenn Gerät: Privatgerät und Ressource: Zusammenarbeit (Chat, Termine) – Privatgerät: Zusammenarbeit im Browser, keine lokale Synchronisation.
  • Eingeschränkt erlaubt, wenn Gerät: Verwaltet, Update fehlt und Ressource: Zusammenarbeit (Chat, Termine) – Gerät nicht aktuell: eingeschränkter Zugriff, bis das Update installiert ist.
  • Eingeschränkt erlaubt, wenn Identität: Administratives Konto und Ressource: Zusammenarbeit (Chat, Termine) oder Vertrauliche Daten – Administrative Konten sind für Verwaltungsaufgaben gedacht – für die tägliche Arbeit gibt es ein normales Konto.

Vereinfachtes Lernmodell. Die Regeln zeigen typische Grundsätze, keine echte Konfiguration und keine Nachbildung eines bestimmten Produkts. Alle Regeln werden geprüft, es gilt die strengste zutreffende Folge. In der Praxis legen Sie Richtlinien passend zu Ihren Anforderungen, Lizenzen und Abläufen fest – in Microsoft 365 etwa mit dem bedingten Zugriff von Microsoft Entra ID.

Schutzebenen

Sieben Ebenen, ein Zusammenspiel

Zero Trust wirkt nicht an einer Stelle, sondern über mehrere Ebenen hinweg. Wählen Sie eine Ebene, um Maßnahmen und typische Risiken zu sehen.

Identität

Konten von Mitarbeitenden, Externen und Diensten sind ein zentraler Prüfpunkt – und ein Angriffsziel.

Typische Maßnahmen

  • Zweiter Faktor für alle Konten, bevorzugt phishing-resistent
  • Getrennte Konten für Verwaltungsaufgaben
  • Rechte über Rollen und Gruppen statt einzeln
  • Regelmäßige Überprüfung von Berechtigungen

Typische Risiken

  • Gestohlene Kennwörter durch Phishing
  • Verwaiste Konten ausgeschiedener Personen
  • Über Jahre gewachsene Rechte

Eng verbunden mit:

Identity Lifecycle Management

Alle Ebenen als Text
  1. Identität – Konten von Mitarbeitenden, Externen und Diensten sind ein zentraler Prüfpunkt – und ein Angriffsziel. Maßnahmen: Zweiter Faktor für alle Konten, bevorzugt phishing-resistent; Getrennte Konten für Verwaltungsaufgaben; Rechte über Rollen und Gruppen statt einzeln; Regelmäßige Überprüfung von Berechtigungen. Risiken: Gestohlene Kennwörter durch Phishing; Verwaiste Konten ausgeschiedener Personen; Über Jahre gewachsene Rechte.
  2. Geräte – Notebooks, Smartphones und Tablets melden ihren Zustand. Nur Geräte, die die vereinbarten Regeln erfüllen, erhalten vollen Zugriff. Maßnahmen: Geräte zentral verwalten, z. B. mit Microsoft Intune; Regeln für Updates, Verschlüsselung und Bildschirmsperre; Klare Regeln für private Geräte; Verlorene Geräte sperren oder zurücksetzen. Risiken: Veraltete Betriebssysteme; Firmendaten auf unverwalteten Geräten; Schadsoftware.
  3. Anwendungen – Jede Anwendung wird zentral angebunden und erhält eigene Zugriffsregeln – statt einer pauschalen Freigabe für alles. Maßnahmen: Zentrale Anmeldung (Einmalanmeldung) für Anwendungen; Ältere Anmeldeverfahren abschalten; Zugriffsregeln je Anwendung; Berechtigungen von Drittanbieter-Apps prüfen. Risiken: Schatten-IT ohne zentrale Anmeldung; App-Zustimmungen mit weitreichenden Rechten; Anwendungen ohne Unterstützung für einen zweiten Faktor.
  4. Daten – Am Ende geht es um die Daten. Ihr Schutzbedarf bestimmt, wie streng der Zugriff geregelt wird. Maßnahmen: Daten nach Schutzbedarf einordnen; Freigaben und Gastzugriff regeln; Verschlüsselung bei Speicherung und Übertragung; Aufbewahrung und Löschung festlegen. Risiken: Offene Freigabelinks; Kopien auf privaten Geräten; Unklare Zuständigkeiten.
  5. Infrastruktur – Server, virtuelle Maschinen und Cloud-Ressourcen brauchen aktuelle Software und streng begrenzte Verwaltungszugänge. Maßnahmen: Systeme und Cloud-Ressourcen aktuell halten; Verwaltungsrechte nur bei Bedarf und zeitlich begrenzt; Konfiguration dokumentieren; Datensicherung regelmäßig prüfen. Risiken: Ungepatchte Systeme; Dauerhafte Administratorrechte; Fehlkonfigurationen.
  6. Netzwerk – Das Netzwerk bleibt wichtig – es ist nur nicht mehr der alleinige Beweis für Vertrauen. Maßnahmen: Netze in Bereiche gliedern (Segmentierung); Verbindungen verschlüsseln; Fernzugriff gezielt auf Anwendungen statt pauschal ins Netz; Firewall-Regeln pflegen. Risiken: Flaches Netz, in dem sich Angreifer frei bewegen; Pauschaler VPN-Zugang; Offen erreichbare Dienste.
  7. Überwachung und Reaktion – Protokolle und Warnungen machen sichtbar, wenn etwas nicht stimmt. Entscheidend ist, dass jemand zuständig ist und weiß, was zu tun ist. Maßnahmen: Anmelde- und Änderungsprotokolle auswerten; Warnungen festlegen und Zuständigen zuordnen; Abläufe für Sicherheitsvorfälle vorbereiten; Erkenntnisse in die Richtlinien zurückführen. Risiken: Warnungen, die niemand liest; Fehlende oder zu kurz aufbewahrte Protokolle; Unklare Zuständigkeit im Ernstfall.

Klassisch und Zero Trust

Von der Burgmauer zur Prüfung jeder Anfrage

Zero Trust ersetzt bewährte Schutzmaßnahmen nicht, sondern entwickelt die Architektur weiter. Scrollen Sie durch sechs Etappen.

  1. Etappe 1 · Klassisch

    Vertrauen durch Lage

    Das klassische Modell schützt eine Grenze: Wer im Firmennetz ist, gilt weitgehend als vertrauenswürdig. Firewall und VPN regeln den Weg hinein. Das war lange sinnvoll – und bleibt als Schutzschicht wertvoll.

  2. Etappe 2 · Neue Arbeitswelt

    Die Grenze verschwimmt

    Daten liegen in Cloud-Diensten, Menschen arbeiten von zu Hause, Dienstleister brauchen Zugriff. Zugriffe laufen damit nicht mehr nur durch das Firmennetz.

  3. Etappe 3 · Das Risiko

    Ein Gerät genügt

    Gelangt ein Angreifer über ein kompromittiertes Gerät oder gestohlene Zugangsdaten ins Netz, kann er sich dort weit bewegen – weil das Netz im Inneren pauschal vertraut.

  4. Etappe 4 · Zero Trust

    Identität und Gerät werden Prüfpunkte

    Jede Anfrage wird geprüft: Wer ist es, mit welchem Gerät, in welchem Zustand? Ob sie aus dem Büro oder von unterwegs kommt, ist ein Signal unter mehreren.

  5. Etappe 5 · Zero Trust

    Zugriff je Ressource

    Statt pauschalem Zugang zum Netz gibt es gezielten Zugang zu einzelnen Anwendungen und Daten – über Richtlinienpunkte und mit so wenig Rechten wie nötig.

  6. Etappe 6 · Zero Trust

    Laufend bewerten

    Signale aus Anmeldungen, Geräten und Anwendungen werden fortlaufend ausgewertet. Ändert sich das Risiko, ändert sich die Entscheidung. Firewall und Segmentierung bleiben Bausteine – sie sind nur nicht mehr der einzige Beweis für Vertrauen.

Praxisfälle

Zero Trust im Alltag: sechs typische Situationen

Viele Zero-Trust-Fragen sind Fragen des Identitäts- und Berechtigungsmanagements. Wählen Sie eine Situation – gemeinsame Schritte bleiben stehen, neue kommen hinzu.

Ein neuer Kollege beginnt am Montag. Er soll ab der ersten Stunde arbeiten können – mit genau den Rechten seiner Rolle.

  1. Anlass erfasstHR / FachbereichEintrittsdatum und Rolle kommen aus der Personalabteilung.
  2. Identität anlegen oder prüfenITKonto wird vorbereitet, aber erst zum Start aktiv.
  3. Rolle und Gruppen zuweisenITRechte aus der Rolle – nicht vom Vorgänger kopiert.
  4. Anmeldeverfahren einrichtenPersonErste Anmeldung mit befristetem Zugangscode, dann eigener zweiter Faktor.
  5. Gerät bereitstellen oder prüfenITVorbereitetes, verwaltetes Notebook.
  6. Richtlinie entscheidet beim ZugriffRichtliniePrüft ab dem ersten Tag Gerät und Anmeldung.

Arbeitsfähig ab dem ersten Tag, ohne überflüssige Rechte.

IT-Onboarding Identity Lifecycle

Alle Szenarien als Text

Neuer Mitarbeiter – Ein neuer Kollege beginnt am Montag. Er soll ab der ersten Stunde arbeiten können – mit genau den Rechten seiner Rolle.

  1. Anlass erfasst: Eintrittsdatum und Rolle kommen aus der Personalabteilung.
  2. Identität anlegen oder prüfen: Konto wird vorbereitet, aber erst zum Start aktiv.
  3. Rolle und Gruppen zuweisen: Rechte aus der Rolle – nicht vom Vorgänger kopiert.
  4. Anmeldeverfahren einrichten: Erste Anmeldung mit befristetem Zugangscode, dann eigener zweiter Faktor.
  5. Gerät bereitstellen oder prüfen: Vorbereitetes, verwaltetes Notebook.
  6. Richtlinie entscheidet beim Zugriff: Prüft ab dem ersten Tag Gerät und Anmeldung.

Arbeitsfähig ab dem ersten Tag, ohne überflüssige Rechte.

Homeoffice – Eine Mitarbeiterin arbeitet zwei Tage pro Woche von zu Hause. Für sie sollen dieselben Regeln gelten wie im Büro.

  1. Anmeldeverfahren einrichten: Anmeldung mit zweitem Faktor – wie im Büro.
  2. Gerät bereitstellen oder prüfen: Gerät aktuell und verschlüsselt?
  3. Richtlinie entscheidet beim Zugriff: Zugriff direkt auf die Anwendungen, nicht pauschal ins Netz.
  4. Dokumentieren und überprüfen: Ungewöhnliche Anmeldungen fallen auf.

Ortsunabhängig arbeiten, mit denselben Regeln wie im Büro.

Rollenwechsel – Ein Mitarbeiter wechselt vom Vertrieb in die Buchhaltung. Neue Rechte kommen hinzu – die alten dürfen nicht bleiben.

  1. Anlass erfasst: Wechsel wird mit Datum gemeldet.
  2. Rolle und Gruppen zuweisen: Neue Gruppen zuweisen, alte entfernen.
  3. Richtlinie entscheidet beim Zugriff: Buchhaltungsdaten: strengere Regeln.
  4. Befristung und Freigabe: Übergangszugriff für die Übergabe, befristet.
  5. Dokumentieren und überprüfen: Überprüfung nach Abschluss der Übergabe.

Keine Rechte, die sich über Jahre anhäufen.

Offboarding – Eine Mitarbeiterin verlässt das Unternehmen. Zum Stichtag darf kein Zugang zurückbleiben – auch nicht auf mobilen Geräten.

  1. Anlass erfasst: Austrittsdatum aus der Personalabteilung.
  2. Gerät bereitstellen oder prüfen: Rückgabe der Geräte, Firmendaten auf Mobilgeräten entfernen.
  3. Rechte entziehen, Konto sperren: Anmeldung zum Stichtag sperren, offene Sitzungen beenden.
  4. Dokumentieren und überprüfen: Postfach und Dateien übergeben, Vorgang dokumentiert.

Kein Zugang bleibt zurück.

Externer Dienstleister – Ein Dienstleister unterstützt drei Monate bei einem Projekt. Er braucht Zugriff – aber nur auf dieses Projekt und nur für diese Zeit.

  1. Anlass erfasst: Auftrag mit Laufzeit und Ansprechperson.
  2. Identität anlegen oder prüfen: Gastkonto statt geteilter Zugangsdaten.
  3. Rolle und Gruppen zuweisen: Zugriff nur auf den Projektbereich.
  4. Anmeldeverfahren einrichten: Eigener zweiter Faktor.
  5. Richtlinie entscheidet beim Zugriff: Unbekanntes Gerät: nur Zugriff im Browser.
  6. Befristung und Freigabe: Zugriff endet mit dem Auftrag.
  7. Rechte entziehen, Konto sperren: Nach Ablauf automatisch entfernt.

Zusammenarbeit ohne Dauerzugang.

Sensible Daten – Personaldaten sollen nur die zuständigen Personen sehen – und jeder Zugriff soll nachvollziehbar sein.

  1. Rolle und Gruppen zuweisen: Zugriff nur für die zuständige Gruppe.
  2. Anmeldeverfahren einrichten: Starkes Anmeldeverfahren.
  3. Gerät bereitstellen oder prüfen: Nur verwaltete, aktuelle Geräte.
  4. Richtlinie entscheidet beim Zugriff: Prüft bei jedem Zugriff Risiko und Gerät.
  5. Befristung und Freigabe: Freigaben mit Ablaufdatum.
  6. Dokumentieren und überprüfen: Zugriffe werden protokolliert und regelmäßig überprüft.

Der Schutz richtet sich nach dem Schutzbedarf der Daten.

Typische Missverständnisse

Ist Zero Trust ein Produkt, das man kaufen kann?

Nein. Zero Trust ist ein Architekturprinzip. Produkte – etwa für Anmeldung, Geräteverwaltung oder Protokollierung – sind Bausteine. Entscheidend ist, wie sie zusammenspielen und welche Regeln gelten.

Heißt Zero Trust, dass man den eigenen Mitarbeitenden misstraut?

Nein. Es geht nicht um Misstrauen gegenüber Menschen, sondern darum, Vertrauen nicht aus dem Ort abzuleiten. Auch ein korrektes Konto kann gestohlen sein; die Prüfung schützt gerade die Mitarbeitenden.

Werden Firewall und VPN überflüssig?

Nicht zwangsläufig. Netzwerkschutz bleibt eine Schutzebene. Zero Trust ergänzt ihn um Prüfungen von Identität, Gerät und Kontext und verringert die Abhängigkeit vom pauschalen Netzzugang.

Muss dafür die gesamte IT neu aufgebaut werden?

Nein. Zero Trust wird schrittweise eingeführt. Wichtige Bausteine können bereits vorhanden sein – etwa in Microsoft 365. Sinnvoll ist, mit den wirksamsten Maßnahmen zu beginnen: zweiter Faktor, getrennte Verwaltungskonten, verwaltete Geräte.

Ist Zero Trust nur etwas für große Unternehmen?

Nein. Die Grundsätze gelten für jede Organisationsgröße. In kleineren Umgebungen kann die Umsetzung sogar übersichtlicher sein, weil weniger Systeme und Rollen zu berücksichtigen sind.

Ist man danach sicher oder „compliant“?

Zero Trust senkt Risiken deutlich, beseitigt sie aber nicht. Es ersetzt weder eine Prüfung noch eine rechtliche Bewertung. Ob Anforderungen etwa aus Datenschutz- oder Branchenvorgaben erfüllt sind, bewerten Ihre Datenschutzbeauftragten bzw. Ihre Rechtsberatung.

Selbstcheck

Wo stehen Sie? Acht kurze Fragen

Der Check dauert etwa zwei Minuten und zeigt, welche Handlungsfelder sich als Nächstes anbieten.

Frage 1 von 8 · Identität und AnmeldungMelden sich alle Konten mit einem zweiten Faktor an?

Orientierung, keine Bewertung. Der Selbstcheck ersetzt keine Sicherheitsprüfung, Zertifizierung oder rechtliche Bewertung. Ihre Antworten werden nur in Ihrem Browser ausgewertet – nicht gespeichert und nicht übertragen.

Alle Fragen als Text
  1. Melden sich alle Konten mit einem zweiten Faktor an? (Nein, bisher nicht · Teilweise, z. B. nur die Administration · Ja, alle Konten)
  2. Gibt es getrennte Konten für Verwaltungsaufgaben? (Nein · Teilweise · Ja, durchgängig)
  3. Werden die Geräte, mit denen auf Firmendaten zugegriffen wird, zentral verwaltet? (Nein · Teilweise · Ja, mit festen Regeln)
  4. Gibt es klare Regeln für private Geräte? (Nein · Ja, aber nur als Absprache · Ja, auch technisch umgesetzt)
  5. Werden Rechte über Rollen oder Gruppen vergeben? (Nein, meist einzeln · Gemischt · Ja, überwiegend)
  6. Werden Konten beim Austritt verlässlich und rechtzeitig gesperrt? (Nicht verlässlich · Meistens · Ja, mit festem Ablauf)
  7. Wissen Sie, wo vertrauliche Daten liegen und wer Freigaben erteilen darf? (Nein · Teilweise · Ja, dokumentiert)
  8. Werden Anmelde- und Sicherheitsmeldungen regelmäßig ausgewertet? (Nein · Gelegentlich · Ja, mit klarer Zuständigkeit)

Umsetzung mit ENTDECKE.digital

Von der Bestandsaufnahme zur gelebten Richtlinie

Wir unterstützen bei Analyse, Strukturierung und technischer Umsetzung – mit Schwerpunkt Microsoft 365 und Microsoft Entra ID. Den Zuschnitt legen wir individuell mit Ihnen fest; feste Pakete gibt es nicht. Auch eine eigenständige Sicherheits- und Governance-Prüfung für Microsoft 365 können Sie beauftragen – technisch und organisatorisch, ohne rechtliche Bewertung.

  1. Analyse

    Bestandsaufnahme von Konten, Rollen, Geräten, Anwendungen und Freigaben: Was ist vorhanden, wo sind die größten Lücken?

  2. Strukturierung

    Rollen, Gruppen und Zugriffsregeln, die zur Organisation passen – dokumentiert als Berechtigungs- und Zugriffskonzept.

  3. Technische Maßnahmen in Microsoft 365

    Anmeldeverfahren, bedingter Zugriff in Microsoft Entra ID und Geräteverwaltung mit Microsoft Intune – schrittweise eingeführt und vorab im Berichtsmodus getestet. Lizenzvoraussetzungen klären wir vorab.

  4. Berechtigungsmanagement im Betrieb

    Benutzer, Gruppen und Rechte laufend pflegen – damit die Regeln auch nach Monaten noch stimmen.

  5. Identity Lifecycle

    Feste Abläufe für Eintritt, Rollenwechsel und Austritt, bei Bedarf verbunden mit HR-Prozessen.

  6. Sichere Anmeldung

    Passwörter ordnen, MFA einführen, Passkeys vorbereiten – eine verlässliche Anmeldung ist die Grundlage jeder Zugriffsentscheidung.

  7. Technischer Datenschutz

    Technische und organisatorische Maßnahmen strukturiert dokumentieren – im Dialog mit Ihrer bzw. Ihrem Datenschutzbeauftragten. Keine Rechtsberatung.

Vorgehen

Schrittweise statt auf einmal

  1. Gespräch

    Ziele, Ausgangslage und Rahmenbedingungen klären – auch, welche Lizenzen vorhanden sind.

  2. Bestandsaufnahme

    Konten, Geräte, Anwendungen und Freigaben sichten.

  3. Prioritäten

    Die wirksamsten Maßnahmen zuerst; Ausnahmen bewusst festlegen.

  4. Umsetzung

    Regeln testen, mit Pilotgruppen einführen, Mitarbeitende mitnehmen.

  5. Nachsteuern

    Protokolle auswerten, Regeln anpassen, Abläufe dokumentieren.

Wo fangen Sie an? Sprechen wir darüber.

Schildern Sie kurz Ihre Ausgangslage – wir sagen Ihnen, welche Schritte wir für sinnvoll halten.

Vorhaben anfragenSelbstcheck starten