Im Flur steht eine Schleuse, die früher einmal „Netzwerkgrenze“ hieß und ungefähr so überzeugt wirkte wie ein Pförtner mit Kaffeefleck und Generalschlüssel. Jetzt hat jemand ein neues Schild an die Dienstanweisung geschraubt. Nicht groß. Nicht schön. Aber mit Wirkung: Wer rein will, wird nicht mehr gefragt, ob er draußen richtig aussah. Er wird gefragt. Und dann nochmal.
Die US-Cybersicherheitsbehörde CISA hat am 24. Juni 2026 einen neuen Leitfaden angekündigt, der zivilen Bundesbehörden beim Umstieg auf modernisierte Zero-Trust-Architekturen helfen soll. Es geht um die alte Internet-Schleuse TIC 2.0, um die flexibleren Möglichkeiten von TIC 3.0 und um Secure Access Service Edge, kurz SASE. Man merkt schon: Im Aktenordner wurden diesmal besonders viele Abkürzungen gelocht.
Der Kern ist weniger magisch, als die Prospekte gern tun. CISA schreibt, viele ältere Architekturen hätten Verkehr zentral durch perimeterbasierte Kontrollen geschoben. Das war übersichtlich wie ein einziger Werkstattausgang, aber eben auch so elastisch wie ein rostiger Rolladen, sobald Cloud-Dienste, verteilte Teams und Heimarbeitsküchen dazukommen. Der neue Leitfaden soll Behörden helfen, diese alten Managed-Trusted-Internet-Protocol-Services-Anbindungen abzulösen und eine SASE-Lösung zu planen.
Zero Trust ist dabei kein Türsteher, der jedem misstraut, weil er schlechte Laune hat. Es ist eher ein sehr pedantischer Maschinenmeister: Identität prüfen, Zugriff begrenzen, Telemetrie einsammeln, Segmente nicht durcheinanderwerfen, und bitte nicht mehr so tun, als wäre „drinnen“ automatisch sauber. Drinnen ist manchmal nur draußen mit Teppichboden.
CISA verspricht sich davon bessere Sichtbarkeit und Kontrolle, weniger Latenz, bessere Nutzererfahrung und die Möglichkeit, Telemetrie mit CISA-Diensten zu teilen. Das klingt nach vernünftiger Werkstattordnung. Es klingt aber auch nach einer Menge Umbau bei laufender Kaffeemaschine: alte Wege raus, neue Richtlinien rein, Identitätsdienste anziehen, Protokolle sortieren, und auf keinen Fall den einen Server vergessen, der seit 2017 unter dem Drucker wohnt.
Interessant ist, dass der Leitfaden zwar für US-Bundesbehörden gedacht ist, CISA aber ausdrücklich erwähnt, dass auch Bundesstaaten, Kommunen und kritische Infrastrukturen aus der Reihe etwas mitnehmen können. Übersetzt ins Blechpresse-Deutsche: Wenn eine Behörde mit vielen Formularen und noch mehr Zuständigkeiten den Burggraben zuschüttet, darf der Rest der Nachbarschaft wenigstens zuschauen, welche Schubkarre nicht umfällt.
Die Pointe ist natürlich, dass Zero Trust nicht dann fertig ist, wenn jemand das Wort in die Präsentation klebt. Fertig ist es ungefähr nie. Es wird reifer, knirschärmer, besser beobachtbar. Der alte Perimeter stirbt auch nicht dramatisch im Maschinenraum; er wird langsam in Teilaufgaben zerlegt und fragt beleidigt, ob er wenigstens die Stempelkissen behalten darf.
Quellenkasten
Faktenbasis dieses Beitrags: CISA-Pressemitteilung „New CISA Guide Assists Federal Agencies with Transitioning to Modernized Zero Trust Architectures“ vom 24. Juni 2026 sowie die CISA-Ressourcenseite „Zero Trust“. Satire: ja. Die Quellenlinks: echt, anklickbar, nicht aus dem Blechhut gezogen.