Glossarbegriff
Zero Trust
Auch: Zero Trust Architecture, ZTA
Sicherheits-Architektur-Modell, das von der Annahme ausgeht, dass kein Netzwerk-Segment per default vertrauenswürdig ist. Jeder Zugriff wird kontextuell verifiziert, Identity ist die zentrale Achse statt der Netzwerk-Position.
Zero Trust dreht das klassische Castle-and-Moat-Modell um. Statt einer harten Außengrenze und weichem Inneren wird jede Anfrage individuell verifiziert: Identität, Geräte-Health, Anwendungs-Kontext, Datenklasse. Kein implizites Vertrauen.
Zentrale Komponenten: starke Identity (Entra, Okta), geräte-spezifische Compliance (Intune, JAMF), App-Proxy oder ZTNA (Zscaler, Cloudflare, Twingate), Segmentierung. Ergänzt durch kontinuierliches Monitoring (UEBA).
In der Praxis
Zero Trust ist keine einzelne Tool-Entscheidung, sondern eine Programm-Strategie. Für NIS2-relevante Mittelständler beginnt Zero Trust häufig mit MFA-Hardening, Conditional Access und Segmentierung des privilegierten Zugangs.
Verwandte Begriffe
IAM (Identity and Access Management)
The stack of systems that governs who has access to which systems under which conditions. IAM covers authentication, single sign-on, lifecycle management, access governance (IGA) and privileged access management (PAM), and is the most commonly breached control in enterprise environments.
EDR (Endpoint Detection and Response)
A class of endpoint security tools that continuously records endpoint activity and enables detection, investigation and response to threats that evade traditional antivirus. Most enterprise security incidents today are detected or contained at the EDR layer.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.